Microsoft PowerPoint - 資訊網路管理與應用Ch06.ppt

Size: px

Start display at page:

Download "Microsoft PowerPoint - 資訊網路管理與應用Ch06.ppt"

飘垒劳
7 years ago
Views:

1 Outline Introduction IP Address & MAC Address TCP/UDP/ICMP IP Gateway, Network Mask, TTL Routing Protocol Network Address Translation (NAT) Domain Name System (DNS) Dynamic Host Configuration Protocol (DHCP) / Asymmetric Digital Subscriber Line (ADSL) HyperText Transfer Protocol (HTTP) Protocol Virtual Private Network (VPN) 1

2 前言由於 IPv4 之 IP Address 只有 32 bits 為了解決 IP Address 短少的問題, 在 RFC 1918 中利用 NAT (Network Address Translation 網路位址轉換 ) 做位址轉換以便使用 Private IP Address 之網路設備本章介紹了 NAT 之原理, 並以 Linux 的 iptables/netfilter 機制設計一簡易的 NAT 2

3 NAT 技術簡介傳統的標準 TCP/IP 通訊過程中, 所有的 router 僅充當一個 packet 轉送的角色 ( 即 router 為 packet 選擇最佳路徑, 並將來源端 MAC addr 換成 router 的 MAC addr) NAT( 定義於 RFC 1631): 對 Forward 的 Packet 進行修改 NAT 是出於某種特殊需要, 而對 Packet 的來源端 IP 位址目的地 IP 位址來源埠目的埠進行改寫的讓在同一個 ( 區域網路 )LAN 的電腦在 LAN 中使用一組正式的 IP 位址即 NAT 是在 router 中進行一個更換 IP header 的動作, 以便讓多台電腦能共用一個 IP 連上 Internet 的技術 3

4 NAT 技術簡介舉例一個簡單的例子 NAT or IP 分享器 Public IP: IP: 與均使用進出 Internet, 但使用不同 source port hub GW: GW: GW:

5 使用 NAT 的優點增加了內部網路的安全性, 因 NAT 利用 IP 偽裝的轉換過程來隱藏內部網路 IP 位址及網路路由資訊, 形成了天然的防火牆 ( 即只有使用 public address 的電腦會被單位外部網路所存取, 使用 private address 的電腦不會直接被存取, 有安全上的好處 ) 解決了 IPv4 位址不足的問題, 因為它可節省位址的使用 ( 由於對外只使用一個 IP address, 因此內部使用的 IP 可重覆地在不同單位使用 ; 只要少數 public address 就能讓單位內所有電腦都連上 Internet) 使用 NAT 幾乎與一般應用程式無關, 因為它只在 TCP/IP 中的第三層中運作處理 5

6 使用 NAT 的缺點若通訊設定資料中含有 IP 位址若無適當的處理將無法使用, 在 Linux 下有提供常用的 FTP 和 ICMP 的處理, 但其他的協定並不一定有提供以 IP 位址作為安全檢查的方式將不可行若於 NAT 內部架設 Server 如 WEB Server TP Server Server BBS 等需藉由 Port 轉送 (Port Forward) 的機制, 增加設定的負擔 6

Client 的 gateway 設定為 NAT 主機, 當要連上 Internet 時, 該封包就會被送到 NAT 主機, 此時的封包 Header 之 source IP 為 192.168.1.100; 透過這個 NAT 主機, 會將 client 的對外連線封包的 source IP(192.168.1.100) 偽裝成 ppp0( 假設為撥接情況 ) 這個介面所具有的 public IP, 這個封包就可連上 Internet!

7 Client 的 gateway 設定為 NAT 主機, 當要連上 Internet 時, 該封包就會被送到 NAT 主機, 此時的封包 Header 之 source IP 為 ; 透過這個 NAT 主機, 會將 client 的對外連線封包的 source IP( ) 偽裝成 ppp0( 假設為撥接情況 ) 這個介面所具有的 public IP, 這個封包就可連上 Internet! 同時 NAT 主機並且會記憶這個連線的封包是由哪一個 ( )client 端傳送來 ; 由 Internet 傳送回來的封包, 由 NAT 主機來接收, 此時 NAT 主機會去查詢原本記錄的路由資訊, 並將目標 IP 由 ppp0 上面的 public IP 改回原來的 ; 最後, 由 NAT 主機將該封包傳送給原先發送封包的 Client! 7

8 8

9 NAT 分類與運作方式 m: 需要被轉換的 IP 位址個數 (Private IP 或原來的 IP 位址 ) n : 能夠被分配的 IP 位址個數 (Public IP 或轉換後的 IP 位址 ) 原來的 IP 位址 :M NAT Server 轉換後的 IP 位址 :N 9

10 Static NAT 在 NAT Server 上事先定義好一些 Entry, 當外部的 Connection 進來時,NAT Server 會依事先定義好的 Entry, 將 Connection 轉到我們希望的內部 IP Network 機器上, 這種作法即為靜態的 NAT Private IP addr 個數 = 正式的 IP addr 個數 Static NAT 實作假設新的 IP 位址為 new-ip-addr 新的網路位址為 newnetwork-addr 而原來 NAT 前的 IP 位址為 oldip-addr 則 NAT 網路核心進行以下運算 new-ip-addr = new-network-addr OR(old-ip-addr AND( NOT netmask )) 10

11 Static NAT 舉例一個簡單的例子將網路 /24 所有的 IP 位址轉換成網路 /24 上所有相對應的 IP 位址, 子網路遮罩兩者皆為現在要將私有的 IP 位址轉換成正式的 IP 位址 : : NOT AND Operation : OR Operation : (new address) 11

12 Dynamic NAT 主要是靠 NAT Mapping Table 中的 Entry 來做 Redirect 的動作,NAT Mapping Table 上的這些 Entry 是在 Private IP Network 中有新的 Connection 對外時才動態建立, 這種我們稱之為動態的 NAT (Dynamic NAT) 當所有 public IP addr 分配完畢後, 任何的 IP 轉換要求將會被拒絕, 並回傳 unreachable 的 ICMP packet 當 M=N 時基於安全上考量也使用動態 NAT( 天然防火牆 ) 12

13 Dynamic NAT 舉例一個簡單的例子 13

14 14

15 header manipulation(header 竄改 ) To modify the IP address, NAT has to modify the IP checksum, the TCP checksum ( cause TCP checksums cover pseudo IP header) To make multiple private hosts share one common public address, NAT has to modify the port number 15

16 IP 偽裝 (IP Masquerading) 只需要一個正式的 IP 位址就可以讓很多電腦連接到 Internet Linux 作業系統皆支援此功能 IP masquerading 是動態 SNAT (source NAT) 的一種 (packet source addr 改成界面的 addr) 在 Linux 下的 Masquerading 實作中, 可擴充內部網路的電腦裝置, 只要 TCP ports 夠用即可透過 Masquerading 上網會有一些限制, 如某些 UDP Based 的應用程式將可能無法使用, 這時候就需要配合其他的解決方法了 (Port Forward 或 Application Level Gateway) 16

17 應用層閘道式防火牆 (Application-Level Gateway) 應用層閘道器, 是作用於 OSI 通信模組的應用層, 它會針對不同的應用程式如 FTP HTTP Telnet 等來分別進行安全的稽核工作它是利用一些專門性的程式來做網際網路上程式應用的佣介者即閘道或代理器 (Proxy) 將內部網路與外部網路區隔開來, 而存儲轉發 (Storeand Forward) 就是它們運作的方式 17

18 如圖所示, 在防火牆內的客戶端實際是連接到防火牆之內的 FTP 伺服器, 再由該伺服器以客戶端的身分去網際網路上真正的 FTP 伺服器上擷取檔案 18

19 應用層閘道器會先將欲通過它的傳輸連接切斷, 再另起爐灶地設置另一個連接, 它會這個連接的過程之中獲得一些必要的資訊, 並依照各個應用程式之中所設定的一些規則, 來決定誰可以進出防火牆的內外誰可以擷取那些資料例如組織內部的員工欲上網際網路時, 要透過過防火牆內的代理伺服器, 而從外界進入的交通, 也可由這種形式的防火牆轉到特定的 Web 伺服器上 19

20 IP Masquerading 舉例一個簡單的例子 Src.: : 1255 Dst.: :80 Src.: : 4666 Dst.: :23 NAT server NAT table Src.: :63451 Dst.: :80 Src.: :63452 Dst.: :23 Internal IP Masquerading Table Port Local NAT port Dst. IP Dst. Port 80 23

21 其他的 NAT 技術 Source NAT ( 如前述 ) Destination NAT 主要目的是轉換目的地 IP 位址與 Port number NAT 的應用 Virtual servers (load balancing) 多線廣域網路負載平衡 21

22 Virtual Servers(Load Balancing) 利用 NAT Server 當做 Virtual Server, 後端可連結多部 Real Server, 當一個連線進入時,NAT Server 的負載, 將下一個連線導向負載較輕的 Server 上如何正確的快速的計算這些資訊, 需要配合複雜的演算法公式計算與考量整體環境舉列來說 : 有 DNS Support for Load Balancing (RFC 1794) Squid Cache 程式等等這種架構也有其附加功用即是備援系統, 當一台 Server 當機時, 會自動導向另一台 Server 繼續運轉, 不致於整個網站無法運作, 結合 DNS 更可達到目前市場上常見的所謂 Multi-homing 的運作機制 22

23 Virtual Servers 舉例一個簡單的例子 NAT Rule: 建立一個 Virtual Server,IP 位址為使用兩台主機,IP 位址為及 , 相對於 Virtual Server 而言, 這些是 Real Server 現在有一個連線從 Client 到 Virtual Server, 將被 NAT Server 重新導向到其中一台 Real Server 主 23

24 Virtual server (load balancing) Real server Client Virtual Server

25 多線廣域網路負載平衡當內部網路某台電腦和外界連線時, 僅需將 Packet 送到預設的 Router( 在此例中指的是 NAT Server), 接著,NAT Server 會決策要將 Packet 由哪一條路徑運送, 內部網路的使用者不需要知道路徑為何這個架構的功用在於將可以共用多路 ISP Dest. A 內部網路 NAT Server Dest. B 25

26 廣域網路負載平衡的意義許多的公司開始採用 Multihoming 策略, 即藉由多條專線及多 ISP 之連線服務, 改善連外網路的效能與可靠度多專線的意義在於更快速的網路存取服務以及更小的網路斷線時間當某條連線或某個 ISP 出問題時, 可自動跳過有問題的線路, 透過其他的線路來存取網路服務 26

27 廣域網路負載平衡的技術分析線路負載平衡器的核心價值在於線路的備援以及流量的分配, 因此判斷線路是否斷線的機制以及流量分配的演算法是此類設備最重要的兩個功能目前一般最常使用的斷線偵測機制為 ICMP 偵測法, 利用設備本身發出 ICMP 的封包來要求 Internet 上的某些網站回應, 有取得回應則表示此線路正常, 沒有取得回應則宣布此線路斷線但此一偵測方式會有兩個問題 : 一是當被偵測的網站因某些因素如斷線或防火牆阻擋而無法回應 ICMP 時, 會造成線路誤判二是當線路壅塞時會無法順利將 ICMP 封包送到被偵測網站, 一樣會造成線路狀態的誤判另一種比較先進的線路偵測方式 TCP 偵測法, 這是針對 Internet 上提供某種服務的伺服器偵測其服務埠號是否開啟來判斷線路是否斷線這樣可以避免掉防火牆的阻擋干擾而造成的誤判但是在線路壅塞時會有跟 ICMP 偵測法有一樣的困擾 27

28 目前看到最好的方式是流量偵測法 ( 以上兩種偵測方式的結合 ), 這樣可以大幅度的減少誤判的情形發生所謂的流量偵測法指的是直接偵測線路上是否有對內的流量產生, 有的話則表示則直接判定線路正常, 因為只有線路正常時才會有對內的流量出現, 否則的話再利用 ICMP 或 TCP 偵測法對 Internet 上的偵測點要求回應來判斷線路是否正常 28

29 傳統的負載平衡技術以及盲點一般來說廣域網路負載平衡可以分為對外和對內兩種, 這兩種使用的是完全不一樣的技術對外的負載平衡主要是利用 NAT 的機制來改寫封包的 IP 表頭, 然後送到不同的線路去對內的負載平衡則是利用分配不同 DNS 紀錄的方式, 將對內連線導引到不同的線路上去, 達到對內的負載平衡的目的 29

30 目前線路負載平衡設備常見的對外連線分配演算法 : 1. 固定指派 (Fixed): 選擇固定的線路, 當有對外的連線產生時強制走某一條選定的對外連線 2. 依比重輪流指派 (Round-Robin by Weight): 設定每一條線路的比重, 當有對外連線產生時, 依照線路的比重輪流分配對外的連線 3. 依連線數指派 (By Connections): 設定每一條線路的連線數比例, 當有對外連線產生時, 設備本身為依照預先設定好的比例來分配新的連線要走哪一條線路 4. 依頻寬使用量 (By Traffic): 設備本身會自動監控每一條線路的頻寬使用狀況, 然後再將新產生的對外連線導引到頻寬使用最少的線路, 以取得最佳的頻寬使用效率 5. 依應用程式 (By Application): 將新產生的對外連線依照不同的應用程式類別導引到不同的對外連線 6. 依回應時間 (Proximity): 當新的對外連線產生時, 設備會計算從每一條不同的路徑所需要的時間, 然後再選擇一條時間最短的線路, 使得對外連線能夠最快到達 30

31 有些廠商會採用更特殊的演算法去偵測在廣域網路端的線路狀況, 然後再決定流量如何分配但因遠端的線路狀況變數太多, 並不是單單的計算 Hop Counts 或者是 Response Time 所能得知, 有時最少 Hop counts 或者是最小的 Response Time 並不一定是最佳路徑, 所以這些演算法在實際應用上用途並不大不論是哪一種演算法都有兩個共通的缺點 : 第一是流量分配的單位為 Connection 而不是 Packet 第二是在進行切換線路時 IP 位址會改變所以對於一些特殊的 Application 並無法達到真正的線路負載平衡 E.g. VPN 建立時, 如果第一個 connection 和第二個 connection 的 source IP 改變的話會造成 VPN 連線失敗, 所以此時只能利用 Fixed 的演算法將 VPN 連線固定在某條線路上, 以避免 source IP 改變但這樣一來也就失去了負載平衡以及線路備援的目的了相同的情形也會發生在 Video Conference 或者一些 web mail 或電子商務等需要認證的服務上面 31

32 Linux NAT 工具 Kernel 2.0.x 時是使用 ipfwadm Kernel 2.1.x/2.2.x 時, 使用 ipchains Kernel 2.3.x/2.4.s 時, 使用 iptables, 配用 netfilter 過濾機制 32

33 ipchains 概說 Red Hat Linux v6.0 以上版本內含的套件, 主要功能為 Packet 過濾防火牆, 並可利用 Masquerade 達到分享網路頻寛的功能會對所有經過的 Packet 進行檢查, 依照一系列原則 (Policy) 和規則 (Rule), 來決定 Packet 的處理方式防火牆一般都會根據 Packet 的來源和目的地址協定 Port 界面等進行判斷, 決定是否讓 Packet 通過或傳到那裡去 33

34 ipchains 概說 Packet 進入機器的流程我們可以為防火牆建立一些基本原則來定義好各種的鏈 (Chain): 輸入 (Input) 輸出 (Output) 轉送(Forward) 重新導向 (Redirect) 來決定 Packet 的處理動作 : 接受 (Accept) 拒絕 (Deny) 拒絕並回應(Reject) 轉送 (Forward) 偽裝(Masquerade) ACCEPT/ REDIRECT checksum sanity Check by Device Driver DENY DENY Input Chain DENY/ REJECT Routing Decision Local Process Forward Chain DENY/ REJECT Output Chain DENY/ REJECT 34

35 ipchains 語法 ipchains [ADC] chain rule-specification [options] ipchains [RI] chain rulenum rulespecification [options] ipchains D chain rulenum [options] ipchains [LFZNX] [chain] [options] ipchains P chain target [options] ipchains M [-L -S] [options] ipchains h [icmp] (print this help information, or ICMP list) 35

36 常見 ipchains 命令用法指定協定種類可使用 -p 來指定協定種類, 其中協定分為 TCP UDP IMCP 或是 ALL, 且能以數字代替協定 ( 各種協定的編號在 /etc/protocols 中 ) (See. pp. 6-10~6-11) 36

37 常見 ipchains 命令用法指定來源和目的地的 IP 位址來源 (-s) 和目地 (-d) 的表示法有三種 : 使用完整的主機名稱 (E.g.: 使用 IP 位址 (E.g.: ) 允許某範圍的 IP 位址 (E.g.: /24 or / ) #ipchains A input s 0/0 j DENY ( 表示所有來源的 IP addr 會被拒絕 ) 37

38 常見 ipchains 命令用法指定 UDP 和 TCP 的 port 指定所有來源位址的 port 80, 其中 80 也可以用名字 ( www ) 來表示之 E.g.: -p tcp s /0 80 若要 TCP 的任何 port, 除了 www port 之以外 E.g.: -p tcp d !www 其中驚嘆號! 放置的位址也可以這樣指定 E.g.: -p tcp d! www 也可以表示為不是和 www 的 port E.g.: -p tcp d! www 38

39 常見 ipchains 命令用法 log 記錄 /var/log/message 若加上 -i 選項的話, 關於 ipchains 的訊息會被記錄在 /var/log/message 檔案中,Linux 系統上,Kernel 預設的輸出訊息經由 klogd (kernellogging daemon) 所記錄 39

40 範例列出常見 ipchains 命令用法列出 ipchains 的規則表 #ipchains L Chain input (policy ACCEPT) Chain forward (policy ACCEPT) Chain output (policy ACCEPT) 40

41 ipchains 操作範例 1. 啟用 IP 位址轉送功能 # echo 1 > /proc/sys/net/ipv4/ip_forward 41

42 ipchains 操作範例 2. 關掉所有服務基於安全的理由, 我們要把所有對內對外的窗口關閉起來, 執行下列指令會將進入輸出轉送 Packet 的預設政策 (Policy) 設為拒絕 (Deny), 這一步最好放在最後的時候再來做, 因為如果先設了所有 DENY 的規則, 則後來設的 ACCEPT 規則會被先前的 DENY 給取代, 這主要原因是 ipchains 的規則搜尋順序的問題 42

43 ipchains 操作範例 3. 啟動私有 IP 位址的偽裝 (Masquerade) 服務將內部私有 IP 位址 /24 啟動 IP Packet 轉送到外界的網路, 使之可以連到外界的任何地方去 43

44 ipchains 操作範例 4. 改變 ipchains Masquerade Timeout 系統預設是假如 entry 在設定的秒數後還沒有 Packet 經過, 就把連線中斷以節省資源 ( 說明參數 -S, --set tcp tcpfin udp ) 44

45 ipchains 操作範例 5. 預防被別人 ping (Ping of Death) 頻寬消耗是網路上常見的攻擊手法, 利用送出大量的 Packet 來攻擊消耗頻寬, 使得對方的主機負荷過重而當機, 或是使正當的 Packet 無法正確的傳送 45

46 使用一台有兩片網路卡的 Linux 當成 NAT 主機, 對外的連線是使用 ADSL Modem 接在 Eth1 上, 而對內則使用 Eth0 連接在集線器 (Hub) 上, 而集線器則再接上三部電腦主機分別為 ~3 Eth1 Public IP: GW: NetMask: ADSL IP: Eth0 IP: GW: GW: GW:

47 NAT 技術所衍生的問題有些應用程式所使用的通訊協定將 IP 位址放在通訊協定的資料欄位中例如, 網路視訊會議的 SIP H.323 標準而 NAT 只是將 Packet 的 IP Header 與 Port 改變, 並沒有改變 IP Packet 的 Payload 內容, 所以 NAT 這時就在應用上出了問題, 像是玩網路對戰遊戲或者網路電話 (Netmeeting) 都是如此 ipchains 會限制了來自外面的主動連線, 也就是帶有 SYN 標籤的 Packet 在這樣的情況也會發生問題, 最知名的就是 FTP 穿透 NAT Server 時發生的錯誤訊息 Can t create data connection: Connection refused. 47

48 NAT 技術所衍生的問題解決方法利用 ipchains 的外掛 module 目前有 IP _ masq_ftp IP _masq _ Cuseeme IP_masq_irc IP _masq_mfw IP _masq_pptp IP_masq_quake IP_masq_raudio IP _masq_user IP _masq_vdolive IP_masq_h323(SOFIA) 等等利用連接埠轉送 (Port Forward) 找出應用程式中使用了哪些 port, 然後將正式 IP 位址的某個 port 直接對應到內部 IP 位址上的某個 port 48

49 Linux 2.4 netfilter 架構圖 Pre-routing Routing Forward Post-routing Routing Local-IN Local-OUT Linux Network Protocol Stack 49

50 netfilter 提供以下機制傳統 ipchains 的任何功能 ( 基本來源與目的 Packet 過濾導向偽裝 ) 提供 Source NAT 與 Destination NAT 的功能可以針對特定使用者群組等限制網路連結的過濾存取可以設定 Packet 在 Routing Table 進出前先預先處理可以針對外面自動建立與現有連線有關這類連線之過濾處理可以針對 MAC Address 處理可以針對 IP Header 與 TCP Header 等進行分類與過濾 50

51 使用 Linux iptables 進行 NAT 1. 通知核心載入 NAT 相關模組通知核心載入 NAT 相關模組 ( 如果是編譯為核心, 如 NetGuru, 則不需此步驟 ) 51

52 使用 Linux iptables 進行 NAT 2. 啟動 IP Forward 的功能 52

53 使用 Linux iptables 進行 NAT 3. 設定進行 IP MASQUERADE 的條件設定進行 IP MASQUERADE 的條件, 也就是讓 /24 的網路使用 MASQUERADE 的規則 53

穨CAS1042中文手冊.doc

穨CAS1042中文手冊.doc CAS1042 4 port 10/100M Switch Internet BroadBand Router ...1...2...3 5...3 1...3 2 ADSL MODEM CABLE MODEM...4...5 4 TCP/IP...6 Windows 95 / 98 / ME/XP...6 WINDOWS 2000...8 WINDOWS NT 4.0...8...9 ADSL (ADSL