Redes de Computadores

Transcrição

1 Redes de Computadores 3º Ano Sistemas de Informação 2008 Aula 10: WAN e VPN Prof. Msc. Ricardo Slavov ricardo.slavov@aes.edu.br

2 Roteiro Pedagógico PPP / ATM / MPLS / FRAME RELAY / X.25 QoS Link RAS / RRAS Protocolos E Protocolos de Autenticação VPN RADIUS IAS ISA SERVER VoIP Docs Speedy Fonte: Material Auxiliar Atualizado em: 04/02/2008 By Slavov 2

3 Controle de enlace de dados ponto-aponto Um transmissor, um receptor, um enlace: mais fácil do que enlace de broadcast: Sem Media Access Control Não necessita de endereçamento MAC explícito Ex.: dialup link, linha ISDN Protocolos ponto-a-ponto DLC populares: PPP (point-to-point protocol) HDLC: High level data link control (camada de enlace costumava ser considerada camada alta na pilha de protocolos!) PPP Requisitos de Projeto [RFC 1557] É um protocolo de camada de enlace que opera sobre um enlace ponto-a-ponto um enlace que conecta diretamente dois nós, um em cada extremidade do enlace. Não há correção nem recuperação de erros Não há controle de fluxo e Aceita entregas fora de ordem Não há necessidade de suportar enlaces multiponto (ex., polling) Recuperação de erros, controle de fluxo, reordenação dos dados são todos relegados para as camadas mais altas! By Slavov 3

4 Modo de transferência assíncrono: ATM Padrão dos anos 80/90 para altas taxas de transmissão (155 Mbps a 622 Mbps e mais altas) arquitetura de Broadband Integrated Service Digital Network (B-ISDN) Objetivo: transporte integrado de voz, dados e imagens com foco nas redes públicas de comunicação Deve atender aos requisitos de tempo/qos para aplicações de voz e de vídeo (versus o serviço de melhor esforço da Internet) Telefonia de próxima geração : fundamentos técnicos no mundo da telefonia Comutação de pacotes (pacotes de tamanho fixo, chamados células ) usando circuitos virtuais ATM: camada de rede ou de enlace? Visão: transporte fim-a-fim: ATM de computador a computador ATM é uma tecnologia de rede Realidade: usada para conectar roteadores IP de backbone IP sobre ATM ATM como uma camada de enlace comutada, conectando roteadores IP By Slavov 4

5 Camadas ATM: circuitos virtuais Transporte em VC: células são transportadas sobre VC da fonte ao destino Estabelecimento de conexão, necessário para cada chamada antes que o fluxo de dados possa ser iniciado Cada pacote transporta um identificador de VC (não transporta o endereço do destino) Cada comutador com caminho entre a fonte e o destino mantém o estado para cada conexão passante Recursos do enlace e do comutador (banda passante, buffers) podem ser alocados por VC: para obter um comportamento semelhante a um circuito físico VCs permanentes (PVCs) Conexões de longa duração Tipicamente: rota permanente entre roteadores IP VCs comutados (SVC): Dinamicamente criados numa base por chamada By Slavov 5

6 SVC - Switched Virtual Connection - Conexão Virtual Comutada PVC - Permanent Virtual Connection - Conexão Virtual Permanente By Slavov 6

7 IP-sobre-ATM Apenas IP clássico 3 redes (ex.: segmentos de LAN) Endereços MAC (802.3) e IP IP sobre ATM Substitui rede (ex.: segmento de LAN) com a rede ATM Endereços ATM, endereços IP rede ATM Ethernet LANs Ethernet LANs By Slavov 7

8 Multiprotocol label switching (MPLS) Objetivo inicial: aumentar a velocidade de encaminhamento IP usando labels de tamanho fixo (em vez de endereço IP) Mesma idéia do método de circuito virtual (VC) Mas o datagrama IP ainda mantém o endereço IP! By Slavov 8

9 Roteadores MPLS Roteador faz a função de comutador de rótulo Pacotes encaminhados para interface de saída com base apenas no valor do rótulo (não inspeciona o endereço IP) Tabela de encaminhamento MPLS distinta das tabelas de encaminhamento IP Protocolo de sinalização necessário para estabelecer o encaminhamento RSVP-TE Encaminhamento é possível por caminhos que o IP sozinho não pode usar (ex.: roteamento de especificado pela origem)!! Use MPLS para engenharia de tráfego Deve coexistir com roteadores unicamente IP By Slavov 9

10 Frame Relay Tecnologia WAN, e Orientado a Ciruito-Virtual. O Frame Relay é uma tecnologia baseada em pacotes, ideal para tráfego de dados IP. Para cada largura de banda selecionada, existem diferentes taxas de CIR (CIR - Committed Information Rate), que são a garantia da taxa mínima de transferência. Pode ser usado para transportar datagramas. - Protocolo IP 64, 128 Kbps / 256 Kbps / 512 Kbps / 1024 Kbps / 2048 Kbps Para cada largura de banda selecionada, pode-se optar por um CIR de 50% ou 75%. Serviço: Não controla erro e controle de congestionamento fim-a-fim. By Slavov 10

11 continuação A verificação dos pacotes recebidos não é feita pelo Frame Relay, mas sim pelo protocolo que estiver acima dele. Mais simples e mais rápido do que o X.25. Camada AAL Camada ATM Camada Física IN OUT O roteador Frame Relay descarta o quadro recebido quando ele está com erro. Cada DCE envia diretamente os dados ao próximo DCE através do canal virtual estabelecido. A quantidade mínima de largura de banda que o provedor se serviços garante é chamada de Taxa Garantida de Informação, CIR (Commited Information Rate). Excedeu? Explosão comprometida e Explosão excedente. By Slavov 11

12 X.25 Um protocolo de rede que define a interface entre uma rede pública de dados chaveada por pacotes e o dispositivo usado para acessar essa rede. 1976, CCITT, aprovou a Recomendação X.25: Interface entre Equipamento de Terminal de Dados (DTE) e Equipamento de Comunicações de Dados (DCE) para Terminais Operacionais no Modo de Pacote nas Redes de Dados Públicas. A versão mais recente desse protocolo, adotada em 1996, também especifica como essa conexão é estabelecida quando o acesso é feito por um circuito dedicado. Velocidade de até 2 Mbps e transmissões livres de erros. Padrão internacional para comunicações de dados em redes de longa distância. Arquitetura do X.25 By Slavov 12

13 Conceitos X.25 trabalha com dois conceitos: DTE (Data Terminal Equipment) e {Computador} DCE (Data Circuit Terminating Equipment) {Roteador, Switch, Modem} A especificação X.25 padrão, estabelece apenas as regras de comunicação entre o DTE-DCE, a comunicação entre os roteadores não é a tarefa do X.25. Ruim o atraso causado pelo funcionamento desse protocolo; Cada DCE armazena os dados recebidos para depois enviá-los para o destino. Invés de comutar a origem com o destino. Store-and-forward By Slavov 13

14 QoS Priorização dos dados e a qualidade dos serviços Ambos são necessários para transmitir vídeo e voz em tempo real. A prioridade dos dados cria um mecanismo para especificar o nível de prioridade dos quadros de dados. Desta forma, durante períodos de congestionamentos, os quadros marcados com níveis de prioridade mais altos recebem precedência sobre os quadros de prioridade mais baixa. Em complemento à priorização dos dados, temos a QoS, que garante que largura de banda suficiente fique disponível e que atrasos de transmissão (ou seja, a latência) sejam previsíveis e garantidos. By Slavov 14

15 Link By Slavov 15

16 Servidores de Acesso Remoto História... Uso de LP entre dois pontos; Introdução dos microcomputadores, aumentou o interesse em comunicação entre computadores. Começou o uso da rede de telefonia discada para comunicação entre computadores. 1985, surgimento do Cirandão, serviço de comunicação de dados RENPAC. BBS (Bulletin Board Systems) e a FIDONET, rede mundial de BBS, interligadas por conexões discadas Internet. By Slavov 16

17 Servidores de Acesso Remoto RAS são dispositivos inteligentes de alto nível com portas de comunicação assíncronas que se conectam a modems e fornecem acesso discado a uma rede centralizada para usuários remotos. No início os provedores de internet usavam pools de modems para prover acesso aos seus clientes. Eram compostos de diversos modems e linhas analógicas e apenas 1 número para atendimento, chamados seqüenciais. RAS possuem centenas de modems em um mesmo cartão RAS modulares: Módulos Assíncronos de alta velocidade RS-232 Módulos Digitais que permitem conexões com linhas de alta velocidade Infra-estrutura necessária: Rede Central, Rede de Distribuição e Rede de Acesso By Slavov 17

18 Tipos de Acessos Remotos Dial-up RAS Rede Telefônica Pública Servidor VPN Túnel IP através da Internet LAN By Slavov 18

19 Conexões de Acesso Remoto Infraestrutura WAN para Dial-up WAN (Tecnologias de Telecomunicações ) Public Switched Telephone Network (PSTN) Telefone Integrated Services Digital Network (ISDN) X.25 Asynchronous Transfer Mode (ATM) Servidor de Acesso Remoto Cliente para Acesso Remoto X.25 Adaptador V.90 Modem Smart Card Modem ISDN ATM ASDL PSTN ISDN X.25 T-Carrier ou Link ISDN Adaptador X.25 Adaptador V.90 Modem Smart Modem Card ATM ISDN

20 Protocolos Utilizados Conexões Dial-up Protocolos de Tunneling: PPTP e L2TP Protocolos para Conexões Dial-up: PPP Point-to-Point Protocol (PPP) Um conjunto de protocolos e autenticação padrão da indústria que permite às soluções de acesso remoto. Permitem clientes discar para redes remotas. Serial Line Internet Protocol (SLIP) Padrão de acesso remoto mais antigo, geralmente utilizado por servidores de acesso remoto Unix. Protoloco Microsoft RAS Protocolo de Acesso remoto da MS, fornece suporte ao padrão NetBIOS. NetBEUI By Slavov 20

21 Conhecendo o RRAS Routing and Remote Access Service A idéia básica do serviço de acesso remoto no W2K3 é permitir que os usuários possam se conectar à rede da empresa através de uma conexão remota, que seja uma conexão discada, ISDN, ADSL ou qualquer tecnologia para acesso remoto. Para o RRAS, a conexão remota é como se fosse LOCAL. Permite que os usuários se conecte à rede remotamente, usando qualquer uma das tecnologias de conexão suportadas pelo RRAS. By Slavov 21

22 Rede Privada Virtual (VPN) Virtual Private Network, é a criação de conexões seguras, ponto a ponto em uma rede privada ou pública, como a Internet. Usa protocolos especiais, Usa-se Criptografia!!! PPTP ou L2TP com IPSec Escritório Canadá Cenário VPN (Básico) Equivalente Lógico Escritório Sorocaba By Slavov 22

23 Protocolos Utilizados Conexões VPN Layer Two Tunneling Protocol (L2TP) É um protocolo de encapsulamento com base em padrões definidos em RFCs. É uma combinação de L2TP e IPSec. PPTP Microsoft Não suporta compactação de cabeçalho Criptografia MPPE Fase de autenticação não é criptografada Requer apenas uma conexão PPP, independente do protocolo. Plataforma Windows e Linux Não depende do uso de certificados digitais e de uma infra-estrutura de PKI Máximo de conexões simultâneas no servidor RRAS. L2TP/IPSec Baseado em padrões da indústria Suporta compactação de cabeçalho Criptografia DES/3 DES Todo o processo é criptografado Requer uma rede baseada em IP Windows, Linux, AIX, Solaris, SCO, Macintosh, Novell e outras. Depende de certificados digitais e de uma infra-estrutura de PKI Máximo de conexões simultâneas no servidor RRAS. By Slavov 23

24 Rede Privada Virtual (VPN) Planejamento Arquitetura Internet Firewall Servidor VPN Intranet Firewall Cliente Londres

25 RADIUS e IAS (Serviço de Autenticação da Internet) Funções do Servidor IAS IAS como um Servidor RADIUS Servidor Acesso Cliente Acesso Contoso.com Simplifica o Gerenciamento Centraliza autenticação Centraliza autorização Windows Server 2003 Virtual Lab (Gratuito): Guia de Instalação VPN (Português) Implementando a infra-estrutura RADIUS (Português)

26 Método de Autenticação O administrador tem que conhecer bem quais são os métodos de autenticação. Autenticação X Autorização Autenticação: É a verificação das credenciais (ex. nome, senha) da tentativa de conexão. Autorização: É a verificação de que a tentativa de conexão é permitida. Ocorre após a autenticação bem-sucedida. By Slavov 26

27 Protocolos de Autenticação Extensible Authentication Protocol EAP ok! Um mecanismo de autenticação aleatória é responsável pela validação a uma conexão de acesso remoto. Ex: Smart Card, Íris, etc. Microsoft Challenge HanDshake Authentication Protocol MS-CHAP É um protocolo de autenticação de senha criptografada não-reversível MS-CHAP v2 ok! Oferece maior segurança para conexões de acesso remoto. Challenge Handshake Authentication Protocol CHAP Protocolo de autenticação de resposta de desafio que usa um esquema de hash padrão da indústria, para criptografar a resposta. Conhecido como Message Digest 5 (MD5). Password Authentication Protocol PAP Utiliza senhas de texto simples, sem criptografia e é o protocolo de autenticação mais simples. Shiva Password Authentication Protocol SPAP Protocolo de criptografia reversível fabricado pela Shiva. Melhor que PAP porém deve-se usar CHAP ou MS-CHAP By Slavov 27

28 By Slavov 28

29 By Slavov 29

30 Habilitação e Configuração do Acesso Remoto By Slavov 30

31 OpenVPN OpenVPN is an open source virtual private network (VPN) package for creating point-to-point encrypted tunnels between host computers. It was written by James Yonan and is published under the GNU GPL. OpenVPN allows peers to authenticate to each other using a preshared secret key, certificates, or username/password. It uses the OpenSSL encryption library extensively, as well as the SSLv3/TLSv1 protocol. It is available on Solaris, Linux, OpenBSD, FreeBSD, NetBSD, Mac OS X, and Windows 2000/XP. It contains many security and control features. It is not a "web-based" VPN, and is not compatible with IPsec or any other VPN package. The entire package consists of one binary for both client and server connections, an optional configuration file, and one or more key files depending on the authentication method used. Encryption: OpenVPN uses the OpenSSL library to provide encryption of both the data and control channels. It lets OpenSSL do all the encryption and authentication work, allowing OpenVPN to use all the ciphers available in the OpenSSL package. It can also use hardware acceleration to get better encryption performance.

32 OpenVPN Active Directory Authentication for OpenVPN For Windows Implementations

33 VoIP Voz sobre IP Tecnologias e Aplicações O VoIP (Voice over Internet Protocol), objetiva utilizar-se da rede internet, que trafega dados, para trafegar voz. Conceito simples: converter os pacotes de voz analógicos provenientes de aparelhos telefônicos e PABX em pacotes digital, e fazê-lo trafegar em uma rede pública (internet). Arquiteturas... Arquitetura PC a PC Arquitetura com Gateway Arquitetura hibridas By Slavov 33

34 Estabelecer uma chamada 1. Usuário disca um número de acesso ao serviço VoIP; 2. A chamada é roteada pela RPT para o comutador de telefonia IP; 3. O Gateway solicita o número do destino; 4. Gatekeeper determina o endereço IP do Gatekeeper de destino baseado no número do telefone de destino; 5. Ocorre uam troca de sinalização entre o Gatekeeper de origem e destino para verificar a disponibilidade do Gateway de destino; 6. Gateway de origem estabelece um canal com o Gateway de destino; 7. Ocorre uma troca de sinalização entre Gateways e destes com a rede pública para o estabelecimento da chamada. By Slavov 34