LAN segment. Virtual local area network. Twee LAN segmenten. Evolutie. een enkelvoudige hub of switch is een fysisch LAN segment (Ethernet segment)

Transcriptie

1 LAN segment een enkelvoudige hub of is een fysisch LAN segment (Ethernet segment) Virtual local area network een VLAN is een verzameling computers in een LAN die met elkaar kunnen communiceren alsof ze deel uitmaken van een enkelvoudige, geisoleerde LAN Belangrijkste doelstelling om een netwerk op te splitsen in een aantal VLAN s: reductie van overbelasting in een grote LAN (verbetering performantie) + vorming van virtuele werkgroepen, bijvoorbeeld per project een VLAN + grotere flexibiliteit voor gebruikers die met hun laptop van de ene plaats naar de andere plaats bewegen en toch in hetzelfde subnet willen blijven werken + afschermen van bepaalde resources (servers, printers) door deze in een aparte VLAN te plaatsen; gebruikers in andere VLAN s krijgen selectief toegang een IP eindpunt is een host en heeft een IP adres de zelf had oorspronkelijk geen IP adres een manageable heeft een eigen IP adres een LAN segment bevat gewoonlijk een IP netwerk (subnet) LAN segment twee of meer es met elkaar verbonden vormen één fysisch LAN segment de up-link tussen de twee es kan een bottleneck vormen Twee LAN segmenten 1. coax: CSMA/CD Evolutie 2. hub: L1 (fysische laag) multi-port repeater op een poort ontvangen signaal wordt over alle poorten doorgestuurd twee of meer apparaten die tegelijk sturen: botsing (collision domain) half duplex: aangesloten appraaten kunnen niet tegelijk zenden en ontvangen 3. : L2 (data link laag) brug met kennis van L2 MAC adressen MACadres-poort mapping: weet welke apparaten aangesloten zijn ontvangen signaal wordt alleen naar de specifieke poort doorgestuurd een broadcast wordt naar alle poorten doorgestuurd (broadcast domain) full duplex: verschillende aangesloten apparaten kunnen tegelijk zenden en ontvangen met elk verschillende IP subnetten; hosts op één subnet kunnen niet communiceren met hosts op het andere subnet (o.a. omdat er geen verbinding is) met verbinding één LAN segment zelfs met een verbinding tussen de twee es: geen communicatie omdat ARP binnen het eigen subnet blijft om communicatie te hebben is een IP gateway nodig een is een L3 (netwerk laag) apparaat

2 Broadcast Probleem bij een directe verbinding tussen de twee LAN subnetten elk IP subnet heeft een eigen broadcast IP adres: voor /24 is dit en voor subnet /24 is dit de communicatie tussen computers kan niet via de IP adressen: IP broadcasts worden omgezet naar MAC broadcasts computer stuurt een broadcast pakket naar dit pakket wordt ingekapseld in een ethernet frame met bestemmingsadres het broadcast MAC adres, FF:FF:FF:FF:FF:FF alle computers op het LAN segment zien deze MAC broadcast alleen computers op het /24 graven dieper in het IP pakket computers op subnet /24 ontvangen de MAC broadcast, maar negeren de IP broadcast omdat die tot een ander subnet behoort. Een LAN segment kan best slechts één IP subnet hebben: 1-op-1 mapping tussen een L2 broadcast domein (fysiche LAN segment) en een L3 broadcast domein (logisch IP subnet) communicatie tussen hosts van de verschillende VLAN s: niet via verbindingskabel gelijkaardige situatie bij LAN segment met twee es met elk een IP subnet een IP gateway is nodig: eventueel via een externe subnet VLAN een fysisch LAN segment wordt een logische VLAN een slimme L2 (IEEE 802.1Q) met een filtering database: welke poorten behoren tot welke VLAN elke poort behoort tot tenminste één VLAN: de port/native VLAN hiermee is de port VLAN ID (PVID) geassocieerd een tweede VLAN toevoegen vereist geen tweede creatie van een tweede VLAN op dezelfde gewenste poorten toevoegen aan de nieuwe VLAN de filtering database bevat de poort-naar-vlan toewijzing subnet Switch met L2 en L3 functies Switching functie (L2): filtering database: poorten die aan VLAN s toegewezen zijn Routing functie (L3): de gateway functie tussen de VLAN s fysische interfaces vervangen door virtuele interfaces subnet fysische verbindingen tussen en logische verbindingen elke L2 entiteit (VLAN) heeft slechts één L3 (virtuele ) interface met slechts één IP subnet 1-op-1 mapping tussen L2 en L3 broadcast domeinen

3 Verbinden van slimme L2 es De VLAN s fysisch verbinden: niet aangewezen Voorbeeld met een tagged packet (2) (4) (1) poort 17 (3) poort 12 S A VLAN 47 S B VLAN 47 Poort 17 van A en poort 12 van B zijn beide tagged leden van VLAN 47. mogelijke verbindingsfouten technisch gezien: een mogelijke configuratie VLAN s zijn lokaal in de Ethernet ; er hoeft geen overeenkomst te zijn over verschillende es maar is waarschijnlijk niet de intentie 1. Een broadcast pakket wordt vanuit VLAN 47 naar A gestuurd; 2. een untagged broadcast pakket wordt gestuurd naar alle VLAN 47 poorten op A; 3. vanuit poort 17 van A wordt de broadcast als een tagged pakket met VID = 47 verstuurd naar poort 12 van B; B aanvaardt dit pakket als behorende tot VLAN 47; 4. B zendt het broadcast pakket naar alle leden van VLAN 47. VLAN trunking op elke wordt een trunk poort geconfigureerd die logisch verbonden is met de verschillende VLAN s de trunk poorten van elke worden verbonden VLAN nummering door gebruik te maken van 802.1Q tags (3 prioriteitsbits en 12 VLAN ID bits) wanneer een een ethernetframe verzendt naar een andere, wordt door de verzendende een tag met de juiste VID toegevoegd de ontvangende stuurt op basis van de VID in de tag het ethernetframe naar de juiste VLAN

4 IPv6 IPv4: 32 bits: mogelijke adressen IPv6: 128 bits: 3, mogelijke adressen (wordt aangeduid met /128) Notatie: groepjes van 4 hexadecimale cijfers gescheiden door : Voorbeeld: 2001:0DB8:0003:0000:0000:01FF:0000:002E verkort (leidende nullen weg): 2001:DB8:3:0:0:1FF:0:2E nog korter (één reeks van opeenvolgende nullen weg) : 2001:DB8:3::1FF:0:2E Adres op een lokaal netwerksegement: een /64 adres de eerste 64 bits van het adres zijn gelijk voor alle nodes in het lokale netwerk de laatste 64 bits maken iedere node op het lokale netwerk uniek dit gedeelte kan automatisch gegenereerd worden op basis van het MAC-adres van de netwerkkaart Global Unicast Address provider site host bits 001 global routing prefix subnet interface ID equivalent met IPv4 publiek adres: globaal identificeerbaar, uniek adresseerbaar global routing prefix is een waarde toegewezen aan een zone, een verzameling van subnetwerken of een site Unique-Local bits global ID subnet ID interface ID gebruikt voor lokale communicatie (en voor inter-site VPN s ) niet routeerbaar over het internet (vgl. met ipv4 private network) 8e bit is gelijk aan 1, wanneer het adres lokaal toegewezen is betekenis 8e bit gelijk aan 0 is nog niet gedefinieerd Types: Adresseringsmodel een adres wordt toegewezen aan een interface een interface heeft meerdere adressen een adres heeft een bereik internet unicast: één enkele interface: 1-op-1 aflevering global unique local link local multicast: verzameling interfaces: 1-op-alle aflevering subnet of lokaal netwerk prive netwerk tussen organisaties anycast: verzameling interfaces: 1-op-1-vanalle aflevering naar de interface in de verzameling die het dichtste bij is Link-Local bits overblijvende bits =0 interface ID gebruikt tijdens automatische configuratie (neighbour discovery) link specifiek bereik communicatie tussen twee IPv6 apparaten in een segment overblijvende 54 bits kunnen 0 zijn of een eigen geconfigureerde waarde Autoconfiguratie: 1. multicast een request om het netwerk prefix te ontdekken 2. indien er geen beschikbaar is, wordt een waarde voor lokale communicatie gebruikt 3. het suffix: op basis van EUI-64

5 manueel geconfigureerd toewijzing via DHCP Interface ID automatisch gegenereerd pseudo-random getal uit het 48-bit MAC-adres (Extended Unique Identifier EUI-64 formaat) EUI-64 voor auto-configuratie: 1. MAC adres wordt opgesplitst in OUI (organisationally unique id) en NIC (network interface controller) 2. F F F E wordt er tussen geschoven 3. complement van de 7e bit van het eerste octet FC 0F FF FE 17 FC 0F FF FE 17 FC 0F U0 U=0: global U=1: local FF FE 17 FC 0F Header IPv4: 20 bytes (+opties) met 12 velden IPv6: 40 bytes met slechts 8 velden geen checksum meer (redundant met ethernetframe) een aantal velden van v4 verschoven naar extension headers version class flow label payload length next header hop limit 128 bits bronadres 128 bits doeladres Multicast adres Speciale adressen 0:0:0:0:0:0:0:0/128 ::/128 niet-gespecificeerd adres 0:0:0:0:0:0:0:0/0 ::/0 default route 0:0:0:0:0:0:0:1/128 ::1/128 loopback bits flag scope group ID flag 0 permanent 1 tijdelijk 1 node-local 2 link-local 3 subnet-local 4 admin-local 5 site-local 8 organisation-local B community-local E global Voorbeelden: FF01::1 nodes in interface-local FF01::2 FF02::1 FF02::2 FF05::2 s in interface-local nodes in link-local s in link-local s in site-local Extension headers worden alleen door de bestemmingsnode verwerkt (uitz. hop-by-hop options) geen 40 byte beperking meer op de options van IPv4 IPv6 header TCP IPv6 header routing IPv6 header security TCP header routing header TCP security header fragmentation data TCP header fragmentation TCP Andere headers: authentication, destination options data TCP header data

6 Neighbor Discovery Multicast adres FF02::1/16 waarop alle nodes op een lokaal netwerk luisteren A Neighbour solicitation (135) bron: A bestemming: multicast FF02::1 data: MAC adres van A vraag: wat is je MAC adres B Neighbour advertisement (136) bron: B bestemming: A data: MAC adres van B MAC-adres in antwoord wordt opgeslagen in een tabel die te vergelijken is met een ARP cache elke buur wordt periodiek gecontacteerd om na te gaan of de buur nog actief is een buur kan ook aangeven dat het adres dat A wenst te gebruiken, reeds in gebruik is (DAD, DuplicateAddressDetection) langste-prefix match zoals IPv4 Routing aanpassingen aan bestaande IPv4 routing protocols om langere adressen aan te kunnen: RIPng, OSPFv3, BGPv4 eventueel gebruik van de routing header met anycast adressen om pakketten doorheen specifieke gebieden te en bijvoorbeeld omwille van performantie of providerkeuze Andere protocols: ICMPv6 : gelijkaardige boodschaptypes (maar met andere opcodes) en bijkomende boodschappen voor neighbour discovery DHCPv6 : aanpassingen voor IPv6, zodat men DHCP eventueel kan verder gebruiken (ipv. autoconfiguratie en Neighbour Discovery) DNS : naast het A-record is er het AAAA-record om IPv6 vragen aan te kunnen Router discovery Multicast adres FF02::2/16 waarop alle s op een lokaal netwerk luisteren Dual stack IPv4 en IPv6 samen A Router solicitation (133) bron: link-local adres FE80::1 bestemming: multicast FF02::2 vraag: stuur een RA Router advertisement (134) bron: link-local adres FE80::1 bestemming: multicast FF02::1 data: opties, subnet prefix lifetime, autoconfig flag A B R2 host Tunneling IPv4 netwerk IPv6 netwerk IPv4 netwerk transit: IPv6 tunnel IPv4 netwerk R1 internet 2001:db8:c18:2::/64 bron: A bestemming IP: 2001:db8:c18:2::1 bestemming Ethernet: R2 (default ) Redirect (ICMP 137) bron: R2 bestemming: A data: betere is R1 Network Address Translation Protocol translation host NAT enabled IPv6 netwerk

7 Samenvatting: eigenschappen grotere adresruimte vereenvoudigde header: niet-cruciale info in extension headers geen 40 bytes beperking voor opties end-to-end connectiviteit: geen NAT auto-configuratie snellere ing: omwille van eenvoudige header geen broadcast mobiliteit verbeterde ondersteuning voor prioriteit en beveiliging