Interconexión de redes internas. Cómo poner en pie la interconexión de redes. Interconexión de redes internas. Juan Carlos Cruellas Ibarz 1

Transcripción

1 Cómo poner en pie la interconexión de redes Usos de protocolos TCP/IP en una empresa: Interconexión de redes internas SIN acceso a la Internet global. Interconexión de redes internas con provisión de acceso restringido a la Internet global. Objetivos: breve descripción de elementos que intervienen en la planificación, configuración y puesta en pie de interconexión de redes con TCP/IP en ambos casos. Interconexión de redes internas Interconexión de redes internas SIN acceso a la Internet global. Identificar aplicaciones y personas que van a utilizarlas (correo electrónico, herramientas de trabajo en grupo, acceso vía HTTP a información, acceso remoto a máquinas de la empresa, etc) Planificación de distribución de a las máquinas. No acceso a exterior: uso Privadas, reservadas por InterNic para estos propósitos (RFC 1918). Internet Assigned Numbers Authority (IANA) reservó las siguientes: Interconexión de redes internas a (una red de clase A) a de red contiguas de clase B) a de red contiguas de clase C) Determinar equipos y software para poner en pie la interconexión de redes: routers, aplicaciones ( , servidores web, etc.) Configuración de la infraestructura (tablas de encaminamiento de hosts), configuración de routers, servidor de DNS, servidores de aplicaciones, etc. Juan Carlos Cruellas Ibarz 1

2 Conexión a Internet Cuando una empresa decide permitir acceso a Internet a (algunas de) las máquinas de sus redes, hay una serie de pasos técnicos y administrativos que seguir: Técnico: Identificar las aplicaciones Internet que sus empleados utilizarán, a efectos de estimar el ancho de banda requerido por la(s) conexión(es) a Internet y poder evaluar las ofertas de los ISP (Internet Service Provider). Técnico: Identificar claramente los requisitos de seguridad en lo concerniente al intercambio de información entre las redes de la empresa y la Internet global (p.e. firewall necesario?) Conexión a Internet Estudiar ofertas del ISP (Internet Service Provider) al que se contratará la conexión con Internet. En la valoración de la oferta intervienen diferentes elementos: Conectividad necesaria (tipos de conexiones ofrecidas, ancho de banda) Servicios adicionales de soporte a la puesta en pie de la conexión (algunos se ofrecen a tramitar determinadas solicitudes etc-) Costes de puesta en pie y costes anuales de gestión y mantenimiento de la conexión. Conexión a Internet Contratar el servicio operadora de telecomunicación. Solicitar un dominio (un.com, por ejemplo) Algunos ISPs se ofrecen a hacerlo cobrando. Si lo hace la propia compañía debe acudir a las instancias pertinentes. Solicitar IP por la(s) que los usuarios de Internet reconocerán a la(s) máquina(s) de la empresa. Juan Carlos Cruellas Ibarz 2

3 Conexión a Internet Evaluar las ofertas de equipos necesarios: Routers. Servidores Proxy. Servidores de aplicaciones TCP/IP. Firewalls, etc. Configurar la red interna y la conexión con Internet (proxy, router con NAT, etc.) Un dominio es un mecanismo de identificación utilizado en Internet, y que consta de varias palabras separadas por.. Las primeras suelen ser un conjunto de nombres identificativos de la organización, empresa, etc. La última representa la actividad o procedencia territorial. Las empresas registran su dominio en Internet porque de esa manera, éste pasa a ser algo así como su marca en Internet!. Tipos de dominios: Genéricos. Organizados conceptualmente..com: para empresas comerciales (>2x10 6 registrados)..org: para organizaciones..net: para empresas relacionadas con Internet..edu: gestionado por Network Solutions. Territoriales o geográficos. Dominios mantenidos por cada país (.es para España). Cada país tiene su propia reglamentación para asignar dominios. Propuesta (de CORE) de ampliación de los genéricos por tipo de actividad:.firm, dedicados a empresas.nom, páginas personales..shop, puntos de venta.arts, actividades artísticas.info, puntos de información.rec, actividades recreativas.web, páginas en Internet Juan Carlos Cruellas Ibarz 3

4 Gestión de proceso de asignación de dominios: Historia: Antes lo gestionaba la Internet Assigned Numbers Authority (IANA) ( -organización financiada por el gobierno de EEUU). Se decidió privatizar la prestación del servicio: el departamento de Comercio firmó un acuerdo con una corporación sin ánimo de lucro, la Internet Corporation for Assigned Names and Numbers (ICANN) ( Está acogió en su estructura las actividades técnicas de la IANA, que sigue asumiendo la gestión de bloques de y de dominios genéricos. Los dominios genéricos son registrados por una serie de empresas y organizaciones a las que ICANN otorga la capacidad de actuar como tales al avenirse a cumplir una serie de requisitos (ICANN-Accredited Registrars). En España: Nominalia (de la Fundacio Catalana per a la Recerca) ( Aparece como acreditado y operativo en la lista de ICANN. Interdomain ( El dominio territorial en España.es queda bajo los auspicios del Ministerio de Fomento: servicio ES-NIC ( gestionado por INECO (empresa pública). Se restringe el acceso al dominio territorial.es a las organizaciones legalmente establecidas en España, entendiendo como tal toda persona jurídica de derecho publico o privado debidament constituida de acuerdo con el marco normativo que las regule. Tarifas en: Alta o registro de nuevo dominio: pts Mantenimiento anual de dominio: 8000 pts Juan Carlos Cruellas Ibarz 4

5 Para los dominios genéricos no existe restricción alguna en cuanto a la entidad a la que solicitar el registro: puede pedirse a cualquiera. Una empresa puede: Hacer uso de los servicios de un ISP sin tener un dominio propio: empresa@isp.es. Adquirir un dominio propio y albergar sus servidores en la empresa: o empleado@empresa.es. Adquirir un dominio propio propio y encargar a un ISP que albergue ( hosting ) los servidores. ICANN a través de IANA está a cargo de la asignación de dichos bloques. RFCs relevantes: RFC Internet Registry IP Allocation Guidelines RFC Address Allocation for Private Internets RFC An Architecture for IP Address Allocation with CIDR Distinción entre Reserva de bloques (las autoridades correspondientes reservan bloques para ISPs que lo soliciten) (los ISP asignan a sus clientes bloques Juan Carlos Cruellas Ibarz 5

6 Gestión de asignación: jerarquía de organizaciones de registro (Internet Registry -IR-). Nodo raíz: IANA. Debajo: IRs regionales atendiendo a la zona del mundo (dimensiones continentales): RIPE NCC (Reseau IP Europeens) < APNIC (Asia-Pacific Network Information Center) < ARIN (American Registry for Internet Numbers ) < IRs Locales, establecidos con el consentimiento de los regionales e IANA. Los regionales delegan determinadas tareas en ellos. Hay una cierta componente geográfica en la reserva de Reserva de bloques de a ISPs Los ISPs solicitan a sus RIs regionales la reserva de bloques de. Condiciones: Conectado a un nodo neutro. Conectado a Internet a través de dos conexiones (ninguna es favorecida en detrimento de la otra). Consideraciones iniciales: Se recomienda que los ISPs NO realicen asignación estática a usuarios que se conectan a través de modem.. Proceso mediante el cual una empresa consigue que se le delegue la autoridad sobre un bloque determinado de direcciones, de forma que es ella quien establece el reparto de tales direcciones entre sus máquinas. No puede subdelegar la autoridad sobre esas direcciones. Juan Carlos Cruellas Ibarz 6

7 Empresas que requieran mucho espacio deberían contactar directamente con el RI correspondiente. En caso contrario, deben contactar con algún ISP y solicitarle un bloque Reserva en Europa RIPE Network Coordination Centre: 1600 RIs Locales. Mantiene BD con las redes europeas. Primera reserva para un Local RI: 8192 direcciones Cobra por la primera solicitud y cuotas anuales en función de la categoría (pequeños, medianos y grandes). Algunos de los LIR de España Local Internet Registries offering service in SPAIN Enterprise European Space Agency - Mission Operations and Support <Registry Based in DE> GE Capital IT Solutions Europe <Registry Based in DE> SAP-AG Walldorf <Registry Based in DE> SIEMENS <Registry Based in DE> DANISCO <Registry Based in DK> Institut Municipal d'informatica (IMI) Recoletos Compania Editorial Alfa Laval <Registry Based in SE> EasyEverything Ltd <Registry Based in GB> Moss Plastic Parts <Registry Based in GB> Large ECRC <Registry Based in DE> Gigabell AG <Registry Based in DE> RedIRIS-CSIC Medium Arrakis, Servicios y comunicaciones, S.L. Xarxa Cinet, S.A Juan Carlos Cruellas Ibarz 7

8 Un ejemplo de tarifas Producto Cuota Cuota anual Trimestral Buzón de correo adicional ptas ptas Módulo de 5 Mb adicionales ptas ptas Directorio de mepresas con 5 Mb para Web (alta=5000pts) ptas ptas Dominio de web (10Mb) + Dom. Correo (incluye 5 cuentas bajo dominio) ptas ptas Subdominio Web (5Mb) ptas ptas Estadísticas de web ptas ptas IP fija ptas ptas *iva no incluido en los precios Algunas configuraciones para conectarse a Internet Varias posibilidades: A través de sistemas que implantan la traducción de (NAT: Network Address Translation ) A través de servidores proxy. A través de sistemas que incorporan ambos métodos para permitir mayor margen de juego. Network Address Translation Principios básicos en RFC 1631 Descripción: En la empresa las máquinas privadas de la RFC 1918 u otras para cuyos valores no se ha solicitado asignación por parte de un ISP o LIR. Un punto de conexión a Internet: el dispositivo (router) donde se efectúa el NAT (RNAT). Dirección IP válida y asignada. Un host envía un datagrama al RNAT. En él: Dirección IP no válida globalmente. Número de puerto efímero (puerto por el que la aplicación envía la información a TCP o UDP) Juan Carlos Cruellas Ibarz 8

9 Network Address Translation El RNAT recoge el datagrama y construye otro con cambios: Dirección IP la propia (globalmente válida). Un nuevo puerto efímero elegido de una lista de valores RNAT añade entrada en tabla. El receptor remoto del datagrama contestará con destinatario identificado por: Dirección IP del NAT Puerto efímero el asignado por el NAT El NAT convertirá el datagrama y sus contenidos y lo transferirá al host interno. Network Address Translation Comentarios: Altera no solo la cabecera del datagrama sino los datos (es allí donde aparecen los puertos) Complicado controlar todos los parámetros. No permite poner en pie política de control de acceso (de fuera hacia dentro o de dentro hacia fuera) Servidores Proxy Nacidos en contextos de firewalls de control de acceso y comunicación con el exterior. Genéricamente: un proxy es todo aquel sistema que actúa en representación de otro!!! Distinto al NAT!. Mecanismo: Un host interno decide comunicarse con otro remoto en el contexto de una comunicación (aplicación http, p.e.). El host envía los datos http correspondientes (una petición pe). El pretendido interlocutor es el host remoto (servidor WWW remoto). Juan Carlos Cruellas Ibarz 9

10 Servidores Proxy El servidor proxy captura el envío y extrae el contenido de la petición. A continuación genera una petición de las mismas características pero erigiéndose en cliente y transfiere la petición al servidor remoto. Cuando el servidor remoto contesta, el proxy recoge la respuesta y se la transfiere al host interno. Comentarios: Diseñados para trabajar a nivel de aplicación: NO hacen traducción de direcciones, simplemente recogen peticiones, construyen otras semejantes y hacen el trabajo por el host. Servidores Proxy Mayor trabajo de configuración (cada aplicación tiene su propio formato de elementos de diálogo). Permite establecer restricciones de acceso en ambos sentidos. Permite hacer logs de las sesiones. Redes Privadas Virtuales Redes corporativas. Las redes físicas (internas) están en lugares separados. Interconectadas por Routers a través de Internet. Las direcciones de los hosts en las redes físicas son privadas. Los routers que conectan las redes a Internet tienen direcciones públicas válidas. Los hosts de unas redes internas envían información a hosts de otras redes internas. Juan Carlos Cruellas Ibarz 10

11 Redes Privadas Virtuales Los Routers operan de la forma siguiente: Los datagramas que hosts de redes internas envían a hosts en otras redes de la Red Privada Virtual, son enviados fuente privadas. El router cifra los datagramas y encapsula el resultado en datagramas fuente la propia y destino la del router que conecta la otra red interna a Internet. Redes Privadas Virtuales Los datagramas generados por hosts remotos de otras redes de la Red Privada Virtual llegan de Internet encapsulados en datagramas que tienen destino la del router. Este quita la cabecera externa, descifra, encuentra la otra que contiene privada del host de la red interna y lo encamina hacia el. Tunnelling: mecanismo consistente en encapsular datagramas IP dentro de datagramas IP. Utilizado también para la coexistencia de IPv4 con IPv6. LAN FDDI Redes Privadas Virtuales Red interna (pública y válida) SEDE (pública y válida) SEDE 2 Internet Red interna Host A ( ) genera datagrama para Host B ( ), en otra red interna de la Router cifra y encapsula datagrama generado por remitente en un datagrama la suya propia la del router de la otra Datagrama original cifrado 3. Router recibe datagrama, descifra sus contenidos, recupera el datagrama original generado por host A y lo encamina hacia el host Juan Carlos Cruellas Ibarz 11