Мельников Д. А. - Организация и обеспечение безопасности информационно-технологических сетей и систем - 2012

провайдера, минимизируется отрицательное влияние на кор­ поративную сеть, то есть не требуется перенумерация объек­ тов внутри корпоративной сети;

вглобальные IP-адреса, которые используются в процедурах маршрутизации, могут быть повторно использованы при спо­ радическом доступе корпоративных пользователей в глобаль­ ную сеть. А это влечет за собой спрос на IP-адреса только для активных IP-узлов, а не для всех имеющихся IP-узлов в корпо­ ративной сети;

®существует возможность для Internet-провайдера, который об­ служивает и управляет NAT-модулями, снизить бремя собст­ венной нагрузки, если он встроит дополнительный программ­ ный модуль с заранее известными параметрами в пользова­ тельский интерфейс доступа в сеть;

•разбиение Internet-сети на совокупность сетевых адресных сегментов, каждый из которых управляется своей полномоч­ ной администрацией, снижает необходимость постоянно объ­ яснять причины и порядок того или иного распределения ад­ ресного субпространства, а также позволяет сетевым админи­ страторам отказаться от использования более сложных мето­ дов маршрутизации;

•IP-узлы, в которых размещаются программные модули при­ кладных служб, не должны использовать процедуры защиты целостности заголовка IP-пакета или не включать IP-адреса в поля полезной нагрузки своих сообщений;

вподобно сетевым экранам на основе фильтрации IP-пакетов, NAPT-модули (и их RSIP-разновидность) блокируют входные соединения на всех портах транспортного уровня, причем до тех пор, пока не будет получено административное разреше­ ние на их преобразование.

Недостатки NAT-модулей. Функционирование NAT-модулей вызвает следующие проблемы:

•нарушают принцип «сквозного соединения» в Internet;

вявляются точками отказа всей системы, то есть их отказ в рабо­ те влечет сбой всей системы, так как они контролируют со­ стояние соединения и динамически преобразуют данные;

вограничивают применение многоадресных соединений, ис­ пользуемых IP-узлами для повышения надежности их связей между собой в Internet-сети;

вне позволяют использовать средства обеспечения информаци­ онной безопасности на IP(сетевом)-уровне Internet-архитектуры;

вмогут привести к конфликтным ситуациям, являющимся след­ ствием применения корпоративных IP-адресов;

оспособствуют более легкой привязки существующих корпора­ тивных наборов имен к DNS-именам общего пользования;

о(и их RSIP-разновидности) увеличивают функциональную сложность прикладных систем особенно в тех случаях, когда программные модули прикладных служб общего пользования располагаются внутри корпоративных сетей;

оусложняют или вообще могут исключить применение проце­ дур аутентификации в интересах SNMPv3-npoTOKona;

осетевые объекты не могут использовать NAT-функции без оповещения других сетевых объектов об этом.

NAT-модули накладывают ограничения на распространение прикладных служб, которые включают IP-адреса (или их производ­ ные) в поля полезной нагрузки своих сообщений.

И в заключении, несмотря на то, что различные разновидно­ сти NAPT-модулей (с функцией объединения портов транспортно­ го уровня - Network Address Port Translation) работают весьма хо­ рошо, когда корпоративные IP-узлы устанавливают соединения с серверами прикладных служб общего пользования (NAPT-модули популярны как раз потому, что позволяют обеспечивать множест­ венный доступ в Internet-сеть, используя для этого только один IP-адрес), но они порождают проблемы управления соединением, ко­ гда серверы прикладных служб, расположенные в сети общего пользо­ вания, устанавливают соединение с корпоративными IP-узлами. В та­ ких случаях, понятие «хорошо известный» порт нарушается, по­ скольку только одна корпоративная часть системы может быть ото­ бражена с помощью одного номера порта транспортного уровня внешней части системы.

Базовая Internet-архитектура достаточно универсальна, так как она определяет общий способ доставки данных, с помощью которого могут бьггь созданы самые разнообразные прикладные и технологиче­ ские сетевые системы (даже самые невообразимые). Несмотря на то, что можно построить и «карточный домик» (на основе применения NAT-протокола), время и накопленный практический опыт склоняют разработчиков к созданию стандартов с максимально целостной структурой. Система 1Ру6-адресации является долгосрочным решени­ ем проблемы нехватки IP-адресов, которая сохраняет принцип «сквоз­ ного соединения» (прозрачности соединения). NAT-метод представля­ ет собой технологический «отвлекающий маневр» с целью продления «жизни» существующей системы 1Ру4-адресации.

Глава 12. Протокол IP шестой версии

Все IP-адреса шестой версии (1Ру6-адреса) представляют собой 128-битовые логические идентификаторы для канальных (физиче­ ских) интерфейсов и групп канальных (физических) интерфейсов (RFC-2460). Существуют следующие три типа 1Ру6-адресов:

воднонаправленный (unicast). Он представляет собой иденти­ фикатор одного интерфейса (IP-узла). Переданный с таким адресом IP-пакет доставляется на интерфейс (IP-узел), имею­ щий такой адрес;

вальтернативный (anycast). Он представляет собой идентифи­ катор группы канальных (физических) интерфейсов (обычно принадлежащих различным IP-узлам). Переданный с таким адресом IP-пакет доставляется на один из канальных (физиче­ ских) интерфейсов (IP-узлов), имеющих такой адрес (то есть «ближайший» в соответствии с принятой метрикой протокола маршрутизации);

«групповой (multicast). Он представляет собой идентификатор группы канальных (физических) интерфейсов (обычно при­ надлежащих различным IP-узлам). Переданный с таким адре­ сом IP-пакет доставляется на все интерфейсы (IP-узлы), имею­ щие такой адрес.

В1Ру6-адресации нет широковещательных (broadcast) адресов, так как эту функцию выполняют групповые 1Ру6-адреса.

12.1. Модель 1Руб-адресации

1Ру6-адреса (RFC-4291) всех типов приписываются (привязаны) к канальным (физическим) интерфейсам, а не к IP-узлам (на прак­ тике один IP-узел может иметь несколько канальных (физических) интерфейсов).

Однонаправленный 1Ру6-адрес указывает на одиночный ка­ нальный (физический) интерфейс. Так как каждый канальный (фи­ зический) интерфейс принадлежит одному IP-узлу, то в принципе, однонаправленные 1Ру6-адреса можно использовать в качестве идентификатора 1Р-узла.

Одно из требований к любому канальному (физическому) ин­ терфейсу заключается в том, что он должен иметь, по крайней мере, один однонаправленный 1Ру6-адрес, связанный с конкретным ло­ кальным каналом связи. Один канальный (физический) интерфейс

может также иметь несколько 1Ру6-адресов различных типов (одно­ направленный, альтернативный и групповой) или целый диапазон.

Однонаправленные 1Ру6-адреса в большом диапазоне превы­ шают диапазон конкретной линии связи, и поэтому нет необходи­ мости присваивать их интерфейсам «не соседних» IP-узлов, которые не используются как источники или получатели 1Ру6-пакетов. Они наиболее приемлемы для идентификации оконечных интерфейсов при сквозном соединении («point-to-point»). Существует только одно исключение в данной модели адресации: однонаправленные IPv6адреса или группа таких 1Ру6-адресов может быть присвоена не­ скольким физическим интерфейсам, если в конкретной подсети эта группа физических интерфейсов рассматриваются как один ин­ терфейс, когда его представляют как интерфейс физического уров­ ня. Это бывает весьма полезным при распределении нагрузки меж­ ду несколькими физическими интерфейсами.

В настоящее время модель 1Ру6-адресации совпадает с моде­ лью 1Ру4-адресации, в которой префикс подсети соответствует од­ ной линии связи. Более того несколько префиксов подсети могут присваиваться одной и той же линии связи.

12.2. Текстуальное представление IPve-адресов

Существуют три стандартные формы текстуального представле­ ния 1Ру6-адресов (в форме текстовых строк или последовательностей):

о рекомендуемая (полная) форма:

х:х:х:х:х:х:х:х,

где «х» - от одного до четырех шестнадцатеричных чисел из восьми 16-битовых отрезков (полей/субполей) 1Ру6-адреса. Например:

ABCD:EF01:2345:6789:ABCD:EF01:2345:6789;

2001:DB8:0:0:8:800:200C:417A.

(.Примечание. Нет необходимости записывать все четыре нуля в одном 16-битовом поле 1Ру6-адреса. Однако, в каждом поле долж­ на присутствовать хотя бы одна цифра.);

•сокращённая форма. Несмотря на некоторые способы форми­ рования определённых вариантов 1Ру6-адресов, в большинстве случаев 1Ру6-адреса будут содержать весьма длинные последо­ вательности нулевых битов. С целью облегчения записи Шубадресов, содержащих такие нулевые последовательности, су­ ществуют специальные правила для сокращения длины адре­ са. В частности, для этого используется символ «::», который

крайних слева последовательных битов адреса, представляющих пре­ фикс. Далее приведены примеры допустимых форматов записи 60-би- тового шестнадцатеричного префикса «20010DB80000CD3»:

2001:0DB8:0000:CD30:0000:0000:0000:0000/60;

2001:0DB8::CD30:0:0:0:0/60;

2001:0DB8:0:CD30::/60.

Далее приведены примеры не допустимых форматов записи 60-битового шестнадцатеричного префикса «20010DB80000CD3»:

о«20Ql:0DB8:0:GD3/60» - в этом случае могут быть потеряны на­ чальные последовательности нулей (но не конечных) в преде­ лах любого 16-битового поля адреса;

о«2001:0DB8::CD30/60» - в этом случае адрес слева от символа «/» «расширяется» до неверного значения «2001:0DB8:0000: 0000:0000:0000:0000:CD30»;

о«2001:0РВ8::СРЗ/60» - в этом случае адрес слева от символа «/» «расширяется» до неверного значения «2001:0РВ8:0000:0000: 0000:0000:0000:0СРЗ».

При записи 1Ру6-адреса IP-узла совместно с префиксом этого 1Ру6-адреса IP-узла (например, префикс IP-узла некой подсети) до­ пускаются следующие форматы:

о 1Ру6-адрес IP-узла - «2001:0PB8:0:CP30:123:4567:89AB:CPEF»;

®номер подсети, в которой расположен IP-узел -» 2001:0РВ8:0: СРЗО::/60»;

окомбинация адрес/префикс -» 2001:0РВ8:0:СР30:123:4567: 89AB:CPEF/60».

12.4. Идентификация типа IPve-адреса

Тип 1Ру6-адреса определяется битами старшего порядка адреса. Следующая таблица определяет кодирование типов 1Ру6-адресов.

Альтернативные 1Ру6-адреса, выбираемые из пространства однонаправленных 1Ру6-адресов, с точки зрения семантики ничем не отличаются от однонаправленных 1Ру6-адресов.

В последующих стандартах для определённых целей могут быть введены один или несколько субдиапазонов глобальных одно­ направленных 1Ру6-адресов, но до тех пор, пока этого не произой­ дет, в прикладных системах все адреса должны трактоваться как глобальные однонаправленные 1Ру6-адреса, за исключением других типов адресов, представленных в приведенной выше таблице.

12.5. Однонаправленные IPve-адреса

Однонаправленные 1Ру6-адреса записываются вместе с пре­ фиксами произвольной длины в битах, что - аналогично 1Ру4-адре- сации при использовании бесклассового способа межсетевой маршру­ тизации.

128 бит

1Ру6-адрес 1Р-узла

Рис. 12.1. Формат 1Ру6-адреса, не имеющего какой-либо

внутренней структуры

В настоящее время существует несколько типов однонаправ­ ленных 1Ру6-адресов, а именно: глобальные, для локальных терми­ налов (сетевых устройств) и для локальных линий связи (1Р-узлов). Также существует несколько специализированных подтипов гло­ бальных однонаправленных 1Ру6-адресов, среди которых совме­ щенные IPv6- и 1Ру4-адреса. В дальнейшем могут быть определены новые типы и подтипы адресов.

IP-узлы работающие с 1Ру6-адресацией могут иметь достаточ­ но много или мало данных о внутренней структуре 1Ру6-адресов, это зависит от роли, которую играет IP-узел (например, сервер или маршрутизатор). Как минимум, IP-узел может знать, что однона­ правленный 1Ру6-адрес (включая свой собственный) не имеет какойлибо внутренней структуры (рис. 12.1).

Немного более сложный IP-узел (но по-прежнему весьма про­ стой) дополнительно может быть «осведомлён» о префиксе(ах) под­ сети для линии(ий) связи, которая(ые) за ними закреплена(ы), при этом различные 1Ру6-адреса могут иметь различные значения дли­ ны («п») префикса (рис. 12.2).

ШЕЕ 802, или идентификаторы стандарта IEEE EUI-64), или иметь ло­ кальную зону применения, в которой глобальные метки не исполь­ зуются (например, терминальные окончания туннелей, последова­ тельные линии передачи данных) или такие глобальные метки не допустимы (например, метки времени для обеспечения безопасно­ сти).

Идентификаторы интерфейсов в усовершенствованном фор­ мате EUI-64 формируются путем инверсии бита «и» (универсаль­ ный/ локальный бит в терминологии ШЕЕ EUI-64), если они созда­ ются из идентификаторов стандарта ШЕЕ EUI-64. Таким образом, в результате инверсии бита «и» имеем:

в «1» - указывает на универсальную зону применения; о «0» - указывает на локальную зону применения.

Рис. 12.3. Формат первых трех октетов идентификаторов

стандарта IEEE EUI-64

На рис. 12.3 представлен формат первых трех октетов (в двоич­ ной форме) идентификаторов стандарта IEEE EUI-64. Порядок следо­ вания битов соответствует порядку передачи битов в Internetсообществе. Бит «и» - универсальный/локальный бит, бит «g» - инди­ видуальный/групповой бит, «с» - биты идентификатора компании.

Причина инверсии бита «и» при формировании идентифика­ тора интерфейса весьма банальна - облегчить системным админи­ страторам ручную настройку не глобальных идентификаторов, ко­ гда аппаратные метки не допустимы. За исключением, например, случаев последовательных линий передачи данных и терминальных окончаний туннелей (при сквозных соединениях). Альтернативной формой могла бы быть форма «0200:0:0:1, 0200:0:0:2, ...», за исключе­ нием уж слишком упрощенной формы как «0:0:0:1, 0:0:0:2, ...». Сете­ вые 1Ру6-узлы, не требующие того, чтобы в идентификаторах ин­ терфейсов в усовершенствованном формате EUI-64 бит «и» не был установлен в положение «универсальный» (значение «1»), являются уникальными.

Неустановленные адреса. Адрес «0:0:0:0:0:0:0:0» называется неустановленным 1Ру6-адресом. Он никогда не должен присваи­ ваться какому-либо IP-узлу. Этот адрес указывает на отсутствие ад­ реса. Существует только один пример использования такого адреса: в поле «Адрес отправителя сообщения» в любых 1Ру6-пакетах, кото­

рые передаются сервером для собственной идентификации, еще до того как этот сервер узнает свой собственный 1Ру6-адрес.

Неустановленный адрес никогда не должен использоваться как «Адрес получателя» в 1Ру6-пакетах или в заголовках маршрути­ зации 1Ру6-пакетов. 1Ру6-пакет с неустановленным «Адресом отпра­ вителя сообщения» никогда не должен транслироваться IPv6маршрутизатором.

Петлевые адреса. Специальный однонаправленный IPv6адрес «0:0:0:0:0:0:0:1» называется петлевым адресом. Этот адрес мо­ жет использоваться IP-узлом для передачи 1Ру6-пакета «самому се­ бе». Он не должен никогда присваиваться какому-либо физическо­ му интерфейсу. Петлевой адрес интерпретируется как адрес, имеющий диапазон в рамках локального канала (линии) связи, и может восприниматься как однонаправленный адрес виртуального интерфейса в рамках локального канала (линии) связи (часто име­ нуемый «петлевым интерфейсом»), а именно мнимой линии связи, которая идёт в «никуда».

Петлевой адрес никогда не должен использоваться в качестве «Адрес отправителя сообщения» в любых 1Ру6-пакетах, которые пере­ даются одиночным IP-узлом. 1Ру6-пакет с петлевым адресом в поле «Адрес получателя» никогда не должен передаваться одиночным IP-узлом, а также никогда не должен транслироваться 1Ру6-мар- шрутизатором. Пакет с петлевым адресом в поле «Адрес получателя», поступивший на сетевой интерфейс, должен быть уничтожен.

Глобальные однонаправленные 1Ру6-адреса. Общий формат глобального однонаправленного 1Ру6-адреса представлен на рис. 12.4.

м арш рутизации

Рис. 12.4. Общий формат глобального однонаправленного 1Ру6-адреса

Префикс глобальной маршрутизации (обычно имеет иерар­ хическую структуру) присваивается группе подсетей (линий связи), а идентификатор подсети присваивается линии связи в рамках этой группы подсетей.

Все глобальные однонаправленные 1Ру6-адреса (за исключе­ нием тех, которые начинаются с нулевой последовательности «000») имеют 64-битовой поле «Идентификатор интерфейса» (то есть, п + т = 64). Глобальные однонаправленные 1Ру6-адреса, которые начи­ наются с нулевой последовательности «000», имеют другую конст­ рукцию и формат.

Смешанная форма адресов. Существуют два типа 1Ру6-ад- ресов, которые содержат 1Ру4-адреса в 32 битах младшего порядка 1Ру6-адреса: