1. IP címek méretezése

Átírás

1 Cisco Networking Academy Program 1. IP címek méretezése Mártha Péter Név

2 1. NAT és PAT 2. DHCP

3 Privát címzés Kizárólag privát, belső hálózat címzésére használható RFC 1918 írja le a felosztásukat Ezen tartományok nem irányíthatók publikus hálózat felé Osztály Tartomány CIDR A /8 B /12 C /16 Nyilvános internetcím szolgáltatók - ARIN (American Registry for Internet Numbers) - RIPE (Réseaux IP Européennes - Európa és Észak-Afrika) - INTERNIC (Internet Information Center)

4 A NAT bemutatása NAT - Network Address Translation (Hálózati címfordítás) A NAT létrejöttének célja az IP-címek takarékos kiosztásának segítése és a privát címek belső hálózatokon való használatának lehetővé tétele. A belső, privát címeket a rendszer irányítható, nyilvános címekre fordítja. NAT szoftvernek köszönhetően a vállalat biztonsága is nő, mivel a belső címek kívülről rejtve maradnak. A NAT-képes készülékek általában a véghálózatok határán végzik munkájukat. Véghálózat az a hálózat, amely csak egyetlen kapcsolattal rendelkezik a vele szomszédos hálózat felé (pl: tűzfal, határ-forgalomirányító)

5 NAT - Network Address Translation Jellemzők Privát IP címek publikus címekre történő fordítása Emelt szintű biztonság a rejtett belső címek miatt Általában véghálózatok határán értelmezhetők egyetlen kapcsolat NAT fogalmak (Cisco szerint) Belső helyi cím belső hálózat egy állomásának címe Belső globális cím publikus hálózati cím a belső helyi címek képviseletére Külső helyi cím külső állomás címe, ahogy a belső állomások látják Külső globális cím külső hálózat egy állomásának címe

6 NAT - Network Address Translation

7 NAT és PAT Statikus NAT Helyi és globális címek 1:1 megfeleltetése Egy állomás az internet felől állandó külső elérhetőségének biztosítása Dinamikus NAT Privát IP címek nyilvános címekhez történő hozzárendelésére használható A hálózati állomáshoz nyilvános IP címek megadott készletéből dinamikusan történik a hozzárendelés Túlterhelés, overloading (Port AddressTranslation - PAT) PAT port címfordítás Egy nyilvános címhez több privát cím is rendelhető Erre azért van lehetőség, mert az egyes privát címek forgalmának követése a portszámok alapján történik

8 PAT Port Address Translation (portcímfordítás) A belső globális IP-címek mellett egyedi portszámok segítségével különbözteti meg az egyes fordításokat A portszám ábrázolása 16 biten történik. Elméletileg A gyakorlatban egy-egy IP-címhez körülbelül 4000 port rendelhető hozzá. A PAT minden esetben megkísérli az eredeti forrásportszám megtartását. Ha ez a forrásport már használatban van, a PAT a megfelelő portszámcsoport (0 511, és ) elejétől indulva az első elérhető portszámot osztja ki. Ha nincs több használható portszám, de egynél több külső IP-cím áll rendelkezésre, a PAT a következő IP-címre lép tovább, és újfent megpróbálja kiosztani az eredeti forrásportot. A folyamat mindaddig folytatódik, míg a portok és a külső IP-címek egyaránt el nem fogynak

9 PAT Port Address Translation (portcímfordítás)

10 NAT előnyei és hátrányai Előnyök Új szolgáltató esetén nem kell új IP-címeket kiosztani. Az alkalmazásport-szintű multiplexelésnek köszönhetően kevesebb címre van szükség (PAT) Magasabb szintű hálózatbiztonság. A privát hálózatok nem hirdetik címeiket és belső topológiájukat Hátrányok Nem támogat minden forgalomtípust Növeli a késleltetést (ip-cím csere miatt) Nagyobb teljesítmény igény (ip-cím csere miatt) Csomagkövetés nehézkes DNS problémák (statikus NAT hozzárendeléssel elhárítható)

11 Külső és belső interfész

12 A statikus NAT konfigurálása Statikus fordítás 1:1 megfeleltetés a belső helyi és globális cím között Statikus fordítás megadása egy belső helyi cím és egy belső globális cím között Belső interfész megadása Az interfész megjelölése befelé vezető csatlakozásként Külső interfész megadása Adjuk meg, hogy az interfész külső hálózatra csatlakozik Router(config)# ip nat inside source static helyi-ip globális-ip Router(config)# ip nat inside source static Router(config)# interface FastEthernet 0/0 Router(config-if)# ip address Router(config-if)# ip nat inside Router(config-if)# interface Serial 0/0 Router(config-if)# ip address Router(config-if)# ip nat outside

13 A statikus NAT konfigurálása

14 Dinamikus NAT konfigurálása Dinamikus fordítás IP cím készlet definiálása és használata címfordításhoz Hozzárendelendő globális címek definiálása ACL listával megadni, hogy mely címek fordítását engedélyezzük Dinamikus forráscím fordítás megadása Belső és külső interfész konfigurálása (u.a mint statikusnál) Router(config-if)# ip nat inside Router(config-if)# ip nat outside Router(config)# access-list 1 permit Router(config)# ip nat pool nat-pool netmask Router(config)# ip nat inside source list 1 pool nat-pool

15 Dinamikus NAT konfigurálása Router(config)# access-list hozzáférési-lista-száma permit forrás cím forrás-helyettesítő-maszk Router(config)# ip nat pool név kezdő-ip záró-ip netmask hálózati maszk Router(config)#ip nat inside source list hozzáférési-lista-száma pool név Router(config)# access-list 1 permit Router(config)# ip nat pool nat-pool netmask Router(config)# ip nat inside source list 1 pool nat-pool

16 Dinamikus NAT konfigurálása a forgalomirányító az 1-es hozzáférési listának megfelelő, a /24 tartományba eső címeket egy a nat-pool1 címkészletből kiválasztott címre fordítja. A készlet a / /24 címeket foglalja magába.

17 PAT konfigurálása Túlterhelés Egy kimenő interfész használata Rendelkezésre áll több belső globális címből álló készlet Normál hozzáférési listával megadjuk, hogy mely címeknek engedélyezzük a fordítását Dinamikus forráscím fordítás megadása Globális címtartomány megadása Túlterheléses fordítás engedélyezése Belső és külső interfész megadása ip nat inside ip nat outside Router(config)# access-list 1 permit Router(config)# ip nat pool nat-pool netmask Router(config)# ip nat inside source list 1 interface Serial 0/0 overload Router(config)# ip nat inside source list 1 pool natpool overload

18 PAT konfigurálása

19 Konfiguráció ellenőrzése NAT fordítótáblák Tartalmazzák a belső és külső címeket Túlterhelés nélkül 24 óra után törlődnek a bejegyzések (módosítható) Interfész beállítások IP cím és alhálózati maszk Elérési listák Elérési listák, helyettesítő maszkok Router# show ip nat translations Router# show ip nat statistics Router(config)# ip nat translation timeout Címfordítási bejegyzések törlése Router# clear ip nat translations Router# show running-config

20 Hibaelhárítás NAT működésének ellenőrzése Elvárások és konfiguráció összehasonlítása Fordítótábla ellenőrzése show és debug parancsok a fordítás megtörténtének ellenőrzésére Irányítási információk ellenőrzése debug parancs kimenetének értelmezése * jelzi a gyorskapcsolású útvonalat (első csomag folyamatkapcsolt) s = a forráscím (belső helyi cím, forráscím) A forgalomirányító a belső helyi címet belső globális címre fordítja d = a célcím [IP azonosító] összevethető más csomagkövetők kimenetével, ezt főként hibakeresésnél tudjuk hasznosítani Router# debug ip nat Router# debug ip nat detailed

21 Debug ip nat A címfordított csomagok adatait jeleníti meg A debug ip nat detailed parancs minden a fordítás által érintett csomagról leírást jelenít meg.

22 NAT alkalmazása Hátrány Bizonyos funkciók használata nem lehetséges (IP címzési információ az adatrészben) Nő a késleltetés Nő a hardverrel szemben támasztott igény IP kapcsolatok végponttól végpontig tartó követhetőségének elvesztése Nem támogatott az IOS által Irányítótábla frissítések DNS zónatranszfer BOOTP Talk és ntalk protokoll SNMP

23 1. NAT és PAT 2. DHCP

24 DHCP - Dynamic Host Configuration Protocol DHCP dinamikus állomáskonfiguráló protokoll Jellemzők RFC 2131 alapján működik Állomások konfigurációja a kiszolgálón elhelyezett adatok alapján (több mint 30 paraméter) Egyetlen DHCP kiszolgáló több alhálózat konfigurálását is el tudja végezni Az ügyfelek az adatokat (címek) meghatározott ideig bérlik UDP protokollt használ (67-es, 68-as portok használata) Eltérés a BOOTP-től BOOTP csak statikus és állandó hozzárendelést ismer BOOTP csak négy konfigurációs értéket támogat (IP cím, átjáró címe, alhálózati maszk, DNS kiszolgáló címe) BOOTP MAC cím alapján keres értékeket egy táblázatban

25 DHCP - Dynamic Host Configuration Protocol Ügyfél/Kiszolgáló jellegű szolgáltatást nyújt. A DHCP lehetővé teszi, hogy egy IP-hálózat DHCP-ügyfelei egy DHCPkiszolgálótól kapják meg konfigurációjukat. A kiszolgáló feladata az IP-címek kiosztásának kezelése, illetve az ügyfelektől érkező kérések megválaszolása Egyetlen DHCP-kiszolgáló több alhálózatot is ki tud szolgálni. A DHCP forgalomirányítók, kapcsolók és kiszolgálók konfigurálására nem alkalmas. Az ilyen típusú állomásoknak állandó IP-címeket kell adni. A Cisco forgalomirányítók a Cisco IOS egyik szolgáltatása, az Easy IP funkció segítségével szükség esetén teljes értékű DHCP-kiszolgálóként használhatók Rendszergazdák úgy szokták beállítani a DHCP-kiszolgálókat, hogy azok megadott készletből osszák ki a címeket. Az ügyfelek a címeket meghatározott időtartamra bérlik. Amikor a bérlet lejár, az ügyfélnek új címkérést kell küldenie; ilyenkor általában újra ugyanazt a címet kapja meg. A DHCP-kiszolgálók más adatokat is képesek átadni, így a DNS- és a WINS-kiszolgálók címeit és tartományneveket

26 DHCP üzenet DHCP üzenet felépítése (fontosabb adatok) Ügyfél IP címe (CIADDR) Kiszolgáló IP címe (SIADDR) Átjáró IP címe (GIADDR) Ügyfél hardveres címe (CHADDR) DHCP beállítások

27 Konfiguráció kiosztás DHCP-vel Automatikus kiosztás A DHCP egyes ügyfeleknek állandó értékeket, IP címeket ad Kézi kiosztás Az ügyfél IP címét a rendszergazda adja meg, a DHCP csak közli ezen értékeket az ügyféllel Dinamikus kiosztás A DHCP bocsátja bérletbe az IP címeket az ügyfél számára egy előre definiált készletből, korlátozott időtartamra Konfigurációs pataméterek (RFC 1533) Alhálózati maszk Forgalomirányító Tartománynév Tartománynév-kiszolgáló(k) WINS-kiszolgáló(k)

28 Konfigurálás menete A konfigurálási folyamat Ügyfél szórással DISCOVER üzenetet küld Kiszolgálók bérleti információkat tartalmazó egyedi címzésű OFFER üzenettel válaszolnak javasolt konfigurációval (IP cím, DNS, bérleti idő) Ha az ügyfélnek elfogadható, kiválasztja a megfelelő bérletet és REQUEST-et küld szórással adott paraméterekkel A kiválasztott kiszolgáló ACK-val nyugtáz és bejegyzi a bérletet Ha az ügyfél címütközést észlel DECLINE üzenettel visszautasítja a kiszolgálót A kiszolgáló NACK üzenettel utasítja vissza az ügyfelet Ha már nincs szükség az IP címre, az ügyfél RELEASE üzenettel szabadítja fel

29 A DHCP működése

30 DHCP konfigurálás és ellenőrzés Konfigurálás menete Elemkészlet (pool) definiálása Paraméterek megadása Fenntartott címek megjelölése DHCP ellenőrzése DHCP kötődések (binding) ellenőrzése Fogadott és küldött DHCP üzenetek számának megjelenítése DHCP hibaelhárítás Bérleti idő lejáratának ellenőrzése, felszabaduló és kiosztott IP címek nyomon követése

31 DHCP konfigurálás és ellenőrzés Router(config)# ip dhcp pool alhalozat2 Router(dhcp-config)# network Router(dhcp-config)# default-router Router(dhcp-config)# dns-server Router(dhcp-config)# domain-name bzlogi.hu Router(config)# ip dhcp exluded-address Router# show ip dhcp binding Router# show ip dhcp server statistics Router# debug ip dhcp server events

32 DHCP közvetítés Probléma Ügyfelek szórással keresnek DHCP kiszolgálót Ügyfél és kiszolgáló nem ugyanazon szórási tartományban van Megoldás Minden szegmensbe DHCP kiszolgáló telepítése Segédcím használata Segédcím szerepe UDP alapú szolgáltatások szórásos kéréseinek fogadása, majd egyedi címzésű továbbítása Használható forgalmak Idő, TACACS, DNS, BOOTP/DHCP, TFTP, Netbios Router(config)# ip helper-address

33 Köszönöm a figyelmet!