VI Semana de Infraestrutura da Internet no Brasil São Paulo, SP 07/12/16

Transcrição

1

2

3

4 VI Semana de Infraestrutura da Internet no Brasil São Paulo, SP 07/12/16

5 Serviços IPv6 Eduardo Barasal Morales Tiago Jun Nakamura

6 Agenda Autoconfiguração de Endereços Stateless DHCPv6 Prefix Delegation DNS NTP Firewall

7 Motivação

8 Autoconfiguração de Endereços Stateless

9 Autoconfiguração de Endereços Stateless

10 Autoconfiguração de Endereços Stateless Mecanismo que permite a atribuição de endereços unicast aos nós... o sem a necessidade de configurações manuais. o sem servidores adicionais. o apenas com configurações mínimas dos roteadores. Gera endereços IP a partir de informações enviadas pelos roteadores e de dados locais como o endereço MAC. Gera um endereço para cada prefixo informado nas mensagens RA Se não houver roteadores presentes na rede, é gerado apenas um endereço link-local. Roteadores utilizam apenas para gerar endereços linklocal.

11 Autoconfiguração de Endereços Stateless Um endereço link-local é gerado. o Prefixo FE80::/64 + identificador da interface. Endereço adicionado aos grupos multicast solicitednode e all-node. Verifica-se a unicidade do endereço. o Se já estiver sendo utilizado, o processo é interrompido, exigindo uma configuração manual. o Se for considerado único e válido, ele será atribuído à interface. Host envia uma mensagem RS para o grupo multicast all-routers. Todos os roteadores do enlace respondem com mensagem RA.

12 Autoconfiguração de Endereços Stateless

13 Autoconfiguração de Endereços Stateless

14 Laboratório Autoconfiguração de Endereços Stateless Experiência 1.6. Autoconfiguração stateless de endereço: Router Advertisement utilizando radvd Pg. 41

15 DHCPv6

16 DHCPv6

17 DHCPv6 Autoconfiguração de Endereços Stateful o Usado pelo sistema quando nenhum roteador é encontrado. o Usado pelo sistema quando indicado nas mensagens RA. o Fornece: Endereços IPv6 Outros parâmetros (servidores DNS, NTP...) o Clientes utilizam um endereço link-local para transmitir ou receber mensagens DHCP. o Servidores utilizam endereços multicast para receber mensagens dos clientes (FF02::1:2 ou FF05::1:3). o Clientes enviam mensagens a servidores fora de seu enlace utilizando um Relay DHCP.

18 DHCPv6 Autoconfiguração de Endereços Stateful o Permite um controle maior na atribuição de endereços aos host. o Os mecanismos de autoconfiguração de endereços stateful e stateless podem ser utilizados simultaneamente. Por exemplo: utilizar autoconfiguração stateless para atribuir os endereços e DHCPv6 para informar o endereço do servidor DNS. o DHCPv6 e DHCPv4 são independentes. Redes com Pilha Dupla precisam de serviços DHCP separados.

19 DHCPv6 Prefix Delegation

20 DHCPv6 Prefix Delegation

21 DHCPv6 Prefix Delegation

22 DHCPv6 Prefix Delegation Não existente no DHCPv4 Utilizada para distribuir prefixos de rede a roteadores 1. Roteador envia uma requisição de prefixo enviada para rede com destino a todos os servidores DHCPv6 2. Os servidores pré-configurados com um pool de prefixos respondem a este pedido feito pelo roteador enviando um prefixo IPv6 3. Ao receber esta resposta, o roteador fica encarregado de dividir o prefixo e redistribui-lo por suas interfaces 4. Os novos prefixos possuirão o tamanho /64 para que ao serem distribuídos aos hosts via Router Advertisement o procedimento de autoconfiguração stateless seja realizado

23 Laboratório DHCPv6 Prefix Delegation Experiência 1.9. DHCPv6 Prefix Delegation Pg. 81

24 Domain Name System (DNS) Informações de nomes e endereços

25 DNS

26 DNS Imensa base de dados distribuída utilizada para a resolução de nomes de domínios em endereços IP e vice-versa Arquitetura hierárquica, com dados dispostos em uma árvore invertida, distribuída eficientemente em um sistema descentralizado e com cache Registros: o A ( IPv4 ): Traduz nomes para endereços IPv4. o AAAA [ quad-a ] ( IPv6 ): Traduz nomes para endereços IPv6 Exemplo: IN A IN AAAA :12ff:0:4::9

27 DNS Registros PTR Resolução de Reverso o in-addr.arpa. ( IPv4 ): Traduz endereços IPv4 em nomes o ip6.arpa. ( IPv6 ): Traduz endereços IPv6 em nomes Exemplo: in-addr.arpa f.f ip6.arpa. Obsoletos o Registros A6 DNAME o Domínio para a resolução de reverso ip6.int PTR ipv6.br. PTR ipv6.br.

28 DNS A base de dados de um servidor DNS pode armazenar tanto registros IPv6 quanto IPv4 Esses dados são independentes da versão de IP em que o servidor DNS opera o Um servidor com conexão apenas IPv4 pode responder consultas AAAA ou A o As informações obtidas na consulta IPv6 devem ser iguais às obtidas na consulta IPv4

29 Laboratório DNS Experiência 2.2. DNS: configurando um servidor autoritativo Pg. 117

30 NTP.br

31 NTP.br

32 NTP (Network Time Protocol) Fornece hora em UTC, não considera horário de verão ou fuso horário Importante para: o o o o sincronização de logs validação de certificados tratamento de incidentes perícia

33 NTP (Network Time Protocol) Pontos de atenção o Para ser confiável, o NTP precisa de várias referências de tempo, de 4 a 7 o As consultas aos servidores são realizadas Inicialmente a cada 64s Em regime, a cada 16min o Pacotes UDP, porta 123 o Sensível à assimetria na rede o Melhor usar NTP que SNTP

34 Firewall

35 Firewall

36 Firewall

37 Firewall Numa rede IPv4, onde normalmente se utiliza NAT, este funciona como um firewall stateful, permitindo apenas comunicações originadas de dentro da rede. Numa rede IPv6 não há NAT, então, se o administrador de rede decidir manter uma política de segurança similar a que utilizava com o IPv4, é necessário um cuidado redobrado na implantação de firewalls, a fim de forçar essa política. Com a adoção do protocolo IPv6 todos os hosts podem utilizar endereços válidos com conectividade direta a Internet e alcance a todos os hosts da rede interna que tenham IPv6 habilitado

38 Firewall ICMPv6 faz funções que no IPv4 eram realizadas pelo ARP, logo o ICMPv6 não pode ser completamente bloqueado no firewall de borda como ocorria no IPv4 O firewall pode conter regras: o Stateful: solicitações da rede interna para a rede externa são gravadas para permitir o recebimento somente de solicitações feitas, mas necessita maior processamento e memória o Stateless: conjunto de regras fixas, pode permitir mensagens não solicitadas de tráfego permitido

39 Firewall A RFC 4942 detalha a segurança com relação as técnicas de transição: o mesmo que sua rede não tenha IPv6, não o ignore o se você não deseja utilizar técnicas de tunelamento automático na sua rede, elas devem ser bloqueadas no firewall o técnicas de transição podem depender de servidores públicos não confiáveis Técnica de Transição Regra de Filtragem Túnel manual 6in4 IPv4.Protocol == 41 Túnel manual GRE IPv4.Protocol == 47 Túneis automáticos 6to4 IPv4.Protocol == 41 IPv4.{src,dst} == /24 Túneis automáticos Teredo IPv4.dst == servidores_teredo UDP.DstPort == 3544

40 Laboratório Firewall Experiência 3.2. Firewall stateful Pg. 185

41 Obrigado Eduardo Barasal Morales Tiago Jun Nakamura 07 de dezembro de 2016