Počítačové sítě ve školách II. RNDr. Ing. Milan Šorm, Ph.D. Oddělení koncepce a vývoje ÚIKT

Prezentace na téma: "Počítačové sítě ve školách II. RNDr. Ing. Milan Šorm, Ph.D. Oddělení koncepce a vývoje ÚIKT"— Transkript prezentace:

1 Počítačové sítě ve školách II. RNDr. Ing. Milan Šorm, Ph.D. Oddělení koncepce a vývoje ÚIKT sorm@uikt.mendelu.cz

2 Obsah přednášky Druh komunikace v síti Linková vrstva Síťová vrstva IP sítě Směrování v IP sítích Transportní vrstva Firewalling, paketový filtr Návrh malé sítě

3 Druh komunikace v síti Unicast – komunikace dvou účastníků (vysílání k jednomu) Multicast – komunikace ve skupině (vysílání ke skupině příjemců) Broadcast – všesměrové vysílání (vysílání ke všem účastníkům) Nejběžnější formou komunikace je unicast

4 Způsob adresování Veřejné adresy – tyto adresy mohou být volně užívány a kombinovány v sítích Výrobci připravují své výrobky pro nasazení jako veřejné adresy Privátní adresy – slouží k budování domácích či podnikových sítí, nejsou určeny k přímému užití v Internetu Existuje tzv. překlad adres mezi oběma typy (tzv. NAT)

5 Linková vrstva Zajištění integrity toku dat mezi uzly sítě Řízení přenosu jednotlivých bloků dat po síti a jejich synchronizace – rámce Je možné ji realizovat i hardwarově Typickým představitelem např. protokol Ethernet (IEEE 802.x) Pro rozlišení počítačů je třeba zavést princip adresování – MAC

6 MAC adresa Pevná hardwarová adresa zařízení (portu), je nastavena již z výroby Někdy programově nastavitelná 6 bytů – první 3 byty určují výrobce Př. 00-08-74-4C-7F-1D Broadcast adresa: FF-FF-FF-FF-FF-FF Multicast adresa: nastaven bit 01 v 1. byte Privátní adresa: nastaven bit 02 v 1. byte

7 Podoba jednoho rámce Cílová adresa (6 bytů) Zdrojová adresa (6 bytů) Délka (2 byty) Data (46 až 1500 bytů) FCS (4 byty)

8 Volný režim linkové vrstvy Standardně přijímá síťové zařízení na linkové vrstvě jen rámce s vlastní adresou v cílové adrese (unicast) Podporován je též příjem multicast či broadcast provozu na síťové zařízení Nastavením zařízení do volného režimu (promiscuit) přijímáme všechny rámce ze sítě (směrování, kontrolní činnost …)

9 Síťová vrstva Linková vrstva dokáže zajistit komunikaci v rámci lokální sítě (např. každý s každým na principu CSMA/CD) Pro rozsáhlejší síť je třeba zavést logické adresování stanic (MAC adresy špatně zapamatovatelné a netvoří skupiny) Pro propojování jednotlivých sítí je nutné definovat směrování (přenos mezi sítěmi)

10 IP adresa Nejznámější síťovou adresou dneška je IP adresa (verze IPv4, IPv6) – dále IPv4 IP adresa má 4 byty a je nastavitelná lokálně pro konkrétní síťové zařízení Platí princip prefixu – jednotlivé logické skupiny mají společnou levou část adresy Je možné mít pro jedno zařízení více IP adres (virtuální adresace) Běžná práce s privátními adresami

11 Adresování sítí Adresa sítě (network) Adresa zařízení (host) Obecné dělení celková délka 32 bitů (4 byty), dělení obecně kdekoliv Adresa sítě (network) Adresa zařízení (host) Vytvoření podsítě každé zavedení podsítě snižuje počet zařízení v dané podsíti Adresa podsítě (subnet)

12 Adresování sítí Adresa sítě (network) 0………….0 Adresa sítě (network address) místo adresy konkrétního zařízení jsou samé 0 1…………..1 Síťová maska (network mask) slouží k rozlišení jednotlivých IP adres v různých sítích udává se často také jako počet bitů obsahující 1 0………….0

13 Adresování sítí Adresa sítě (network) 1………….1 Všesměrová vysílací adresa (broadcast) místo adresy konkrétního zařízení jsou samé 1 Díky existenci adresy sítě a všesměrové vysílací adresy je prostor pro zařízení vždy o 2 adresy menší než teoretický prostor všech kombinací

14 Velikost sítě Konkrétní síť se zapisuje dvěma tvary: – adresa sítě/síťová maska – adresa sítě/počet bitů síťové adresy Počet bitů síťové adresy … n Počet bitů pro rozlišení zařízení … 32-n Počet možných kombinací … 2 32-n Dvě adresy speciální … 2 32-n – 2 To představuje právě velikost sítě

15 Praktické výpočty s IP adresami Pro definici směrování, tvorbu podsítí a pro definici pravidel pro firewally je nutné ovládnout výpočty s IP adresami Základní výpočty: – velikost sítě – rozdělení sítě na podsítě o dané kapacitě – dopočítání chybějících údajů z neúplného zadání (zejména stanovení broadcast adr.)

16 Přenos na síťové vrstvě Přenos probíhá v blocích – paketech Paket je zabalen uvnitř přenosového rámce linkové vrstvy pro transport místní sítí (užití ISO/OSI modelu) Zařízení, které předává pakety do sousední sítě, se nazývá směrovač (router) a pracuje ve volném režimu Každý účastník komunikace podporuje alespoň základní směrování paketu

17 Podoba IP paketu Cílová adresa Zdrojová adresa Volitelné údaje a prázdná výplň Data VerzeIHLToSCelková délka IdentifikaceFPFragment TTLProtokolKontrolní součet hlavičky 32168419

18 Přenos paketu Pomocí identifikace lze určovat, který paket je který (rozlišovací číslo) – neslouží k řízení toku, ale k řízení fragmentace Každý paket může být v síti rozložen na fragmenty v závislosti na tzv. MTU (maximální přenosové rychlosti média) FP určuje, zda smí dojít k fragmentaci a zda se jedná již o poslední fragment

19 Životnost paketu a cyklení TTL (time to live) definuje maximální dobu života paketu (obvykle 255) Každý směrovač má za úkol snížit TTL o jedničku (transparentní směrovače toto nedělají) Pokud TTL klesne na 0, paket je zahozen V případě cyklení dojde k poklesu TTL a zastavení cyklení zahozením paketu

20 ARP protokol Musí existovat způsob převodu MAC adresy na IP adresu a opačně O tyto záležitosti se stará ARP protokol Udržuje tzv. ARP cache s informacemi, kdo je kdo na lokální síti Vlastní MAC adresy pro IP požadavky zjišťuje všesměrovým vysíláním na linkové vrstvě

21 Zvláštní ARP funkce Tzv. proxy ARP umožňuje, aby se jeden stroj vydával v síti za jiný, pokud shromažďuje IP pakety pro jiný počítač (např. umístěný za PtP spojením) Reverzní ARP umožňuje počítači, který dosud nemá přidělenou IP adresu (dynamické přidělování) vysílat se svou MAC adresou a žádat všesměrovým vysíláním o přidělení IP adresy

22 Oddělení síťového provozu Je třeba si uvědomit, že směrovač je zařízení síťové vrstvy Na této vrstvě nedochází k propagaci všesměrového vysílání linkové vrstvy Směrovače proto oddělují provozy jednotlivých místních sítí a také jednotlivé ARP prostory Reverzní ARP nemůže projít přes směrovač bez další pomoci (cache, proxy)

23 Směrování provozu Základním směrováním je přiřazení síťové adresy a síťové masky konkrétním síťovým zařízením (slouží pro určení, jak dosáhnout blízké cíle) Směrování do vzdálenějších sítí lze provést pomocí tzv. bran (gateway) Příslušná brána musí být blízkým cílem Jedna brána je implicitní pro nespecifikovaný provoz (default gateway)

24 Směrování koncové stanice Směrujeme vždy nejprve místní síť na místním síťovém zařízení Každá místní síť musí obsahovat bránu připojující koncovou stanici k podnikové či domácí síti Implicitní bránu (default gateway) určíme jako tuto bránu v místní síti Toto jednoduché nastavení lze definovat dynamicky

25 Podnikový směrovač Vyžaduje nejprve definici všech přímo připojených sítí ke konkrétním síťovým zařízením Dále vyžaduje definici všech ostatních podnikových sítí přes brány připojené do blízkých sítí (mohou to být jen další směrovače na cestě do takové sítě) Vyžaduje rovněž implicitní bránu směrem ven z podnikové sítě

26 Směrování rozsáhlých sítí Pro velké podnikové a metropolitní sítě jsou určeny dynamické směrovací protokoly Tyto protokoly určují nastavení jednotlivých směrovačů a mohou se dynamicky měnit podle stavu sítě Nejběžnější protokoly: RIP, OSPF2, BGP4

27 Páteřní směrovač ISP Nepoužívá pro směrování IP vrstvu (příliš mnoho adres sítí, pokud by nebylo možné užít implicitní bránu) Příliš časté změny velkého rozsahu Používá systém Autonomních systémů Řeší se jen směrování na hranicích těchto AS (tzv. border gateway) AS jsou očíslovány a přiděleny ISP

28 Směrování mezi AS Každý hraniční směrovač zná svou síť a používá standardní IP techniku směrování Každý hraniční směrovač ví, které IP sítě patří do kterého autonomního systému Tato konfigurace se do AS směrovačů přenáší centrálně pomocí směrovacích protokolů (BGP4)

29 Druhy IP provozu Na síťové vrstvě nelze zajistit souvislý datový tok (pakety na sebe nenavazují, pouze jejich fragmenty jsou uspořádávány) Síťová vrstva také nezajišťuje potvrzení doručení paketu (paket mohl být ztracen) Hledáme analogie klasických typů komunikace až na transportní vrstvě

30 Spojovaný provoz Spojovaný provoz nazýváme proudem (stream) a představuje std. formu online komunikace Každý paket je potvrzován a zatřizován do určitého pořadí (kontrolují se duplicity, ztráty, pořadí) Představuje komunikaci „trubkou“ či „kanálem“ – podobně jako telefonní hovor TCP spojení

31 Nespojovaný provoz Nespojovaný provoz nazýváme vysíláním (datagram) a představuje std. formu pro offline komunikaci Zdroj neví o cíli Jednotlivé datagramy nelze zatřizovat, mohou se ztrácet či duplikovat Odpovídá vysílání např. televize nebo zasílání dopisu poštou UDP provoz

32 Spojení O spojení dvou koncových bodů můžeme hovořit prakticky jen u spojovaného provozu Vytvořením dvou komunikačních kanálů můžeme zajistit oboustranné spojení (full duplex) Oboustranné spojení je nejčastější forma komunikace na Internetu

33 Zavedení portů Aby mohla komunikace probíhat současně mezi více aplikacemi, je třeba rozlišit na zdrojové i cílové straně jednotlivé účastníky komunikace detailně Pro každou stranu vytváříme očíslované porty, které mohou být použity pro komunikaci Kombinace IP adresa a port vytváří jednoznačný socket (koncovka)

34 Vyhrazené porty Porty s adresou menší než 1024 jsou vyhrazeny pro tzv. obecně známé služby (well known services) a jejich užívání by mělo být řízeno správcem OS Běžná čísla serverových portů (portů na straně volaného) jsou sumarizována v Internetových standardech (např. 80 je HTTP, 22 je SSH, 110 je POP3 apod.) Pozor na kombinace portu a druhu provozu (53/tcp, 53/udp pro DNS apod.)

35 Princip spojovaného přenosu TCP protokol obsahuje nástroje pro zajištění přenosu paketů mezi dvěma body Cílové uspořádání se řídí podle přiděleného sekvenčního čísla paketu Ztráty paketu řeší potvrzování jednotlivých paketů Duplicity a ztráty mohou být eliminovány řízením rychlosti přenosu tzv. oknem

36 Navázání spojení Při navázání spojení je třeba vytvořit oboustranně důvěryhodné spojení Používá se algoritmus tzv. třícestného handshaku Každý TCP paket má v hlavičce řady bitů sloužících pro zahajování, potvrzování a rušení spojení Jejich kombinací je vytvořeno spojení

37 Třícestný handshake

38 Ukončování spojení

39 Řízení vlastního přenosu V navázaném spojení je třeba každý paket potvrdit v následující odpovědi Odpověď sama může nést další data, která nám musí protistrana také potvrdit Pokud by data nebyla potvrzena v určitém čase, jsou vyslána znova (a považována za ztracená) Nad daty je počítán na oboustranách checksum

40 Technika regulace provozu Klient odesílá data, odešle 1, 2 a 3. Poté obdrží od serveru potvrzení 4, které potvrzuje 1 a 2. Klient odesílá 5, 6 a 7. Jenže server data mezitím nedokázal zpracovat a data mu zaplnila vyrovnávací paměť, proto 8 sice potvrdí příjem 3, 5, 6 a 7, ale zároveň klientovi uzavře okno, tj. klient nemůže s odesíláním dat pokračovat. Poté co server zpracuje část dat (2 KiB), tak umožní klientovi pokračovat v odesílání, ale neotevře mu 9 okno celé – pouze 2 KiB, protože všechna data ve vyrovnávací paměti ještě nezpracoval a pro více dat nemá místo.

41 Podoba TCP paketu Cílový port Zdrojový port Volitelné položky TCP záhlaví a prázdná výplň Data IHL Ukazatel naléhavých dat Délka okna (window size) Sekvenční pořadové číslo odesílaného bajtu (sequence) Potvrzovací pořadové číslo přijímaného bajtu (acknowledgment) Rezerva URGURG Kontrolní TCP checksum 3216104 ACKACK PSHPSH RSTRST SYNSYN FINFIN

42 Nespojovaná služba UDP vysílání je vhodné na služby, kde není třeba zajistit 100% doručení všech dat, nezáleží příliš na pořadí a duplikátech Příkladem může být internetové rádio Pořadí a duplikáty lze řešit přidáním sekvenčního čísla do aplikačního protokolu Menší režie pro vysílající stranu než TCP

43 Podoba UDP paketu Cílový port Zdrojový port Data Délka paketuKontrolní UDP checksum 3216

44 Firewalling Na síťové a transportní vrstvě provádíme obvykle základní ochranu sítě před nebezpečným či nechtěným provozem Firewall je zařízení, které omezuje provoz na síti podle zvolených pravidel Na linkové, síťové a transportní vrstvě se užívá paketový filtr (jeden z druhů možných firewallů) Ne každý provoz lze filtrovat tímto způsobem (viz aplikační gateway)

45 Paketový filtr Paketový filtr definuje sadu pravidel pro jednotlivé oblasti firewallu Každé pravidlo může provést nad provozem specifickou činnost (povolení, zakázání, přesměrování, logování aj.) Pokud žádné pravidlo nevyhoví, je v dané oblasti aplikována standardní bezpečnostní politika organizace

46 Základní druhy politik Politika represivní (zásahová) – implicitně je vše povoleno – při výskytu problému je zasáhnuto a je provedena patřičná represe – vhodné nejvýše pro odchozí provoz Politika prevenční (restriktivní) – co není povoleno je zakázáno – vhodné nejméně pro příchozí provoz – ani tak neposkytuje 100% ochranu

47 Základní oblasti firewallu INPUT … příjem dat pro lokální počítač OUTPUT … generování dat z lokálního počítače FORWARD … data směrovaná uvnitř počítače na jiný počítač PREROUTING … ovlivnění příchozích dat POSTROUTING … ovlivnění odchozích dat

48 Závěr Děkuji za pozornost. Dotazy?