REDES DE COMPUTADORAS INSTITUTO POLITÉCNICO NACIONAL ESCUELA SUPERIOR DE INGENIERÍA MECÁNICA Y ELÉCTRICA UNIDAD ADOLFO LÓPEZ MATEOS - ZACATENCO

Transcripción

1 INSTITUTO POLITÉCNICO NACIONAL ESCUELA SUPERIOR DE INGENIERÍA MECÁNICA Y ELÉCTRICA UNIDAD ADOLFO LÓPEZ MATEOS - ZACATENCO ACADEMIA DE COMPUTACIÓN LABORATORIO DE DESARROLLO DE REDES PRACTICA No.8 México DF. Abril de 2004

2 PRÁCTICA 8.- Network Address Translation 1. Objetivo: Al término de esta práctica el alumno será capaz de: Comprender los conceptos básicos de monitoreo de tráfico de red. Realizar configuraciones básicas en switch-routers Enterasys mediante comandos de rutas estáticas. Uso de un sniffer comercial (Ethereal). 2. Material Cables Rectos y cables cruzados XSR, SSR 8000 y HUB Práctica No. 6 Ruteo Estático Practica No. 7 Sniffer 3. Introducción 3.1 Definición (Network Address Translation) es una técnica de traducción entre direcciones IP, que permite que una dirección IP privada pueda acceder a una red pública a la cuál solo se puede tener acceso mediante una dirección IP pública. A lo largo de esta práctica, se entrará en detalle del funcionamiento de y sus aplicaciones GENERALIDADES DE : El protocolo (Network Address Translation) está documentado en el RFC 1631 del IETF. Opera sobre un router entre una red interna (local) y una red pública externa (global). se usa frecuentemente con un grupo especial de direcciones llamadas direcciones de Intranet (Tabla 1), aunque es capaz de trabajar con cualquier tipo de direccionamiento IP. Los más beneficiados con son los proveedores de servicio porque se ahorran costos de registro de un gran número de direcciones de red con la InterNIC. Con, cualquier empresa puede tener su propio esquema de direccionamiento IP y usar sólo un número limitado de direcciones IP para el acceso a Internet (generalmente, las direcciones de Intranet). En resumen, un router configurado con sólo necesita una dirección válida para conectarse a Internet, ya que las direcciones de Intranet serán traducidas a esta.

3 Clase de la Red Direccionamiento de Red A B C Tabla 1:Direcciones de Intranet (RFC 1918) Utilización suele utilizarse cuando tenemos una red local con equipos con direccionamiento privado y queremos que dichos equipos puedan acceder a una red con direccionamiento público como pueda ser Internet. Dado que el número de direcciones IP es limitado y que el crecimiento de Internet ha ido reduciendo el número disponible de estas direcciones, a la hora de montar una red con direcciones públicas, debe justificarse dicha necesidad de direccionamiento público ante el organismo oficial correspondiente (RIPE para la zona europea). Debido a ello, los ISP se han vuelto realmente exigentes en la concesión de direcciones IP Públicas cuya justificación no sea exhaustiva, hasta el punto que algunos ISP están volviendo a asignar direcciones públicas dinámicas en lugar de estáticas. Por ello, y unidos a otros motivos como es la seguridad, los equipos de las redes locales suelen emplear direcciones IP privadas y en consecuencia, como tales, no son visibles ni accesibles desde Internet. Es aquí donde entra en juego permitiendo que, mediante la disposición de una IP pública común, algunos o todos los equipos de la red local tomen como suya dicha dirección IP pública, a modo de "alias", y la puedan utilizar para tener conectividad con el exterior de la red local. Un ejemplo sencillo de utilización de lo podemos encontrar en una red local de carácter residencial en la que se tiene una conexión con Internet por una línea ADSL con un router con interface ADSL (hay conexiones ADSL que no necesitan router y simplemente funcionan con un modem), y tres PC s conectados entre sí por un Hub. En este caso, si queremos que todos los PC s puedan salir a Internet directamente (sin pasar por ningún otro PC), bastará con conectar el router ADSL a un puerto RJ45 del Hub y configurar debidamente la facilidad en el router y la configuración de red necesaria en los PC s. De no hacerlo así, hasta ahora un ISP solo facilitaba una dirección IP pública con la líneas ADSL y solo un PC podría hacer uso de ella de forma simultánea. Pincha aquí para ver más en detalle este ejemplo. 3.2 FUNCIONAMIENTO DE Para entrar en el detalle del funcionamiento de, veremos los tipos de implementación más típicos que existen y su funcionamiento, así como ventajas e inconvenientes en cada caso.

4 3.2.1 Estático En este modo, la traducción entre direcciones IP privadas y direcciones IPs públicas se realiza de forma unívoca una a una. Este es el caso más sencillo de configuración, y la tabla de traducciones tiene dos columnas principalmente. A continuación presentamos un ejemplo del funcionamiento estático. En este ejemplo, el PC A tiene asignada la dirección privada y el PC B tiene la dirección IP privada El administrador de la red dispone en este caso de dos direcciones IP públicas, la y la Supongamos que el PC A y el PC B quieren tener salida a Internet. Para ello, utilizando estático se debe configurar en el ruteador una tabla de traducción en la que, por ejemplo cuando al router R le lleguen paquetes con dirección IP origen , modifique esta dirección por la IP y si le llegan paquetes con Ip origen la reemplace por la IP El funcionamiento con los paquetes de entrada al router desde Internet es similar. Al tener cada dirección privada una única dirección pública dedicada, no es necesario realizar ningún otro tipo de traducción. Es la opción de más sencilla de implementar y la que menos recursos consume al router, sin embargo, también es la menos flexible Dinámico En este caso, las direcciones privadas se traducen aleatoriamente por las direcciones públicas que haya disponibles. Es decir, ya no ocurre como en el estàtico en el que cada IP privada tenía asignada una única IP pública, sino que aquí cuando una IP privada necesita traducción, el router tiene un conjunto o "pool" de direcciones públicas por las que puede traducir la IP privada. La limitación en cuanto a asociación uno a uno entre direcciones IP se sigue manteniendo y lo que varía en el ejemplo anterior es que la IP puede escoger, en función de sí está libre o no, entre la o la

5 Esta opción de representa una ventaja significativa respecto a la opción estática y es que podemos tener un número de direcciones privadas mayor que el número de direcciones públicas, de modo que si estudiamos bien las concurrencias en la utilización de direcciones IP públicas cada vez que un PC con dirección privada requiera de una dirección pública pueda disponer de una de ellas. Por ejemplo, podemos tener 6 direcciones privadas y 3 direcciones públicas, veamos la diferencia entre estático y dinámico: con estático únicamente podríamos traducir 3 direcciones privadas por 3 direcciones públicas y además siempre sería la misma traducción. Por ejemplo, los PCs A, B y C, mientras que los PCs D, E y F nunca llegaría a traducir su dirección privada por una de las públicas, aunque A, B o C no estuviesen ni siquiera encendidos. Con dinámico, tampoco podríamos traducir más de 3 direcciones privadas, sin embargo al ser dinámicos no se está obligado a que siempre sean los mismos equipos. Es decir, las direcciones públicas se asignan bajo demanda y por ejemplo, en un determinado momento A, B y D pueden estar traduciendo sus direcciones, si en ese mismo momento E quiere traducir también se le notificaría un error y no podría hacerlo. Si A desconecta, entonces al quedar libre una dirección pública ésta puede ser utilizada por otra dirección privada. Por tanto, la principal diferencia en el funcionamiento entre estático y dinámico radica en que en el dinámico las direcciones públicas se asignan bajo demanda a las direcciones privadas, mientras que en el estático se asignan de forma predeterminada NAPT (Network Address Port Traslation - Overloading) Este tipo de es una evolución con vistas a evitar que cualquier equipo de la red local con una dirección privada pueda quedar excluido de utilizar una dirección pública debido al menor de número de estas en relación a las primeras, como puede ocurrir si utilizamos únicamente dinámico. Pero no solo su objetivo es ese, sino que además gracias a NAPT con una única dirección pública podemos traducir un gran número de direcciones privadas.

6 El funcionamiento de NAPT se basa en utilizar para la traducción (dirección privada dirección pública), no solo las direcciones IP, sino también el número de puerto por el cual se establece la conexión, por lo que pueden traducirse tantas direcciones privadas como puertos (unos 4.000). Es decir, mientras que en los casos anteriores solo utilizábamos el nombre de pila para traducir, con NAPT también utilizamos los apellidos. EL NAPT SOLO FUNCIONA PARA APLICACIONES QUE USAN TCP Y UDP, un ping, que usa ICMP no funcionara con NAPT Este modo es el más utilizado y funcionalmente es el que más ventajas aporta, si bien es cierto que es el que más recursos consume y en tráficos muy elevados es necesario dimensionar correctamente el router en cuento a memoria para que otras funcionalidades del equipo no se vean penalizadas. Veamos el funcionamiento de NAPT con un ejemplo. Supongamos que tenemos 3 PC s A, B y C con direcciones privadas , y , y un router con dirección pública Supongamos además que todos los PC s quiere salida a Internet vía Web, es decir utilizando el protocolo http, por lo que deberán utilizar el puerto 80 como puerto destino de sus paquetes IP. Con esto, la información que le llega al router en los campos de dirección origen, puerto origen, dirección destino y puerto destino de los paquetes provenientes de los PC s es PC de red IP Origen Puerto Origen IP Destino PC A * PC B * PC C * Puerto Destino * el puerto origen, es decir por el cual el PC x inicia la comunicación no es el puerto 80 de HTTP, ya qye este puerto queda reservado como puerto específico del protocolo. El puerto origen suele ser un puerto aleatorio entre los valores 1024 y 4xxx La limitación real la tenemos en la dirección IP pública ya que no podemos asignar la misma IP pública a dos direcciones privadas diferentes ya que sino, cómo podemos saber hacia dónde encaminar la información? (podría ocurrir que un paquete con destino al PC A le fuese enviado al PC B y viceversa). Para evitar esto, al hacer NAPT, el ruteador por cada sesión que se le inicia crea una entrada en la tabla de traducciones en la que asigna a cada par (Dir IP origen, puerto origen) un par (Dir Pública, Puerto PAT) de forma que este último par no se repita en ninguna otra fila de la tabla. Veamos como quedaría la tabla de traducciones en este ejemplo: PC de red IP Origen Puerto IP Origen Origen Traducida (Pública) Puerto Origen Traducido (puerto PAT) IP Destino Puerto Destino A B C De este modo, cuando al router le llegue un paquete con IP origen la del PC A, sustituirá la IP origen por la IP pública y el número de puerto por el puerto 1. Con esta última información, es con la que el paquete viajará por Internet, llegará a su destino y será tratado.

7 El destino por tanto, enviará la respuesta a la IP pública y al puerto 1, en respuesta a esa conexión. Cuando al router le llegue esa paquete de respuesta, realizará la traducción inversa volviendo a sustituir en este caso los valores de IP y puerto 1, por los originales, IP privada y el puerto que tuviese asignado en su momento. Por tanto, en NAPT una conexión queda unívocamente definida por los cuatro parámetros de la derecha de la tabla (IP Origen, Puerto Origen, IP Destino, Puerto Destino). Por tanto, la traducción no queda reducida a la IP privada, sino que podemos tener dos entradas de la tabla con la misma IP privada, distinto puerto origen y en consecuencia, misma IP pública y distinto puerto PAT. Por ejemplo, si desde una misma PC estamos navegando por Internet, descargando el correo electrónico y haciendo FTP, la tabla siguiente muestra la traducción que se realizaría:. PC de red IP Origen Puerto IP Origen Origen Traducida (Pública) Puerto Origen Traducido (puerto PAT) IP Destino Puerto Destino A (HTTP) A (STMP) A (FTP) Es importante destacar que cuando configuramos en un router debemos hacerlo por interface, es decir estrictamente no configuramos en el router en sí, sino sobre sus interfaces. Esto puede resultar muy útil cuando queremos discriminar la salida del tráfico, en función del tipo que sea, por diferentes interfaces (por ejemplo, ADSL y FR, dos ADSLs,...)

8 4. Desarrollo: 4.1 Primero configure las direcciones que se muestran en los equipos como lo indica la figura (NOTA: Las direcciones de las PC s son direcciones no homologadas, es decir no son direcciones válidas para la Internet; pero en cambio las direcciones tanto de las interfases de salida como la dirección asignada de salida si son válidas para la red). Todas las direcciones van a llevar una mascara de 24 bits 4.2 Ahora tenemos que configurar el servicio en los ruteadores use los comandos correspondientes al ruteador que estas ocupando para eso tendremos que hacer uso del ANEXO. 4.3 Una vez levantado el servicio en el ruteador tenemos que levantar el servicio de FTP en la PC D para conectarnos a este Primero tenemos q instalar el servidor de FTP y una vez instalado tenemos que inicializarlo, y es donde nos aparecerá una pantalla como la siguiente: Le damos clic al botón de usuario nuevo y es aquí donde nos aparecerá la siguiente pantalla:

9 En primer lugar se agrega un usuario y esto se hace dando clic con el secundario en donde dice USER ACCOUNTS, escogemos ADD y posteriormente el nombre usuario, una vez hecho esto asignamos un PASSWORD y por ultimo tenemos que asignar las carpetas que van a pertenecer a este usuario y ahí asignárselas para esto damos clic con el botón secundario en el espacio en blanco donde dice ACCESS RIGHTS y después se dice los derechos que tienen estas carpetas activando los cuadros de el costado derecho. El siguiente paso es activar el FTP. En la pantalla principal de clic en el icono del rayito y cheque en la ventana principal que este activado 4.4 Abra el Sniffer en cualquiera de las PC cliente y en el servidor FTP, después habrá sesiones FTP desde la PC s hacia el servidor FTP y haga la captura de este tráfico con el sniffer. 4.5 Llene las siguientes tablas con la información de snffer a) Captura de una terminal cliente Encab. IP Versión HLong TOS IP-Origen IP-Destino DATOS Encab. Puerto origen Puerto Destino Numero de secuencia Opciones y relleno TCPDATOS

10 b) Captura del servidor FTP Encab. IP Versión HLong TOS IP-Origen IP-Destino DATOS Encab. TCP Puerto origen Puerto Destino Numero de secuencia Opciones y relleno DATOS Cuestionario: 1.- Cuando configuramos en un ruteador, se aplica la traducción sobre todas las conexiones provenientes de la red privada? 2.- Cómo influye en la seguridad de la red privada? 3.- Se puede montar un servidor Web con una IP privada? Pueden mis usuarios, externos a la red privada, tener problemas a la hora de acceder a él con? 4.- Un ruteador haciendo y Proxy realizan la misma tarea? 5.- Qué son direcciones no homologadas y cuales son? 6. Sólo podemos hacer con direcciones IP no homologadas en la parte de la red privada? 7.- Diferencias entre estático, dinámico y P 8.- Para que protocolos de tcp/ip de capa 4 funciona P? 9.- Qué son los puertos lógicos? 10.- Qué es un servidor FTP y en que puerto, por norma, está escuchando las peticiones FTP? 11.- De la captura realizada en el punto 4.5, mencione las diferencias entre las capturas y diga cual fue la función del en dichas capturas.

11 ANEXO A (PARA SSR) 1. Para crear una interface tenemos el comando: Este comando se obtiene de la practica 6 de Ruteo Estático Esto se debe de hacer 2 veces o dependiendo de las interfaces que se necesiten levantar, solo se cambian los nombres y las direcciones de IP y de puertos 2. Después se dice los permisos para la red interna: acl <nombre de la declaración> permit ip <IP de sub red / mascara> 3. Ahora se levanta el servicio y de declara q interface contiene la sub red interna y cuan la sub red externa nat set interface <nombre de la interface> incide nat set interface <nombre de la interface> outside 4. el siguiente comando hace q nuestro servicio sea dinámico nat create dynamic local-acl-pool <nombre de la declaracion> local-global-pool enableip-over-load <IP de salida> ANEXO B (PARA XSR) 1. Primero se crean las interfaces: Este comando se obtiene de la practica 6 de Ruteo Estático 2. Creamos los permisos de cómo una lista de acceso: access-list <numero de la lista puede ir desde 1 hasta 99> permit <IP de sub red> <IP de mascara inversa> 3. se levanta el servicio de : ip nat source list <numero de la lista puede ir de 1 hasta 99> asigned overload