Connessione di reti private ad Internet. Fulvio Risso

Транскрипт

1 Connessione di reti private ad Internet Fulvio Risso 1

2 Connessione di reti private ad Internet Diffusione di reti IP private Utilizzo di indirizzi privati Gli indirizzi privati risolvono il problema dell unicità della destinazione Non risolvono il problema dell indirizzo di ritorno Due soluzioni principali NAT/PAT Application-level Proxy 2

3 Network Address Translator Principio di funzionamento Sostituzione dell indirizzo sorgente privato con quello pubblico del gateway in uscita verso Internet Sostituzione dell indirizzo destinazione pubblico con quello privato dell host in ingresso verso la rete privata Rete privata Rete pubblica Da a Da a

4 NAT in presenza di più host privati Mapping uno a uno tra indirizzi privati e indirizzi pubblici Metodo poco efficiente; difficoltà di riuso degli indirizzi (timeout?) Potenzialmente richiete tanti indirizzi pubblici quanti host privati Vanifica il risparmio di indirizzi promesso dal NAT Permette la traduzione interno-esterno e viceversa Rete privata Rete pubblica

5 Port Address Translator Rimappa sia indirizzi che porte Rete privata Rete pubblica (1000) (1010) (1000) Private network (1000) (1010) (1000) Public network (2000) (2001) (2002)

6 PAT Non funziona Nel caso in cui il protocollo non abbia la porta (es. ICMP, IPSec) Spesso vengono implementate soluzioni ad hoc Nel caso in cui sia necessario avere una porta predeterminata NAT e IPSec Problematico nel caso di Authentication Header (AH), dal momento che gli indirizzi IP sono parte del calcolo della checksum Funziona nel caso di Encrypted Security Payload (ESP), anche se la porta non è in chiaro 6

7 Tipologie di mapping Esistono numerose tipologie di mapping, a seconda dell implementazione del NAT/PAT NAT simmetrici Full-cone... 7

8 NAT + PAT (1) Permette un mapping degli indirizzi N:1 sfruttando l informazione delle porte Riutilizzo degli indirizzi pubblici Il traffico esterno viene percepito come generato da un unico host con molte sessioni Viene percepita come una misura che aumenta la sicurezza Commercialmente la soluzione viene indicata genericamente come NAT Molto leggero dal punto di vista computazionale Difficilmente presenta problemi di scalabilità 8

9 NAT + PAT (2) Problematiche Funziona solamente in modalità client-server Es. Problemi con FTP, VoIP No connessioni rete privata altra rete privata Difficoltà a risalire all identità del mittente Il responsabile di eventuali problemi è il proprietario del NAT Necessità di attivare un logging per sessione Non lavora a livello applicativo Se un applicazione include indirizzi all interno della busta applicativa, la traduzione non va a buon fine Es. payload DNS, SIP, FTP Garbage collection Sempre problematico (timeout di inattività delle sessioni?) In alcuni casi la connessione cade a causa di lunghi periodi di inattività 9

10 Benefici del NAT / PAT NAT e PAT permettono di: Accedere alla Internet pubblica senza richiedere indirizzi IP registrati Interconnettere spazi di indirizzamento sovrapposti Evitare la rinumerazione degli host Ridurre il consumo di indirizzi ufficiali Migliorare la sicurezza della rete nascondendo gli indirizzi reali degli host 10

11 NAT e spazi di indirizzamento sovrapposti Problematica comune nel caso di Acquisizioni e/o unioni di aziende Extranet Cambiamento di ISP Necessità di nascondere /modificare gli indirizzi Es. nel caso di policy (es. route optimization, security/filtering, Rete privata management) Rete privata Da a Da a Da a

12 Spazi di indirizzamento sovrapposti e DNS La problematica viene spesso risolta con una configurazione ad hoc del DNS DNS per i client di az1 DNS per i client di az Rete privata DNS Rete privata Da a Da a Da a

13 Proxy Server Web client Proxy Web Server TCP SYN for HTTP TCP SYN, ACK TCP ACK HTTP GET Proxy Internet TCP SYN for HTTP TCP SYN, ACK TCP ACK HTTP GET 13 HTTP Reply Proxy HTTP Reply

14 Proxy Server Il client deve essere configurato con l indirizzo del proxy server Le applicazioni utilizzate dal client devono essere modificate per poter utilizzare un proxy La maggior parte dei web browser hanno incorporato il software necessario per l utilizzo di un server proxy Ad esempio, nel caso di una richiesta HTTP il client, dopo aver instaurato una connessione TCP con il proxy, invia un messaggio di GET che comprende l URL completo Sarà quindi il proxy, dopo averne risolto il nome, a comunicare direttamente con il server Web Il proxy fa normalmente cashing delle informazioni Il proxy può mettere in atto politiche di sicurezza 14

15 Senza Proxy Server Web client 3 GET /pub/www/theproject.html HTTP/ DNS query Internet DNS response 2 DNS Server 15

16 Caratteristiche di un proxy server Vantaggi Controllo molto più accurato (esattamente ciò che l applicativo client riceverà) Es. controllo su attachment mail, oppure oggetti web Possibilità di implementare controlli user-based Autenticazione personale, con relative policy di accesso alla rete Nel NAT, al massimo si possono avere controlli IP-based Possibilità di fare caching Svantaggi (Molto) maggiore carico computazionale Spesso richiede configurazione ad hoc sul client Necessita di un modulo per ognuna delle applicazioni supportate 16

17 Con Proxy Server GET HTTP/1.0 Web client GET /pub/www/theproject.html HTTP/ Proxy Internet DNS Server 17

18 Protezione delle reti: Router vs. Proxy Packet-Filtering Routers + Low Cost + High Performance + (Usually) Not UNIX + Transparent - Client Addresses Exposed - Stateless > Spoofable - Error-Prone Rulesets OSI Model Application Presentation Session Transport Network Data Link Physical Proxy Servers + Stateful + Client Addresses Hidden - Costly - Low Performance - Shares UNIX Problems - Intrusive on Client Side 18

19 Packet Filter Web client Packet Filter Web Server Internet TCP SYN for HTTP Permit TCP SYN for HTTP TCP SYN, ACK Permit TCP SYN, ACK TCP ACK HTTP GET Permit Permit TCP ACK HTTP GET 19