ARQUITECTURA DE REDES DE COMUNICACIONES ÍNDICE TEMÁTICO

Transcripción

1 ARQUITECTURA DE REDES DE COMUNICACIONES ÍNDICE TEMÁTICO I. ARQUITECTURA TCP/IP 1. Protocolo IPv6 (ICMPv6) 2. IP móvil en IPv6 3. Transición de IPv4 a IPv6 4. Encaminamiento dinámico de unidifusión y MPLS 5. Multidifusión IP 6. Encaminamiento dinámico de multidifusión 7. TCP: Confirmación selectiva (SACK) y control de la congestión 8. Aplicaciones multimedia en tiempo real (RTP y VoIP) y modelos de calidad de servicio II. SERVICIOS Y TECNOLOGÍAS DE SEGURIDAD EN INTERNET 1. Amenazas, servicios y mecanismos de seguridad 2. Seguridad Web y correo electrónico 3. Protección de las comunicaciones: Intranets y Redes privadas virtuales 1

2 Arquitectura de Redes de Comunicaciones Documentación: Tema I, Capítulo 2 material TRANSPARENCIAS PROBLEMAS TCP/IP Tutorial and Technical Overview, Lydia Parziale, David T. Britt, 8ª edición (Diciembre 2006). Redbooks: Libro descargable desde Internet).Los RFCs que se indiquen 2

3 Objetivos de la Tecnología IP Móvil (MIP) Que los nodos al moverse de una red a otra mantengan: Su dirección IP permanente o de origen o nativa Su conectividad en el nivel de red, transporte y aplicación Sus comunicaciones (sin cambiar la dirección IP permanente) con independencia de la localización No se modifiquen, en los correspondientes servidores DNS, los registros de la direccción IP del nodo móvil 3

4 Situación Actual de la Tecnología IP Móvil (MIP) Las nuevas mejoras de la tecnología IP móvil actual están pensadas y diseñadas para IPv6 (MIPv6) Movilidad en IPv4 (MIPv4, RFC-3344): Compleja (más procesos, encaminamientos menos eficientes) y obsoleta Movilidad en IPv6 (MIPv6, RFC-3775): Más sencilla y eficiente (menos procesos) y más fácil de implantar 4

5 Escenario de la Movilidad en IPv6 MN (Mobile Node) NODO MÓVIL RAL remota RAL de origen Dominio local Router (dominio local) Internet Router (dominio remoto) CN Dominio remoto (Correspondent Node) NODO CORRESPONSAL Objetivo: MN pueda conservar permanentemente su dirección IP de origen o nativa, independientemente de su ubicación física, y seguir manteniendo sus comunicaciones y recursos como si estuviera en su RAL de origen CN no sabe que MN se ha movido!!! 5

6 3 Entidades Funcionales de la Tecnología IPv6 Móvil MN (Mobile Node) RAL de origen Router de la RAL de origen con funcionalidad IP móvil y que hace de REPRESENTANTE de MN en su ausencia HA (Home Agent) AGENTE DE CASA RAL remota NODO MÓVIL Dominio remoto Dominio local Router (dominio local) Internet Router (dominio remoto) CN (Correspondent Node) NODO CORRESPONSAL CN no sabe que MN se ha movido!!! 6

7 Registro previo de MN con HA para que HA sea su Representante y pueda hacer un Túnel con MN MN NODO MÓVIL RAL de origen DIRECCIÓN PERMANENTE-----DIRECCIÓN TEMPORAL (CoA) En este momento HA representa a MN HA (Home Agent) Router MH (dominio local) (AGENTE DE CASA) Internet (dominio remoto) CN RAL remota MN obtiene una dirección temporal (CoA) en la RAL remota Túnel IP : Proceso de encapsulación del paquete IP original, enviado por CN a la dirección permanente de MN, en otro paquete IP enviado por HA a la dirección temporal de MN Objetivo de un Túnel IP: No tocar o modificar las direcciones origen y destino del paquete original enviado por CN 7

8 Nodo móvil (MN) Entidades Funcionales y Terminología IPv6 Móvil Terminal con funcionalidad IP móvil que se conecta a otra red IP manteniendo su dirección IP Agente de casa (HA) Router con funcionalidad IP móvil en la red original de MN Representante de MN en su ausencia y una vez MN haya registrado, previamente, en HA su CoA Nodo corresponsal (CN) Terminal con funcionalidad IP móvil que está manteniendo una comunicación con MN Dirección Care-of-Address (CoA) Dirección IP temporal de MN en la RAL destino La dirección CoA se utiliza exclusivamente para definir el extremo del túnel IP móvil en MIPv6 8

9 Túnel IP Móvil en la Movilidad IPv6 MN obtiene la dirección CoA CN HA Intercepta, encapsula y encamina, en un paquete IPv6, el paquete IPv6 original enviado por CN a la dirección permanente de MN Origen: CN Destino: MN datos RAL DE ORIGEN Inicio y Final del túnel de IP móvil Origen: HA Destino: CoA Origen: CN Destino: MN Internet TÚNEL BIDIRECCIONAL Túnel de IP móvil Dirección IP temporal CoA CoA RAL REMOTA MN Origen: HA Destino: CoA Origen: CN Destino: MN datos datos Origen y Destino reales Dirección IP permanente 9

10 4 Etapas en la Movilidad IPv6 1. Descubrimiento de Agentes (Agent Discovery): Proceso en MN de detección del Router local o RAL local o Router remoto o RAL remota 2. Adquisición de una CoA (New-CoA adquisition): Proceso de obtención de una nueva CoA por MN El nodo móvil (MN) cuando cambia de red tiene dos direcciones: Dirección permanente de la RAL origen o de casa (Home Address) Dirección temporal de la RAL destino (Care-of-Address) 3. Registro (Registration) con HA: Actualización de la tabla de asociación (binding) del HA con un paquete IPv6, procedente de MN, con la cabecera de extensión de movilidad y la opción de Actualización de la Asociación (Binding Update): Dirección permanente-coa 10

11 4 Etapas en la Movilidad IPv6 4. Triángulo de encaminamiento y encapsulación (Routing and Tunneling): Túnel IP móvil atravésdehapermitiendo comunicaciones entre MN y uno ovarioscn El nodo corresponsal (CN) no se da cuenta de que el terminal móvil está en otra red y envía paquetes a la RAL origen de MN Los paquetes con destino al MN son interceptados por HA (Home Agent) y enviados por un túnel de IP móvil a la red remota donde está MN Las respuestas de MN a CN y, posteriormente, de CN a MN por el triángulo con HA MN envía los paquetes con su CoA (dirección origen) Si pusiera su dirección permanente, el router podría (por seguridad) hacer un filtrado y descartar el paquete porque la dirección de origen no coincide con el prefijo de red (evitando un posible ataque a una máquina por Internet desde una máquina con una dirección extraña en dicha red destino) OPTIMIZACIÓN DEL TRIÁNGULO o RESPUESTAS DIRECTAS: Las respuestas de MN a CN y, posteriormente, de CN a MN, directamente entre ellos, es decir, rompiendo el triángulo y, por tanto, sin pasar por HA 11

12 3 Actores, 4 etapas y 2 Tipos de Comunicaciones en IPv6 Móvil (RFC-3775) 0 RAL de origen CN con funcionalidad de IP móvil para el manejo de mensajes específicos HA (Home Agent) 4b Router de MH (dominio local) 3 Túnel Bidireccional HA-MN En este momento HA representa a MN (AGENTE DE CASA) Internet (dominio remoto) CN 6 RAL remota CN con funcionalidad de IP móvil para el manejo de mensajes específicos MN NODO MÓVIL 5 1 Descubrimiento de agente (router) y prefijo remoto (mensaje ND de Anuncio de Router) + 2Autoconfiguración automática de CoA (prefijo+eui-64) Dos comunicaciones posibles: 1. TÚNEL BIDIRECCIONAL (triángulo) de CN a MN y de MN a CN, SIEMPRE VÍA HA 2. RESPUESTAS DIRECTAS (SIN HA) de MN a CN y, luego, de CN a MN 4a CN con funcionalidad de IP móvil para el manejo de mensajes específicos 12

13 Proceso de Señalización o Envío de Mensajes entre las 3 Entidades Funcionales en las 2 primeras Etapas de Movilidad 1. Descubrimiento de Agentes o detección del router local en la RAL local o router remoto en la RAL remota Mensaje ND de Anuncio de Router: Transmitido regularmente por un router local a MN para indicar su existencia y características mediante un mensaje ICMPv6 de Anuncio de Router (Tipo = 134) con una o más opciones de información del mensaje ND (dirección MAC del router, PREFIJO DE RED, MTU, información del HA, etc.) con información específica para los MN Por el prefijo de red, MN sabe si está en casa o fuera 2. Adquisición de una CoA: Sólo cuando MN detecta que está en una RAL remota obtiene CoA por autoconfiguración automática (prefijo de red + EUI-64) o por DHCPv6 13

14 Formato del Mensaje ND de Anuncio de Router Etapa de Descubrimiento de Agentes Formado por un Mensaje ICMPv6 de Anuncio de Router (134) Los mensajes del protocolo ND se construyen con mensajes ICMPv6 Cabecera Fija Cabecera Siguiente= 58 Cabecera ND Tipo = 134, Código=0, checksummac, prefijo, información HA,etc.. Del router Mensaje ICMPv6 de Anuncio de Router MENSAJE ICMPv6 de Anuncio de Router Mensaje ND de Anuncio de Router Cabecera ICMPv6 Se envía, periódicamente, por multidifusión. También, por unidifusión en el caso de una respuesta a un mensaje ND de Solicitud de Router En el campo de opciones de información de control aparece la propia dirección MAC del router, el prefijo de red,etc. Cuerpo ICMPv6 Opciones de Información de Control del Cuerpo del Mensaje ND De red para la autoconfiguración de la dirección Por el prefijo de red, MN sabe si está en casa o fuera Opción de Información del Home Agent en IPv6 móvil (si el router local es HA) 14

15 3. Registro con HA: MNenvíaasuHAun paquete IPv6 con la cabecera de extensión de Movilidad que contiene la opción de Actualización de la Asociación (Binding Update): Dirección permanente-coa paralaactualizacióndelatabla de asociación de HA HA comprueba si MN está en la RAL de origen mediante un mensaje ND de Solicitud de Vecino creado a través de un mensaje ICMPv6 de Solicitud de Vecino (tipo 135) con la opción dirección IPv6 permanente de MN: La respuesta es un mensaje ICMPv6 de Anuncio de Vecino (tipo 136) que incluye la dirección MAC del vecino MN NohayrespuestadeMNsiMNnoestáensuRAL de origen Proceso de Señalización o Envío de Mensajes entre las 3 Entidades Funcionales en la 3ª Etapa de la Movilidad IPv6 15

16 Proceso de Señalización o Envío de Mensajes entre las 3 Entidades Funcionales en la 3ª Etapa de la Movilidad IPv6 Cabecera de Extensión de Movilidad Opción de actualización de la asociación (binding update): Dirección permanente de MN y CoA Registro inicial de MN con HA cuando MN obtiene su CoA en la RAL remota y, posterior, registro de MN con CN Una vez realizado el registro de MN en el router HA, MN realiza también el registro en CN y, a continuación, se lleva a cabo con éxito la prueba de encaminamiento Por tanto, es posible enviar directamente paquetes de MN a CN y de CN a MN sin pasar por el router HA Tras recibir un primer paquete de CN por el túnel vía HA, MN transmite directamente hacia CN Cuando MN regresa a casa (RAL de origen) también envía al HA una Cabecera de Extensión de Movilidad con la Opción correspondiente para indicarle de su regreso y de la no necesidad de una CoA Cualquier mensaje que incluya una actualización de la asociación (binding update) debe incluir una cabecera AH y otra ESP (o sólo ESP con funcionalidad AH) La movilidad IPv6 puede hacer uso de IPSec para todos los requerimientos de seguridad, como la autenticación, integridad y confidencialidad 16

17 Nueva Cabecera de Extensión IPv6 CABECERA DE EXTENSIÓN DE MOVILIDAD Cabecera siguiente en la anterior cabecera = 135 Para transportar mensajes de movilidad en IPv6 (Mobile IPv6) PermiteaMNregistrar y asociar su CoA con HA para túneles bidireccionales Permite a MN registrar y asociar su CoA, directamente, con CN para comunicaciones directas sin pasar por HA Tiene que ser la última cabecera en el paquete IPv6 Cabecera siguiente = 59, significa que NO HAY MÁS CABECERAS) y sin PDU del nivel superior 17

18 Cabecera de Extensión de Movilidad IPv6 Cabecera Fija Siguiente=135 Cabecera de Movilidad Siguiente=59 Bits Cab. Sig. = 59 Longitud Cabecera Tipo de Cabecera Reservado Suma de Comprobación 31 Datos del Mensaje Tipo de la Cabecera de Movilidad (8 bits): Identifica el correspondiente mensaje de movilidad. (7 mensajes) Tipo = 5: Mensaje de Actualización de la Asociación (Binding Update message) para que un MN notifique de su nueva CoA y dirección IP permanente Tipo = 6: Mensaje de Confirmación de la Asociación (Binding Acknowledgment message) que ratifica la recepción de un mensaje tipo = 5 y la indicación del tiempo que se guardará dicha asociación en memoria caché... Datos del Mensaje (n bits): Campo de longitud variable conteniendo datos opcionales de información (RFC-3775) Incluye mensajes para pruebas de encaminamiento (return routability) entre CN, HA y MN que garantizan que el binding update recibido es auténtico y que MN tiene asignada una dirección CoA en un momento determinado 18

19 Proceso de Señalización o Envío de Mensajes entre las 3 Entidades Funcionales en la 4ª Etapa de la Movilidad IPv6 4. Encaminamiento y encapsulación HA se ocupa de interceptar cualquier paquete destinado a la dirección permanente de MN Encaminamiento en triángulo: Si el CN se comunica con un MN, los paquetes se encaminan desde el CN hacia el HA que los encapsula y encamina al extremo del túnel con MN y cuya terminación es CoA OPTIMIZACIÓN (evitar el triángulo pasando por HA) o envío directo de respuestas entre MN y CN: REGISTRO: Una vez MN recibe por el túnel paquetes de uno o más CN, envía hacia dichos CN que se están comunicando con él, paquetes con la CABECERA DE EXTENSIÓN DE MOVILIDAD conteniendo la opción de Actualización de la Asociación (Binding Update) DATOS: Como MN puede responder directamente a CN sin pasar por el túnel con HA, pone su dirección temporal (CoA) como dirección origen del paquete y su dirección permanente en la CABECERA DE EXTENSIÓN DE OPCIONES PARA EL DESTINO De esta forma, la dirección IP CoA es transparente al nivel de red, transporte y aplicación de CN Posteriormente, CN envía paquetes IPv6 con una CABECERA DE EXTENSIÓN DE ENCAMINAMIENTO que contiene la dirección IP permanente de MN 19

20 Proceso de Señalización o Envío de Mensajes entre las 3 Entidades Funcionales en la 4ª Etapa de la Movilidad IPv6 Cabecera de Extensión de Opciones para el Destino Por ser una respuesta para el destino de la solicitud previa Tráfico de MN a CN (directamente sin pasar por HA) Los paquetes emitidos por MN llevan la dirección origen CoA en la cabecera fija y la dirección permanente de MN en la opción para que la dirección CoA sea transparente para el nivel de red, transporte y aplicación de CN La acción que debe realizar CN, al recibir el paquete, es CAMBIAR LA DIRECCIÓN ORIGEN CoA por la dirección permanente de CN que está en la cabecera de extensión de opciones para el destino 20

21 Proceso de Señalización o Envío de Mensajes entre las 3 Entidades Funcionales en la 4ª Etapa de la Movilidad IPv6 Cabecera de Extensión de Encaminamiento (tipo 2) Por ser una solicitud de servicio que se ha de encaminar hacia un destino temporal (CoA) Tráfico de CN a MN (directamente sin pasar por HA) Los paquetes emitidos por CN llevan la dirección destino CoA en la cabecera fija yladirección permanente del destino (MN) en la opción para que la dirección CoA sea transparente para el nivel de red, transporte y aplicación de MN La acción que debe realizar MN, al recibir el paquete, es CAMBIAR LA DIRECCIÓN DESTINO CoA por la dirección permanente de CN que está en la cabecera de extensión de encaminamiento 21

22 Cabeceras de Extensión en Movilidad IPv6 Valor decimal de cabecera siguiente Cabecera de extensión 0 Cabecera de extensión de opciones salto a salto 43 Cabecera de extensión de encaminamiento 44 Cabecera de extensión de fragmentación 51 Cabecera de extensión AH 50 Cabecera de extensión ESP 60 Cabecera de extensión de opciones para el destino 135 Cabecera de movilidad RFC-2460 RFC-4302 RFC-4303 RFC-2460 RFC

23 Cabecera de Extensión de Movilidad IPv6 de Opciones para el Destino Tráfico de MN a CN (directamente sin pasar por HA) Cabecera Fija Siguiente=60 Cabecera de Encaminamiento Siguiente=6 Segmento TCP Bits Cab. Siguiente = 6 Longitud cabecera Dirección permanente, original o nativa de MN (Así, la dirección CoA, o dirección origen del paquete, es transparente para el nivel de red, transporte y aplicación de CN) Cabecera siguiente (8 bits) Longitud cabecera (8 bits): Longitud de la cabecera en bloques de 8 octetos sin incluir los primeros 8 octetos Dirección permanente, original o nativa del emisor 23

24 Cabecera de Extensión de Movilidad IPv6 de Encaminamiento Tipo 2 Tráfico de CN a MN (directamente sin pasar por HA) Cabecera Fija Siguiente=43 Cabecera de Encaminamiento Siguiente=6 Segmento TCP Bits 0 Cab. Siguiente = Longitud cabecera Reservado Tipo de encamin.= 2 Direcciones restantes=1 Dirección permanente, original o nativa de MN (Así, la dirección CoA, o dirección destino del paquete, es transparente para el nivel de red, transporte y aplicación de MN) Cabecera siguiente (8 bits) Longitud cabecera (8 bits): Longitud de la cabecera en bloques de 8 octetos sin incluir los primeros 8 octetos Tipo de encaminamiento (8 bits): Actualmente se ha definido el tipo cero (encaminamiento estricto y no estricto de IPv4) y tipo 2 para IP móvil. Direcciones restantes (8 bits): Número de destinos intermedios (encaminamiento tipo cero) o 1 (encaminamiento tipo 2) Reservado (8 bits): A ceros Dirección permanente, original o nativa del destinatario 24

25 Movilidad IPv6 frente a IPv4 Diferencias En IPv6 no es necesario el Agente Foráneo (FA) Router remoto en la movilidad IPv6 no tiene que tener funcionalidad IP móvil En IPv6 se elimina el triángulo de encaminamiento Aunque se contempla también la posibilidad del túnel bidireccional En IPv6 se ha definido una nueva Cabecera de Extensión específica de Movilidad La utilizan CN, MN y HA en mensajes de actualización (binding) Registro del MN en HA y CN En IPv6 se utiliza una cabecera de extensión de Opciones para el Destino TráficodeMNalCN En IPv6 se utiliza una Cabecera de Extensión de Encaminamiento tipo 2 Tráfico de CN al MN En IPv6 van apareciendo progresivamente nuevos mensajes específicos ICMPv6 para la movilidad IPv6 sin necesidad de extraer la información de movilidad de otros mensajes ICMPv6 (p. ej., anuncio y solicitud de router) 25

26 Solicitud de Descubrimiento de Dirección del HA (Home Agent Address Discovery Request) Nuevos Mensajes ICMPv6 Específicos para IPv6 Móvil RFC-3775 Dirección IP y MAC de HA al llegar MN a casa Respuesta de Descubrimiento de Dirección del HA (Home Agent Address Discovery Reply) Enviada por el HA ante una solicitud previa Solicitud de Prefijo de red (Mobile Prefix Solicitation) Enviada por MN al router remoto (ida) y al HA (vuelta) Anuncio de Prefijo de red (Mobile Prefix Solicitation) Enviada por el router remoto y HA ante una solicitud previa 26

27 Ejercicio Práctico Una organización tiene oficinas en Madrid, León, Valencia y Barcelona. En cada oficina los equipos informáticos están conectados mediante tecnología Ethernet y utilizan un único router para su conexión a Internet 2001:630:80:9000:32 SL TM1 2001:630:80:8000::12 TM1 RM 2001:630:80:6000:: :630:80:7000::2 Un empleado de la oficina de Madrid que utiliza un terminal portátil TM1 se traslada a trabajar durante un mes a la oficina de Barcelona; por lo que ahora conecta su terminal TM1 a la red de dicha oficina de Barcelona. Se desea que siga disponiendo de la misma conectividad IPv6 que tenía en la oficina de Madrid, es decir, que no se modifiquen, en los correspondientes servidores DNS, los registros de la dirección IP del terminal TM1 27

28 2001:630:80:9000:32 SL CUESTIÓN a) TM1 2001:630:80:8000::12 TM1 RM 2001:630:80:6000:: :630:80:7000::2 Explicar la funcionalidad que deben tener los routers RM, RB y el terminal TM1; así como las acciones concretas que realizan cada uno de ellos 28

29 2001:630:80:9000:32 SL RESPUESTA a) 2001:630:80:5000::22 TM1 2001:630:80:8000::12 TM1 RM 2001:630:80:6000:: :630:80:7000::2 RM y TM1 deben tener funcionalidad de IP móvil, RB por el contrario no necesita ninguna funcionalidad adicional RM debe REGISTRAR la asociación de la dirección permanente (2001:630:80:7000::2) y CoA (2001:630:80:8000::12) de TM1 a partir de una cabecera de extensión de movilidad recibida de TM1 RM debe ENCAPSULAR los paquetes recibidos con dirección destino la dirección permanente de TM1 (2001:630:80:7000::2) en una nueva cabecera con dirección destino la CoA de TM1 (2001:630:80:8000::12) y dirección origen la dirección de RM del interfaz de Internet (2001:630:80:6000::33) 29

30 2001:630:80:9000:32 SL RESPUESTA a) (continuación) 2001:630:80:5000::22 TM1 2001:630:80:8000::12 TM1 RM 2001:630:80:6000:: :630:80:7000::2 TM1 debe ENVIAR a RM, para su registro, la asociación de la dirección permanente (2001:630:80:7000::2) y CoA (2001:630:80:8000::12) en una cabecera de extensión de movilidad TM1, en caso de que el tráfico pase por RM, debe DESENCAPSULAR los paquetes recibidos con dirección destino la dirección CoA de TM1 (2001:630:80:8000::12) TM1, en caso de que el tráfico venga directamente de SL, debe CAMBIAR la dirección destino del paquete recibido (CoA: 2001:630:80:8000::12) por la dirección que está en la Cabecera de Extensión de encaminamiento (dirección permanente: 2001:630:80:7000::2) 30

31 2001:630:80:9000:32 SL CUESTIÓN b) TM1 2001:630:80:8000::12 TM1 RM 2001:630:80:6000:: :630:80:7000::2 Una vez realizado el registro de TM1 en el router RM y, posteriormente, en el servidor SL, se envían directamente paquetes (sin pasar por el router RM) de SLaTM1ydeTM1aSL Indicar la estructura de la cabecera IP de un paquete que envía el Servidor SL al terminal TM1 (localizado en la oficina de Barcelona), detallando el contenido de los campos que se conozcan 31

32 2001:630:80:9000:32 SL RESPUESTA b) 2001:630:80:5000::22 TM1 2001:630:80:8000::12 TM1 RM 2001:630:80:6000:: :630:80:7000::2 Dirección Origen (SL): 2001:630:80:9000::32 Dirección Destino (CoA de TM1): 2001:630:80:8000::12 Cabecera siguiente: Cabecera de encaminamiento (43) Cabecera de Extensión de Encaminamiento: Dirección permanente de TM1 en la red de Madrid: 2001:630:80:7000::2 32

33 2001:630:80:9000:32 SL CUESTIÓN c) TM1 2001:630:80:8000::12 TM1 RM 2001:630:80:6000:: :630:80:7000::2 Indicar la estructura de la cabecera IP de un paquete que envía el terminal TM1 (localizado en la oficina de Barcelona) al Servidor SL, detallando el contenido de los campos que se conozcan 33

34 2001:630:80:9000:32 SL RESPUESTA c) 2001:630:80:5000::22 TM1 2001:630:80:8000::12 TM1 RM 2001:630:80:6000:: :630:80:7000::2 Dirección Origen (CoA de TM1): 2001:630:80:8000::12 Dirección Destino (SL): 2001:630:80:9000::32 Cabecera siguiente: Cabecera de Extensión de Opciones para el Destino (60) Cabecera de Extensión de Opciones para el Destino: Dirección permanente de TM1 en la red de Madrid: 2001:630:80:7000::2 34