1 / 78

IPv6 (Protocolo e Serviços Básicos)

IPv6 (Protocolo e Serviços Básicos). Problemas do IP Versão 4. Crescimento do IPv4 07/2007 490 milhões de hosts 01/2008 542 milhões de hosts IPv4 permite endereçar 32 bilhões de hosts. PREVISÃO DE ESGOTAMENTO = 1994. Previsão do Esgotamento IPv4.

erno
Télécharger la présentation

IPv6 (Protocolo e Serviços Básicos)

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. IPv6(Protocolo e Serviços Básicos)

  2. Problemas do IP Versão 4 • Crescimento do IPv4 • 07/2007 490 milhões de hosts • 01/2008 542 milhões de hosts • IPv4 permite endereçar 32 bilhões de hosts. PREVISÃO DE ESGOTAMENTO = 1994

  3. Previsão do Esgotamento IPv4 • A análise da alocação de endereços IPv4 é feita em blocos /8 • Todo o espaço de endereçamento da Internet pode ser dividido em 256 blocos /8.

  4. Previsão de Esgotamento • Novas alocações da IANA: 2012 • Esgotamento de todos os endereços já alocados: 2018

  5. Soluções Alternativas • Esgotamento do espaço de endereçamento pelo uso de classes. • CIDR (Classless Inter Domain Routing) • Reduziram a pressão por IP´s mas aumentam em demasia as tabelas de roteamento dos backbones na Internet. • Endereços IPv4 privados podem ser utilizados apenas por clientes. • Novas aplicações estão aumentando a necessidade de mais endereços IPv4 para servidores.

  6. Exemplo de Roteador de Borda • Roteadores de borda atuais precisam suportar aproximadamente: • 222.000 rotas (junho 2007) • Mais 50% para rotas privadas de clientes • A fim de processar essas rotas sem grande atraso na propagação dos pacotes os roteadores precisam: • Muita memória de acesso rápido • Alta capacidade de processamento • Roteadores com essa capacidade podem ter custos superiores a U$ 50K.

  7. IPv6 • IPv6: Internet Protocolo, versão 6. • Também denominado IPng (ng: next generation) • Características: • Endereçamento hierárquico, baseados em prefixos, permite manter as tabelas de roteamento pequenas e roteamento eficiente no backbone. • Mecanismos de autoconfiguração de interfaces de rede. • Suporte ao encapsulamento de si mesmo e dos outros protocolos.

  8. Características do IPv6 4. Classe de serviço para distinguir o tipo de dados. 5. Suporte a roteamento multicast aperfeiçoado. 6. Autenticação e criptografia embutidas. 7. Métodos de transição para migrar para IPv4. 8. Métodos de compatibilidade para coexistir e comunicar com IPv4.

  9. Datagrama IPv6 • IPv6 utiliza um formato de datagrama completamente diferente do IPv4. • O cabeçalho do IPv6 é composto de duas partes: • um cabeçalho de tamanho fixo • zero ou mais cabeçalhos de extensão Cabeçalho Base Cabeçalho Extensão ... Cabeçalho Extensão Dados IPv6 tamanho fixo tamanho fixo ou variável Cabeçalho Com todos as funções DADOS IPv4

  10. Cabeçalho IPv6 • A figura abaixo mostra a porção fixa do cabeçalho IP. • O cabeçalho IPv6 tem menos campos que o IPv4 • No total, o IPv6 utiliza um cabeçalho de 40 bytes. byte 1 byte 2 byte 3 byte 4 Version Byte DS Flow Label Payload length Next Header Hop Limit Source Address (16 bytes) Destination Address (16 bytes)

  11. Cabeçalho IPv6 • Version (4 bits) • Contém o número fixo 6. • Será utilizado pelos roteadores e demais hosts para determinar se eles podem ou não transportar o pacote. IPv4 IPv6 O roteador analisa o campo de versão para determinar como o restante do cabeçalho deve ser interpretado.

  12. Cabeçalho IPv6 • O campo TOS (8bits) foi renomeado para: • byte DS. • Este campo é formado da seguinte maneira: • DSCP (Differentiated Services CodePoint) • 6 bits (classe de tráfego para o pacote) • ECN: Explicit Congestion Notification (experimental) • 2 bits (reservado) BYTE DS DSCP (6 bits) ENC (2 bits)

  13. Controle de Fluxo • Flow Label (20 bits) • Permite identificar 1 milhão de conexões entre 2 pares de IP. • Permite controlar a banda associada a uma conexão. • O tratamento dado a uma conexão deverá ser pré-definido em cada roteador que participar da rota do datagrama, previamente a comunicação. No IPv6 os roteadores podem diferenciar as conexões. FL=1 IPB IPA FL=2

  14. Cabeçalho IPv6 • Payload Lenght (16 bits) • Indica quantos bytes seguem o cabeçalho fixo de 40 bytes. • O valor é zero no caso do jumbograma. • Next Header (8bits) • Se houver cabeçalhos de extensão, indica o seu tipo. • Atualmente são definidos 6 tipos de cabeçalho de extensão • Se não houverem, indica o cabeçalho de transporte. • Hop Limit (8 bits) • Equivalente ao Time to Live do IPv4.

  15. Cabeçalhos de Extensão • 6 tipos de cabeçalhos de extensão estão definidos atualmente: • Hop-by-hop options (0): • informações para analisadas pelos roteadores • Routing (43) • rota completa ou parcial que a mensagem deve seguir • Fragmentation (44) • Gerenciamento de fragmentos de datagrama • Authentication (51) • Verificação da identidade do transmissor • Encrypted security payload (50) • Informação sobre o conteúdo criptografado • Destination options (60) • Analisadas apenas pelos computadores. • Sem próximo cabeçalho (59)

  16. Comparação com IPv4 • Os seguintes campos do IPv4 foram eliminados do cabeçalho básico IPv6: • Identificação, Flags de Fragmentação e Deslocamento de Fragmento. • O TCP tende a eliminar a fragmentação de datagramas. • Quando necessário pode ser definido num cabeçalho de extensão. • O IPv6 especifica uma MTU de 576 bytes ou mais. • Checksum de Cabeçalho • Eliminado para reduzir a carga na CPU dos roteadores. • Pode ser implementado pelo TCP ou pelo cabeçalho de autenticação. • Tipo de Serviço (TOS) • Substituído pelo conceito de fluxo

  17. Cabeçalhos de Extensão • Os datagramas IPv6 podem ter 0 ou vários cabeçalhos de extensão, conforme mostra o exemplo abaixo: cabeçalho base NEXT = IPv6 (41) Cabeçalho IPv6 cabeçalho base NEXT = TCP segmento TCP cabeçalho base NEXT = ROUTE cabeçalho ROUTE NEXT=TCP segmento TCP cabeçalho base NEXT = ROUTE cabeçalho ROUTE NEXT=AUTH cabeçalho AUTH NEXT=TCP segmento TCP

  18. Hop-by-hop Header • Define opções sobre o datagrama transportado, que todos os roteadores devem analisar (todos os nós IPv6, incluindo o destino). • Formato dos cabeçalhos de extensão: T-L-V (Type – Length – Value) • Tamanho variável • Type (8 bits): XX – Y – ZZZZZ • XX: indica como um nó IPv6 que não reconhece a opção deve proceder. • Ignorar, Descartar em Silêncio, Descartar enviando ICMP • Y: se a opção muda ou não ao longo do trajeto . • Se muda, não incluir no checksum • ZZZZZ: bits que definem a opção • E.G. Exemplo de opção: 194 (Jumbograma) • Suportar datagramas com mais de 64K

  19. Exemplo: Jumbograma indica o tipo de cabeçalho de extensão (hop by hop) indica o tamanho do cabeçalho de extensão (menos 8 bytes que são mandatários) indica a opção “jumbograma” 1 byte 1 byte 1 byte 1 byte Next Header 0 194 4 Tamanho do campo valor, em bytes. Jumbo payload length tamanho do datagrama, valor superior a 64k (até 4 Gbytes)

  20. Destination Options Header • Permite passar informações que devem ser interpretadas apenas pelo destinatário. • É destinado para suportar o desenvolvimento de novos softwares sem causar problemas com os roteadores existentes. • Essa opção permitirá a criação flexível de novos protocolos de roteamento (para os roteadores) e novos protocolos entre usuários finais. 1 byte 2 bytes 1 byte Next Header Length opcoes opcões seqüência de opções individuais.

  21. Routing Header • Indica um ou mais roteadores que devem compor o caminho do pacote até o destinatário. • o caminho completo pode ser especificado (strict routing) • o caminho parcial pode ser especificado (loose routing) Número de saltos restantes (máximo de 23) 1 byte 1 byte 1 byte 1 byte Próximo Cabeçalho Tamanho do Cabeçalho Tipo (0) Endereços Restantes indica se cada endereço pertence a uma rota “strict” ou “loose”. Bit map 1 – 24 endereços

  22. Roteamento strict routing B D 3-ABCDE 1-ABCDE 2-ABCDE C E A 4-ABCDE 0-ABCDE 5-ABCDE-00000 B D loose routing 2-ACE 1-ACE 1-ACE C E A 2-ACE 0-ACE 3-ACE-111

  23. Fragmentation Header • A fragmentação no IPv6 funciona de maneira similar ao IPv4. • Ao contrário do IPv4, o IPv6 só permite efetuar a fragmentação na origem. • Os roteadores não podem fragmentar os pacotes. Se o pacote for muito grande para ser colocado num quadro, ele é descartado pelo roteador e uma mensagem ICMP é enviada de volta ao cliente. 1 bit 1 byte 13 bits 1 bit 1 byte indica se é o último fragmento ou não. Next Header Reservado Fragment Offset res MF Datagram Identification indica a posição do fragmento (múltiplo de 8 bytes).

  24. Autenticação e Criptografia • A especificação do IPv6 determina que as extensões de segurança IPsec são mandatórias. • Essas extensões de segurança permitem: • Autenticar quem enviou o pacote para o receptor. • Gerenciar a criptografia dos dados. • Adicionalmente, o IPsec determina a utilização do IKE (Internet Key Exchange) para criação automática de associações de segurança entre hosts IPv6.

  25. Tipos de IPSec • IP Autentication Header (AH) • Protocolo 51 • Oferece recursos de: • Autenticação • Integridade • IP Encapsulating Security Payload (ESP) • Protocolo 50 • Oferece recursos de: • Confidencialidade • Autenticação • Integridade

  26. Protocolo AH • Definido pelo protocolo IP tipo 51 • Utilizando para criar canais seguros com autenticação e integridade, mas sem criptografia. • Permite incluir uma “assinatura digital” em cada pacote transportado. • Protege a comunicação pois atacantes não conseguem falsificar pacotes assinados.

  27. AH e Modo Túnel e Modo Transporte IPv6 IP TCP/UDP DADOS IP Normal IPv6 com autenticação IP AH TCP/UDP DADOS Modo Transporte IPv6com autenticação e tunelamento Modo Tunel IP AH IP TCP/UDP DADOS Especifica os Computadores Especifica os Gateways nas Pontas do Tunnel

  28. Authentication Header • Provê serviços de autenticação e Integridade de Pacotes. 1 byte 1 byte 1 byte 1 byte Next Header Length reserved reserved SPI: Security Parameter Index Sequence Number Authentication Data (ICV: Integrity Check Value) Campo de Tamanho Variável, depende do protocolo de autenticação utilizado

  29. Authentication Header • Permite identificar para o receptor de um datagrama quem foi que o enviou. • Length: • comprimento do cabeçalho em múltiplos de 32. • Security Parameter Index: • identificador de 32 bits, com a SA compartilhada pelo transmissor e pelo receptor. • Authentication Data: • Checksum de 32 bits gerado pelo MD5 (ou outro protocolo) 1 byte 1 byte 1 byte 1 byte Next Header Length reserved reserved Security Parameter Index Authentication Data More Data

  30. Campos do IPsec AH • Next Header: • Código do protocolo encapsulado pelo IPsec, de acordo com os códigos definidos pela IANA (UDP, TCP, etc ...) • Length: • comprimento do cabeçalho em múltiplos de 32. • Security Parameter Index: • identificador de 32 bits, com a SA compartilhada pelo transmissor e pelo receptor. • Authentication Data: • Código de verificação de integridade (ICV) de tamanho variável, depende do protocolo utilizado.

  31. Authentication Data • Para enviar um pacote: • O transmissor constrói um pacote com todos os campos IP e protocolos das camadas superiores. • Ele substitui todos os campos que mudam ao longo da transmissão com 0’s (por exemplo, o TTL) • O pacote é completado com 0’s para se tornar múltiplo de 16 bits. • Um checksum criptográfico é computado para concatenação: • Algoritmos: HMAC-MD5 ou HMAC-SHA-1 • MAC: Message Authentication Code

  32. Autenticação • Para receber um pacote: • O receptor utiliza o SPI para determinar qual o algoritmo a ser utilizado para validar o pacote recebido. • O receptor substitui os campos mutáveis por “0” e calcula o checksum criptográfico do pacote. • Se ele concordar com o checksum contido no cabeçalho do pacote de autorização, ele é então aceito. ICV Algoritmo de Integridade iguais? IP AH TCP/UDP DADOS ICV

  33. HMAC • h = função de hashing (MD5 ou SHA1) • k = chave secreta • ipad = 0x363636 ... 3636 • opad = 0x5c5c5 ... c5c5c

  34. Security Association • Uma vez definida uma política comum a ambos os computadores, uma associação de segurança (SA) é criada para “lembrar” as condições de comunicação entre os hosts. • Isso evita que as políticas sejam revistas pelo IPsec a cada novo pacote recebido ou transmitido. • Cada pacote IPsec identifica a associação de segurança ao qual é relacionado pelo campo SPI contido tanto no IPsec AH quanto no IPsec ESP.

  35. Associação de Segurança • SA: Associação de Segurança • Contrato estabelecido após uma negociação que estabelece como uma comunicação IPsec deve ser realizada. • Algoritmo de Autenticaçã/Criptografia • Chave de Sessão • SPI: Secure Parameter Index • Número inteiro (32 bits) que identifica um SA. • É transmitido junto com os pacotes IPsec para permitir ao destinatário validar/decriptografar os pacotes recebidos.

  36. Security Association (SA) • Dois computadores podem possuir um conjunto amplo de políticas para transmissão e recepção de pacotes. • É necessário encontrar uma política que seja comum ao transmissor e ao receptor. Eu transmito para qualquer rede sem IPsec Eu transmito para qualquer rede em IPsec AH MD5 Eu aceito pacotes de qualquer rede em com IPsec AH MD5 A B Eu transmito para qualquer rede em IPsec AH MD5 Eu transmito para qualquer rede em IPsec AH SHA1 Eu aceito pacotes de qualquer rede em com IPsec AH MD5 Eu aceito pacotes de qualquer rede em com IPsec AH SHA1

  37. Campos do IPsec AH • Sequence Number: • Numero incremental, que começa a contagem quando o SA é criada. • Permite que apenas 232-1 pacotes sejam transmitidos na mesma SA. Após esse número, uma nova SA deve ser criada. negociam SA e definem SPI SPI=deBparaA SPI=daAparaB. SPI=deAparaB SPI=deBparaA SPI=deAparaB e SN=1 Host B Host A SPI=deAparaB e SN=2 SPI=deBparaA e SN=1 ...

  38. assinatura comparação SPI=5 assinatura Algo SHA1 SPI=5 assinatura Algo SHA1 DADOS IP AH DADOS IP AH Transmissão dos Dados B A Quando transmitir para B use SPI=5 SPI=5 algo. SHA1 chave: xxxx SPI=5 algo. SHA1 chave: xxxx

  39. IP IP IP IP AH Modo Tunel e Transporte IPsec AH IPsec AH IPsec AH IPsec AH IPsec AH SA SA INTERNET Conexão IPsec em modo Transporte IPsec AH IPsec AH IPsec AH SA SA INTERNET Conexão IPsec em modo Túnel

  40. Protocolo ESP • Definido pelo protocolo IP tipo 50 • Utilizando para criar canais seguros com autenticação, integridade e criptografia. • Além da criptografia, permite incluir uma “assinatura digital” em cada pacote transportado. • Protege a comunicação pois atacantes não conseguem falsificar pacotes assinados e criptografados.

  41. ESP IPSec : Tunel e Transporte MODO TRANSPORTE autenticado criptografado IP ESP HEADER TCP UDP DADOS ESP TRAILER ESP AUTH IP TCP UDP DADOS IP ESPHEADER IP TCP UDP DADOS ESP TRAILER ESP AUTH criptografado autenticado MODO TUNNEL

  42. Encrypted Security Payload Header • ESP provê recursos de autenticação, integridade e criptografia de pacotes. 1 byte 1 byte 1 byte 1 byte Security Parameter Index HEADER Sequence Number Encrypted Payload (dados criptografados) TRAILER Pad (0 – 255 bytes) Pad Length Next Header Authentication Data (tamanho variável) AUTH

  43. Encrypted Security Payload Header • A transmissão de dados criptografados pelo IPv6 é feita através do cabeçalho Encrypted Security Payload. • a chave de criptografia utilizada é definida pelo campo Security Parameter Index. • o algoritmo de criptografia pode ser qualquer, mas o DES Cipher-Block Chainin é o default. 1 byte 1 byte 1 byte 1 byte Next Header Length reserved reserved Security Parameter Index Encrypted Payload (dados criptografados)

  44. Campos do IPsec ESP • Header: • SPI e Sequence Number: Mesmas funções do AH • O algoritmo de criptografia pode ser qualquer, mas o DES Cipher-Block Chaining é o default. • Trailler: • Torna os dados múltiplos de um número inteiro, conforme requerido pelo algoritmo de criptografia. • O trailler também é criptografado. • Auth: • ICV (Integrity Check Value) calculado de forma idêntica ao cabeçalho AH. Este campo é opcional.

  45. DES com chave yyyy DES com chave yyyy SPI=6 SPI=6 DADOS CRIPTO. IP ESP ESP DADOS CRIPTO. IP ESP ESP enchimento enchimento Transmissão dos Dados A C Quando transmitir para C use SPI=6 SPI=6 algo. DES chave: yyyyy SPI=6 algo. DES chave: yyyy

  46. IP IP IP IP ESP Modo Tunel e Transporte IPsec ESP IPsec ESP IPsec ESP IPsec ESP IPsec ESP SA SA INTERNET Conexão IPsec em modo Transporte IPsec ESP IPsec ESP IPsec ESP SA SA INTERNET Conexão IPsec em modo Túnel

  47. Configuração do IPsec • Cada dispositivo de rede (Host ou Gateway) possui uma política de segurança que orienta o uso de IPsec. • Uma política IPsec é formada por um conjunto de regras, muito semelhantes as regras de um firewall. • As políticas IPsec são definidas de maneira distinta para os pacotes transmitidos e para os pacotes recebidos.

  48. Estrutura Geral do IPsec Administrador configura Aplicação IKE Base de Políticas Solicita criação do SA Protocolo Aplicação Sockets Transporte (TCP/UDP) refere consulta IP/IPsec(AH,ESP) Base de SAs Enlace consulta

  49. Endereços IPv6 • Definido pela RFC 2373 • IPv6 Addressing Architecture • Exemplo de Endereço IPv6: • FE80:0000:0000:0000:68DA:8909:3A22:FECA • endereço normal • FE80:0:0:0:68DA:8909:3A22:FECA • simplificação de zeros • FE80 ::68DA:8909:3A22:FECA • omissão de 0’s por :: (apenas um :: por endereço) • 47::47:192:4:5 • notação decimal pontuada • ::192:31:20:46 • endereço IPv4 (0:0:0:0:0:0:0:0:192:31:20:46)

  50. Categorias de Endereço IPv6 • Unicast: • O destinatário é um único computador. • Anycast: • O endereço de destino define um grupo de hosts. O pacote é entregue para qualquer um deles (o mais próximo) • Multicast: • O destinatário é um grupo de computadores, possivelmente em redes físicas distintas.

More Related