Родичев Ю.А. Компьютерные сети - архитектура, технологии, защита

Подождите немного. Документ загружается.

221

торов. С точки зрения маршрутизаторов, пространство IP-адресов

представляет собой двухуровневую иерархию сетевых номеров и

номеров хостов. Маршрутизаторы не должны знать обо всех хос-

тах, но они должны знать обо всех сетях. Если бы применялись

полмиллиона сетей класса С, каждому маршрутизатору в Интер-

нете потребовалась бы таблица из полумиллиона записей.

Для ускорения

работы маршрутизаторов весь мир разделен на

четыре зоны, каждой из которых выделена часть адресного про-

странства сетей класса С. Разбиение было произведено следую-

щим образом:

1. Адреса от 194.0.0.0 до 195.255.255.255 – для Европы;

2. Адреса от 198.0.0.0 до 199.255.255.255 – для Северной Аме-

рики;

3. Адреса от 200.0.0.0 до 201.255.255.255 – для Центральной и

Южной Америки;

4. Адреса от 202.0.0.0 до 203.255.255.255 –

для Азии и Тихо-

океанского региона.

Подобным образом, каждому региону было предоставлено

около 32 млн. адресов, плюс еще 320 млн. адресов класса C от

204.0.0.0 до 223.255.255.255 зарезервировано на будущее. Пре-

имущество этого подхода состоит в том, что любой маршрутиза-

тор за пределами Европы, получив пакет, адресованный 194. хх.

уу. zz или 195. ххх. ууу. zzz, может просто

переслать его стандарт-

ному европейскому шлюзу. В результате 32 млн. адресов уплот-

няются в одну строку таблицы маршрутизатора. То же самое про-

исходит и с другими регионами. Однако по прибытии пакета в ре-

гион опять возникает проблема маршрутизации между сетями.

Одним из решений, реализуемым в настоящий момент, явля-

ется алгоритм маршрутизации CIDR

(Classless InterDomain

Routing – бесклассовая междоменная маршрутизация). Идея ме-

тода состоит в использовании маски сети, которая позволяет мак-

симально гибко устанавливать границу между номером сети и

номером узла.

Маска – это число, которое используется в паре с IP-адресом.

Двоичная запись маски содержит последовательность единиц в

тех разрядах, которые должны в IP-адресе интерпретироваться

как номер сети

. Поскольку номер сети является цельной частью

адреса, единицы в маске также должны представлять непрерыв-

222

ную последовательность. Граница между последовательностью

единиц и последовательностью нулей в маске соответствует гра-

нице между номером сети и номером узла в IP-адресе. При таком

подходе адресное пространство можно представить как совокуп-

ность множества сетей разного размера.

В десятичном представлении диапазоны адресов и маски се-

тей стандартных классов имеют следующие значения:

Класс A: 1.0.0.0 – 126.0.0.0, маска 255.0.0.0.

2. Класс B: 128.0.0.0 – 191.255.0.0, маска 255.255.0.0.

3. Класс C: 192.0.0.0 – 223.255.255.0, маска 255.255.255.0.

4. Класс D: 224.0.0.0–239.255.255.255, маска 255.255.255.255.

5. Класс E: 240.0.0.0 – 247.255.255.255, маска 255.255.255.255.

Образование байт маски поясняет таблица 7.1 возможных

значений элементов маски.

Таблица 7.1.

Двоичное Десятичное

11111111 255

11111110 254

11111100 252

11111000 248

11110000 240

11100000 224

11000000 192

10000000 128

00000000 0

Снабжая каждый IP-адрес маской, можно отказаться от поня-

тий классов адресов и сделать систему адресации более гибкой.

Например, если адрес 185.23.44.206 ассоциировать с маской

255.255.255.0, то номером сети будет 185.23.44.0, а не 185.23.0.0,

как это определено системой классов. В масках количество еди-

223

ниц в последовательности, определяющей границу номера сети,

не обязательно должно быть кратным 8, чтобы повторять деление

адреса на байты.

Пусть, например, для IP-адреса 129.64.134.5 указана маска

255.255.128.0. В двоичном виде IP-адрес 129.64.134.5 выглядит так:

10000001. 01000000. 10000110. 00000101

Маска 255.255.128.0 в двоичном виде выглядит так:

11111111. 11111111.10000000. 00000000

Если игнорировать маску, то в соответствии с системой клас-

сов адрес 129.64.134.5 относится

к классу B, а значит, номером

сети являются первые два байта – 129.64.0.0, а номером узла –

0.0.134.5. Если же использовать для определения границы номера

сети маску, то 17 последовательных двоичных единиц в маске

255.255.128.0, «наложенные» на IP-адрес, делят его на следую-

щие две части:

номер сети 10000001. 01000000. 1 (129.64.128.0)

номер узла 0000110. 00000101 (0.0.6.5).

С появлением метода CIDR старые сети класса

А, В, С для

маршрутизации более не используются.

7.2. Подсети

Как было показано, у всех хостов сети должен быть один и

тот же номер сети. Это свойство IP-адресации может вызвать

проблемы при росте сети. Например, представьте компанию, на-

чавшую подключение к Интернету с сети класса С. Со временем

число компьютеров компании может превысить 254, и компании

может понадобиться вторая сеть класса С

. В качестве альтерна-

тивы компания может приобрести вторую сеть другого класса с

отдельным IP-адресом для нее. В конце концов, компания полу-

чит несколько локальных сетей, каждая со своим маршрутизато-

ром и со своим сетевым адресом класса С.

По мере увеличения количества отдельных локальных сетей

их управление становится все сложнее. При

установке каждой

новой сети системный администратор должен связаться с сете-

вым информационным центром, чтобы получить новый сетевой

224

адрес. Затем этот адрес должен быть объявлен всему миру. Кроме

того, перемещение машины из одной локальной сети в другую

потребует изменения ее IP-адреса, что, в свою очередь, означает

изменение файлов конфигурации машины, и также объявления

всем нового IP-адреса машины. Если какая-либо новая машина

получит освободившийся адрес, она будет получать электронную

почту и другие данные, предназначенные другой машине, до тех

пор, пока известие о смене адреса не распространится по всему

миру.

Решение этих проблем состоит в разбиении сети на несколько

частей для внутреннего использования, но так, чтобы для внеш-

него мира эта сеть продолжала действовать как единая сеть. В

литературе, посвященной

Интернету, эти части называются под-

сетями. Если бы наша растущая компания вместо класса С начала

бы с сети класса В, она могла бы с появлением второй локальной

сети разбить 16-разрядный номер хоста на 6-разрядный номер

подсети и 10-разрядный номер хоста, как показано на рис. 7.2.

32 бита

Маска подсети

1 0

Сеть

Подсеть

Хост

1 0 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 0 0 0 0 0 0 0 0 0 0

Рис. 7.2. Деление сети класса В на подсети

При подобном разбиении адреса компания могла бы иметь до

62 подсетей (0 и 1 зарезервированы) с количеством хостов в каж-

дой до 1022. За пределами сети ее разбиение на подсети остается

незаметным, поэтому появление новой подсети не требует кон-

такта с Сетевым информационным центром или изменений

внешних

баз данных.

Чтобы понять, как функционируют подсети, следует рассмот-

реть процесс обработки IP-пакетов маршрутизатором. У каждого

маршрутизатора есть таблица, содержащая IP-адреса сетей и IP-

адреса хостов. Адреса сетей позволяют получать доступ к уда-

ленным сетям, а адреса хостов – обращаться к локальным хостам.

С каждой таблицей связан сетевой интерфейс, применяющийся

225

для получения доступа к пункту назначения, а также другая ин-

формация. Когда IP-пакет прибывает на маршрутизатор, адрес

получателя, указанный в пакете, ищется в таблице маршрутиза-

тора. Если пакет отправляется в удаленную сеть, он пересылается

следующему маршрутизатору по интерфейсу, указанному в таб-

лице. Если пакет предназначается локальному хосту (то есть в

локальной

сети маршрутизатора), он посылается напрямую адре-

сату.

При разбиении сети на подсети таблицы маршрутизаторов

изменяются. При этом к ним добавляются новые строки вида (эта

сеть, подсеть, 0) и (эта сеть, эта подсеть, хост). Таким образом,

маршрутизатор в каждой подсети знает, как получить доступ ко

всем остальным подсетям и ко всем хостам

своей подсети. Под-

робности о хостах других подсетей ему знать не нужно. Все, что

нужно маршрутизатору, – это, определив класс сети, наложить

маску подсети на IP-адрес пакета (см. рис. 7.2), чтобы, удалив

номер хоста, получить номер подсети, который затем ищется в

таблице. Разбиение сети на подсети уменьшает размер таблиц

маршрутизаторов, создавая трехуровневую иерархию

7.3. Порядок назначения IP-адресов

У каждой подсети в пределах составной сети должен быть

собственный уникальный номер, следовательно, процедура рас-

пределения номеров должна быть централизованной. Аналогич-

но, узлы должны быть однозначно пронумерованы в пределах

каждой из подсетей, отсюда следует, что централизованный ха-

рактер должна иметь и процедура распределения номеров узлов в

пределах каждой подсети. Если сеть

небольшая, то уникальность

адресов может быть обеспечена вручную администратором.

В больших сетях, подобных Интернету, уникальность сетевых

адресов гарантируется централизованной, иерархически органи-

зованной системой их распределения. Главным органом регист-

рации глобальных адресов в Интернете с 1998 года является

ICANN (Internet Corporation for Assigned Names and Numbers) –

неправительственная некоммерческая организация, управляемая

советом директоров. Эта организация координирует работу ре-

226

гиональных отделов, деятельность которых охватывает большие

географические площади: ARIN (Северная Америка), LACNIC

(Южная Америка), RIPE (Европа), APNIC (Азия и Тихоокеанский

регион), AFRINIC (Африка).

Региональные отделы выделяют блоки адресов сетей крупным

поставщикам услуг, те, в свою очередь, присваивают их своим

клиентам, среди которых могут быть и более мелкие поставщики

услуг. Региональным

сетевым информационным центром по Рос-

сии является компания RU-CENTER (сайт www.nic.ru).

Понятно, что в любой автономной сети могут быть использо-

ваны произвольные IP-адреса, лишь бы они были синтаксически

правильными и уникальными в пределах этой сети. Совпадение

адресов в не связанных между собой сетях не вызовет никаких

отрицательных последствий. Однако во всех сетях, входящих

единую составную сеть (например, Интернет), должны использо-

ваться глобально уникальные IP-адреса, однозначно определяю-

щие сетевые интерфейсы в пределах всей составной сети.

IP-адреса и маски назначаются узлам при их конфигурирова-

нии вручную, или автоматически с использованием DHCP- или

BootP-серверов. Ручное назначение адресов требует внимания –

некорректное назначение адресов и масок приводит

к невозмож-

ности связи по IP. При этом администратор должен помнить, ка-

кие адреса из имеющегося пула он уже использовал, а какие еще

свободны. Однако с точки зрения надежности и безопасности

(защиты от несанкционированного доступа) оно имеет свои пре-

имущества.

Протокол DHCP (Dynamic Host Configuration Protocol) обес-

печивает автоматическое динамическое назначение IP-адресов и

масок подсетей

для узлов-клиентов DHCP-сервера. Адреса вновь

активированным узлам назначаются автоматически из области

адресов, выделенных DHCP-серверу. По окончании работы узла

его адрес возвращается в пул и в дальнейшем может назначаться

для другого узла. Применение DHCP облегчает инсталляцию и

диагностику для узлов, а также снимает проблему дефицита IP-

адресов (реально отнюдь не все клиенты одновременно

работают

в сети).

Протокол BootP выполняет аналогичные функции, но исполь-

зует статическое распределение ресурсов. При инициализации

227

узел посылает широковещательный запрос, на который BootP-

сервер ответит пакетом с IP-адресом, маской, а также адресами

шлюзов (gateways) и серверов службы имен (nameservers). Эти

данные хранятся в списке, составленном по МАС-адресам клиен-

тов BootP, хранящимся на сервере. Естественно, что по отключе-

нии узла его IP-адрес не может быть использован другими узлами.

7.4. Управляющие протоколы Интернета

7.4.1. Протокол ICMP

За работой Интернета следят маршрутизаторы. Когда случа-

ется что-либо неожиданное, о происшествии сообщается по про-

токолу ICMP (Internet Control Message Protocol – протокол

управляющих сообщений Интернета), также используемому для

тестирования Интернета. Протоколом ICMP определено около

десятка типов сообщений. Каждое ICMP-сообщение вкладыва-

ется в IP-пакет.

Сообщение АДРЕСАТ НЕДОСТУПЕН используется, когда

подсеть или маршрутизатор не могут обнаружить пункт назначе

ния или когда пакет с битом DF (не фрагментировать) не может

быть доставлен, так как путь преграждает сеть с маленьким раз-

мером пакетов.

Сообщение ВРЕМЯ ИСТЕКЛО посылается, когда пакет игно-

рируется, так как его счетчик уменьшился до нуля. Это событие

является признаком того, что пакеты двигаются по замкнутым

путям, что имеется

большая перегрузка или установлено слиш-

ком низкое значение таймера.

Сообщение ПРОБЛЕМА С ПАРАМЕТРОМ указывает, что

обнаружено неверное значение в поле заголовка, что является

признаком наличия ошибки в программном обеспечении отпра-

вившего этот пакет хоста или промежуточного маршрутизатора.

Сообщение ПЕРЕАДРЕСОВАТЬ посылается хосту, отпра-

вившему пакет, когда маршрутизатор замечает, что пакет адресо-

ван

неверно.

Сообщения ЗАПРОС ОТКЛИКА и ОТКЛИК посылаются,

чтобы определить, достижим и жив ли конкретный адресат. По-

228

лучив сообщение ЗАПРОС ОТКЛИКА, хост должен отправить

обратно сообщение ОТКЛИК.

Сообщения ЗАПРОС ВРЕМЕННОГО ШТАМПА и ОТКЛИК

С ВРЕМЕННЫМ ШТАМПОМ имеют то же назначение, но при

этом в ответе проставляется время получения сообщения и время

отправления ответа. Это сообщение используется для измерения

производительности сети.

7.4.2. Протоколы разрешения адресов

Одной из главных задач, которая ставилась при создании про-

токола IP, являлось обеспечение совместной согласованной рабо-

ты в сети, состоящей из подсетей, в общем случае использующих

разные сетевые технологии. Взаимодействие технологии ТСР/IP с

частными технологиями подсетей происходит многократно при

перемещении пакета IP по составной сети. На каждом маршрути-

заторе протокол IP определяет, в какую

следующую подсеть и

какому пограничному узлу в этой подсети надо направить пакет.

Таким пограничным узлом является маршрутизатор, и протоколу

IP известен его IP-адрес. Однако технологии подсетей могут не

понимать IP-адресов, поэтому они не могут использоваться для

отправки пакетов, так как аппаратура уровня передачи данных не

понимает Интернет-адресов.

В настоящее время

большинство хостов соединены с локаль-

ными сетями с помощью интерфейсных карт, понимающих толь-

ко адреса данной локальной сети. Например, каждая когда-либо

выпущенная сетевая карта Ethernet имеет 48-разрядный Ethernet-

адрес. Производители сетевых карт Ethernet запрашивают у цен-

тра блок адресов, что гарантирует уникальность Ethernet-адресов.

Сетевые карты отправляют и принимают кадры, основываясь на

48-разрядных

Ethernet-адресах. О 32-разрядных IP-адресах им

ничего не известно.

Таким образом, возникает вопрос: как устанавливается соот-

ветствие IP-адресов и адресов уровня передачи данных, таких

как Ethernet-адреса? Чтобы понять, как это работает, рассмотрим

показанный на рис. 7.3 пример.

На рисунке мы видим две сети Ethernet, одна с IP-адресом

192.31.65.0, а другая – с IP-адресом 192.31.63.0. Они соединены

229

кольцом FDDI c IP-адресом 192.31.60.0. У каждой машины сетей

Ethernet есть уникальный Ethernet-адрес, обозначенный на рисун-

ке от Е1 до Е6, а у каждой машины кольца FDDI есть FDDI-адрес,

обозначенный от F1 до F3.

К глобальной сети

У маршрутизатора У маршрутизатора

2 IP-адреса: 2 IP-адреса:

192.31.60.4 192.31.60.7

192.31.65.1 192.31.63.3

192.31.65.7

192.31.63.8

192.31.65.5 192.31.63.6

E1 E2 E3 E4 E5 E6

Сеть Ethernet Кольцо FDDI Сеть Ethernet

192.31.65.0 192.31.60.0 192.31.63.0

2 3 4

F1 F3

Рис.7.3. Соответствие IP адресов адресам локальных сетевых

технологий

Прежде всего, рассмотрим, как пользователь с хоста 1 (IP-

адрес 192.31.65.7) посылает пакет пользователю на хост 2 (IP-

адрес 192.31.65.5). Программное обеспечение верхнего уровня

хоста 1 создает пакет и передает его IP-программе для пересылки.

Программное обеспечение протокола IP определяет, что адресат

находится в его собственной сети, но ему нужно как-то

опреде-

лить Ethernet-адрес получателя. Одно из решений состоит в том,

что в системе хранится файл конфигурации, в котором перечис-

лены соответствия всех локальных IP-адресов Ethernet-адресам.

Такое решение, конечно, возможно, но в организациях с тысяча-

ми машин поддержка этих файлов в обновленном состоянии по-

требует много времени и подвержена ошибкам.

Лучшее решение

заключается в рассылке хостом 1 по сети

Ethernet широковещательного пакета с вопросом «Кому принад-

230

лежит IP-адрес 192.31.65.5?». Этот пакет будет получен каждой

машиной сети Ethernet 192.31.65.0, а хост 2 ответит на вопрос

своим Ethernet-адресом E2. Таким образом, хост 1 узнает, что IP-

адрес 192.31.65.5 принадлежит хосту с Ethernet-адресом E2. Про-

токол, который задает подобный вопрос и получает ответ на него,

называется ARP (Address Resolution Protocol – протокол разре-

шения адресов). Он работает почти на каждой машине в

Интер-

нете.

Затем программное обеспечение протокола IP хоста 1 создает

Ethernet-кадр, адресованный Е2, помещает в его поле полезной

нагрузки IP-пакет, адресованный 192.31.65.5, и посылает его по

сети Ethernet. Сетевая карта Ethernet хоста 2 обнаруживает кадр,

замечает, что он адресован ей, считывает его и вызывает преры-

вание. Ethernet-драйвер извлекает IP-пакет из поля полезной на-

грузки и передает

его IP-программе, которая, видя, что пакет ад-

ресован правильно, обрабатывает его.

Для повышения эффективности протокола ARP существуют

различные методы оптимизации. Во-первых, машина, на которой

работает протокол ARP, запоминает результат преобразования

адреса, на случай, если ей придется снова связаться с той же ма-

шиной. В следующий раз она найдет нужный адрес в

своем кэше,

сэкономив, таким образом, на рассылке широковещательного па-

кета. В большинстве случаев хосту 2 понадобится отослать ответ

на пакет, что также потребует от него обращения к ARP, чтобы

определить адрес отправителя. Этого обращения можно избе-

жать, если отправитель включит в ARP-пакет свои IP- и Ethernet-

адреса. Когда широковещательный ARP-пакет прибудет на хост

2, пара (192.31.65.7,

Е1) будет сохранена хостом 2 в ARP-кэше

для будущего использования. Более того, эту пару адресов могут

сохранить все машины сети Ethernet. Кроме того, каждая машина

может рассылать свою пару адресов во время загрузки. Обычно

эта широковещательная рассылка производится в виде ARP-

пакета, запрашивающего свой собственный IP-адрес. Ответа на

этот запрос быть не должно, но

все машины могут запомнить эту

пару адресов. Если ответ все же придет, это будет означать, что

двум машинам назначен один и тот же IP-адрес. При этом вторая

машина должна проинформировать системного администратора и

прекратить загрузку.