seti

7

WWW,

Gopher,

SNMP

FTP

Telnet

SMTP

TFTP

6

I

WAIS

5

TCP

UDP

4

II

3

IP

ICMP

RIP

OSPF

ARP

III

2

Не регламентируется

Ethernet, Token Ring, FDDI, X.25, SLIP, PPP

1

IV

Рис.10 Соответствие уровней стека TCP/IP семиуровневой модели OSI

5.4.Адресация и маршрутизация в Internet

Встеке ТСР/IР используются три типа адресов: локальные (называемые также аппаратными), IР-адреса и символьные доменные имена.

Втерминологии ТСР/IР под локальным адресом понимается такой тип адреса, который используется средствами базовой технологии для доставки данных в пределах подсети, являющейся элементом составной интерсети. В разных подсетях допустимы разные сетевые технологии, разные стеки протоколов, поэтому при создании стека ТСР/IР предполагалось наличие разных типов локальных адресов. Если подсетью интерсети является локальная сеть, то локальный адрес — это МАС-адрес. МАС-адрес назначается сетевым адаптерам и сетевым интерфейсам маршрутизаторов. МАС-адреса назначаются производителями оборудования и являются уникальными, так как управляются централизованно. Для всех существующих технологий локальных сетей МАС-адрес имеет формат 6 байт, например 11-АО-17-ЗВ-ВС-

01.Однако протокол IР может работать и над протоколами более высокого уровня, например над протоколом IРХ или Х.25. В этом случае локальными адресами для протокола IР соответственно будут адреса IРХ и Х.25. Следует учесть, что компьютер в локальной сети может иметь несколько локальных адресов даже при одном сетевом адаптере. Некоторые сетевые устройства не имеют локальных адресов. Например, к таким устройствам относятся глобальные порты маршрутизаторов, предназначенные для соединений типа «точка-точка».

IР-адреса представляют собой основной тип адресов, на основании которых сетевой уровень передает пакеты между сетями. Эти адреса состоят из 4 байт, например 109.26.17.100. IРадрес назначается администратором во время конфигу: рирования компьютеров и маршрутизаторов. IР-адрес состоит из двух частей: номера сети и номера узла. Номер сети может быть выбран

41

администратором произвольно, либо назначен по рекомендации специального подразделения Internet (Internet Network Information Center, InterNIC), если сеть должна работать как составная часть Internet. Обычно поставщики услуг Internet получают диапазоны адресов у подразделений InterNIC, а затем распределяют их между своими абонентами. Номер узла в протоколе IР назначается независимо от локального адреса узла. Маршрутизатор по определению входит сразу в несколько сетей. Поэтому каждый порт маршрутизатора имеет собственный IР-адрес. Конечный узел также может входить в несколько IР-сетей. В этом случае компьютер должен иметь несколько IР-адресов, по числу сетевых связей. Таким образом, IР-адрес характеризует не отдельный компьютер или маршрутизатор, а одно сетевое соединение.

Символьные доменные имена. Символьные имена в IР-сетях называются доменными и строятся по иерархическому признаку. Составляющие полного символьного имени в IP-сетях разделяются точкой и перечисляются в следующем порядке: сначала – простое имя конечного узла, затем имя группы узлов (например, имя организации), затем имя более крупной группы (поддомена) и так до имени домена самого высокого уровня (например, домена объединяющего организации по географическому принципу: RU— Россия, UK — Великобритания, SU — США). Примером доменног имени может служить имя base2.sales.zil.ru. Между доменным именем и IP-адресом узла нет никакого алгоритмического соответствия, поэтому необходимо использовать какие-то дополнительные таблицы или службы, чтобы узел сети однозначно определялся как по доменному имени, так и по IР-адресу. В сетях ТСР/IР имеется специальная распределенная служба Domain Name System (DNS), которая устанавливает это соответствие на основании создаваемых администраторами сети таблиц соответствия. Поэтому доменные имена называют также DNS -

именами.

Классы IP-адресов

В отличие от физических (MAC) адресов, формат которых зависит от конкретной сетевой архитектуры, IP-адрес любого узла сети имеет длину 4 байта и обычно записывается в виде четырех чисел, представляющих значения каждого байта в десятичной форме и разделенных точками, например, 128.10.2.30 — традиционная десятичная форма представления адреса, а двоичная форма представления этого же адреса будет иметь вид: 10000000 00001010 00000010 00011110. Соответствие IP-адреса узла его физическому внутри сети (подсети) устанавливается

42

динамически посредством широковещательных запросов ARPпротокола. Адрес состоит из двух логических частей — номера сети, общего для всех узлов данной сети, и номера узла в сети, или хост-части, уникальной для каждого узла. Какая часть адреса относится к номеру сети, а какая — к номеру узла, определяется значениями первых бит адреса. Значения этих бит являются признаками того, к какому классу относится тот или иной IР-адрес. Соотношение размеров частей адреса зависит от класса сети. Классы сетей введены для наиболее эффективного использования единого адресного пространства Internet. На рис.11 показана структура IР-адреса разных классов.

									4 байта
			1 байт								3 байта
Класс А	0			№ сети							№ узла
					2 байта						2 байта
Класс B	1	0				№ сети					№ узла
							3 байта					1 байт
Класс C	1	1		0				№ сети				№ узла
Класс D	1	1		1		0			Адрес группы multicast
Класс Е	1	1		1		1	0				Зарезервирован
						Рис.11 Структура IPадреса

Если адрес начинается с 0, то сеть относят к классу А и номер сети занимает один байт, остальные 3 байта интерпретируются как номер узла в сети. Сети класса А имеют номера в диапазоне от 1 до 126. (Номер 0 не используется, а номер 127 зарезервирован для специальных целей, о чем будет сказано ниже.) Сетей класса А немного, зато количество узлов в них может достигать 224, то есть

16 777 216 узлов.

Если первые два бита адреса равны 10, то сеть относится к классу В. В сетях класса В под номер сети и под номер узла отводится по 16 бит, то есть по 2 байта. Таким образом, сеть класса В является сетью средних размеров с максимальным числом узлов 216, что составляет 65 536 узлов.

Если адрес начинается с последовательности 110, то это сеть класса С. В этом случае под номер сети отводится 24 бита, а под

43

номер узла — 8 бит. Сети этого класса наиболее распространены, число узлов в них ограничено 28, то есть 256 узлами.

Если адрес начинается с последовательности 1110, то он является адресом класса D и обозначает особый, групповой адрес — multicast. Если в пакете в качестве адреса назначения указан адрес класса В, то такой пакет должны получить все узлы, которым присвоен данный адрес.

Если адрес начинается с последовательности 11110, то это значит, что данный адрес относится к классу Е. Адреса этого класса зарезервированы для будущих применений.

Особые IP-адреса

В протоколе IР существует несколько соглашений об особой интерпретации IР-адресов.

Если весь IР-адрес состоит только из двоичных нулей, то он обозначает адрес того узла, который сгенерировал этот пакет; этот режим используется только в некоторых сообщениях IСМР.

Если в поле номера сети стоят только нули, то по умолчанию считается, что узел назначения принадлежит той же самой сети, что и узел, который отправил пакет.

Если все двоичные разряды IР-адреса равны 1, то пакет с таким адресом назначения должен рассылаться всем узлам, находящимся в той же сети, что и источник этого пакета. Такая рассылка называется ограниченным широковещательным сообщением.

Если в поле номера узла назначения стоят только единицы, то пакет, имеющий такой адрес, рассылается всем узлам сети с заданным номером сети. Например, пакет с адресом

192.190.21.255 доставляется всем узлам сети 192.190.21.0.

Такая рассылка называется широковещательным

сообщением.

При адресации необходимо учитывать те ограничения, которые вносятся особым назначением некоторых IР-адресов. Так, ни номер сети, ни номер узла не может состоять только из одних двоичных единиц или только из одних двоичных нулей. Отсюда следует, что максимальное количество узлов для сетей данного класса, на практике должно быть уменьшено на 2.

Особый смысл имеет IР-адрес, первый октет которого равен 127. Он использется для тестирования программ и взаимодействия процессов в пределах одной машины. Когда программа посылает данные по IР-адресу 127.0.0.1, то образуется как бы «петля». Данные не передаются по сети, а возвращаются модулям верхнего

44

уровня как только что принятые. Поэтому в IР-сети запрещается присваивать машинам IP-адреса, начинающиеся со 127. Можно отнести адрес 127.0.0.0 ко внутренней сети модуля маршрутизации узла, а адрес 127.0.0.1 – к адресу этого модуля на внутренней сети. На самом деле любой адрес сети 127.0.0.0 служит для обозначения своего модуля маршрутизации, а не только 127.0.0.1, например,

127.0.0.3.

Использование масок в IP-адресации

Традиционная схема деления IР-адреса на номер сети и номер узла основана на понятии класса, который определяется значениями нескольких первых бит адреса. Именно потому, что первый байт адреса 185.23.44.206 попадает в диапазон 128-191, мы можем сказать, что этот адрес относится к классу В, а значит, номером сети являются первые два байта, дополненные двумя нулевыми байтами — 185.23.0.0, а номером узла — 0.0.44.206.

Можно использовать также другой признак, с помощью которого можно было бы более гибко устанавливать границу между номером сети и номером узла. В качестве такого признака сейчас получили широкое распространение маски. Маска — это число, которое используется в паре с IР-адресом; двоичная запись маски содержит единицы в тех разрядах, которые должны в IР-адресе интерпретироваться как номер сети. Поскольку номер сети является цельной частью адреса, единицы в маске также должны представлять непрерывную последовательность.

Для стандартных классов сетей маски имеют следующие значения:

•класс А - 11111111. 00000000. 00000000. 00000000 (255.0.0.0);

•класс В - 11111111. 11111111. 00000000. 00000000 (255.255.0.0);

•класс С -11111111. 11111111.11111111. 00000000(255.255.255.0).

Снабжая каждый IР-адрес маской, можно отказаться от понятий классов адресов и сделать более гибкой систему адресации. Например, если рассмотренный выше адрес 185.23.44.206 ассоциировать с маской 255,255.255.0, то номером сети будет 185.23.44.0, а не 185.23.0.0, как это определено системой классов.

В масках количество единиц в последовательности, определяющей границу номера сети, не обязятельно должно быть кратным 8, чтобы повторять деление адреса на байты. Пусть, например, для IР-

адреса 129.64.134.5 указана маска 255.255.128.0, то есть в двоичном виде:

IP-адрес 129.64.134.5 - 10000001. 01000000.10000110. 00000101; маска 255.255.128.0 - 11111111.11111111.10000000.00000000.

45

Если игнорировать маску, то в соответствии с системой классов адрес 129.64.134.5относится к классу В, а значит, номером сети являются первые 2 байта — 129.64.0.0, а номером узла – 0.0.134.5.

Если использовать для определения границы номера сети маску, то 17 последовательных единиц в маске, «наложенные» на IР-адрес, определяют в качестве номера сети в двоичном выражении число:10000001.01000000. 10000000. 00000000 или в десятичной форме записи — номер сети 129.64.128.0, а номер узла

0.0.6.5.

Механизм масок широко распространен в IР-маршрутизации, причем маски используются для самых разных целей, в-частности, для смягчения проблемы дефицита адресов, которая сравнительно давно наблюдается в сети Internet. Очень трудно получить адрес класса В и практически невозможно стать обладателем адреса класса А.

Существует ряд современных технологий, направленных на более экономное расходование IР-адресов. Одной из таких технологий является технология масок и ее развитие —

технология безклассовой междоменной маршрутизации. Эта технология отказывается от традиционной концепции разделения адресов протокола IР на классы, что позволяет получать в пользование столько адресов, сколько реально необходимо. Благодаря этому поставщик услуг получает возможность «нарезать» блоки из выделенного ему адресного пространства в точном соответствии с требованиями каждого клиента, при этом у него остается пространство для маневра на случай его будущего роста.

Другая технология, которая может быть использована для снятия дефицита адресов, - это трансляция адресов. Узлам внутренней сети адреса назначаются произвольно (естественно, в соответствий с общими правилами, определенными в стандарте), так, как будто эта сеть работает автономно. Внутренняя сеть соединяется с Internet через некоторое промежуточное устройство (маршрутизатор, межсетевой экран). Это промежуточное устройство получает в свое распоряжение некоторое количество внешних «нормальных» IР-адресов, согласованных с поставщиком услуг или другой организацией, распределяющей IР-адреса. Промежуточное устройство, называемое прокси–сервер (proxy-server), способно преобразовывать внутренние адреса во внешние, используя для этого некие таблицы соответствия. Для внешних пользователей все многочисленные узлы внутренней сети выступают под несколькими внешними IР-адресами. При получении внешнего запроса это устройство анализирует его содержимое и при необходимости

46

пересылает его во внутреннюю сеть, заменяя IР-адрес на внутренний адрес этого узла. Процедура трансляции адресов определена в соглашении RFC 1631.

Для разделения трафика сетей с большим количеством узлов применяется разделение на подсети (Subnet) требуемого размера. Адрес подсети использует несколько старших бит хост-части IPадреса, оставшиеся младшие биты — нулевые.

Внутренний трафик подсети изолируется от остальной сети маршрутизатором. Область адресов подсети определяется значением маски подсети. Маска является 32-битным числом, представляемым по общим правилам записи IP-адреса, у которого старшие биты, соответствующие сетевой и подсетевои части адреса, имеют единичное значение, младшие (локальная хостчасть) — нулевые.

При посылке IP-дейтаграммы узел сравнивает IP-адрес назначения со своим IP-адресом и накладывает на результат маску подсети. Ненулевое значение результата этой операции является указанием на передачу пакета из подсети во внешнюю сеть. Термин маршрутизация означает передачу дейтаграммы от одного узла к другому.

Прямая маршрутизация (Direct Routing) — осуществляется между узлами одной подсети. В этом случае источник знает конкретный физический адрес получателя и инкапсулирует IPдейтаграмму во фрейм сети, содержащий этот адрес и непосредственно передающийся по сети получателю.

Непрямая маршрутизация (Indirect Routing) — передача дейтаграмм между узлами различных подсетей. Обнаружив расхождение немаскированной (сетевой) части IP-адресов, источник посылает фрейм с IP-дейтаграммой по физическому адресу маршрутизатора. Маршрутизатор анализирует IP-адрес назначения полученной дейтаграммы и, в зависимости от адресов прямо подключенных к нему (под)сетей, посылает дейтаграмму либо прямо по адресу назначения, либо к следующему маршрутизатору. Для обеспечения межсетевого обмена все узлы сети (включая и маршрутизаторы) должны иметь списки IP-адресов доступных маршрутизаторов.

Информация в TCP/IP передается пакетами со стандартизованной структурой, называемыми IP-дейтаграммами (IP Datagram), имеющими поле заголовка (IP Datagram Header) и поле данных (IP Datagram Data). Поле заголовка содержит собственно заголовок, IP-адреса источника и приемника. Длина дейтаграммы определяется сетевым ПО так, чтобы она умещалась в поле данных сетевого фрейма, осуществляющего ее транспортировку. Поскольку

47

по пути следования к адресату могут встречаться сети с меньшим размером поля данных фрейма, IP специфицирует единый для всех маршрутизаторов метод разбивки дейтаграммы на фрагменты (тоже IP-дейтаграммы) и обратной ее сборки приемником. Фрагментированная дейтаграмма собирается только ее окончательным приемником, поскольку отдельные фрагменты могут добираться до него различными путями.

6. ЗАЩИТА ОТ НЕСАНКЦИОНИРОВАННОГО ДОСТУПА В ОТКРЫТЫХ СЕТЯХ

В процессе подключения любой закрытой компьютерной сети (локальной LAN или кампусной CAN) к открытым сетям (например, к глобальной сети Internet) повышается вероятность угрозы несанкционированного вторжения в закрытую сеть из открытой, а также угроза несанкционированного доступа из закрытой сети к ресурсам открытой. Подобный вид угроз характерен также для случая, когда объединяются отдельные сети, ориентированные на обработку конфиденциальной информации совершенно разного уровня секретности или разных категорий. При разграничении доступа этих сетей друг к другу возникают угрозы нарушения установленных ограничений. Таким образом, если в качестве внешней сети используется открытая либо любая другая потенциально враждебная сеть, то появляются угрозы нарушения установленных правил межсетевого взаимодействия, а именно:

1.угрозы неправомерного вторжения во внутреннюю сеть из внешней;

2.угрозы несанкционированного доступа во внешнюю сеть из внутренней. .

Неправомерное вторжение во внутреннюю сеть из внешней может выполняться как с целью несанкционированного использования ресурсов внутренней сети, например хищения информации, так и с целью нарушения ее работоспособности. Без соответствующих средств защиты вероятность успешной реализации данных угроз является достаточно высокой. Это связано с недостатками, присущими наиболее широко используемому для межсетевого взаимодействия набору протоколов TCP/IP. Данный стек протоколов изначально был разработан для глобальной сети Internet, которая создавалась как открытая система для свободного обмена информацией и обладает высокой степенью универсальности, а значит, доступности.

48

В наиболее ранних версиях, а также в текущей версии протокола IP (версия IP v.4) не предусматривались какие-либо функции защиты от несанкционированных действий.

Угрозы несанкционированного доступа во внешнюю сеть из внутренней сети актуальны в случае ограничения разрешенного доступа во внешнюю сеть правилами, установленными в организации. Такое ограничение является наиболее характерным для взаимодействия с открытыми сетями (например, сетью Internet)

иможет понадобиться в следующих случаях:

1.для предотвращения утечки конфиденциальных данных;

2.при запрете доступа, например, в учебных заведениях, к информации нецензурной и нежелательной направленности;

3.в случае запрета служебного доступа к развлекательным компьютерным ресурсам в рабочее время.

Бороться с рассмотренными угрозами безопасности межсетевого взаимодействия средствами универсальных операционных систем (ОС) не представляется возможным. Универсальная операционная система — это слишком большой и сложный комплекс программ, который, с одной стороны, может содержать внутренние ошибки и недоработки, а с другой — не всегда обеспечивает защиту от ошибок администраторов и пользователей.

Современная технология программирования не позволяет сделать столь большие программы безопасными. Для операционных систем характерны как явные ошибки разработки, так

исущественные недостатки, связанные с недоработкой концептуальных и ряда детальных требований к системе безопасности. Кроме того, администратор, имеющий дело со сложной системой, далеко не всегда в состоянии эффективно ее настроить и сконфигурировать. Наконец, в универсальной многопользовательской системе бреши в безопасности постоянно создаются самими пользователями, например, тривиальные и редко изменяемые пароли.

Следует учитывать также неоднородность современных компьютерных сетей. Сеть любой организации в общем случае представляет собой неоднородный набор из различных компьютеров, управляемых различными операционными системами

исвязанных между собой с помощью сетевого оборудования. Компьютеры одного типа и с одной ОС могут, в соответствии с их назначением, иметь совершенно разные конфигурации. В таких условиях проблематично осуществить надежную защиту от внешнего враждебного сетевого окружения каждого компьютера в отдельности.

49

Проблема защиты от несанкционированных действий при взаимодействии с внешними сетями успешно может быть решена только с помощью специализированных программно-аппаратных комплексов, обеспечивающих целостную защиту компьютерной сети от враждебной внешней среды. Такие комплексы называют

межсетевыми экранами, брандмауэрами или системами

FireWall. Межсетевой экран устанавливается на стыке между внутренней и внешней сетями и функции противодействия несанкционированному межсетевому доступу берет на себя.

6.1.Функции межсетевого экранирования

Для противодействия несанкционированному межсетевому доступу брандмауэр должен располагаться между защищаемой сетью организации, являющейся внутренней, и потенциально враждебной внешней сетью (рис.1). При этом все взаимодействия между этими сетями должны осуществляться только через межсетевой экран. Организационно экран входит в состав защищаемой сети. Сетевой экран должен учитывать протоколы информационного обмена, положенные в основу функционирования внутренней и внешней сетей. Если эти протоколы отличаются, то брандмауэр должен поддерживать многопротокольный режим работы, обеспечивая протокольное преобразование отличающихся по реализации уровней модели OSI для объединяемых сетей. Чаще всего возникает необходимость в совместной поддержке стеков протоколов SPX/IPX и TCP/IP.

			Потенциально
	Защищаемая		враждебная
			внешняя сеть
	внутренняя сеть	Межсетевой
		экран
	Клиенты	(брандмауэр)	Серверы
	Серверы		Клиенты
	Рис. 1. Схема подключения межсетевого экрана

Брандмауэр не является симметричным. Для него отдельно задаются правила, ограничивающие доступ из внутренней сети во внешнюю сеть и наоборот. В общем случае работа межсетевого экрана основана на динамическом выполнении двух групп функций:

1.фильтрации проходящих через него информационных потоков;

2.посредничества при реализации межсетевых взаимодействий.

50