6 INTERNETWORKING Autor: Rogelio Montañana

Transcripción

1 6 INTERNETWORKING Autr: Rgeli Mntañana 6 INTERNETWORKING INTRODUCCIÓN Dispsitivs básics de Internetwrking CORTAFUEGOS TÚNELES Redes Privadas Virtuales (VPNs) IPSEC TRADUCCIÓN DE DIRECCIONES (NAT) Tips de NAT Limitacines de NAT EJERCICIOS SOLUCIONES

2 Redes de Ordenadres 6.1 INTRODUCCIÓN El términ internetwrking se utiliza para designar la unión de redes diferentes a cualquier nivel (físic, de enlace, etc.) de frma que desde ls niveles superires se aprecie cm una única red hmgénea. Las redes pueden diferir en el medi físic (pr ejempl Ethernet-Tken Ring LAN-WAN) en la pila de prtcls utilizads (TCP/IP, DECNET SNA, pr ejempl) Dispsitivs básics de Internetwrking Alguns de ls dispsitivs utilizads para realizar internetwrking sn ls siguientes: Repetidres y amplificadres: ests ds tips de dispsitivs funcinan a nivel físic. Ls repetidres retransmiten la señal digital bit a bit, mientras que ls amplificadres actúan sbre la señal analógica. Pr ejempl en Ethernet 10-BASE5 se utilizan repetidres cuand la distancia supera ls 500 metrs Ls repetidres mantienen intacta la señal mientras que ls amplificadres la distrsinan; pr este mtiv nrmalmente se puede atravesar un númer ilimitad de repetidres (al margen de tras cnsideracines) mientras que el númer de amplificadres pr ls que puede pasar la señal sin regenerarse está limitad. Puentes (bridges) y cnmutadres LAN: sn dispsitivs que analizan la trama a nivel de enlace. Se utilizan sbre td en LANs 802.x, dnde funcinan en la subcapa MAC (pr l que también se denminan puentes MAC). Permiten una cierta ptimización del tráfic y la intercnexión de LANs de diferentes tips (cn algunas restriccines). Ls cnmutadres LAN utilizads actualmente, sn en realidad puentes multipuerta cn cnmutación pr hardware. Es psible mntar una red LAN-WAN cn puentes remts, aunque las psibilidades de ruting que da el Spanning Tree sn tan escasas que est sl es viable en redes muy simples. Además ls puentes hacen un us tremendamente ineficientes de ls enlaces WAN pues hacen pasar pr ells td el tráfic bradcast/multicast. Direms pr últim que td l anterir está referid a ls puentes transparentes; ls puentes pr encaminamient permiten un mayr cntrl de las rutas y presentan algunas ventajas, sbre td en el cas de las cnexines WAN, ya que en realidad desempeñan funcines de ruting; sin embarg plantean tr tip de incnvenientes, fundamentalmente la cmplejidad que requiere su implementación en cada hst de la red y el hech de que sól se puedan utilizar en redes Tken Ring. Ruters y cnmutadres de nivel de red (ATM, F.R:, X.25): permiten la intercnexión a nivel de red, analizan el cntenid del paquete (dirección de destin númer de circuit virtual) y tman decisines de encaminamient en base a sus tablas de rutas de circuits establecids. Se suelen utilizar para intercnectar LANs cn WANs, y también para cnexines LAN-LAN WAN-WAN. A diferencia de ls puentes ls ruters n mantienen una tabla exhaustiva de tdas las direccines de la red sin que realizan una sumarización gracias a la estructura jerárquica de las direccines de red. Pr su parte ls cnmutadres, al identificar de frma explícita las cnexines establecidas, cnsiguen reducir el tamañ de la tabla utilizada para enrutar ls paquetes. A diferencia de ls puentes ls ruters (y ls cnmutadres) n prpagan el tráfic bradcast/multicast a nivel de enlace, pr l que restringen el ámbit de funcinamient de prtcls cm ARP. Muchs ruters pueden también actuar cm puentes MAC, e inclus cm ruters para uns prtcls y cm puentes para trs. Se suele utilizar la denminación bruter para designar ests equips, indicand así su dble funcinalidad. La mayría de ls ruters actuales sprtan múltiples prtcls; así es psible cn un sl ruter unir ds LANs en las que cexistan TCP/IP y DECNET, pr ejempl, sin necesidad de utilizar múltiples líneas ruters; es imprtante destacar que un ruter multiprtcl n suministra una cmunicación entre ls diferentes prtcls que sprta, simplemente permite que ls diverss prtcls de red cmpartan la infraestructura de cmunicacines, es decir si ds LANs tienen máquinas unas cn TCP/IP y tras cn DECNET un ruter multiprtcl 6-2

3 Internetwrking permitirá la cmunicación entre las máquinas TCP/IP de una y tra LAN, de las máquinas DECNET de una y tra LAN, per n la cmunicación de una máquina DECNET cn una TCP/IP. Respect al prtcl de ruting un ruter multiprtcl puede funcinar de ds maneras: Ruting integrad: tds ls prtcls enrutads cmparten un prtcl de ruting cmún; en este cas cada ruter mantiene únicamente una tabla de rutas, y efectúa el cálcul de rutas únicamente una vez; tds ls prtcls enrutads utilizan las mismas rutas, pr l que tds ls ruters de la red deben sprtar tds ls prtcls. Ejempls de prtcls de ruting integrad sn el IS-IS y EIGRP, que están preparads para entrns multiprtcl. Buques en la nche ('Ships in the night', SIN): esta técnica cnsiste en utilizar un prtcl de ruting diferente para cada prtcl enrutad; en este cas ls algritms utilizads y la tplgía de la red puede variar para cada prtcl y ls cálculs han de hacerse independientemente para cada un; evidentemente las rutas elegidas pueden n ser las mismas para tds ls prtcls. Cada ruter encamina ls paquetes de cada prtcl de frma independiente y ésts viajan pr las líneas sin verse uns a trs, de ahí el nmbre de Ships in the Night que recibe esta técnica. Cn esta técnica cada ruter sól ha de enrutar ls paquetes crrespndientes a aquells prtcls en ls que participa. Pr ejempl la red de la Universidad de Valencia sprta ds prtcls, TCP/IP y Appletalk. Cm prtcl de ruting se utiliza EIGRP que permite ruting integrad, cn l que se simplifica la cantidad de prces en ls ruters, que de esta frma n han de realizar ds veces el cálcul de las rutas óptimas. Pasarelas: cualquier dispsitiv que permite la intercmunicación a niveles superires al de red se denmina genéricamente pasarela (gateway en inglés). Así ns referims a pasarelas del nivel de transprte del de aplicación. Una pasarela del nivel de aplicación es un hst que implementa ds ( mas) pilas cmpletas de prtcls y que puede trasvasar dats de una aplicación a su equivalente en la tra pila de prtcls, realizand las cnversines adecuadas. Un ejempl de est es el intercambi de mensajes de crre electrónic, pr ejempl entre SMTP (prtcl de crre en Internet) y X.400 (prtcl de crre OSI). Otr ejempl es el servici que permite enviar desde un frmulari Web un mensaje crt a un teléfn GSM. Ls prblemas que se plantean en la intercnexión de redes diferentes a nivel de pasarelas de aplicación sn en ciert md parecids a ls que se dan a niveles inferires, cm curre al intercnectar redes Ethernet y Tken Ring. Pr ejempl, si se dispne una pasarela de crre electrónic entre ds redes diferentes, una de las cuales implementa acuse de recib y la tra n, se plantea el prblema de qué hacer en la pasarela cuand un mensaje es enviad de la primera a la segunda; a l sum se pdría acusar recib cuand el mensaje se recibe en la pasarela, per es n significa que el mensaje haya llegad a su destin; la tra alternativa sería simplemente n enviar ningún acuse de recib en este cas. Además de permitir la intercnexión de prtcls distints las pasarelas de aplicación también se emplean para cnectar redes cn el mism prtcl. Existen diversas raznes pr las que est puede ser cnveniente, cm pr ejempl las siguientes: Seguridad (crtafuegs): si se quiere tener un cntrl rigurs del tráfic entre una determinada red y el exterir se dispne un crtafuegs que aísle dicha red; a menud ls crtafuegs ( firewalls) actúan cm pasarelas a nivel de transprte de aplicación. Eficiencia (servidres prxy/cache): ls servidres cache permiten capturar una cpia de la infrmación que un usuari se trae del exterir para dispner de ella a<nte la eventualidad de que más tarde tr usuari requiera la misma infrmación. Est mejra el tiemp de respuesta al usuari ya que la infrmación slicitada se le sirve lcalmente y reduce el nivel de cupación de la línea WAN la cnexión a Internet, nrmalmente de 6-3

4 Redes de Ordenadres elevad cst. Para realizar su función ls servidres caché actúan cm pasarelas del nivel de aplicación, nrmalmente para el prtcl http. NAT (traducción de direccines): Cm verems más adelante existen situacines en las que es necesari manejar un direccinamient diferente en la red interna y la externa; en ests cass es precis utilizar un dispsitiv NAT (Netwrk Address Translatin) que ns permita el intercambi de paquetes entre ambas redes. Algunas aplicacines requieren una cmplejidad mayr en el prces de traducción de direccines hasta el punt de que est sl es psible mediante un prgrama que interprete y mdifique la infrmación cntenida en el paquete a nivel de aplicación. 6.2 CORTAFUEGOS Especialmente cn el crecimient cmercial de la Internet muchas empresas se enfrentan ante la necesidad de cnectar sus redes al exterir; sin embarg est plantea varis prblemas de seguridad pr diverss mtivs, pr ejempl: Ls rdenadres de la red lcal cntienen infrmación de carácter cnfidencial cuya salvaguardia resulta vital para la empresa. Del exterir pueden llegar virus u tr tip de prgramas que perjudicarían seriamente ls rdenadres de la empresa. Ls empleads pueden utilizar la cnexión a Internet para salir a lugares n autrizads (pr ejempl servidres de infrmación n relacinads cn su actividad en la empresa). Para reslver ls prblemas de acces segur hacia/desde el exterir se ha cread el cncept de crtafueg firewall, que cnsiste en un dispsitiv frmad pr un varis equips que se sitúan entre la red de la empresa y la red exterir (nrmalmente la Internet); el crtafueg analiza tds ls paquetes que transitan entre ambas redes y filtra ls que n deben ser reenviads, de acuerd cn un criteri establecid de anteman. En su versión más simple el crtafueg cnsiste únicamente en un ruter en el que se han cnfigurad diverss filtrs, pr ejempl impidiend limitand el acces a determinadas direccines de red, el tráfic de ciertas aplicacines una cmbinación de ambs criteris. Dad que ls usuaris siguen teniend cnexión directa a nivel de red cn el exterir esta slución n es muy fiable; además las psibilidades de definir filtrs en ls ruters sn limitadas y el rendimient se resiente de frma cnsiderable si al ruter se le carga cn una tarea de filtrad cmpleja. El siguiente nivel de crtafueg está frmad pr un hst que cnecta pr una parte a la Internet y pr tra a la red crprativa, actuand él cm ruter. El hst implementa un servidr Web prxy que actúa cm pasarela de aplicación para ls servicis que se quieren permitir, limitad pr las restriccines, filtrs reglas que se han especificad. El rdenadr que actúa cm barrera entre la red interna y la Internet se denmina hst bastión ( bastin hst ) en terminlgía de crtafuegs. Esta slución frece una seguridad mayr que la anterir ya que el servidr prxy, al ser un hst, puede prcesar filtrs mas cmplejs que un ruter; per si un usuari malintencinad (hacker cracker) cnsiguiera instalar un prgrama 'espía' (sniffer) en el hst bastión pdría capturar tráfic de la red interna de la empresa, ya que está directamente cnectad a la LAN. En un nivel mayr de seguridad el crtafueg se implementa mediante un hst y ds ruters, cnectads entre sí pr una pequeña red lcal; un de ls ruters cnecta a su vez cn la red lcal de la empresa y el tr cn la Internet; el hst implementa una pasarela multiaplicación (servidr prxy) cm antes, per al n estar el directamente cnectad a la red lcal de la empresa inclus en el cas de que un hacker cnsiguiera instalar en él un sniffer n pdría capturar tráfic cnfidencial, pues sl pdrá ver ls paquetes dirigids a él. En este mdel la red que une ls ruters cn el hst se denmina zna desmilitarizada zna DMZ (Demilitarized Zne, alg así cm una zna neutra de seguridad). En casines se utilizan tras variantes de arquitectura de crtafueg aún mas cmplejas. 6-4

5 Internetwrking En seguridad de redes, además de una buena arquitectura de crtafueg es imprtante cmprbar que n hay 'agujers' que permitan el acces n cntrlad pr tras vías. Pr ejempl, en una empresa cn una red altamente prtegida pdría una ficina reginal haber establecid una cnexión lcal cn tra institución sin cncimient de ls respnsables de seguridad, dispner de un sistema n segur de autentificación de usuaris en el acces pr red cnmutada para teletrabaj. En suma, que además de un buen crtafueg hay que tener una plítica de seguridad rigursa si se quiere que las medidas sean efectivas, de l cntrari habrems puest una puerta blindada, per ns pueden entrar ladrnes en casa pr el 'traster' cn gran facilidad. 6.3 TÚNELES En casines se quiere intercambiar paquetes entre ds redes que utilizan el mism prtcl, per que están unidas pr una red que utiliza un prtcl diferente. Pr ejempl supngams que un banc dispne de una red de área extensa cn prtcl SNA que une tdas sus ficinas, y ds de éstas dispnen además de redes lcales TCP/IP. Si se desea que estas ds ficinas intercambien tráfic TCP/IP sin establecer para ell una nueva línea ni instalar ruters multiprtcl en td el trayect se puede establecer un túnel entre ambas ficinas. Ls ds nds SNA ubicads en ls extrems del túnel serán ls encargads de añadir a ls paquetes IP la cabecera SNA adecuada para que lleguen al tr extrem. Ls paquetes IP viajarán encapsulads a través del túnel en paquetes SNA, de frma que ls paquetes IP n sean vists pr la red SNA. Ls cncepts de túnel y de encapsulad de paquetes van siempre asciads entre sí. En Internet hay situacines en las que ls túneles se utilizan de frma habitual; pr ejempl la intercnexión de ruters multicast a través de ruters unicast para cnstituir la red MBne, la intercnexión de islas IPv6 para cnstituir el 6bne. En ests cass ls túneles se utilizan para enviar paquetes del mism prtcl (IP) per de distint tip (multicast en unicast) versión (IPv6 en IPv4). En alguns cass resulta útil encapsular inclus un paquete en tr del mism tip y versión; pr ejempl encapsuland un paquete IPv4 en tr pdems frzar la ruta que ha de seguir, cumpliend así una función similar a la pción lse surce ruting de la cabecera IP, per sin las limitacines que tiene ésta en el númer de direccines. Otr us del encapsulad pdría ser para superar el valr máxim del camp TTL; al utilizar encapsulad la cabecera interir empezaría a descntar su TTL sól a partir del punt de salida del túnel. Un de ls uss más habituales de ls túneles actualmente es para la creación de redes privadas virtuales VPNs, cm verems a cntinuación. Ls túneles n sn una slución deseable en sí misms, ya que a l larg del túnel ls paquetes han de llevar ds cabeceras, l cual supne un mayr verhead; además ls extrems del túnel se cnvierten en punts simples de fall y ptenciales cuells de btella en el rendimient de la red Redes Privadas Virtuales (VPNs) Entendems pr red privada virtual VPN (Virtual Private Netwrk) la intercnexión de un cnjunt de rdenadres haciend us de una infraestructura pública, nrmalmente cmpartida, para simular una infraestructura dedicada privada. Entre las características prpias de una red privada virtual se encuentra la psibilidad de utilizar direccinamient n integrad en la red del prveedr del servici. Existen muchas maneras de crear y utilizar VPNs, tant en IP cm en trs prtcls. Aquí sl cmentarems algunas de sus psibilidades más habituales para que sirvan cm ejempl de su aplicación. Supngams que un viajante quiere cnectarse remtamente a la red de su empresa para cnsultar una base de dats y para ell emplea ls servicis de un prveedr cmercial cualquiera, ya que est le permite cnectarse a su red pagand tarifa metrplitana. Supngams también que pr raznes de seguridad de licencias de sftware la empresa se ha vist bligada a limitar el acces a dicha base de dats únicamente a ls rdenadres de la red de la empresa, es decir aquells que tienen direccines IP de 6-5

6 Redes de Ordenadres su red (supngams que se trata de la red /24). Cm nuestr viajante al cnectarse recibe una dirección IP de la red de su prveedr (supngams que se trata de la red /24) n le es psible acceder a dichs servicis. Este prblema puede reslverse creand un túnel VPN (Virtual Private Netwrk) entre el rdenadr del viajante y un rdenadr de la red de su empresa. El túnel le va a permitir a nuestr usuari remt acceder a la red de la empresa cm si estuviera cnectad en la red lcal (aunque cn una velcidad que dependerá bviamente de la cnexión física que utilice). El túnel se creará entre su rdenadr y un equip que denminarems servidr de túneles ubicad en la red lcal de la empresa, el cual se encargará de encapuslar y desencapsular ls paquetes de este usuari. Veams en detalle cm funcinaría el túnel VPN en este cas cncret. En primer lugar, la empresa deberá tener el servidr de túneles cnectad a su red lcal; dich servidr puede ser un equip específicamente diseñad para este fin, un ruter un servidr de prpósit general Linux Windws 2000 Server pr ejempl (el sftware necesari para actuar cm servidr de túneles VPN está incluid en Windws 2000 server). Supngams que el servidr de túneles está cnectad a la red lcal mediante una interfaz Fast Ethernet y que tiene la dirección IP Además de dispner de una dirección prpia el servidr de túneles debe tener asignad un rang de direccines que utilizará para establecer ls túneles. Supngams que n esperams más de 10 usuaris simultánes de este servici, pr l que reservams para este fin las últimas 10 direccines útiles de la red de la empresa, es decir el rang que va de la a la ambas inclusive. Supngams ahra que nuestr viajante se cnecta pr red telefónica a su prveedr habitual y que mediante la asignación dinámica de direccines de PPP recibe de éste la dirección A cntinuación se cnecta cn el servidr de túneles y, previa autentificación mediante usuari/cntraseña, el servidr crea un túnel para él y le asigna la dirección A partir de ese mment ls datagramas que envíe el viajante llevarán ds cabeceras, una exterir y tra interir. Si el viajante hace desde su PC un ping a una dirección cualquiera de la empresa (pr ejempl la ) enviará un datagrama cuya cabecera exterir llevará cm dirección de rigen y de destin (el servidr de túneles) y en la cabecera interir llevará cm dirección de rigen y cm destin ; este datagrama hará su viaje en ds etapas; en la primera llegará al servidr de túneles ( ), que l despjará de su cabecera exterir y prcesará a cntinuación la cabecera interir, enviand el datagrama al destin desead en la red de la empresa. El datagrama de respuesta al ping seguirá un prces simétric invers, es decir hará la primera parte de su viaje cn una sla cabecera que cntendrá cm dirección de rigen y cm destin; ese datagrama será entregad al servidr de túneles, que se encargará entnces de incrprarle la cabecera exterir cn dirección de rigen y de destin ; cuand llegue al rdenadr del viajante el sftware cliente VPN le despjará de la cabecera exterir y l prcesará cm un datagrama dirigid a él prveniente de Así pues el us del túnel VPN permite a nuestr viajante acceder a la red de su empresa cm si estuviera cnectad en la red lcal detrás del servidr de túneles. El sftware necesari para crear túneles VPN cm el descrit en este ejempl está integrad en sistemas tales cm Windws 98 Windws 2000 prfesinal. Obsérvese que mientras está perativ el túnel td el tráfic del usuari remt cn cualquier destin de Internet (pertenezca n a la empresa) se realiza a través del servidr de túneles. Est significa que el usuari sufrirá las limitacines asciadas a la capacidad del servidr de túneles y, si accede a destins ubicads fuera de la red lcal de su empresa sufrirá también las limitacines que le impnga la cnexión a Internet que tenga su empresa; pr tant l lógic sería utilizar la cnexión a través del túnel únicamente cuand se requiera acceder a servicis de acces restringid dentr de la red de la empresa. Además de cnectar un rdenadr aislad cm en el ejempl anterir es psible establecer un túnel VPN entre ruters. Est ns permite cnectar tda una red lcal a través de un sl equip, y además n requiere sprte de túneles en el hst final. En este cas ls ruters serán ls encargads de realizar la labr de encapsulad/desencapsulad de datagramas. Las VPNs permiten cnectar pr ejempl una ficina remta a una ficina principal utilizand Internet, cn l que ls cstes se pueden reducir cnsiderablemente, especialmente si se trata de cnexines de larga distancia. Además, la reciente aparición de cnexines a Internet de alta velcidad y baj cst (fundamentalmente ADSL y cable módems) hace especialmente atractiv el us de túneles VPN sbre este tip de servicis para cnstituir 6-6

7 Internetwrking enlaces interns en una red sin incurrir en ls elevads csts de cnstituir una infraestructura dedicada mediante enlaces punt a punt circuits frame relay ATM. 6.4 IPSEC Cn bastante frecuencia cuand se establecen túneles VPN cm hems vist en ls ejempls anterires, además de la integración de las direccines de red se plantea un requerimient desde el punt de vista de la seguridad, dad que ls datagramas viajan pr una infraestructura pública en la que la infrmación puede ser capturada y/ mdificada pr usuaris externs. Pr este mtiv la cnstitución de túneles VPN viene acmpañada a menud de un requerimient de seguridad, cnstituyend l que pdríams denminar redes privadas virtuales seguras. El prblema de una cmunicación segura a través de una red se resuelve nrmalmente a nivel de enlace, a nivel de red a nivel de aplicación. Cada una de estas tres alternativas tiene sus ventajas e incnvenientes: Nivel de enlace: La seguridad a nivel de enlace se implementa en ls dispsitivs que se cnectan al medi de transmisión, pr ejempl ds ruters que se cmunican mediante una línea punt a punt. En este cas ls mecanisms de seguridad se pueden aplicar de frma transparente al prtcl utilizad a nivel de red. Sin embarg en una red grande requiere encriptar y desencriptar la infrmación en cada salt que da el paquete; aun en el cas de utilizar dispsitivs que realicen esta tarea pr hardware el retard que est puede intrducir cuand el númer de salts es elevad puede hacer inviable el us de aplicacines en tiemp real que requieren ciert nivel de Calidad de Servici. Además implementar seguridad a nivel de enlace requiere cntrlar la infraestructura de la red, csa que n es factible cuand se utilizan ls servicis de un peradr un ISP. Un ejempl de seguridad a nivel de enlace se da en las redes de televisión pr cable (CATV) en que la infrmación viaja encriptada (DES) entre el Cable Módem y el CMTS (Cable Mdem Terminatin System); al ser las redes CATV un medi bradcast es necesari el us de encriptación para evitar la captación de infrmación pr parte de usuaris que n sn ls destinataris de la misma. Nivel de red: Esta es la aprximación adptada pr ls estándares IPSec. En este cas la seguridad se limita al prtcl IP y trs prtcls sól pdrán aprvecharla si se encapsulan previamente en paquetes IP. La seguridad a nivel de red puede aplicarla el usuari de frma transparente al prveedr del servici y encaja de frma muy adecuada cn el cncept de VPNs pudiend crear l que denminams redes privadas virtuales seguras. Nivel de aplicación: esta es la aprximación adptada pr ejempl en crre electrónic pr PEM (Privacy Enhanced Mail) PGP (Pretty Gd Privacy), en HTTP pr Secure HTTP SSL (Secure Sckets Layer), pr SNMP versión 3. El principal incnveniente de abrdar la seguridad a nivel de aplicación estriba precisamente en la necesidad de incrprar funcinalidades similares en cada un de ls prtcls del nivel de aplicación que deban utilizarlas, replicand así gran cantidad de tareas en diferentes partes de códig. La ventaja es que la seguridad se puede desarrllar de frma selectiva, aplicándla únicamente en el intercambi de infrmación cnfidencial imprtante. Además, al aplicarse ls mecanisms de encriptad validación de la infrmación en el nivel más alt psible el nivel de seguridad btenid es máxim ya que se reduce el riesg de que la infrmación pueda ser interceptada mdificada pr trs usuari prcess distints del destinatari de ésta. Denminams IPSec al cnjunt de estándares que trata td l relacinad cn el intercambi segur de infrmación a través de Internet. En realidad IPSec es una arquitectura (descrita en el RFC 4301) y un cnjunt de prtcls y mecanisms de autenticación y encriptad. Las principales funcinalidades que incrpra IPSec sn las siguientes: AH (Autenticatin Header): en este cas n se pretende garantizar la cnfidencialidad de la infrmación sin únicamente su veracidad. La cabecera de autentificación asegura al receptr 6-7

8 Redes de Ordenadres que el datagrama n ha sid alterad durante su viaje pr la red, ni en su cntenid ni en su cabecera (salv pr la mdificación del camp TTL y pr cnsiguiente del checksum, que se han de realizar en cada salt); pr cnsiguiente además de garantizarse el cntenid se garantiza la autenticidad del remitente. AH se describe en el RFC ESP (Encapsulating Security Paylad): garantiza la cnfidencialidad de la infrmación. La parte de dats del datagrama (incluida la cabecera de transprte) viaja encriptada de frma que sól el destinatatri pueda descifrar su cntenid. Opcinalmente ESP puede incluir la funcinalidad de AH, es decir garantizar que el cntenid n ha pdid ser alterad pr tercers. ESP se describe n el RFC ISAKMP (Internet Security Assciatin and Key Management Prtcl): cnsiste en una serie de mecanisms segurs para realizar, de frma manual autmática, el intercambi de claves necesarias para las labres de encriptad y autentificación realizadas pr AH y ESP. ISAKMP se describe en el RFC Pdems distinguir ds mds de funcinamient de IPSec: a) Md transprte: la encriptación se realiza extrem a extrem, es decir del hst de rigen al hst de destin. Para extender en una empresa el us de IPSec en md transprte es necesari que tds ls hsts tengan una implementación de IPSec. b) Md túnel: el encriptad se efectúa únicamente entre ls ruters de acces a ls hsts implicads. En este cas la infrmación viaja n encriptada en la parte de la red lcal. El funcinamient de IPSec en md túnel permite integrar de frma elegante IPSec en una VPN, ya que el mism dispsitiv que realiza el túnel VPN se encarga de realizar las labres crrespndientes al túnel IPSec. Evidentemente el md transprte es más fiable puest que frece cmunicación segura hst a hst. Sin embarg el md túnel tiene la ventaja de que permite incrprar la seguridad sin necesidad de incrprar IPSec en ls hsts; aunque la seguridad que se btiene en este cas n es tan alta la sencillez de implantación es much mayr y se cnsiguen la mayr parte de ls beneficis del md transprte, ya que se prtege la parte más expuesta del trayect, que crrespnde precisamente a la infraestructura pública del peradr. En función de las circunstancias que rdeen cada cas se deberá ptar pr una u tra, pudiend haber inclus situacines híbridas en las que en una misma empresa determinad tip de infrmación baste prtegerla cn el md túnel mientras que para algún hst cncret, que maneje infrmación de mayr imprtancia, se deba utilizar el md transprte. Aunque en IPSec se prevé la psibilidad de utilizar una amplia diversidad de algritms de autentificación y encriptad el únic exigid para tdas las implementacines es el DES (Data Encriptin Standard) que utiliza claves de 56 bits. Desde hace uns añs se sabe que DES es relativamente pc segur, ya que el códig puede ser descifrad utilizand fuerza bruta en un tiemp n demasiad grande cn un rdenadr ptente actual, pr l que también se suele utilizar bastante Triple DES, que es much más segur aunque también alg más csts de calcular. En un futur próxim se prevé utilizar el algritm AES (Advanced Encryptin Standard) del cual aún n existen implementacines cmerciales. Un de ls prblemas que plantea la encriptación es el cnsum intensiv de CPU. Est suele ser un prblema especialmente en ls ruters y servidres de túneles que atienden túneles IPSec cn la función ESP activada (la función AH n requiere encriptación). En ests cass se pueden cncentrar cients de usuaris y flujs de varis Megabits pr segund en un mism equip, que ha de realizar las labres de encriptad/desencriptad para tds ells, pudiend verse limitad el rendimient de las cmunicacines pr la capacidad de la CPU del equip utilizad. Para evitar este prblema muchs servidres de túneles y ruters permiten incrprar móduls que realizan ls algritms de encriptación pr hardware para hacerls cn mucha mayr rapidez. 6.5 TRADUCCIÓN DE DIRECCIONES (NAT) 6-8

9 Internetwrking Hace uns añs cuand una rganización deseaba cnectar su red de frma permanente a la Internet l nrmal era que slicitara al NIC una red adecuada a sus necesidades (clase B C nrmalmente) y asignara númers IP de dicha red a tdas sus máquinas. De esta frma tds ls rdenadres tenían acces direct a Internet cn tdas las funcinalidades. Per debid al crecimient expnencial de Internet cada vez resulta más difícil btener númers IP del NIC crrespndiente; pr tr lad, en muchas casines n se necesita, inclus n se desea, dispner de un acces direct a Internet cn cmpleta funcinalidad, pr raznes de seguridad fundamentalmente. Ests ds mtivs, la seguridad y la dificultad para cnseguir direccines públicas, han impulsad a las rganizacines a hacer un mayr us de las redes privadas según ls rangs especificads en el RFC 1918 ( , a , y a ). Estas redes privadas n pueden en principi intercambiar datagramas directamente cn el exterir, pr l que han de utilizar un equip intermedi que se cupe de realizar la traducción de direccines NAT (Netwrk Address Translatin). El NAT puede realizarse en un hst (pr ejempl en Linux la función NAT se denmina IP Masquerade ) aunque también se implementa en muchs ruters. Dad que generalmente la función de NAT se realiza en la frntera entre una red lcal y el exterir la pción del ruter es bastante ppular. Nrmalmente NAT sl traduce paquetes IP crrespndientes a ICMP a ls prtcls de transprte TCP y UDP. El rest de prtcls (fundamentalmente prtcls de ruting) n se traducen pues n tendría sentid intercambiar infrmación de ruting a través de un NAT. Otra restricción que impne el NAT es que sl puede haber un punt de cmunicación entre la red privada y la red pública, es decir la cnexión al exterir sl puede hacerse en un ruter, aunque dich ruter puede mantener cnexines cn varis ISPs simultáneamente Tips de NAT Inicialmente ls NAT sl permitían iniciar cnexines desde dentr, es decir desde la red privada hacia el exterir. Este md de funcinamient, que se cnsidera una medida de seguridad, se denmina NAT tradicinal. Mas recientemente se ha extendid el us de NATs que también permiten el inici de la sesión desde fuera, pr l que a este tip de NAT se le denmina NAT bidireccinal. La traducción se puede hacer de ds maneras: mdificand únicamente la dirección IP, que es l que denminams NAT básic, cambiand también el númer de puert TCP UDP, que llamarems NAPT (Netwrk Address Prt Translatin). Pr últim, si la traducción entre la dirección pública y la privada se realiza de acuerd cn una tabla de equivalencia que se carga en la cnfiguración del dispsitiv NAT y si dicha tabla n se mdifica dinámicamente decims que se trata de NAT Estátic. En cambi si la tabla de equivalencia es gestinada dinámicamente pr el dispsitiv NAT de frma que las direccines y/ númers de puert se puedan reutilizar decims que tenems un NAT dinámic. Generalmente el NAT estátic es bidireccinal mientras que el NAT dinámic es unidireccinal (también llamad tradicinal). Cmbinand el NAT Básic el NAPT cn las mdalidades estática y dinámica btenems cuatr cmbinacines de NAT que pasams a describir a cntinuación: NAT básic estátic. La tabla de equivalencias IP privada IP pública está incluida en la cnfiguración del dispsitiv NAT y sl se mdifica pr decisión del administradr de la red. La crrespndencia es biunívca, es decir a cada dirección privada le crrespnde una pública y viceversa. Ls númers de puert n se mdifican. Cn este tip de NAT es precis dispner de un númer de direccines públicas igual al de direccines privadas. Este NAT tiene interés fundamentalmente en situacines en las que se desea máxima sencillez y n se necesita reducir el númer de direccines públicas, pr ejempl se quiere cnectar a Internet una red clase C privada y se dispne para ell de una red clase C pública. NAT básic dinámic. La tabla de equivalencias de IP privada a IP pública se cnstruye de frma dinámica, a medida que l requieren ls hsts. Las entradas caducan al terminar la cnexión (TCP) pasad un tiemp de inactividad (UDP), l cual permite la reutilización de las direccines. Ls númers de puert n se mdifican. El númer de direccines públicas puede 6-9

10 Redes de Ordenadres ser inferir al de direccines privadas, per ha de ser suficiente para el númer de rdenadres que se quieren cnectar simultáneamente al exterir. Permite un ahrr de direccines frente al NAT estátic, per al n mdificar el númer de puert es más fácil de implementar y tiene mens restriccines que el NAPT. En ciert md es equivalente a utilizar DHCP cn aisgnación dinámica de direccines. NAPT (Netwrk Address Prt Translatin) estátic. En este cas la tabla de equivalencia se carga de frma estática en la cnfiguración del equip, per las entradas incluyen n sól la dirección IP sin también el númer de puert (TCP UDP). El NAPT estátic permite virtualizar servidres: pr ejempl es psible asignar el puert 21 (servidr FTP) de una dirección pública del NAT al puert 21 de un hst en la red privada, y el puert 80 (servidr Web) de la misma dirección a tr hst de la red privada. NAPT (Netwrk Address Prt Translatin) dinámic. En este cas la tabla de equivalencias se cnstruye dinámicamente a medida que ls hsts l requieren, cm en el NAT básic dinámic. Sin embarg, a diferencia de aquel las entradas de la tabla incluyen n sl la dirección IP, sin también el númer de puert. En el cas de TCP las entradas caducan al terminar la cnexión. EN UDP, dnde n hay cnexión cm tal, las entradas caducan pasad un tiemp de inactividad. En ambs cass es psible aprvechar una misma dirección IP pública para cnectar al exterir diverss rdenadres simultáneamente, ya que se aprvecha el númer de puert UDP TCP para multiplexar cnexines de hsts diferentes. Este NAT permite un aprvechamient máxim de las direccines públicas, per tiene mayr cmplejidad de implementación. Las cuatr mdalidades antes descritas pueden cexistir en una misma red, pr ejempl utilizand NAT NAPT estátic para ls servidres que deban ser accesibles desde el exterir y NAT NAPT dinámic para el rest de ls hsts. Las mdificacines que NAT intrduce en el paquete IP sn las siguientes: Cabecera IP: Además de mdificar las direccines de rigen y/ destin el valr del camp checksum en la cabecera del datagrama cambia y pr tant ha de recalcularse. Cabecera de transprte (TCP/UDP): El camp checksum en la cabecera de transprte (TCP UDP) ha de recalcularse, ya que la pseudcabecera incluye las direccines IP de rigen y destin. Además en el cas de NAPT se ha de mdificar el valr del puert de rigen destin. Mensajes ICMP: Ls mensajes ICMP siempre incluyen en la parte de dats la cabecera a nivel de red y de transprte del paquete IP que riginó el mensaje ICMP. El dispsitiv NAT ha de lcalizar allí la dirección IP y mdificarla. En el cas de hacer NAPT se ha de mdificar también el númer de puert TCP/UDP que aparece en la cabecera embebida. Mensajes SNMP. Ls mensajes de gestión, que ntifican cambis en la situación de ls diferentes dispsitivs, suelen llevar en su parte de dats direccines IP que el NAT debe lcalizar y mdificar Limitacines de NAT A medida que aumenta el nivel de sfisticación aumenta cm es lógic la cmplejidad del NAT. En el cas del NAT NAPT dinámic el ruter ha de cnservar una infrmación de estad, ya que ha de mantener cntrl de las cnexines existentes. Esta infrmación de estad hace más difícil establecer un ruter de backup ya que esta infrmación de estad ha de trasladarse a dich ruter en cas de caída del principal. Además el ruter ha de tmar decisines respect a cuand termina una cnexión para liberar la crrespndiente entrada en su tabla (la de dirección IP en el cas de NAT la de dirección IP y el puert TCP/UDP en el cas de NAPT). En TCP es fácil detectar el cierre de la cnexión a través de ls segments que tienen el bit FIN puest, per en UDP n existe un prcedimient explícit de descnexión, pr l que en ests cass nrmalmente se fija un tiemp de inactividad a partir del cual una 6-10

11 Internetwrking cnexión se cnsidera inexistente, bien se espera a tener que liberar recurss y entnces se cierra la cnexión que lleva más tiemp inactiva. Inclus en el cas más sencill del NAT básic estátic se plantean prblemas de difícil slución que hacen que determinadas aplicacines n funcinen a través de ests dispsitivs. Alguns ejempls de situacines en las que el NAT tiene dificultades n funcina sn las siguientes: Prtcl FTP. En el mment de establecer una cnexión FTP ls hsts intercambian una serie de mensajes que cntienen entre tra infrmación sus direccines IP. Lógicamente estas direccines han de mdificarse. El prblema en este cas es que las direccines n están cdificadas en el habitual frmat binari de 32 bits sin cm caracteres ASCII. Est plantea prblemas cuand el númer de caracteres de la dirección vieja y la nueva n cinicide. Cuand la nueva dirección es menr, pr ejempl cnvertir de (13 caracteres) a (11 caracteres) el prces de traducción puede ptar pr rellenar el camp cn cers ( ) para mantener cnstante el númer de ctets. Per cuand la traducción se realiza en sentid invers es precis aumentar en ds ctets la lngitud del segment TCP crrespndiente. Cm cnsecuencia de ell el NAT a partir de ese mment ha de incrementar en ds ctets ls cntadres de bytes que aparecen en ls camps númer de secuencia y númer de ACK para esa cnexión TCP; est supne que el NAT ha de mantener infrmación de estad para esa cnexión, mientras exista. Inclus pdría darse el cas de que el aument en ds ctets del segment prvcara la fragmentación del datagrama crrespndiente. En general cualquier prtcl del nivel de aplicación que incluya en la parte de dats infrmación sbre direccines IP númers de puert TCP/UDP supne un ret para un dispsitiv que hace NAT, ya que la detección y mdificación de dichas direccines requiere que el NAT analice y mdifique infrmación que se encuentra en la parte de dats del paquete IP, muchas veces perteneciente al nivel de aplicación. Alguns ejempls de est sn el prtcl de la ITU-T H.323 utilizad en videcnferencia y en telefnía pr Internet (vz sbre IP); también se encuentran en este cas ls juegs interactivs de Internet, las aplicacines tip Napster, etc. Nrmalmente el funcinamient de estas aplicacines a través de un NAT sól se cnsigue cuand el NAT está especialmente preparad para ell. La cmunicación de aplicacines NetBIOS sbre TCP/IP tiene prblemas parecids a las aplicacines del apartad anterir: la infrmación sbre direccines IP aparece de frma n cnsistente y cn desplazamients variables en la infrmación intercambiada pr ls hsts, l cual hace difícil que ls NAT las mdifiquen; cm cnsecuencia de ell n es psible utilizar TCP para transprtar NetBIOS cuand se atraviesa un NAT. IPSec sl puede utilizarse de frma limitada a través de un NAT. Est se debe a que IPSec incrpra una cabecera de autentificación (AH, Autentificatin Header) que permite al receptr detectar si el paquete IP ha sid mdificad en ruta. Evidentemente la cabecera AH n incluye el camp TTL ni el checksum, ya que se sabe que ests camps cambian de valr durante el camin de un datagrama, per si incluyen las direccines IP de rigen y destin. Cm estas direccines se mdifican en el NAT el receptr cuand cmprueba la cabecera AH detecta que el datagrama ha sid alterad y l descarta. Cuand se hace NAT sól es psible utilizar IPSec en md túnel y sól si el túnel se realiza en el mism dispsitiv que hace el NAT, después. En ests cass la cabecera AH se calcula después de haber realizad el cambi de direccines. A pesar de tdas las limitacines reseñadas NAT resulta un mecanism muy útil en un ampli abanic de situacines, pr l que es segur que se seguirá utilizand NAT en Internet durante bastantes añs, al mens hasta que se generalice el us de IPv6. Cn ese nuev prtcl y su abundante espaci de direccines parece difícil cncebir un escenari en el que tenga sentid utilizar NAT. Ls aspects más relevantes de NAT se discuten en ls RFC 1631 y

12 Redes de Ordenadres 6.6 EJERCICIOS 1. Indique si es verdadera falsa cada una de las siguientes afirmacines: a) Para transmitir simultáneamente paquetes de mas de un prtcl a nivel de red (p. ej. IP e IPX) pr un circuit ATM se emplea nrmalmente encapsulad IEEE b) La principal finalidad de un crtafueg firewall es cnectar una red lcal cn el exterir de frma que múltiples usuaris puedan cmpartir una misma dirección IP. c) La técnica denminada 'buques en la nche' (ships in the night, SIN) requiere el us de un prtcl de ruting distint para cada prtcl sprtad. d) El encapsulad es una técnica que permite aumentar la prprción de infrmación útil (dats) que se envía pr una línea determinada. 2. Una empresa psee ds ficinas, en cada una de las cuales hay instalada una red lcal. En cada red lcal funcinan diverss prtcls. Se quiere unir ambas ficinas, estimándse en 128 Kb/s el anch de banda necesari. La empresa puede dispner de enlaces a 64 Kb/s a un preci especialmente baj, pr l que utilizará ds de estas líneas. En cuant a ls equips a utilizar se plantean cuatr alternativas: a) Cuatr puentes transparentes sin spanning tree b) Cuatr puentes transparentes cn spanning tree c) Cuatr ruters multiprtcl cn ruting estátic d) Cuatr ruters multiprtcl cn ruting dinámic En tds ls cass ls equips tienen una interfaz serie (para cnectar a la línea de 64 Kb/s) y una interfaz ethernet. Serían válidas las cuatr? Discuta las ventajas e incnvenientes de cada una. 6-12

13 Internetwrking 6.7 SOLUCIONES S1.- a) Verdadera. b) Falsa. La principal finalidad es prteger la red de ataques externs. c) Verdadera. El nmbre pretende reflejar precisamente el hech de que ls paquetes riginads pr cada prtcl de ruting viajan pr la misma red física sin verse mutuamente, y nrmalmente sin interferirse uns cn trs. d) Falsa. El encapsulad, al añadir mas infrmación de cntrl, reduce en la práctica la prprción de infrmación útil que se envía pr la línea. S2.- a) Puentes transparentes sin spanning tree: sl se pdrá utilizar una línea, teniend que dejar la tra descnectada ya que de l cntrari se prducirán bucles que blquearían la red. La pareja de puentes n utilizada se pdría tener preparada para cnectar manualmente la segunda línea en cas de avería en la primera cnexión. b) Puentes transparentes cn spanning tree: se pdrán cnectar las ds líneas y ls cuatr equips, per de frma autmática se desactivará un de ls camins. El spanning tree permitirá que la segunda línea entre en funcinamient de frma autmática en cas de prblemas. c) Ruters multiprtcl cn ruting estátic: al dispner de ds ruters en cada lad se pdría repartir el rang de direccines en ds subredes de frma que cada subred se encamine pr una línea distinta. Est permitiría repartir el tráfic entre las ds líneas de frma estática, csa que nunca es óptima per al mens aprvecha las ds líneas en alguna medida. En cas de avería en una de las líneas las subredes crrespndientes quedarían aisladas entretant n se hiciera una recnfiguración manual de ls equips. d) Ruters multiprtcl cn ruting dinámic: en este cas el prtcl de ruting efectuará un repart óptim del tráfic entre las ds líneas; además en cas de avería de una de las líneas el tráfic será reencaminad autmáticamente pr la línea dispnible. Dad que se requiere dispner de 128 Kb/s entre las ficinas las únicas slucines válidas serían la c) y la d), siend esta última la mas rbusta y la que presenta mejr aprvechamient de la infraestructura. 6-13