Roteiro. Roteamento e Mobilidade (IP Móvel) As sete camadas OSI. Motivação. Datagrama IPv4. Roteamento IP

Transcrição

1 Roteamento e Mobilidade (IP Móvel) Referências:! J.D. Solomon, MobileIP: The Internet Unplugged! RFC 2002 (Protocolo IP Móvel)! RFC (Técnicas de Tunelamento)! RFC 2006 (Mobile IP MIB)! D. Johnson and D. Maltz. "Protocols for daptive Wireless and Mobile Networking", IEEE Personal Communication, 3(1), February 1996! B. Lancki,. Dixit, V. Gupta, "Mobile-IP: Supporting Transparent Host Migration on the Internet," Linux Journal, June 1996 Roteiro! Motivação! Breve revisão de roteamento IP! Motivação e problemas! Funcionamento básico " núncio de lcançabilidade " Registro de Binding " Tunelamento! spectos de segurança! O papel do RP! Otimização de rotas! Gerenciamento de mobilidade no IPv6 Markus Endler, alterado com autorização do mesmo 2 Motivação! Pessoa que quer manter correspondência " Vários destinatários/remetentes! O envio é um problema?! Como receber cartas " Protocolo preciso " Técnica cartão postal " Técnica do faire suivre " Mais ideias? s sete camadas OSI! Camada de Física - bits! Camada de Enlace - datagramas! Camada Rede - roteamento! Camada de Transporte início, meio (quebra) e fim! Camada de Sessão! Camada de presentação! Camada de plicação Markus Endler, alterado com autorização do mesmo 3 Markus Endler, alterado com autorização do mesmo 4 Roteamento IP! Tarefa & Características " Encaminhar datagramas IP até o host destino " as IP podem ser perdidos, replicados ou conter erros " Protocolo hop-by-hop: cada roteador escolhe próximo hop para cada datagrama baseado em sua tabela de roteamento " Endereços (32 bits) dependem do local (em qual subrede o host se encontra) " Roteamento baseado em prefixo a IPv4 VERS: versão do protocolo IP que foi usada para criar o datagrama (4bits) SERVICE-TYPE: este campo especifica como o datagrama deve ser manejado Total Length: tamanho do cabeçalho, geralmente 5x32bits TTL: campo que é decrementado ao passar por roteador HEDER CHECKSUM: verifica se o cabeçalho está OK Markus Endler, alterado com autorização do mesmo 5 Markus Endler, alterado com autorização do mesmo 6 1

2 a IPv6 Menos informação (não tem checksum: confiança nas camadas inferiores) Version: VERS: versão do protocolo IP que foi usada para criar o datagrama (4bits) Traffic Class: QoS O endereçamento no IPv6 é de 128 bits Markus Endler, alterado com autorização do mesmo 7 Tabela de Roteamento! Cada entrada consiste de [prefix, pref-length, nexthop, IntfaceID]! Tipos de entrada: " Host-specific: entrega em 1 hop " Network specific: encaminhamento para outro roteador " Default Tabela de Y Target Leng nexthop Interface direct direct B router X B router X B Y B X Host-specific Host-specific Network-prefix Default * * Markus Endler, alterado com autorização do mesmo 8 O lgoritmo rquitetura (visão geral) Escolha interface /próximo hop para pacote destinado a IP.Dest:! Use interface para a qual existe uma entrada hostspecific com target = IP.Dest! Senão escolha entrada network-prefix que coincida com o IP.Dest no maior prefixo possível! Senão escolha qualquer uma das entradas default! Senão notifique o host fonte do erro de roteamento (msg ICMP Unreacheable ) Obs: ICMP Internet Control Message Protocol (é uma componente de IP) e é usado para diagnóstico & notificações de erros Markus Endler, alterado com autorização do mesmo 9 Markus Endler, alterado com autorização do mesmo 10 ddress Resolution Protocol (RP) Objetivo: descobrir o endereço MC dado o seu endereço IP! Mensagens: " RPRequest(IP) é enviado pelo destinatário (p.ex. Roteador) " O host com o IP procurado responde com RPReply (MC-ddr) Requisitante guarda a associação (IPddr, MCddr) em um RPCache durante um tempo de validade Obs:! Um RPProxy pode responder por um host! Um novo host que é ligado à rede pode enviar um RPReply espontâneo Vantagens do Roteamento IP! Tabelas de roteamento com menos entradas! tualização das entradas pode ser feita entre os roteadores e não requer muitas mensagens! Nem todo roteador precisa ter todos os possíveis prefixos (# possíveis prefixos de rede em IPv4: ±4 milhões) # Portanto, roteamento baseado em prefixos garante a sua escalabilidade Markus Endler, alterado com autorização do mesmo 11 Markus Endler, alterado com autorização do mesmo 12 2

3 Problemas ligados a mobilidade Nós na internet são identificados por um endereço IP " Roteamento é feito usando o mesmo endereço IP (identidade = localização) Possibilidades:! Nó tem que mudar o seu endereço IP a cada vez que se conecta a um novo ponto de acesso " Requer que protocolos de camadas superiores tenham que tratar esta mudança! Rotas específicas para cada host precisariam ser propagadas pela rede " Tornaria tabelas de roteamento imensas # não é escalável Markus Endler, alterado com autorização do mesmo 13 Roteamento IP e Mobilidade Por que roteamento IP não funciona para hosts móveis?! irá se conectar a diferentes sub-redes! Roteamento IP é baseado no prefixo, que depende da localização do host Por que o não troca de IP cada vez que se conecta à rede?! utenticação e protocolos de camadas superiores requerem que mantenha um endereço IP fixo Mobilidade de hosts vai contra a principal regra do roteamento IP: as IP são encaminhados na direção dos roteadores que anunciam a presença do prefixo de rede do endereço destino Markus Endler, alterado com autorização do mesmo 14 Exemplo O que acontece se um com pref1 se conecta a uma sub-rede com pref * R1 Target Leng nexthop Interface direct direct C R2 C R3 C C * Markus Endler, alterado com autorização do mesmo 15 R2 R * * Possíveis lternativas Tratamento no nível de enlace (transparente para o nível de rede)! Cellular Digital Packet Data CDPD " Serviço IP baseado no MPS (advanced mobile phone services) " Cada dispositivo recebe um IP fixo, e entrega de datagramas IP é feita pela operadora celular " só na área de cobertura " Tarifação por pacote (sempre ligado) " Dispositivo precisa ser CDPD compatível Markus Endler, alterado com autorização do mesmo 16 Possíveis lternativas 2. IEEE " Usa endereço MC e SSIDs (service self identifier) para identificar nós e redes " Hand-off inter-bss (basic service set) transfere controle de um ponto de acesso para outro (Mobilidade no nível MC) " Para funcionar entre subredes, precisa handover inter-ess (extended service set) Para ser amplamente utilizável, mobilidade e roteamento precisam ser tratados no nível de rede! Markus Endler, alterado com autorização do mesmo 17 IP Móvel: Requisitos de Projeto Um deve: " ser capaz de se comunicar com outros nós independente de seu ponto de acesso, mas sem modificar o seu endereço IP " ser capaz de se comunicar com outros nós que não implementem IP Móvel " usar autenticação para evitar ataques de redirecionamento! IP Móvel deve gerar pouco overhead (# economia de largura de banda e energia)! IP Móvel não deve impor restrições adicionais para a atribuição de endereços IP! Deve poder ser colocado em ação on the fly Markus Endler, alterado com autorização do mesmo 18 3

4 Terminologia! Nó móvel (ou ):: um host ou roteador que muda o seu ponto de acesso (point of attachement), mas interage com os demais nós usando o seu endereço IP fixo! Home gent ():: um roteador na rede home (home network) do que reencaminha datagramas (tunel) para o quando este está conectado em outra rede! Foreign gent (F):: um roteador na rede visitada pelo (visited network) que provê os serviços de entrega de datagramas enquanto o está registrado Markus Endler, alterado com autorização do mesmo 19 Terminologia! Care-of-address (coa): um novo endereço IP recebido pelo na rede visitada, que é usado para entregar datagramas ao. Pode ser " o endereço IP do F " um endereço IP do próprio (co-located) Portanto, cada tem 2 endereços: " IP fixo: para identificação, e entrega quando estiver na home network " Coa: endereço IP no máximo a 1 hop do, para roteamento quando estiver em visita a uma rede Markus Endler, alterado com autorização do mesmo 20 Funcionamento Básico Home gent () Home Network Source Internet Visited Network Foreign gent (F) Overview do Protocolo! núncio de lcançabilidade (dvertisement): " gentes de Mobilidade ( e F) devem anunciar os seus serviços " Um pode solicitar o serviço de um agente de mobilidade! Registro (Binding): " Quando um está em uma rede visitada, deve registrar o seu coa junto ao seu! Entrega de as (Tunelamento): " encaminhados do para o F, para que este os entregue ao care-of-address " mecanismo deve contemplar todos os tipos de datagramas $ (incluindo broadcast/multicast) " para isto, cria-se um túnel Markus Endler, alterado com autorização do mesmo 21 Markus Endler, alterado com autorização do mesmo 22 núncio e Solicitação! daptou-se o protocolo ICMP (para descoberta de roteadores) para os agentes de mobilidade! Roteadores difundem periodicamente (a cada n segundos) núncios de lcançabilidade (gent dvertisements - ) em todas as subredes das quais fazem parte é um pacote ICMP indicando: Endereços coa disponíveis Validade (lifetime) Se é ou F (ou ambos)! Um também pode enviar uma msg de solicitação, que fará com que roteadores próximos difundam! obtém um coa (do F, por DHCP, ou manual) Markus Endler, alterado com autorização do mesmo 23 Registro (Binding)! solicita ao F que envie uma mensagem RegistrationRequest (RegRequest) anunciando o coa para o " F pode negar, se coa apresentado não corresponde a um anunciado, ou se já está tratando muitos s! o receber do F um coa (de um ), o cria uma nova entrada (binding) em uma tabela que associa o home address com o coa do ; confirma a atualização do binding com uma mensagem RegistrationReply! Cada binding tem um tempo de validade, que precisa ser renovado pelo! Quando volta para o home network, deve-se deregistrar (remover o binding) Markus Endler, alterado com autorização do mesmo 24 4

5 Registro (cont.) RegRequest RegReply F RegRequest RegReply F oferece o serviço de redirecionamento, que inclui o registro do coa no gera RegRequest nas seguintes situações: " Se detecta que está em nova rede " Para renovar a validade do(s) seu(s) binding(s) " Quando F tiver sido re-inicializado Markus Endler, alterado com autorização do mesmo 25 Mh1, coa Registro (cont.) Estrutura das mensagens Registration Request&Reply: UDP header MobileIP header Mobile uthentication Extension Campos/Bits do Mobile IP header:! S: criar/remover um binding sem alterar os demais bindings! B: envio tipo broadcast! D: de-tunelamento no ou no F! M/G: Encapsulamento Minimal/ GRE! Home address do! Endereço do! Care-of-address! ID do Request! Lifetime: solicitação de quanto tempo o binding deve durar (no Request) e quanto tempo o irá manter o binding (no Reply)! Code: se o registro teve sucesso (no Reply) uthentication Extension é usada para a ssinatura Digital Markus Endler, alterado com autorização do mesmo 26 Registro (cont.) Papel de cada elemento no protocolo de registro:! : " envia o RegRequest para o endereço MC do F Descobre este através dos! F: " Verifica se Lifetime está OK, se é capaz de prover tunelamento requisitado, se existem recursos suficientes, etc. " tualiza o seu RPCache com [ha, MCddr, porta]! : " Verifica autenticidade do RegRequest " tualiza a tabela de bindings, de acordo com os campos coa, Lifetime, e bit S Markus Endler, alterado com autorização do mesmo 27 Registro Campos do RegRequest Coa Lifetime bit S Efeito ha >0 0 atualiza todos os bindings pelo coa ha >0 1 apenas cria um novo binding ha 0 1 remove binding do coa, deixa demais inalterados =ha 0? remove todos os bindings do =ha >0? notificação de Erro Obs: Quando o retorna para o home network, o RegRequest vem com (coa=ha, e Lifetime=0), de forma que todos os bindings devem ser removidos Markus Endler, alterado com autorização do mesmo 28 Registro e Segurança Hashing Seguro e MD5! Para evitar ataques de redirecionamento (datagramas são direcionados para um host como se fosse o F) e devem ter uma chave secreta comum " Esta define uma associação de segurança entre os dois nós " usa esta chave para autenticar o pedido de redirecionamento " isto não é cifragem do canal (criptografia)! Por isto, cada RegistrationRequest contém um digest (com uma assinatura digital da mensagem),! em Mobile IP usa-se Hashing Seguro Keyed MD5! Uma função de hashing seguro é uma codificação unidirecional de um documento para um determinado valor de hash.! Usando a chave, pode-se gerar repetidamente o valor de hash a partir do documento (valor não revela nada sobre o documento)! Chave garante baixa probabilidade de colisão " MD5 (128 bit hash value) " S-1 " RIPEMD-160 doc1 doc2 chave MD5 hash1 hash2 Markus Endler, alterado com autorização do mesmo 29 Markus Endler, alterado com autorização do mesmo 30 5

6 ssinaturas Digitais! Uma assinatura digital é uma maneira de assinar um documento de forma que o receptor e remetente sabem que : " só o fonte autêntica poderia ter gerado a assinatura " o conteúdo da mensagem não pode ter sido alterada! Obs: Note que a mensagem não é criptografada Message MD5 md5 Fonte assina md5 Destino compara md5 encrypt MD5 decrypt Message smd5 Message smd5 Markus Endler, alterado com autorização do mesmo 31 utenticação de RegistrationRequest! IP Móvel usa autenticação baseada em chave privada Troca de Chaves md5 key Compara key key ip md5 Markus Endler, alterado com autorização do mesmo 32 M D 5 key Entrega de as lternativas! Uma vez que o criou um binding no, datagramas devem ser entregues ao coa! lgumas alternativas para a entrega: " Fazer com que host fonte redirecione datagramas (source routing) " Reencaminhamento com eventual source routing " Usar túneis de redirecionamento (entre e F)! Outras Opções: " contacta host fonte com novo endereço " Uso de túneis reversos Source Fluxo de as Notificação de novo endereço F Node Markus Endler, alterado com autorização do mesmo 33 Markus Endler, alterado com autorização do mesmo 34 Tunelamento Básico! intercepta datagramas para (como um RP proxy)! Encapsula o datagrama original como payload de um datagrama IP endereçado ao coa! o receber um datagrama tunelado, F desempacota e entrega o datagrama original para o! Os endereços IP do e o coa são chamados de Tunnel Endpoints Tunelamento Existem várias alternativas para o tunelamento: " Encapsulamento IP em IP " Encapsulamento Minimal " GRE: Generic Routing Encapsulation " PPTP: Point to Point Tunnel Protocol [RFC2637] " L2TP: Layer 2 Tunneling Protocol [RFC2661] Markus Endler, alterado com autorização do mesmo 35 Markus Endler, alterado com autorização do mesmo 36 6

7 Tunelamento IP em IP Encapsulamento IP em IP Tunnel Endpoints IP Header Header IP-in-IP Endpoints IP Header OPTS Inner IP Header Header encapsulado Fonte & destino originais Markus Endler, alterado com autorização do mesmo 37 Markus Endler, alterado com autorização do mesmo 38 Encapsulamento IP em IP! Header externo é do IPv4 e ocupa 20 bytes! O end. fonte e destino do header interno não são modificados pelo encapsulador e (identificam os hosts fonte/destino originais)! Outros headers externos podem ser adicionados (para fins de autenticação)! lguns campos são copiados do header interno para o externo; outros campos são re-calculados (p.ex. Checksum, length, etc.) de acordo com as características do novo datagrama. Encapsulamento Minimal Motivação: evitar a duplicação de dados nos headers internos e externos Tunnel Endpoints IP Header Dest IP ddress Outer IP Header Minimal Header Markus Endler, alterado com autorização do mesmo 39 Markus Endler, alterado com autorização do mesmo 40 Encapsulamento Minimal Procedimento básico: " Copia header interno " tualiza campo Protocol%55 (Minimal Encapsulation) " Dest.ddr % TunnelExitddr " Se encapsulador for diferente da fonte, substitui Source.ddr % TunnelEntryddr " Incrementa TotalLength com o tamanho do " Re-calcula checksum Markus Endler, alterado com autorização do mesmo 41 Generic Routing Encapsulation! Formato genérico para encapsular datagramas de protocolo X como payload de protocolo Y (X,Y protocolos de rede)! Para cada protocolo X define-se: " Encapsulamento de datagrama X em datagrama GRE " Encapsulamento de datagrama GRE em datagrama de X! Formato genérico permite rotear qualquer protocolo sobre IP. Exemplos: IP, ppletalk, IPX, etc.! GRE é implementado como funcionalidade adicional em diversos roteadores Markus Endler, alterado com autorização do mesmo 42 7

8 Generic Routing Encapsulation HeaderGRE HeaderX HeaderY HeaderGRE PayloadX Markus Endler, alterado com autorização do mesmo 43 Como sabe que migrou?! Método 1: " Cada contém campo validade=t " cada T/3, gentes de Mobilidade ( e F) difundem um " Se não recebeu nos últimos períodos de tempo T, então sabe que está desconectado! Método 2: " compara o prefixo de rede do coa corrente com o prefixo de rede do : se for diferente, sabe que se conectou a uma nova rede Obs: podem existir vários Fs servindo uma subrede Se prefixo permanecer igual, não precisa solicitar novo coa. Markus Endler, alterado com autorização do mesmo 44 Como sabe que migrou? Como detectar migração entre duas subredes?! Monitorar progresso das conexões TCP Se estiver sem progresso, isto indica desconexão! Mudar interface wireless para modo promíscuo, onde pode monitorar todos os datagramas IP trafegando Se o prefixo de rede de um datagrama for diferente do prefixo do coa, sabe que está em outra rede O Papel do RP! Quando um está em uma rede visitada, o passa a ser o RPProxy para receber mensagens destinadas ao! Quando um deixa a rede home, usa RPReply para atualizar todos os RPCaches na subrede! Quando um volta para a rede home, usa RPReply para atrair datagramas para si! Quando um está em uma rede visitada, não consegue transmitir qualquer RPRequest ou RPReply # Todo o tráfego na rede visitada para o também é re-direcionada pelo e F Markus Endler, alterado com autorização do mesmo 45 Markus Endler, alterado com autorização do mesmo 46 Otimização de Rotas Ideia Central:! Fazer com que o roteamento indireto (através do ) tenha como efeito colateral uma atualização do binding (Binding Update) no Cache do host fonte! bordagem do IP Móvel: " Tolerar inconsistências " Fazer atualizações somente por demanda " Criar um mecanismo para avisar quando um binding está obsoleto " será o elemento autorizado a fazer as atualizações ( representa ) Otimização de Rotas...Consiste de duas partes:! Binding Update: tualização do Cache de Bindings (CB) nos hosts fonte;! Handover Suave entre Fs (opcional) Markus Endler, alterado com autorização do mesmo 47 Markus Endler, alterado com autorização do mesmo 48 8

9 Binding Update Binding Update! Em resposta ao recebimento de um datagrama de F para o ausente (na rede visitada), ou um BindingWarning de um F, o envia uma mensagem para atualizar o binding no CB de F Home gent () Home Network F Internet Visited Network Markus Endler, alterado com autorização do mesmo 49 Foreign gent (F) Requer uma associação de segurança entre e F " F precisa ser capaz de autenticar o BindingUpdate Solução: Gerenciamento ssimétrico de Chaves " assina BU com sua chave privada (criptografia assimétrica tipo RS) " F usa chave pública de para reconstruir o texto cifrado. Se conseguir, saberá que só poderia ter cifrado o BU Binding Updates não são confirmados Markus Endler, alterado com autorização do mesmo 50 Binding Warning Handover Suave BW é uma mensagem F :! Em resposta a um datagrama tunelado para um que já não está mais presente, o F envia ao um BindingWarning (para que este esteja ciente de que o coa está desatualizado)! Este datagrama foi perdido &! Espera-se que o logo atualize o seu coa no! Binding Warning também não é confirmado, pois não afeta o roteamento IP Objetivo: " Minimizar a quantidade de datagramas IP perdidos devido a migração de hosts (isto é, de coas desatualizados) Dois cenários: " acabou de tunelar um datagrama IP para um coa obsoleto " F tem uma entrada obsoleta do binding em seu Cache, e tunela o datagrama para o coa antigo Markus Endler, alterado com autorização do mesmo 51 Markus Endler, alterado com autorização do mesmo 52 Handover Suave Ideia Central:! pós migrar para uma nova rede, o RegRequest requisitado por um ao novo F causa o envio de um BindingUpdate ao F anterior " O F anterior cria um forwarding pointer para o novo F,... "... e pode liberar recursos previamente alocados para servir o Obs: Handover Suave é uma solicitação especial do RegRequest ao F atual, que pode ou não prover esta funcionalidade Markus Endler, alterado com autorização do mesmo 53 Handover Suave RegRequest+ RegReply BU-ck BU-ck F ant. F novo BindingUpdate RegRequest RegReply! RegRequest+ é a solicitação com pedido de Handover Suave.! F que é capaz de prover Handover Suave anuncia isto através de um estendido! Se não receber o BU-ck, poderá pedir repetidas vezes. Markus Endler, alterado com autorização do mesmo 54 9

10 Handover Suave & Segurança! autenticidade do BU precisa ser garantida, pois senão poderia haver redirecionamento malicioso de datagramas! F anterior precisa saber que de fato solicitou o BU #Faz-se necessária uma associação de segurança entre o e cada F! Cada vez que o se conecta a um F, cria-se uma chave secreta temporária compartilhada entre o e F (p.ex. baseada no MC-ddr do, BSS-ID/ESS-ID em )! Usando esta chave, F anterior consegue autenticar o BU (de ) sem que F novo possa interferir Markus Endler, alterado com autorização do mesmo 55 Handover Suave RegRequest+ F ant. F novo Warning RegRequest Update lternativas de Encaminhamento se F tem binding obsoleto:! Se F anterior tem ponteiro para F novo, redireciona diretamente para F novo! Senão, apenas avisa de que não está mais alcançável! F para, que encaminha para F novo Markus Endler, alterado com autorização do mesmo 56 F Suporte à Mobilidade em IPv6! IPv6 incorpora várias ideias & conceitos do IP Móvel para roteamento e gerenciamento de mobilidade, tais como Otimização de Rota, Binding Updates, etc.! IPv6 provê três tipos diferentes de endereços: " Unicast único destino " Multicast vários destinos " nycast vários possíveis destinos Suporte à Mobilidade em IPv6 Principais diferenças com relação ao IP Móvel: " quando migra de uma rede para outra, o pode manter o seu endereço IP (usado também para roteamento) " Toda vez que migra, causa também a atualização do binding no nó correspondente (F) " Um pode ter vários Home gents Markus Endler, alterado com autorização do mesmo 57 Markus Endler, alterado com autorização do mesmo 58 Suporte à Mobilidade em IPv6! Principais Diferenças (cont.): " Não há mais necessidade de usar um F; o próprio detecta em que rede está através das facilidades de descoberta de vizinhos e autoconfiguração do IPv6 " Os s também usam descoberta de vizinhos (em vez de RP), para interceptar datagramas para o " uso de Ipsec (IP Security) para todos os aspectos: autenticação, cheque de integridade, e replay protection) " em vez de encapsulamento de datagramas para s em redes visitadas, usa-se um header IPv6 Markus Endler, alterado com autorização do mesmo 59 10