Cisco Networking Academy Program 1. IP címek méretezése Mártha Péter Név
1. NAT és PAT 2. DHCP
Privát címzés Kizárólag privát, belső hálózat címzésére használható RFC 1918 írja le a felosztásukat Ezen tartományok nem irányíthatók publikus hálózat felé Osztály Tartomány CIDR A 10.0.0.0 10.255.255.255 10.0.0.0/8 B 172.16.0.0 172.31.255.255 172.16.0.0/12 C 192.168.0.0 192.168.255.255 192.168.0.0/16 Nyilvános internetcím szolgáltatók - ARIN (American Registry for Internet Numbers) - RIPE (Réseaux IP Européennes - Európa és Észak-Afrika) - INTERNIC (Internet Information Center)
A NAT bemutatása NAT - Network Address Translation (Hálózati címfordítás) A NAT létrejöttének célja az IP-címek takarékos kiosztásának segítése és a privát címek belső hálózatokon való használatának lehetővé tétele. A belső, privát címeket a rendszer irányítható, nyilvános címekre fordítja. NAT szoftvernek köszönhetően a vállalat biztonsága is nő, mivel a belső címek kívülről rejtve maradnak. A NAT-képes készülékek általában a véghálózatok határán végzik munkájukat. Véghálózat az a hálózat, amely csak egyetlen kapcsolattal rendelkezik a vele szomszédos hálózat felé (pl: tűzfal, határ-forgalomirányító)
NAT - Network Address Translation Jellemzők Privát IP címek publikus címekre történő fordítása Emelt szintű biztonság a rejtett belső címek miatt Általában véghálózatok határán értelmezhetők egyetlen kapcsolat NAT fogalmak (Cisco szerint) Belső helyi cím belső hálózat egy állomásának címe Belső globális cím publikus hálózati cím a belső helyi címek képviseletére Külső helyi cím külső állomás címe, ahogy a belső állomások látják Külső globális cím külső hálózat egy állomásának címe
NAT - Network Address Translation
NAT és PAT Statikus NAT Helyi és globális címek 1:1 megfeleltetése Egy állomás az internet felől állandó külső elérhetőségének biztosítása Dinamikus NAT Privát IP címek nyilvános címekhez történő hozzárendelésére használható A hálózati állomáshoz nyilvános IP címek megadott készletéből dinamikusan történik a hozzárendelés Túlterhelés, overloading (Port AddressTranslation - PAT) PAT port címfordítás Egy nyilvános címhez több privát cím is rendelhető Erre azért van lehetőség, mert az egyes privát címek forgalmának követése a portszámok alapján történik
PAT Port Address Translation (portcímfordítás) A belső globális IP-címek mellett egyedi portszámok segítségével különbözteti meg az egyes fordításokat A portszám ábrázolása 16 biten történik. Elméletileg 65 536. A gyakorlatban egy-egy IP-címhez körülbelül 4000 port rendelhető hozzá. A PAT minden esetben megkísérli az eredeti forrásportszám megtartását. Ha ez a forrásport már használatban van, a PAT a megfelelő portszámcsoport (0 511, 512 1023 és 1024 65535) elejétől indulva az első elérhető portszámot osztja ki. Ha nincs több használható portszám, de egynél több külső IP-cím áll rendelkezésre, a PAT a következő IP-címre lép tovább, és újfent megpróbálja kiosztani az eredeti forrásportot. A folyamat mindaddig folytatódik, míg a portok és a külső IP-címek egyaránt el nem fogynak
PAT Port Address Translation (portcímfordítás)
NAT előnyei és hátrányai Előnyök Új szolgáltató esetén nem kell új IP-címeket kiosztani. Az alkalmazásport-szintű multiplexelésnek köszönhetően kevesebb címre van szükség (PAT) Magasabb szintű hálózatbiztonság. A privát hálózatok nem hirdetik címeiket és belső topológiájukat Hátrányok Nem támogat minden forgalomtípust Növeli a késleltetést (ip-cím csere miatt) Nagyobb teljesítmény igény (ip-cím csere miatt) Csomagkövetés nehézkes DNS problémák (statikus NAT hozzárendeléssel elhárítható)
Külső és belső interfész
A statikus NAT konfigurálása Statikus fordítás 1:1 megfeleltetés a belső helyi és globális cím között Statikus fordítás megadása egy belső helyi cím és egy belső globális cím között Belső interfész megadása Az interfész megjelölése befelé vezető csatlakozásként Külső interfész megadása Adjuk meg, hogy az interfész külső hálózatra csatlakozik Router(config)# ip nat inside source static helyi-ip globális-ip Router(config)# ip nat inside source static 192.168.1.2 193.224.80.253 Router(config)# interface FastEthernet 0/0 Router(config-if)# ip address 192.168.1.1 255.255.255.0 Router(config-if)# ip nat inside Router(config-if)# interface Serial 0/0 Router(config-if)# ip address 193.224.80.253 255.255.255.248 Router(config-if)# ip nat outside
A statikus NAT konfigurálása
Dinamikus NAT konfigurálása Dinamikus fordítás IP cím készlet definiálása és használata címfordításhoz Hozzárendelendő globális címek definiálása ACL listával megadni, hogy mely címek fordítását engedélyezzük Dinamikus forráscím fordítás megadása Belső és külső interfész konfigurálása (u.a mint statikusnál) Router(config-if)# ip nat inside Router(config-if)# ip nat outside Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255 Router(config)# ip nat pool nat-pool 193.224.80.249 193.224.80.254 netmask 255.255.255.248 Router(config)# ip nat inside source list 1 pool nat-pool
Dinamikus NAT konfigurálása Router(config)# access-list hozzáférési-lista-száma permit forrás cím forrás-helyettesítő-maszk Router(config)# ip nat pool név kezdő-ip záró-ip netmask hálózati maszk Router(config)#ip nat inside source list hozzáférési-lista-száma pool név Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255 Router(config)# ip nat pool nat-pool 193.224.80.249 193.224.80.254 netmask 255.255.255.248 Router(config)# ip nat inside source list 1 pool nat-pool
Dinamikus NAT konfigurálása a forgalomirányító az 1-es hozzáférési listának megfelelő, a 10.1.0.0/24 tartományba eső címeket egy a nat-pool1 címkészletből kiválasztott címre fordítja. A készlet a 179.9.8.80/24 179.9.8.95/24 címeket foglalja magába.
PAT konfigurálása Túlterhelés Egy kimenő interfész használata Rendelkezésre áll több belső globális címből álló készlet Normál hozzáférési listával megadjuk, hogy mely címeknek engedélyezzük a fordítását Dinamikus forráscím fordítás megadása Globális címtartomány megadása Túlterheléses fordítás engedélyezése Belső és külső interfész megadása ip nat inside ip nat outside Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255 Router(config)# ip nat pool nat-pool 193.224.80.249 193.224.80.254 netmask 255.255.255.248 Router(config)# ip nat inside source list 1 interface Serial 0/0 overload Router(config)# ip nat inside source list 1 pool natpool overload
PAT konfigurálása
Konfiguráció ellenőrzése NAT fordítótáblák Tartalmazzák a belső és külső címeket Túlterhelés nélkül 24 óra után törlődnek a bejegyzések (módosítható) Interfész beállítások IP cím és alhálózati maszk Elérési listák Elérési listák, helyettesítő maszkok Router# show ip nat translations Router# show ip nat statistics Router(config)# ip nat translation timeout 86400 Címfordítási bejegyzések törlése Router# clear ip nat translations Router# show running-config
Hibaelhárítás NAT működésének ellenőrzése Elvárások és konfiguráció összehasonlítása Fordítótábla ellenőrzése show és debug parancsok a fordítás megtörténtének ellenőrzésére Irányítási információk ellenőrzése debug parancs kimenetének értelmezése * jelzi a gyorskapcsolású útvonalat (első csomag folyamatkapcsolt) s = 192.168.1.1 a forráscím (belső helyi cím, forráscím) A forgalomirányító a belső helyi címet belső globális címre fordítja d = 195.228.12.3 a célcím [IP azonosító] összevethető más csomagkövetők kimenetével, ezt főként hibakeresésnél tudjuk hasznosítani Router# debug ip nat Router# debug ip nat detailed
Debug ip nat A címfordított csomagok adatait jeleníti meg A debug ip nat detailed parancs minden a fordítás által érintett csomagról leírást jelenít meg.
NAT alkalmazása Hátrány Bizonyos funkciók használata nem lehetséges (IP címzési információ az adatrészben) Nő a késleltetés Nő a hardverrel szemben támasztott igény IP kapcsolatok végponttól végpontig tartó követhetőségének elvesztése Nem támogatott az IOS által Irányítótábla frissítések DNS zónatranszfer BOOTP Talk és ntalk protokoll SNMP
1. NAT és PAT 2. DHCP
DHCP - Dynamic Host Configuration Protocol DHCP dinamikus állomáskonfiguráló protokoll Jellemzők RFC 2131 alapján működik Állomások konfigurációja a kiszolgálón elhelyezett adatok alapján (több mint 30 paraméter) Egyetlen DHCP kiszolgáló több alhálózat konfigurálását is el tudja végezni Az ügyfelek az adatokat (címek) meghatározott ideig bérlik UDP protokollt használ (67-es, 68-as portok használata) Eltérés a BOOTP-től BOOTP csak statikus és állandó hozzárendelést ismer BOOTP csak négy konfigurációs értéket támogat (IP cím, átjáró címe, alhálózati maszk, DNS kiszolgáló címe) BOOTP MAC cím alapján keres értékeket egy táblázatban
DHCP - Dynamic Host Configuration Protocol Ügyfél/Kiszolgáló jellegű szolgáltatást nyújt. A DHCP lehetővé teszi, hogy egy IP-hálózat DHCP-ügyfelei egy DHCPkiszolgálótól kapják meg konfigurációjukat. A kiszolgáló feladata az IP-címek kiosztásának kezelése, illetve az ügyfelektől érkező kérések megválaszolása Egyetlen DHCP-kiszolgáló több alhálózatot is ki tud szolgálni. A DHCP forgalomirányítók, kapcsolók és kiszolgálók konfigurálására nem alkalmas. Az ilyen típusú állomásoknak állandó IP-címeket kell adni. A Cisco forgalomirányítók a Cisco IOS egyik szolgáltatása, az Easy IP funkció segítségével szükség esetén teljes értékű DHCP-kiszolgálóként használhatók Rendszergazdák úgy szokták beállítani a DHCP-kiszolgálókat, hogy azok megadott készletből osszák ki a címeket. Az ügyfelek a címeket meghatározott időtartamra bérlik. Amikor a bérlet lejár, az ügyfélnek új címkérést kell küldenie; ilyenkor általában újra ugyanazt a címet kapja meg. A DHCP-kiszolgálók más adatokat is képesek átadni, így a DNS- és a WINS-kiszolgálók címeit és tartományneveket
DHCP üzenet DHCP üzenet felépítése (fontosabb adatok) Ügyfél IP címe (CIADDR) Kiszolgáló IP címe (SIADDR) Átjáró IP címe (GIADDR) Ügyfél hardveres címe (CHADDR) DHCP beállítások
Konfiguráció kiosztás DHCP-vel Automatikus kiosztás A DHCP egyes ügyfeleknek állandó értékeket, IP címeket ad Kézi kiosztás Az ügyfél IP címét a rendszergazda adja meg, a DHCP csak közli ezen értékeket az ügyféllel Dinamikus kiosztás A DHCP bocsátja bérletbe az IP címeket az ügyfél számára egy előre definiált készletből, korlátozott időtartamra Konfigurációs pataméterek (RFC 1533) Alhálózati maszk Forgalomirányító Tartománynév Tartománynév-kiszolgáló(k) WINS-kiszolgáló(k)
Konfigurálás menete A konfigurálási folyamat Ügyfél szórással DISCOVER üzenetet küld Kiszolgálók bérleti információkat tartalmazó egyedi címzésű OFFER üzenettel válaszolnak javasolt konfigurációval (IP cím, DNS, bérleti idő) Ha az ügyfélnek elfogadható, kiválasztja a megfelelő bérletet és REQUEST-et küld szórással adott paraméterekkel A kiválasztott kiszolgáló ACK-val nyugtáz és bejegyzi a bérletet Ha az ügyfél címütközést észlel DECLINE üzenettel visszautasítja a kiszolgálót A kiszolgáló NACK üzenettel utasítja vissza az ügyfelet Ha már nincs szükség az IP címre, az ügyfél RELEASE üzenettel szabadítja fel
A DHCP működése
DHCP konfigurálás és ellenőrzés Konfigurálás menete Elemkészlet (pool) definiálása Paraméterek megadása Fenntartott címek megjelölése DHCP ellenőrzése DHCP kötődések (binding) ellenőrzése Fogadott és küldött DHCP üzenetek számának megjelenítése DHCP hibaelhárítás Bérleti idő lejáratának ellenőrzése, felszabaduló és kiosztott IP címek nyomon követése
DHCP konfigurálás és ellenőrzés Router(config)# ip dhcp pool alhalozat2 Router(dhcp-config)# network 192.168.2.0 255.255.255.0 Router(dhcp-config)# default-router 192.168.2.1 Router(dhcp-config)# dns-server 192.168.2.2 Router(dhcp-config)# domain-name bzlogi.hu Router(config)# ip dhcp exluded-address 192.168.2.1 192.168.2.10 Router# show ip dhcp binding Router# show ip dhcp server statistics Router# debug ip dhcp server events
DHCP közvetítés Probléma Ügyfelek szórással keresnek DHCP kiszolgálót Ügyfél és kiszolgáló nem ugyanazon szórási tartományban van Megoldás Minden szegmensbe DHCP kiszolgáló telepítése Segédcím használata Segédcím szerepe UDP alapú szolgáltatások szórásos kéréseinek fogadása, majd egyedi címzésű továbbítása Használható forgalmak Idő, TACACS, DNS, BOOTP/DHCP, TFTP, Netbios Router(config)# ip helper-address 192.168.3.4
Köszönöm a figyelmet!