Endereçamento Privado Proxy e NAT. 2017, Edgard Jamhour

Transcrição

1 Endereçamento Privado Proxy e NAT

2 Motivação para o Endereçamento IP Privado Crescimento do IPv4 07/ milhões de hosts 01/ milhões de hosts IPv4 permite endereçar 4 bilhões de hosts. PREVISÃO DE ESGOTAMENTO = 1994

3 Autoridades de Registro de Endereço IANA ARIN RIPE NCC AfriNIC LACNIC APNIC América do Norte Europa, Oriente e Asia Central Africa América Latina e Caribe Ásia e Pacífico

4 Endereços Privados: RFC 1918 Prefixo Faixa de Endereços Descrição / a / a / a Uma rede de endereços classe A. 16 redes contíguas de endereços classe B. 256 redes contíguas de endereços classe C.

5 Tipos de Hosts (RFC 1918) categoria I categoria III IPv4 categoria II tradutor de IP NAT IPv4

6 Roteador Interno e Gateway Default ip publico ip publico ip publico gateway default (não roteia IP privado) ip publico ip privado ip privado 2 IPv4 1 ip privado (roteador interno) roteia IP privado

7 Endereços e Roteamento IPv /24 via direta /24 via direta /0 via provedor /24 via direta

8 Hosts Categoria roteador com NAT se ip_origem = /24 traduzir para IPv /24 via direta /24 via direta /0 via provedor /24 via direta

9 Tradutores de Endereço Implementados ao nível das funções de Roteamento: NAT (Network Address Translation) NAPT (Network Address and Port Translation). Implementados com servidores: Proxy de Aplicação Proxy Socks.

10 NAT e NAPT IP privado1 IP privado2 NAT IP público 1 IP público2 IP privado3 IP público3 IP privado1 NAPT IP público1 :Porta 1 IP privado2 IP público1 :Porta 2 IP privado3 IP público1 :Porta 3

11 Tipos de Mapeamento NAT NAT (Network Address Translation) Converte apenas endereços IP Efetua mapeamentos de um-para-um Cada endereço IP privado é mapeado em um endereço IP público distinto. NAPT (Network Address and Port Translation) Utiliza informações das porta de transporte (TCP ou UDP) Efetua mapeamentos de um-para-muitos. Múltiplos endereços privados podem ser mapeados em um único endereço IP público.

12 Mapeamento Estático e Dinâmico Estático: Os mapeamentos são definidos previamente, de maneira que um dado endereço IP privado está sempre mapeado em um mesmo IP público Dinâmico. Os mapeamentos são configuradas dinamicamente, quando um novo fluxo é detectado. Os mapeamentos dinâmicos são temporários, sendo automaticamente desfeitos quando o IP privado deixa de ser utilizado por muito tempo.

13 SNAT e DNAT Interface de Entrada Interface de Saída Pré-Roteamento [DNAT] roteamento Pós-Roteamento [SNAT] decisão sobre o encaminhamento do pacote

14 Source NAT e Destination NAT Source NAT: SNAT Altera o endereço de origem do pacote É implementado após a ação de roteamento (pósroteamento). Masquerading Destination NAT: DNAT Altera o endereço de destino do pacote É implementado antes do roteamento (préroteamento). Redirecionamento de Portas Balanceamento de Carga Proxies transparentes

15 SNAT: Network Address Translation checksum checksum checksum checksum tabela de mapeamento = = IPv4 Privado to IPv4 Network

16 NAT (IPTABLES) SNAT para endereço fixo: iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to SNAT com pool de endereços: iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to Masquerading efetua o mapeamento ao IP atribuído a interface definida por -o iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

17 SNAPT (Network Address and Port Translation) request IP Privado:Porta Origem IP Público:Porta Origem reply clientes : : : : : : : : IPv Endereço IP Público servidor

18 SNAPT No Linux, o mapeamento por SNAPT é configurado através do IP tables, conforme o exemplo a seguir. Altera o endereço de origem para , usando as portas iptables -t nat -A POSTROUTING -p tcp -o eth0 -j SNAT --to

19 Mapeamentos Reversos: DNAT servidores reply IP Privado:Porta Destino IP Público:Porta Destino request : : : : : : : : IPv Endereço IP Público espec.ppgia.pucpr.br cliente

20 DNAT DNAT da porta 8080 para IP :80. iptables -t nat -A PREROUTING -p tcp --dport i eth0 -j DNAT --to :80 Redirect da porta 80 para 3128 iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128 DNAT balanceado para até iptables -t nat -A PREROUTING -i eth0 -j DNAT --to

21 NAT Traversal Denominação dada a técnicas que permite configurar automaticamente mapeamentos do tipo DNAT em NAT ou outros conversores e endereço. NAT hole punching Utiliza servidores externos para informar o mapeamento STUN: Session Traversal Utilities for NAT Utiliza servidores externos para informar o mapeamento TURN: Traversal Using Relays around NAT Protocolo que permite configurar mapeamentos do tipo DNAT UPnP IGDP: Internal Gateway Device Protocol PMP: Port Management Protocol Altenativa o IGDP proposto pela Apple PCP: Port Control Protocol padrão mais recente proposto pelo IETF

22 upnp IGD upnp: Universal Plug na Play Mecanismo de descoberta e autoconfiguração de dispositivos e serviços de rede upnp IGD: Internet Gateway Device Protocolo que permite efetuar mapeamento de porta automaticamente em roteadores Descobre o endereço público Descobre mapeamentos existentes Cria mapeamentos de porta temporários Considerado potencialmente perigoso, especialmente se o protocolo for habilitado na porta externa

23 Tipos de NAT O cliente é mantém o mesmo mapeado IP público e porta em qualquer comunicação. Qualquer computador externo pode enviar pacotes para um mapeamento existente. Semelhante ao Full Cone, mas apenas hosts externos previamente contatados (independente da porta) podem usar mapeamentos existentes.

24 Tipos de NAT Semelhante ao Restricted Cone, mas hosts externos se comunicam com o cliente usando apenas a sua porta contatada pelo cliente interno. Utiliza mapeamento de porta e IP diferentes para destinos diferentes. Apenas os hosts externos previamente endereçados podem enviar pacotes ao cliente

25 Exemplos upnp IGP define uma API que pode ser usada por aplicações que precisam escutar novas sessões; GetListOfPortMappings() AddPortMapping() AddAnyPortMapping() Microtorrent Determina portas externas disponíveis e efetua o mapeamento Azureus, Shareazav e Emule Tenta efetuar o mapeamento em uma porta externa fixa

26 Deep packet inspection PORT : PORT : payload tabela de mapeamento = IPv4 Privado IPv4 Network

27 Tipos de FTP: Ativo X Passivo O FTP usa uma conexão de comando, e outra para transferência de dados. Duas formas de operação: PORT (Ativo) O cliente conecta-se a porta 21 do servidor FTP pela porta N (>1023) O cliente envia o comando PORT indicado que aguarda uma conexão na porta porta N+1 O servidor se conecta ao cliente pela porta 20. PASV (Passivo). O cliente conecta-se a porta 21 do servidor FTP O cliente envia um comando PASV indicado que deseja se conectar em modo passivo. O servidor abre uma porta aleatória para receber a conexão de dados, e informa essa porta para o cliente através da conexão de comando.

28 FTP Ativo X Passivo Ativo Passivo

29 Crítica ao FTP (Passivo)

30 Carrier Grade NAT (CGN) Na abordagem convencional, os usuários residenciais (CPE) precisam de pelo menos um IP público. A abordagem CGN permite atribuir endereços IP privados aos usuários e efetuar a conversão no interior da rede do ISP.

31 NAT X Forwarding Proxy IPv4 Privado NAT IPv4 Network IPv4 Privado Proxy IPv4 Network

32 NAT X Proxy HTTP TCP IP Privado Ethernet ROTEAMENTO + NAT IP Privado IP Público Ethernet Ethernet HTTP TCP IP Público Ethernet Aplicação Proxy HTTP HTTP HTTP TCP TCP TCP HTTP TCP IP Privado IP Privado IP Público IP Público Ethernet Ethernet Ethernet Ethernet

33 Proxy Aplicação vs Proxy Socks Proxy de Aplicação Utiliza informações dos protocolos da camada de aplicação Suporta apenas protocolos de aplicação conhecidos Proxy SOCKS. Não usa informações da camada de transporte Pode suportar virtualmente qualquer tipo de aplicação, de forma semelhante ao NAT. Aplicação Proxy HTTP HTTP TCP TCP IP Privado IP Público Ethernet Ethernet Proxy Socks TCP/UDP TCP/UDP IP Privado IP Público Ethernet Ethernet

34 Como o proxy determina o endereço do destinatário? No proxy de aplicação: O endereço e a porta do destinatário são descobertos analisando as informações contidas no cabeçalho de aplicação (usualmente HTTP). A Proxy...S... Proxy S...S... A Proxy S No proxy SOCKS: O cliente envia explicitamente uma ordem de redirecionamento antes de submeter o pacote de dados. A Proxy para S A Proxy...S... Proxy S...S... A Proxy S

35 Proxy de Aplicação Seqüência de empacotamento Protocolo de Aplicação HTTP, FTP, SMTP, etc TCP, UDP IP Ethernet quadro segmento TCP datagrama UDP pacote aplicação http ftp ssl O proxy de aplicação precisa interpretar as informações do protocolo de aplicação (dispositivo de camada 7)

36 Forward Application Proxy GET /~jamhour/natproxy.tar.gz HTTP/1.1\r\n Host: espec.ppgia.pucpr.br\r\n IPv4 Privado Proxy IPv4 Network GET /~jamhour/natproxy.tar.gz HTTP/1.1\r\n Host: espec.ppgia.pucpr.br\r\n

37 HTTP Messages

38 Absolute URI URIs absolutas eram usadas em HTTP 1.0, mas não são necessárias no HTTP 1.1, pois o campo Host foi incluído. Mas quando o proxy é configurado no navegador Web a requisição é alterada, e passa a incluir URI absolutas.

39 Proxy de Aplicação: Deep Packet Inspection SMTP HELO... MAIL FROM... RCPT TO... DATA... CRLF CRLF QUIT... HTTP GET... Host... Accept-Language... Accept-Encoding... User-Agent... Content-Length:... Cada protocolo de aplicação possui uma estrutura diferente, então é impossível fazer um proxy capaz de interpretar qualquer aplicação

40 Proxy Auto-Configuration (PAC) file function FindProxyForURL(url,host) { } if(isinnet(host, " ", " ") isinnet(host, " ", " ") url.substring(0, 4) == "ftp:") { return "DIRECT"; } else { return "PROXY :3128"; }

41 Mapeamento de Conexões pelo Proxy request IP Privado:Porta Origem IP Público:Porta Origem reply clientes : : : : : : : : IPv4 servidor

42 Mapeamento de Conexões pelo Proxy Semelhante ao NAPT, permite compartilhar inúmeros IPs privados com um único IP público. Proxy recebe conexões dos clientes internos em uma porta fixa Proxy abre conexões para servidores externos usando uma porta aleatória O HTTP encerra a conexão com o servidor assim que as informações de uma página Web são recebidas por completo.

43 Outras Funções do Proxy de Aplicação Controle de acesso por login Filtragem de endereços e conteúdo. Cache de objetos Web Filtragem de Virus e Malware Proxy de Aplicação GET Cache HTTP/ OK\r\n GET GET HTTP/ OK\r\n HTTP/ Not Modified\r\n

44 Serviços Adicionais do Proxy 1. Cache de objetos HTTP: armazena objetos mais acessados em cache permite reduzir a banda utilizada do link com a Internet. 2. Autenticação: controla o acesso a Internet através de um pedido de autenticação para usuário. 3. Filtragem de endereços URL: proíbe o acesso a certos endereços na Internet. 4. Filtragem de conteúdo: proíbe a transferência de objetos com certos tipos MIME (video, áudio, executáveis, etc.) 5. Bloqueio e remoção de virus e malware: proibe a entrega de objetos com virus ou algum tipo de malware.

45 Proxy HTTPS: HTTP Connect

46 Proxy Socks user jamhour want connect to :80 request granted user jamhour want bind to :80 proxy socks 1024 bind on : IPv4 cliente servidor

47 Versões do SOCKS Versão 4: Suporte apenas ao TCP Versão 5: Suporte a TCP e UDP, e suporte a autenticação

48 Proxy Socks aplicação configuração global para todos os aplicativos biblioteca sockets modificada S.O. TCP UDP proxy SOCKS IP servidor IPv4 cliente protocolo SOCKS TCP ou UDP não modificado

49 Forward Proxy vs Reverse Proxy Exemplos: Servidor web IPv4 Servidor web roteador firewall Proxy Reverso Servidor web

50 Conclusão IP privado resposta a tendência de esgotamento de endereços IPv4, que se acelerou no início dos anos 90. poucas limitações para hots clientes bastante limitante para hosts servidores forma mais segura de se navegar pela Internet NATs uso transparente para os clientes pouco limitantes em relação as aplicações suportadas incapazes de prestar serviços dependentes da camada de aplicação, como cache HTTP Proxy não transparente para os clientes quebram o modelo cliente-servidor menos escaláveis que os NATs proxies de aplicação podem prestar inúmeros serviços adicionais que melhoram a segurança e o desempenho da rede.