Arquitectura de Redes

Transcrição

1 Arquitectura de Redes Network Address Translation NAT Arq. de Redes - Pedro Brandão /06 1 Objectivo / Motivação Escassez de endereços IPs Pequenas / médias empresas com ligação ADSL, cabo querem IPs para as suas máquinas (também utilizadores domésticos). Cada um pode ter mais do que uma máquina por trás. Vantagens: Utilização de endereços privados nas Intranets Possibilidade de fusão entre redes com endereços duplicados Facilidade de mudança de ISP Melhora a segurança e privacidade RFCs 3022 Traditional IP Network Address Translator (Traditional NAT) 1918 Address Allocation for Private Internets Arq. de Redes - Pedro Brandão /06 2 1

2 Utilização Endereços privados não são permitidos na internet. Routers não fazem routing destes IPs / / / internet / /24 Arq. de Redes - Pedro Brandão /06 3 Exemplo NAT DA: SA: Ver tabela NAT para mapeamento de NAT router DA: SA: internet Endereços disponíveis: a Ver tabela NAT para mapeamento de DA: SA: /24 DA: SA: DA: SA: DA: SA: DA: SA: Arq. de Redes - Pedro Brandão /06 4 2

3 Operações Problema da identificação do pacote no retorno. Manual tabela construída administrativamente Saída de Pacotes criação dinâmica baseada nos pacotes que saem. Entrada de pedidos DNS quando vem um pedido ao DNS ele acrescenta a entrada na tabela NAT. Checksums (IP e TCP) são recalculados e colocados no pacote. Mapeamento 1 para 1. Se a caixa NAT tiver disponível mais do que 1 IP válido, pode-se aumentar o número de máquinas a aceder simultaneamente. Arq. de Redes - Pedro Brandão /06 5 Port Address Translation PAT(ou NAPT) NAT não permite a multiplexagem dos endereços disponíveis. Utilização das portas da camada TCP ou UDP sport e dport definem os processos nos 2 extremos (IP dá a máquina) O novo sport é usado como index para a tradução. Sendo único na caixa NAT. 16 bits (campo TCP port) (portas reservadas) máquinas Arq. de Redes - Pedro Brandão /06 6 3

4 Exemplo NAPT Endereço Privado privada Endereço externo Externa NAT Protocolo tcp tcp DA: :2050 SA: :22 Consultar tabela para porta NAT router Endereços disponíveis: a Acrescentar entrada para porta internet DA: :22 SA: :54053 DA: :22 SA: : /24 DA: :22 SA: :4560 DA: :22 SA: :2050 DA: :54053 SA: :22 Arq. de Redes - Pedro Brandão /06 7 Exemplo NAT para interior Endereço Privado privada Endereço externo Externa NAT Protocolo tcp tcp DA: :22 SA: :6899 Consultar tabela para porta NAT router internet /24 DA: :7022 SA: :6899 Arq. de Redes - Pedro Brandão /06 8 4

5 Notas iptables Caminho do Pacote IP no NetFilter PRE ROUTE FORWARD POS ConnTrack NAT (Dst) IN Filter ROUTE NAT (Src) ConnTrack ConnTrack OUT Chains Tables Filter Local Process ConnTrack NAT (Dst) Arq. de Redes - Pedro Brandão /06 9 Filter Notas iptables II Colocam-se regras nas tabelas especificando a chain em que ficam. Quando um pacote faz um match com uma regra o Target associado a essa regra é efectuado. Targets variam consoante as tabelas que estão a ser consultadas Exemplos: Filter Table: DROP, ACCEPT Nat Table: DNAT, SNAT, MASQUERADE, REDIRECT Podem ser criados novas Chains pelo utilizador, sendo associadas a Targets de regras. Arq. de Redes - Pedro Brandão /

6 Notas iptables III Exemplo: ## Change source addresses to iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to table chain target Arq. de Redes - Pedro Brandão /06 11 Notas Cisco I Global endereços que são vistos na rede externa. Local endereços que são vistos na rede interna. Fonte: CISCO NAT: Local and Global Definitions Arq. de Redes - Pedro Brandão /

7 Notas Cisco II Inside local address endereço IP de uma máquina na rede interna. É o endereço alocado/definido na configuração de rede de um máquina interna. Inside global address endereço IP legítimo que representa um ou mais endereços IPs inside local para o exterior. Outside local address endereço IP de uma máquina exterior como é visto na rede interna, não necessariamente legítimo. É um endereço roteável internamente. Outside global address endereço IP de uma máquina na rede externa que é globalmente roteável. Fonte: CISCO NAT: Local and Global Definitions Arq. de Redes - Pedro Brandão /06 13 Notas Cisco III Inside Local endereço interno à rede que será traduzido. Inside Global endereço IP de um máquina da rede interna como é visto no exterior (após a tradução). Fonte: CISCO IOS NETWORK ADDRESS TRANSLATION Arq. de Redes - Pedro Brandão /

8 Exemplo Cisco I ip nat inside source static Inside Global Inside Local Outside Local Outside Global Fonte: CISCO IOS NETWORK ADDRESS TRANSLATION Arq. de Redes - Pedro Brandão /06 15 Exemplo Cisco II ip nat outside source static Inside Global Inside Local Outside Local Outside Global Fonte: CISCO IOS NETWORK ADDRESS TRANSLATION Arq. de Redes - Pedro Brandão /

9 Exemplo Cisco III ip nat inside source static ip nat outside source static Inside Global Inside Local Outside Local Outside Global Fonte: CISCO IOS NETWORK ADDRESS TRANSLATION Arq. de Redes - Pedro Brandão /06 17 Problemas / Objecções Endereço IP não identifica univocamente uma máquina. Connectionless para connection-oriented: caixas NAT têm de manter a informação sobre as conexões. Caixa NAT modifica a camada IP baseado na assunção da formatação da camada superior (quebra das regras de camadas protocolares). Se a aplicação não usar UDP ou TCP... ICMP complica o NAT, obrigando a que as respostas ICMP sejam alteradas. Aplicações podem enviar nos campos de dados endereços IPs ou portas para a comunicação (FTP envia a porta de dados). Existem módulos extras para o NAT para tratarem destes casos (ip_conntrack_ftp nas iptables Linux) máquinas por IP (4096 portas reservadas) podem ser mapeadas. Serão de menos... Ver RFC 2993 Architectural Implications of NAT Arq. de Redes - Pedro Brandão /