100BASE-T. 100BASE-T è uno dei tanti standard

Transcript

1 Fast Ethernet Fast Ethernet è un termine collettivo per indicare un numero di standard Ethernet che trasportano il traffico alla velocità di 100 Mbps rispetto alla velocità originale Ethernet di 10 Mbps.

2 100BASE-T 100BASE-T è uno dei tanti standard CSMA/CD per cavi incrociati a 100 Mbps, che include: 100BASE-TX (100 Mbps su due coppie (cavi Cat 5 o migliori)). La lunghezza del segmento per un cavo 100BASE-T è limitato a 100 metri

3 In realtà,, la velocità misurata su reti reali è ben lontana dalla velocità massima, dovuta agli header necessari (bit di indirizzamento e controllo degli errori) in ogni pacchetto, l'occasionale "perdita di pacchetti" dovuta al rumore, e il tempo di attesa dopo ogni pacchetto inviato per la fine della trasmissione da parte delle altre periferiche sulla rete.

4 Durante la realizzazione di una LAN,, le periferiche della rete (computer, stampanti ecc.) sono tipicamente connesse a un hub o ad uno switch,, creando una rete a stella. Alternativamente è possibile connettere due periferiche direttamente usando un cavo crossover

5 100BASE-FX 100BASE-FX è una versione della Fast Ethernet su fibra ottica.. Usa due cavi di fibra, uno per ricevere e uno per trasmettere in modo da non aver bisogno della modalità half duplex Il traffico di rete usa completamente la banda di 100 Mbps,, su un segmento di fibra multimodale full duplex fino a 2Km. Usando una fibra monomodale (100BASE-LX) si può estendere la lunghezza del segmento fino a 60Km in full- duplex.

6 100BASE-SX SX 100BASE-SX SX è una versione di Fast Ethernet su fibra ottica. Usa due cavi di fibra per ricevere e trasmettere. È un'alternativa a basso costo rispetto a 100BASE-FX, perché usa ottiche a bassa lunghezza d'onda che sono significativamente meno costose delle ottiche ad alta lunghezza d'onda usate nelle 100BASE-FX. 100BASE-SX SX può operare a distanze di 300m.

7 100BASE-BX BX 100BASE-BX BX è una versione della Fast Ethernet su singolo cavo in fibra ottica (a differenza di 100BASE-FX che usa una coppia di fibre). Viene usata una fibra multimodale assieme a un multiplexer speciale che splitta il segnale in lunghezze d'onda per la ricezione e per la trasmissione.

8 Gigabit Ethernet Il Gigabit Ethernet (standard IEEE 802.3z) è l'evoluzione a 1000Mbit/s del protocollo Fast Ethernet (standard IEEE 802.3u) operante a 100 Mbit/s.

9

10 Vengono usate le 4 coppie di fili UTP simultaneamente (nella variante 1000BaseT a 500Mbps), 2 coppie di fili STP simultaneamente (nella variante 1000BaseCX a 500Mbps) e le fibre multimodali (varianti 1000BaseSX,100 0BaseLX).

11 diminuisce la lunghezza del segmento massimo della rete che diviene: 5000 metri (Nella Variante 1000BaseLX) (alcuni produttori di hardware, in particolare Cisco Systems, garantiscono con l'uso dei loro apparati il raggiungimento dei metri.) 550 metri (Nella Variante 1000BaseSX) 100 metri (Nella Variante 1000BaseTX) 25 metri (Nella Variante 1000BaseCX)

12 La 10 gigabit Ethernet o 10GbE è il più recente (al 2007) ed il più veloce degli standard Ethernet. Definisce una versione di Ethernet ad un tasso di informazione di 10 Gb/s, dieci volte più veloce della Gigabit Ethernet.

13 La variante ottica più comune è nota come LAN PHY, ed è utilizzata per connettere direttamente router e switch. Seppur indicata come una LAN, questa varietà può essere usata per collegamenti lunghi fino ad 80 km. La 10GBASE-SR SR ("short range", breve distanza) è progettata per supportare fibre multimodo già installate e funziona su distanze tra i 26 m e gli 82 m, in dipendenza del cavo utilizzato. Supporta inoltre distanze fino a 300 m su nuove fibre multimodo 50um 2000 MHz km (utilizzando laser a 850 nm).

14 10GBASE-LRM, nota anche come 802.3aq è uno standard ratificato nel 2006 che supporta distanze fino a 220 m su fibre multimodo FDDI-grade a 62.5/125 installate agli inizi degli anni '90 per reti FDDI e 100BaseFX. La 10GBASE-LR è una tecnologia a lungo raggio (Long Range) ) per trasmettere serialmente la 10 gigabit Ethernet su fibre singolo modo con laser a 1300 nm

15 La 10GBASE-ER ER ("extended range", intervallo esteso) supporta distanze fino a 40 km su fibre a singolo modo con laser a 1550 nm. La 10GBASE-CX4 anche nota dal nome del suo gruppo di lavoro come 802.3ak trasmette su quattro linee per ogni direzione su rame, similmente a quanto avviene in tecnologia InfiniBand. È progettata per funzionare su distanze fino a 15 m. Questa tecnologia ha il minor costo per porta, a spese della distanza massima di trasmissione. La 10GBASE-T,, o IEEE 802.3an , è uno standard recente (nel 2006) che offre connessioni a 10 Gb/s sui comuni doppini incrociati,, sia schermati che non.

16 Categoria del cavo CaratteristicheCategoria 1 Doppino telefonico a 4 fili. Cavo UTP tradizionale in grado di trasferire segnali vocali ma non dati. Categoria 2 Cavo UTP costituito da 4 doppini intrecciati utilizzato per la trasmissione dati a velocità fino a 4 Mb/s Categoria 3 Cavo UTP costituito da 4 doppini con circa 10 intrecci per metro, utilizzato per la trasmissione dati a velocità fino a 10 MB/s.

17 Categoria del cavo Categoria 4 Cavo UTP costituito da 4 doppini intrecciati utilizzato per la trasmissione dati a velocità fino a 16 Mb/s. Categoria 5 Cavo UTP costituito da 4 doppini intrecciati utilizzato per la trasmissione dati a velocità fino a 100 Mb/s. Banda passante 100 Mhz Categoria 5e Cavo UTP costituito da 4 doppini intrecciati utilizzato per la trasmissione dati a velocità fino a 1 Gb/s. Categoria 6 E' una tipologia di cavo in rame a coppie simmetriche con caratteristiche trasmissive specificate fino alle frequenza massima di prova di 250 MHz, la banda passante utile a 200 MHz. Categoria 7 In fase di sviluppo - Supporterà 10-GigaBit

18 FDDI Nell'ambito delle reti informatiche la Fiber distributed data interface (meglio conosciuta con l'acronimo FDDI) è un particolare tipo di rete ad anello token ring basata sull'uso delle fibre ottiche quale mezzo trasmissivo.

19 Tale tecnologia permette la trasmissione dati ad alta velocità all'interno di una rete locale che può estendersi fino a oltre 200 chilometri e la gestione di massimo cinquecento host.

20 Lo schema logico della rete è costituito da un doppio anello in fibra ottica che opera ad una velocità di 100 Mbps (Megabit per secondo): normalmente le trasmissioni avvengono su un solo anello - detto primario - mentre, in caso di malfunzionamenti, entra in funzione l'anello secondario: in tal modo viene garantita l'affidabilit affidabilità del servizio. Il secondo anello può però essere utilizzato anche per aumentare la potenza trasmissiva totale della rete fino a velocità di 200Mbps. Questa caratteristica la rende particolarmente adatta alla costituzione di backbone.

21 L'ordine in cui i dispositivi di rete (ed esempio i calcolatori) ) possono trasmettere pacchetti di dati sulla rete viene regolato da un particolare messaggio detto token (testimone). Gli anelli FDDI sono solitamente realizzati secondo la struttura dei anelli connessi ad albero. Solo pochi apparati, solitamente router,, sono connessi ad entrambi gli anelli. Questo è reso necessario dal fatto che, sebbene sia teoricamente possibile bypassare apparati non attivi, l'uso di apparati non sotto il controllo diretto del Network manager è foriero di errori di trasmissione e problemi vari. La tecnologia FDDI è spesso usata per la realizzazione di reti metropolitane,, sebbene l'avvento delle tecnologie fast Ethernet e, più recentemente, gigabit Ethernet abbia reso meno utilizzata l'fddi.

22 Patch panel

23 Il patch panel è un componente passivo che fa parte del sistema di cablaggio strutturato. E un pannello forato contenuto in un armadio in grado di ospitare connettori da parete. Sui connettori da parete si attestano i cavi che fanno parte del cablaggio orizzontale e verticale del cablaggio strutturato.

24 Il suo scopo è rendere flessibile il cablaggio perché consente di determinare il percorso dei cavi in base ai collegamenti volanti (patch( cord) ) fatti tra estremità del patch panel ed i componenti attivi di interconnessione presenti nell armadio (hub( hub,, switch, router )

25 Virtual Private Network Una Virtual Private Network o VPN è una rete privata instaurata tra soggetti che utilizzano un sistema di trasmissione pubblico e condiviso come per esempio Internet.. Lo scopo delle reti VPN è di dare alle aziende le stesse possibilità delle linee private in affitto ad un costo inferiore sfruttando le reti condivise pubbliche.

26

27 Le reti VPN utilizzano collegamenti che necessitano di autenticazione per garantire che solo gli utenti autorizzati vi possano accedere; per garantire la sicurezza che i dati inviati in Internet non vengano intercettati o utilizzati da altri non autorizzati, esse utilizzano sistemi di crittografia.

28 Le reti VPN sicure adottano dunque protocolli che provvedono a cifrare il traffico transitante sulla VPN. Oltre alla cifratura,, una VPN sicura deve prevedere nei suoi protocolli dei meccanismi che impediscano violazioni della sicurezza, come ad esempio il furto dell'identità digitale o l'alterazione dei messaggi. Generalmente una VPN comprende due parti: una interna alla rete,, e quindi protetta, che preserva la trasmissione, e una meno affidabile e sicura che è quella esterna alla rete private,, ad esempio via Internet.

29 La maggior parte dei programmi client richiede che tutto il traffico IP della VPN passi attraverso un Tunnel virtuale tra le reti utilizzando Internet come mezzo di collegamento. Dal punto di vista dell utente ciò significa che, mentre la connessione VPN è attiva, tutti gli accessi esterni alla rete sicura devono passare per lo stesso firewall come se l utente fosse fisicamente connesso all interno della rete sicura. Questo riduce il rischio che utenti esterni possano accedere alla rete privata dell azienda.

30 Tutto il traffico su una Secure VPN deve essere criptato e autenticato. Molti dei protocolli utilizzati per creare Secure VPN permettono la creazione di reti autenticate, ma non criptate.. Anche se una simile rete è più sicura di una rete senza autenticazione, non potrebbe essere considerata una VPN perché non protegge la privacy.

31 Il firewall Apparato di rete hardware o software che filtra tutti i pacchetti entranti ed uscenti, da e verso una rete o un computer, applicando regole che contribuiscono alla sicurezza della stessa.

32 Usualmente la rete viene divisa in due sottoreti: una, detta esterna, comprende l'intera Internet mentre l'altra interna, detta LAN (Local( Area Network), comprende una sezione più o meno grande di un insieme di computer locali. In alcuni casi è possibile che si crei l'esigenza di creare una terza sottorete detta DMZ (o zona demilitarizzata) atta a contenere quei sistemi che devono essere isolati dalla rete interna ma devono comunque essere protetti dal firewall.

33

34 In realtà un firewall può essere realizzato con un normale computer (con almeno due schede di rete e software apposito), può essere una funzione inclusa in un router o può essere un apparato specializzato.

35 La funzionalità principale in sostanza è quella di creare un filtro sulle connessioni entranti ed uscenti, in questo modo il dispositivo innalza il livello di sicurezza della rete e permette sia agli utenti interni che a quelli esterni di operare nel massimo della sicurezza.

36 Il Il più semplice è il packet filter,, che si limita a valutare gli header di ciascun pacchetto, decidendo quali far passare e quali no sulla base delle regole configurate. Ciascun pacchetto viene valutato solamente sulla base delle regole configurate, e per questo un firewall di questo tipo è detto anche stateless.. Alcuni packet filter,, analizzando i flag dell'header TCP, sono in grado di discriminare un pacchetto appartenente ad una "connessione TCP stabilita (established)" rispetto a quelli che iniziano una nuova connessione, ma non sono in grado di riconoscere un pacchetto malevolo che finga di appartenere ad una connessione TCP stabilita. Molti router posseggono una funzione di packet filter.

37 Un firewall di tipo stateful inspection,, tiene traccia di alcune relazioni tra i pacchetti che lo attraversano, ad esempio ricostruisce lo stato delle connessioni TCP. Questo permette ad esempio di riconoscere pacchetti TCP malevoli che non fanno parte di alcuna connessione.

38 I firewall di tipo deep inspection effettuano controlli fino al livello 7 della pila ISO/OSI, ovvero valutano anche il contenuto applicativo dei pacchetti, ad esempio riconoscendo e bloccando i dati appartenenti a virus o worm noti in una sessione HTTP o SMTP.

39 I I cosiddetti Application Layer Firewall sono apparati che intercettano le connessioni a livello applicativo. A questa categoria appartengono i proxy.. In tali casi, la configurazione della rete privata non consente connessioni dirette verso l'esterno, ma il proxy è connesso sia alla rete privata che alla rete pubblica, e permette alcune connessioni in modo selettivo, e solo per i protocolli che supporta.

40 La sintassi della configurazione di un firewall in molti casi è basata su un meccanismo di lista di controllo degli accessi (ACL), che possono essere statiche (quindi modificabili solo tramite configurazione esplicita) o dinamiche (cioè che possono variare in base allo stato interno del sistema, come ad esempio nel Port knocking).

41 Una ACL è una lista ordinata di regole che viene usata per prendere una decisione, ad esempio se far passare o meno un pacchetto o se permettere o meno ad un certo utente l'accesso ad un file. Ciascuna regola, detta Access Control Entry (ACE), esprime una o più proprietà dell'oggetto da valutare (ad esempio, l'indirizzo sorgente di un pacchetto IP), e se queste proprietà sono verificate indica quale decisione prendere (ad esempio, far passare il pacchetto oppure rifiutarlo). La valutazione inizia dalla prima regola e continua fino a quando le condizioni di una regola non sono verificate. Se le condizioni sono verificate, la valutazione finisce e viene applicata la decisione presa. Altrimenti, la valutazione prosegue alla regola successiva.

42 Ad esempio, una semplice ACL per un firewall espressa in linguaggio comune suonerebbe più o meno così: POLICY = SCARTA il pacchetto se <indirizzo IP sorgente> == allora SCARTA il pacchetto se <porta TCP destinazione> == 500 AND <indirizzo IP destinazione> == allora ACCETTA il pacchetto se <indirizzo IP destinazione> appartiene alla rete /24 allora SCARTA il pacchetto se <protocollo>!= TCP allora SCARTA il pacchetto

43 In informatica, il port knocking è un sistema per aprire delle porte su un firewall dall'esterno inviando tentativi di connessione ad una sequenza prestabilita di porte chiuse; una volta che ciò sia stato fatto le regole del firewall vengono aggiornate dinamicamente per consentire all'host che ha inviato la giusta sequenza di connettersi alla porta voluta.

44 La bussata è analoga ad una stretta di mano segreta e può consistere in qualsiasi quantità di pacchetti TCP, UDP, ICMP diretti a porte numerate sulla macchina di destinazione. La complessità della bussata può variare da una semplice lista di porte da contattare sequenzialmente ad uno schema temporizzato che discrimini l'indirizzo IP e impieghi tecniche crittografiche.

45 Se un malintenzionato non conosce la corretta bussata, scoprire una sequenza anche molto semplice richiede un attacco a forza bruta piuttosto impegnativo. Ad esempio una bussata su tre porte richiederebbe all'attaccante di provare ogni loro possibile combinazione nell'intervallo che va da 1 a e quindi controllare se per caso si sia aperta la porta desiderata; questo equivale approssimativamente all'invio di (18,445,618,199,572,250,625 o 18 milioni di miliardi circa) pacchetti per una singola porta, statisticamente ne sarebbero necessari 9 milioni di miliardi.

46 Generalmente, quando una bussata ha successo, le regole del firewall sono modificate in modo da consentire l'accesso solo all'indirizzo IP da cui è stata generata; in questo modo diversi utenti potranno effettuare la procedura senza che questa venga influenzata da altri e possono anche essere definite distinte bussate per ogni IP.

47 Una funzione spesso associata al firewall è quella di NAT (traduzione degli indirizzi di rete), che può contribuire a rendere inaccessibili i calcolatori sulla rete interna.

48 Molti firewall possono registrare tutte le operazioni fatte (logging), effettuare registrazioni più o meno selettive (ad esempio, registrare solo i pacchetti che violano una certa regola, non registrare più di N pacchetti al secondo), e tenere statistiche di quali regole sono state più violate. La registrazione integrale dell'attività di un firewall può facilmente assumere dimensioni ingestibili, per cui spesso si usa il logging solo temporaneamente per diagnosticare problemi, o comunque in modo selettivo (logging dei soli pacchetti rifiutati o solo di alcune regole). Tuttavia, l'analisi dei log di un firewall (o anche dei contatori delle varie regole) può permettere di individuare in tempo reale tentativi di intrusione.

49 Una delle vulnerabilità più conosciute di un firewall di fascia media è l'http tunneling,, che consente di bypassare le restrizioni Internet utilizzando comunicazioni HTTP solitamente concesse dai firewall. Altra tipica vulnerabilità è la dll injection,, ovvero una tecnica utilizzata da molti trojan,, che sovrascrive il codice maligno all'interno di librerie di sistema utilizzate da programmi considerati sicuri.. L'informazione riesce ad uscire dal computer in quanto il firewall,, che di solito controlla i processi e non le librerie, crede che l'invio ad Internet lo stia eseguendo un programma da lui ritenuto sicuro, ma che di fatto utilizza la libreria contaminata. Alcuni firewall hanno anche il controllo sulla variazione delle librerie in memoria ma è difficile capire quando le variazioni sono state fatte da virus.

50 Demilitarized zone Una DMZ (demilitarized zone) è un segmento isolato di LAN (una "sottorete" sottorete") raggiungibile sia da reti interne che esterne che permette, però, connessioni esclusivamente verso l'esterno: gli host attestati sulla DMZ non possono connettersi alla rete aziendale interna.

51 Tale configurazione viene normalmente utilizzata per permettere ai server posizionati sulla DMZ di fornire servizi all'esterno senza compromettere la sicurezza della rete aziendale interna nel caso una di tali macchine sia sottoposta ad un attacco informatico: : per chi si connette dall'esterno dell'organizzazione la DMZ è infatti una sorta di "strada senza uscita" o "vicolo cieco".

52

53 Solitamente sulla DMZ sono infatti collegati i server pubblici (ovvero quei server che necessitano di essere raggiungibili dall'esterno della rete aziendale - ed anche dalla internet - come, ad esempio, server mail, webserver e server DNS) ) che rimangono in tal modo separati dalla LAN interna, evitando di comprometterne l'integrit integrità.