Endereçamento IP, Sub-redes e Roteamento

Transcrição

1 Segurança em Redes Prof. Rafael R. Obelheiro Semestre: Endereçamento IP, Sub-redes e Roteamento Endereçamento IP Endereços IP possuem 32 bits, o que possibilita 2 32 = endereços Na prática, uma boa parte desse espaço de endereçamento é desperdiçada Um endereço é normalmente representado em base decimal, usando a notação quaternária (dotted-quad) cada um dos quatro bytes que compõem o endereço é representado por um número decimal de 0 a 255, e os números são separados por pontos. Por exemplo, o endereço é representado na notação quaternária como : Endereço binário: Endereço decimal: Um endereço IP normalmente tem duas porções, um endereço de rede e um endereço de host: n bits endereço de rede 32 n bits endereço de host A divisão (quantos bits são usados para rede e quantos são usados para host) depende de cada rede; no total, a soma deve ser sempre 32 Originalmente, o espaço de endereçamento IP foi dividido em cinco classes: classe estrutura do endereço endereços iniciais e finais (binário) repres. decimal A 0nnnnnnn hhhhhhhh hhhhhhhh hhhhhhhh (7 bits de rede, 24 bits de host) B 10nnnnnn nnnnnnnn hhhhhhhh hhhhhhhh (14 bits de rede, 16 bits de host) C 110nnnnn nnnnnnnn nnnnnnnn hhhhhhhh (21 bits de rede, 8 bits de host) D 1110bbbb bbbbbbbb bbbbbbbb bbbbbbbb (endereços de multicast) E 1111bbbb bbbbbbbb bbbbbbbb bbbbbbbb (endereços reservados) Na estrutura do endereço, n indica bits de rede, h indica bits de host e b indica bits que não são nem de rede nem de host. Os bits iniciais determinam a qual classe pertence cada endereço A divisão de bits entre rede e host determina quantas redes podem existir em cada classe, e quantos hosts podem existir em cada rede 1

2 Endereçamento IP, Sub-redes e Roteamento 2 Classe Bits iniciais Bits de rede / N o de redes Bits de host / N o de hosts A 0 7 / / B / / C / / 256 D 1110 multicast E 1111 reservado Exemplos de endereços IP no esquema de classes: O endereço é um classe A com endereço de rede 10 e endereço de host a rede 10 vai de a ( endereços) O endereço é um classe B com endereço de rede e endereço de host a rede vai de a ( endereços) O endereço é um classe C com endereço de rede e endereço de host 132 a rede vai de a (256 endereços) Em cada rede, dois endereços de hosts são reservados: endereço de rede endereço inicial (todos os bits de host em 0) endereço de broadcast endereço final (todos os bits de host em 1) Existem também vários blocos de endereços reservados rede 0: rota default ( ) rede 10: RFC 1918 rede 127: loopback redes a : RFC 1918 redes *: RFC 1918 rede : exemplos Um endereço IP possui uma máscara de rede, que é determinada pela classe do endereço: Para um endereço classe C, a máscara default (ou natural) tem os 24 bits iniciais ligados Para um endereço classe B, a máscara default tem os 16 bits iniciais ligados Para um endereço classe A, a máscara default tem os 8 bits iniciais ligados Os bits iniciais ligados da máscara determinam quais bits pertencem ao endereço de rede: endereço IP AND máscara = endereço de rede onde AND é a operação de conjunção (E lógico).

3 Endereçamento IP, Sub-redes e Roteamento 3 Sub-redes As classes de endereços possuem uma certa inflexibilidade Muitas redes precisam de uma quantidade de endereços bem menor do que o tamanho da classe classe C com 2 hosts: 0,79% (= 2/254) dos endereços são aproveitados classe B com 256 hosts: 0,39% (= 256/65534) dos endereços são aproveitados Em muitos casos uma mesma organização possui várias redes internas que precisam ser roteadas separadamente A solução para isso foi subdividir a faixa de endereços de uma rede em um número de subredes Em vez de considerar um endereço IP como sendo um endereço de rede e um endereço de host, a porção correspondente ao endereço de host é dividida em um endereço de sub-rede e um endereço de host: n bits endereço de rede 32 n bits endereço de host n bits s bits 32 (n + s) bits endereço de rede endereço de sub-rede endereço de host Os bits correspondentes ao endereço de sub-rede são acrescentados à máscara de rede para formar a máscara de sub-rede ou máscara estendida A quantidade de sub-redes é dada por 2 s, sendo s o número de bits do endereço de subrede De modo genérico, uma rede com máscara de n bits é dividida em 2 s sub-redes com máscara de n + s bits. Exemplos: Uma rede classe C (máscara de 24 bits) pode ser dividida em, por exemplo, 2 sub-redes com máscara de 25 bits ( ) 2 = 2 1, 25 = ; 4 sub-redes com máscara de 26 bits ( ) 4 = 2 2, 26 = ; 32 sub-redes com máscara de 29 bits ( ) 32 = 2 5, 29 = Uma rede classe B (máscara de 16 bits) pode ser dividida em, por exemplo, 8 sub-redes com máscara de 19 bits ( ) 8 = 2 3, 19 = ; 256 sub-redes com máscara de 24 bits ( ) 256 = 2 8, 24 = Por conseqüência, o número de sub-redes tem de ser uma potência de 2 (2, 4, 8, 16,... ) Para um dado bloco, quanto mais sub-redes houver, menos hosts haverá em cada uma As sub-redes só são visíveis dentro da rede que as define; redes externas continuam enxergando o bloco original As razões para usar sub-redes podem ser Topológicas Contornar limitações da rede física tamanho máximo do segmento Ethernet, por exemplo Interligar redes físicas distintas Reduzir ou isolar tráfego se alguns hosts trocam muito tráfego entre si, eles podem ser colocados em uma sub-rede separada para diminuir o impacto sobre os demais hosts, por exemplo

4 Endereçamento IP, Sub-redes e Roteamento 4 Administrativas Facilitar a administração da rede delegação da responsabilidade sobre cada subrede Refletir a estrutura organizacional cada departamento tem sua própria sub-rede, por exemplo Segregar ou isolar tráfego colocar o departamento financeiro em uma sub-rede separada para dificultar possíveis vazamentos de informação, por exemplo Isolar segmentos ou usuários problemáticos laboratórios de ensino ou pesquisa que podem comprometer a estabilidade da rede, por exemplo CIDR O esquema de endereçamento IP com classes ameaçou esgotar os endereços disponíveis (especialmente da classe B) Além disso, as tabelas de roteamento estavam ficando muito grandes devido à forma como os blocos de endereços eram alocados (seqüencialmente) A solução foi mudar a forma de alocação (que passou a ser hierárquica) e flexibilizar as classes de endereços, que deixaram de ser fixas (CIDR, Classless Inter-Domain Routing) Cada provedor recebe um grande bloco contínuo de endereços, que é subdividido entre seus clientes Permite a agregação de rotas A porção de rede de um endereço IP passa a ser determinada não mais pela sua classe mas pela sua máscara: endereço IP AND máscara = endereço de rede onde AND é a operação de conjunção (E lógico). No CIDR, qualquer máscara pode ser aplicada a qualquer endereço IP Em vez de especificar um bloco de endereços usando o endereço de rede e a máscara na notação quaternária, é possível usar a notação abreviada endereço/prefixo, onde endereço é o endereço de rede e prefixo é o número de bits ligados da máscara. Exemplos: Bloco Faixa de endereços Máscara / /8 ou 10/ / /

5 Endereçamento IP, Sub-redes e Roteamento 5 Caracterizando um bloco CIDR Suponhamos que desejamos caracterizar o bloco CIDR /24, ou seja, determinar os parâmetros desse bloco: máscara de rede, endereço de rede, endereço de broadcast e a faixa de endereços válidos. Os passos a serem seguidos para esta caracterização são os seguintes: 1. Exprimir o endereço de rede em binário: Isso será importante para determinar o endereço de broadcast. 2. Exprimir a máscara de rede em binário. No caso, o /24 nos diz que os 24 bits iniciais são ligados, e os demais desligados. Portanto, a máscara desta rede é dada por: 24 bits ligados Uma vez determinado o endereço de rede, é possível determinar o endereço de broadcast. Para isso, basta pegar o endereço de rede e ligar todos os bits correspondentes ao endereço de host; o endereço resultante é o endereço de broadcast. No exemplo dado, como 24 bits iniciais são usados para o endereço de rede (de acordo com a máscara), sobram os últimos 8 bits para o endereço de host; ligando esses bits, obtemos então o endereço de broadcast: 24 bits de rede 8 bits de host Como o endereço de rede e o endereço de broadcast são reservados, o número de endereços válidos em um bloco é dado por 2 h 2, onde h é o número de bits de host. No exemplo dado, h = 8, e o número de endereços válidos é = = 254 endereços (de até ). 5. Em resumo, o bloco CIDR /24 pode ser caracterizado da seguinte forma: Máscara: Endereço de rede: Endereço de broadcast: Faixa de end. válidos: (254 endereços)

6 Endereçamento IP, Sub-redes e Roteamento 6 Um segundo exemplo é a caracterização do bloco CIDR /19: 1. Obtendo o endereço de rede: 2. Obtendo a máscara de rede: 3. Obtendo o endereço de broadcast: bits de rede 13 bits de host Obtendo o número de endereços válidos: h = = = endereços (de a ). 5. Em resumo: Máscara: Endereço de rede: Endereço de broadcast: Faixa de end. válidos: (8.190 endereços)

7 Endereçamento IP, Sub-redes e Roteamento 7 Dividindo um Bloco de Endereços em Sub-redes A divisão de um bloco de endereços em sub-redes requer os seguintes passos: 1. Determinar o número de bits de sub-rede necessários para o número de sub-redes desejadas; 2. Obter a máscara de sub-rede correspondente; 3. Obter os dados dos blocos correspondentes a cada sub-rede. Esse processo será demonstrado através de um exemplo: dividir a rede /24 em quatro sub-redes. 1. Para obter quatro sub-redes, são necessários 2 bits de sub-rede (pois 2 2 = 4). 2. A máscara de sub-rede é obtida somando os 2 bits determinados no item anterior aos 24 bits já existentes na máscara de rede (/24); portanto, a máscara de sub-rede é /26, ou : Os bits em negrito no quarto byte representam os bits do endereço de sub-rede. 3. Os dois bits de sub-rede podem representar quatro valores: 00, 01, 10 e 11. Esses valores correspondem aos endereços da primeira (00), da segunda (01), da terceira (10) e da quarta (11) sub-redes. Para obter os parâmetros dos blocos de endereços correspondentes a cada uma dessas subredes, basta variar os bits de sub-rede de acordo com as combinações possíveis e usar o método de caracterização de um bloco CIDR (pág. 5) para cada um dos endereços de sub-rede (usando a máscara de sub-rede obtida acima). Uma exceção é feita para a obtenção do endereço inicial (de sub-rede) do primeiro bloco, que usa a máscara de rede (sem os bits de sub-rede) para garantir que a primeira sub-rede coincida com o início do bloco original. Então, para a primeira sub-rede: (a) Obtendo o endereço de rede: Endereço: = (b) Obtendo o endereço de broadcast: Para a segunda sub-rede: 26 bits de rede+sub-rede 6b de host (a) A segunda sub-rede utiliza um endereço de rede similar ao da primeira, mas com os bits de sub-rede em 01: Endereço: = (b) Obtendo o endereço de broadcast: 26 bits de rede+sub-rede 6b de host

8 Endereçamento IP, Sub-redes e Roteamento 8 Para a terceira sub-rede: (a) A terceira sub-rede utiliza um endereço de rede similar ao da primeira, mas com os bits de sub-rede em 10: Endereço: = (b) Obtendo o endereço de broadcast: Para a quarta sub-rede: 26 bits de rede+sub-rede 6b de host (a) A quarta sub-rede utiliza um endereço de rede similar ao da primeira, mas com os bits de sub-rede em 11: Endereço: = (b) Obtendo o endereço de broadcast: 26 bits de rede+sub-rede 6b de host Portanto, ao dividirmos o bloco /24 em quatro sub-redes, obtemos os seguintes blocos: Máscara Sub-rede End. sub-rede End. broadcast Faixa end. válidos /26 1 (00) (01) (10) (11) O número de endereços válidos em cada sub-rede é = 64 2 = 62 endereços.

9 Endereçamento IP, Sub-redes e Roteamento 9 Um segundo exemplo é a divisão de /15 em 8 sub-redes: 1. Para dividir o bloco em 8 sub-redes, são necessários 3 bits de sub-rede (2 3 = 8). 2. A máscara de sub-rede é /18, ou : O endereço da primeira sub-rede é o próprio endereço inicial do bloco (os bits em negrito são os bits de sub-rede): Endereço: = O broadcast é calculado em cima do endereço de sub-rede obtido: 18 bits de rede+sub-rede 14 bits de host Repetindo o procedimento para as outras 7 sub-redes, chegamos aos seguintes blocos: Máscara Sub-rede End. sub-rede End. broadcast Faixa end. válidos /18 1 (000) (001) (010) (011) (100) (101) (110) (111) O número de endereços válidos em cada sub-rede é = = endereços.

10 Endereçamento IP, Sub-redes e Roteamento 10 Roteamento IP Cada nó possui uma tabela de roteamento que é consultada a cada vez que um datagrama precisa ser enviado Quando a camada IP recebe um datagrama de uma interface de rede, ela verifica se o endereço de destino é um dos seus próprios endereços ou um endereço de broadcast Se for, o datagrama é entregue ao módulo correspondente ao protocolo indicado no cabeçalho IP (TCP, UDP, ICMP,... ) Se não for: 1. Se o nó age como um roteador, o datagrama é encaminhado (i.e., tratado como um datagrama a ser transmitido para o destino) 2. Caso contrário, o datagrama é descartado (silenciosamente) Cada entrada na tabela de roteamento contém as seguintes informações: Endereço IP de destino: pode ser um endereço de host ou um endereço de rede, com uma máscara associada; Endereço IP do próximo hop (salto): o próximo hop é para onde pacotes endereçados ao destino devem ser enviados; Flags: indicam, entre outras coisas, se o endereço de destino refere-se a um host ou uma rede, e se o endereço de próximo hop refere-se a um roteador ou a uma rede diretamente conectada; Interface de saída: por qual interface de rede os datagramas para este destino devem ser transmitidos. A tabela de roteamento não tem rotas completas para todos os destinos, só o endereço do roteador mais próximo de cada destino. O roteamento procede da seguinte forma: 1. Se existir uma rota para o host de destino, o datagrama é enviado para o roteador no próximo hop ou para a rede localmente conectada, dependendo do valor das flags caso típico de enlaces ponto a ponto 2. Se existir uma rota para a rede de destino, o datagrama é enviado para o roteador no próximo hop ou para a rede localmente conectada, dependendo do valor das flags caso típico de enlaces multiponto, como Ethernet Neste caso, a máscara de sub-rede entra em consideração. 3. Se existir uma rota default, o datagrama é enviado para o roteador indicado. 4. Caso contrário, o datagrama é descartado, e uma mensagem ICMP indicando o erro é normalmente enviada ao endereço IP de origem.

11 Endereçamento IP, Sub-redes e Roteamento 11 Seja a rede mostrada na figura abaixo: Exemplos de Tabelas de Rotas Rede /20 Internet Ethernet Wi Fi / /26 srv rot mov1 mov2 est rot mov est GigEthernet /26 Ethernet /26 srv rot Ethernet / rot srv srv prt1 est3 est4 est5 A tabela de rotas para a estação est1 é a seguinte: Endereço de destino Próximo salto Interface / eth0 default eth0 A primeira rota é para a sub-rede local, diretamente conectada através de um enlace Ethernet; por convenção, o endereço do gateway é o endereço da própria est1 nesta sub-rede. A interface Ethernet do host é representada, no último campo, por eth0. A segunda rota é a rota default: quando nenhuma rota mais específica for encontrada, os datagramas devem ser enviados (pela interface eth0) para o roteador rot1 ( ), que se encarregará de fazer com o que eles cheguem até seu destino. ATENÇÃO: a interface contida na tabela de rotas é a interface de saída da rota (i.e., a interface por onde os pacotes para o destino especificado são transmitidos), e não a interface de entrada do roteador usado como gateway (mesmo porque uma estação não tem como saber em qual interface do roteador está conectada).

12 Endereçamento IP, Sub-redes e Roteamento 12 A tabela de rotas para o roteador rot1 é a seguinte: Endereço de destino Próximo salto Interface / eth / eth / eth / eth2 default eth2 A primeira e a segunda rotas são para as sub-redes localmente conectadas. É importante notar que o endereço de próximo hop nos dois casos é o endereço da interface do próprio rot1 em cada uma dessas sub-redes, e que cada rota usa uma interface de saída diferente. A terceira e a quarta rotas são rotas para sub-redes acessíveis por outros roteadores. É interessante observar que, neste caso, a sub-rede /26 (rede Wi-Fi) não precisa de uma rota específica, pois o roteador que dá acesso a ela é o mesmo da rota default (quinta rota na tabela). Para atribuição das interfaces do roteador, usou-se a seguinte convenção: eth0 eth3 eth1 eth2

13 Endereçamento IP, Sub-redes e Roteamento 13 NAT A escassez de endereços IP levou ao desenvolvimento de um mecanismo chamado NAT (Network Address Translation) A premissa básica do NAT é que hosts não precisam ter endereços públicos, eles podem ter endereços privados Endereços privados não precisam ser únicos na rede como um todo, mas apenas na rede local A RFC 1918 define as seguintes redes para atribuição de endereços privados: 10/8, /19 e /16 Endereços privados podem ser livremente alocados pelo administrador de uma determinada rede Quando um host com endereço privado precisa se comunicar com o exterior, ele faz isso através de um NAT box Internet rot rot3 atua como NAT box, traduzindo os endereços da rede interna para prt1 est3 est4 est5 Rede privada /24 O NAT box possui um endereço IP público (geralmente chamado IP válido), que é único na Internet e alocado da forma usual O NAT box realiza a tradução entre o endereço válido e os endereços privados, modificando o cabeçalho dos pacotes na transmissão e na recepção Externamente, os pacotes originados pelo host com endereço privado têm como endereço IP de origem o IP válido do NAT box Para saber qual endereço privado usar, ele mantém uma tabela que associa os hosts internos aos endereços externos que eles acessaram Dificuldades: Em geral, não é possível estabelecer conexões de fora para dentro de uma rede com NAT Diversos protocolos de camadas superiores (transporte ou aplicação) carregam o endereço IP do host no seu conteúdo, o que causa problemas em muitas aplicações