Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO

Transkript

1 FAKULTA ELEKTROTECHNIKY A KOMUNIKAČNÍCH TECHNOLOGIÍ VYSOKÉ UČENÍ TECHNICKÉ V BRNĚ Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO Garant předmětu: Ing. Jaroslav Koton, Ph.D. Autoři textu: Ing. Jaroslav Koton, Ph.D. BRNO 2014 Vznik těchto skript byl podpořen projektem č. CZ.1.07/2.2.00/ Evropského sociálního fondu a státním rozpočtem České republiky.

2

3 2 FEKT Vysokého učení technického v Brně Autor Jaroslav Koton Název Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO Vydavatel Vysoké učení technické v Brně Fakulta elektrotechniky a komunikačních technologií Ústav telekomunikací Technická 12, Brno Vydání první Rok vydání 2014 Náklad elektronicky ISBN Tato publikace neprošla redakční ani jazykovou úpravou

4 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 3 Obsah Uvod 7 1 Pasivní části sítě Metalické kabely Standardizace strukturované kabeláže Kategorie Optické kabely Materiály optických vláken Typy konektorů Základní struktura sítí Klasifikace síťových topologií Druhy topologií sítí Charakteristika síťových topologií Aktivní prvky sítě Opakovače a rozbočovače Přepínače L2 přepínače Vícevsrtvé přepínače Směrovače Funkce prováděné směrovačem Základní struktura směrovače Procesy při zpracování datových jednotek Firewall Gateway Typy gateway Aktivní prvky bezdrátových sítí Přístupový bod Bezdrátový most Jednotka pro řízení přidělované šířky pásma Bezdrátové síťové karty Vybrané protokoly komunikačních sítí Směrovací protokoly

5 4 FEKT Vysokého učení technického v Brně Směrovací protokoly a autonomní systémy Směrovací protokoly typu distance vector Směrovací protokoly typu link state Porovnání směrovacích protokolů RIP a OSPF Další směrovací IGP protokoly Směrovací protokoly EGP Protokol DNS Typy záznamů Bezpečnost v DNS - DNSSec Implementace DNS Protokol DHCP Činnost DHCP Implementace DHCP Proxy Význam proxy Typy proxy Protokoly pro správu sítě Protokol SNMP Protokol RMON Protokol DMI

6 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 5 SEZNAM OBRÁZKŮ 1.1 Nákres dvojlinky uvnitř kabelu Ukázka UTP, STP a ISTP kabelů Struktura optického kabelu Princip šíření signálu otickým kabelem Příklad zástrčky a zásuvky RJ Konektory (a) TERA, (b) GG45, (c) ARJ Barevné schéma vodičů xtp kabelu (a) dle TIA/EIA 568-A, (b) dle TIA/EIA 568-B Provedení kříženého kabelu určeného pro přenosovou rychlost (a) 100Mb/s (100BASE-TX), (b) 1000 Mb/s (1000BASE-T) Optické konektory typu SC a ST Základní topologie založené na dvoubodovém spojení: (a) hvězdicová topologie, (b) kruhová topologie, (c) stromová topologie, (d) úplný polygon Další topologie založené na dvoubodovém spojení: (a) propojené kruhy, (b) neúplný polygon (obecná topologie) Topologie založené na využití kanálu se všesměrovým vysíláním: (a) princip bezdrátové sítě, (b) sběrnicová topologie Základní schéma procesů ve směrovači Základní funkční bloky směrovače Procesy prováděné nad přicházejícím paketu Kontext paketu a jeho vývoj během zpracování přicházejícího paketu Procesy prováděné nad odcházejícím paketu Umístění firewallu na hranici sítě Gateway na aplikační úrovni Přístupové body pracující v "root" režimu Přístupové body pracující v "bridge" režimu Přístupové body pracující v režimu repeater Mosty propojující tři segmenty lokální datové sítě Most v operačním režimu repeater Místo nasazení BCU jednotky pro řízení přidělování šířky pásma Hierarchizace sítí jejím vydělením do autonomních systémů Princip vyhledávání v přepojovací tabulce ve směrovači Výměna zpráv mezi směrovači využívající směrovací protokol RIP Průběh aktualizace směrovacích tabulek mezi směrovači využívající protokol RIP

7 6 FEKT Vysokého učení technického v Brně 5.5 Průběh aktualizace směrovacích tabulek mezi směrovači využívající protokol RIP - případ nedostupnosti sítě Rozdělení autonomního systému do oblastí u protokolu OSPF Komunikace mezi směrovači v rámci protokolu OSPF Schéma rekurzivního dotazu DNS Překlad doménového jména pomocí nslookup v OS Windows Průběh komunikace se serverem DHCP Komunikace agenta a NMS SMI struktura MIB struktura Využití RMON k externímu pollingu

8 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 7 ÚVOD V současné době se stáváme stále více závislí na výpočetní technice, která se stává součástí každodenního života i zcela obyčejných obyvatel. Používaná výpočetní technika je propojována informačními sítěmi a proto se znalost základních principů zařízení využívaných v těchto sítích stává nezbytnou i pro samotného uživatele. Tento studijní materiál si klade za cíl čtenáře seznámit s problematikou aktivních prvků využívaných v současných datových sítích, jak už drátových tak i bezdrátových, pro vzájemnou komunikaci mezi koncovými stanicemi. Studijní materiál je rozdělen do několika logických částí. Protože obecně je nutné všechny uzly sítě, které se jakýmkoliv způsobem účastní výměny dat, vhodně propojit, než je přistoupeno k samotnému popisu aktivních prvků, je v úvodní části těchto skript krátce popsána problematika metalických a optických vedení, rozdělení do odpovídajících kategorií a očekávaným parametrům s ohledem na přenosovou rychlost použité komunikační technologie. Dále jsou pak popsány jednotlivé aktivní prvky, od základních, jako jsou zesilovače a huby, pracující na fyzické vrstvě, L2 přepínače a vícevrstvé přepínače, směrovače. S ohledem na rostoucí požadavky bezpečného provozování sítě a její ochrany před vnějšími útoky je popsána i problematika firewallů a bran (gateway). Dále jsou popsány technologie umožňující přístup do sítě mobilním klientům. Je tak nejprve popsán princip činnosti a prvky využívané v sítích WLAN. V závěrečné části jsou popsány vybrané protokoly pracující na různých vrstvách referenčního modelu TCP/IP, které konečným uživatelům usnadňují přístup k síti samotné a dále pak přístup k užitečným datům. Jaroslav Koton

9 8 FEKT Vysokého učení technického v Brně 1 PASIVNÍ ČÁSTI SÍTĚ Pasivními síťovými komponentami jsou obecně kabely, ať už metalické, či využívající optické vlákno. Jejich prostřednictvím jsou propojovány jednotlivé aktivní prvky a na úrovni fyzické vrstvy tak zprostředkovávají samotný přenos informací, určených nejen pro koncové uživatele, ale také pro aktivní prvky sítě. Na začátku vývoje počítačových sítí byly budovány především terminálové sítě, kdy terminály byly připojeny k centrálnímu počítači. Pro vzájemné spojení terminálů a centrálního počítače se využívaly především vícevodičové nepárované i párované kabely, kde konstrukce využívaných kabelů vycházela z konstrukce telefonních kabelů. Původní koncepce terminálových systémů byla postupně nahrazována mini- a mikro-počítači, kdy tento trend vedl i ke změně ve způsobu propojení koncových stanic - počítačů. Objevovala se různá řešení pro propojení počítačů nacházejících se v jedné lokalitě, řádově do několika stovek metrů, kdy se u takto vytvořených sítí ujalo označení lokální počítačové sítě (Local Area Network - LAN). Množství proprietárních řešení vzájemného spojení aktivních prvků sítě byla postupně sjednocena, kdy mezinárodními standardizačními organizacemi byly vybrány a standardizovány nejúspěšnější z nich. Nutnost standardizace vycházela z potřebného zajištění kompatibility zařízení od různých výrobců. Byly tak standardizovány např. protokoly Ethernet, Token Ring, FDDI atd. Standardizace komunikačního protokolu zahrnovala zpravidla i standardizaci kabelážních systémů určených pro tyto technologie. Původně se jednalo o řešení založených na využití koaxiálních kabelů, které se používaly od doby terminálových sítí a byly vhodné pro spojení jednotlivých aktivních prvků do topologie typu sběrnice. S vývojem síťových prvků a s tím úzce souvisejícím nárůstem požadavků na komunikační sítě se brzy projevily základní nedostatky prvních kabelážních systémů. Nejvýraznějším nedostatkem byla jednoúčelovost těchto kabelážních systémů, které byly orientovány na jedinou technologii, a tak často i omezeny na jedinou přenosovou rychlost. Jako nejefektivnější řešení pro splnění požadavků na kabelážní systém propojující stále větší počet stanic se jevilo využití vícevodičových párovaných kabelů. Takto vzniklé univerzální řešení kabeláže je označováno termínem strukturovaná kabeláž. Upustilo se od využití koaxiálních kabelů a v současné době se pro strukturovanou kabeláž jako médium používá metalický kroucený párový kabel (twist-pair) nebo optický kabel. Jejich bližší popis je uveden v následujících částech. Bez ohledu na použitý typ kabelů se od strukturované kabeláže očekává její jednoduchost z pohledu instalace a organizace nejen pro potřeby správce sítě, ale také i ostatním technickým pracovníkům využívající síťovou infrastrukturu. Budování kabelážního sys-

10 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 9 Plášť (sekundární izolace) Fóliové stínění (pouze u FTP) Splétané stínění (pouze u STP) Primární izolace Vodiče Obrázek 1.1: Nákres dvojlinky uvnitř kabelu tému tak vyžaduje plánování jejího návrhu a realizace, seskupování kabelů do kabelových svazků, označování těchto kabelů/svazků a to za dodržení odpovídajících norem. 1.1 Metalické kabely Základem univerzálního kabelážního systému určeného pro přenos dat, hlasu a dalších služeb, označovaného pojmem strukturovaná kabeláž, se stal kroucený pár, který se začíná využívat od počátku 90. let. Kroucená dvojlinka nebo také kroucený pár je druh kabelu, který je používán v telekomunikacích a počítačových sítích. Kroucená dvojlinka je tvořena páry vodičů, které jsou po své délce pravidelným způsobem zkrouceny a následně jsou do sebe zakrouceny i samy výsledné páry (obr. 1.1). Kroucená dvojlinka se řadí mezi symetrická vedení, neboť oba vodiče z páru jsou v rovnocenné pozici. Signál přenášený po kroucené dvojlince je vyjádřen rozdílem potenciálů obou vodičů. Důvodem kroucení vodičů je zlepšení elektrických vlastností kabelu, kdy se minimalizují přeslechy mezi páry a snižuje se interakce mezi dvojlinkou a jejím okolím tj. je omezeno vyzařování elektromagnetického záření do okolí i jeho příjem z okolí. Vychází se přitom z principu elektromagnetické indukce, neboť dva souběžně vedoucí vodiče se chovají jako anténa. Pokud je jimi přenášen střídavý signál, vyzařují do svého okolí elektromagnetické vlny. Konkrétní efekt tohoto vyzařování závisí na řadě faktorů, kterými jsou frekvence signálu, fyzické provedení souběžných vodičů atd. Díky používaným přenosovým rychlostem dnešních počítačových sítí efekt vyzařování již není zanedbatelný, přičemž efekt vyzařující antény lze významným způsobem snížit pravidelným zkroucením

11 10 FEKT Vysokého učení technického v Brně (a) (b) (c) Obrázek 1.2: Ukázka UTP, STP a ISTP kabelů souběžných vodičů. Vyzařování se tím sice zcela neodstraní, ale sníží se na takovou míru, která již je přijatelně nízká. Tím se rozumí, že neovlivňuje jiná zařízení či jiné přenosové cesty. V případě, že kroucené páry nejsou dále stíněny, jedná se o nestíněnou kroucenou dvoulinku běžně označenou zkratkou UTP (Unshielded Twisted Pair). UTP kabel (obr. 1.2(a)) se používá nejčastěji v komerčních a administrativních budovách. V případě průmyslových objektů, kde hrozí nebezpečí značného elektromagnetického rušení, případně na základě dalších požadavků a i na normách či legislativních úpravách, výsledná míra vyzařování kroucené dvojlinky bez dalšího stínění může stále být ještě příliš vysoká. V tomto případě je nutné využít stíněné kabely. Stínění lze realizovat jako společné pro všechny páry, kdy je kabel označen zkratkou STP (Shielded Twisted Pair) (viz obr. 1.2(b)), nebo lze stínit každý pár samostatně a v tomto případě se kabel označuje zkratkou ISTP (Individually Shielded Twisted Pair) (viz obr. 1.2(c)). UTP - Unshielded Twisted Pair Jde o základní podobu krouceného párového kabelu, který nemá dodatečné stínění. V případě síťové technologie Ethernet jsou využívány kabely s charakteristickou impedancí 100 Ω kategorií (anglicky Category či jen zkráceně Cat.) 3, 4 a 5, specifikované v normě TIA/EIA 568A a také kabely kategorie 5e, 6 a 7 určené pro vysokorychlostní přenos. UTP kabel obsahuje 4 kroucené páry - čili 8 vodičů v jednom svazku. Jednotlivé páry jsou vloženy do vnější plastické izolace. Ethernet 10Base-T, 100Base-TX, a 100Base-T2 používají pouze 2 zakroucené páry (4 vodiče), 100Base-T4 a 1000Base-T vyžaduje všechny 4 páry. STP - Shielded Twisted Pair Jde o obdobu UTP kabelu, od kterého se však liší existencí kovového opletení - stíněním, které zvyšuje ochranu signálových vodičů před pronikáním vnějšího rušení a současně i zamezuje nežádoucímu vyzařování elektromagnetického vyzařování. Jak bylo již zmíněno,

12 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 11 v základním provedení lze stínit pouze plášť (STP) nebo každý pár samostatně (ISTP). FTP - Foil screened Twisted Pair Jde o provedení kabelu, kdy v kabelu jsou jednotlivé páry vodičů či celá čtveřice párů uzavřena v plášti z hliníkové fólie. Kabely FTP jsou chápány jako stíněná verze kabelů kategorií 3, 4 a 5. Jsou použitelné při všech Ethernet aplikacích a jsou ekvivalentem jednotlivých kategorií UTP kabelů. Pro zvlášť elektromagneticky rušené prostředí se podobně jako u STP kabelů používá stínění pro každý pár kabelu zvlášť, nebo v kombinaci stínění párů a celkovým stíněním fóliováním nebo oplétáním. Přestože právě byly popsány typy kroucených kabelů, lišící se provedením stínění, dle normy ISO/IEC 1180 jsou definovány následující typy kabelů: U/UTP - jednotlivé páry i celý kabel jsou bez stínění, určen pro kategorii Cat. 3 až Cat. 6, U/FTP - jednotlivé páry jsou stíněny fólií, kabel jako celek je bez stínění, určen pro kategorii Cat. 6a, F/UTP - jednotlivé páry jsou bez stínění, kabel jako celek je stíněn fólií, určen pro kategorii Cat. 6a, Cat. 8.1 S/UTP - jednotlivé páry jsou bez stínění, kabel jako celek je stíněn kovovým opletením, SF/UTP - jednotlivé páry jsou bez stínění, kabel jako celek je stíněn jak fólií tak kovovým opletením, F/FTP - jednotlivé páry i kabel jako celek jsou stíněny fólií, určen pro kategorii Cat. 7, Cat. 7a, Cat.8.2 S/FTP - jednotlivé páry jsou stíněny fólií, kabel jako celek je stíněn kovovým opletením, určen pro kategorii Cat. 7, Cat. 7a, Cat Konstrukce kabelů Z hlediska mechanické konstrukce lze vodiče realizovat jako drát nebo lanko. Obecně má drát lepší elektrické vlastnosti, ale má horší mechanické vlastnosti a naopak lanko prokazuje lepší mechanické vlastnosti, ale horší elektrické vlastnosti. Proto podle místa určení a použití definují standardy strukturovaného kabelážního systému konkrétně, kde má být použit drát a kde lanko. V současné době jsou v rámci strukturované kabeláže využívány kabely Cat. 6.

13 12 FEKT Vysokého učení technického v Brně 1.2 Standardizace strukturované kabeláže Univerzálnost strukturované kabeláže je zajištěna dodržením technických parametrů a postupem instalace, které jsou shrnuty do národních a mezinárodních standardů. Základem univerzálního kabelážního systému pro přenos dat, hlasu a dalších služeb, jednotně označovaný jako pojmem strukturovaná kabeláž, se stal kroucený pár, který se začíná využívat od počátku 90. let. Základní standardy strukturované kabeláže vychází z americké normy č. EIA/TIA 568, definované skupinou výrobců Electrical Industry Association Telecommunication Industry Association. První verze (z roku 1989) tohoto standardu definovala vlastnosti komponent a podmínky instalace pro strukturovanou kabeláž Cat. 3. Následující standard TSB 36 z roku 1992 aktualizuje normu TIA-568-A pro Cat. 4 a 5. Definuje další parametry strukturované kabeláže a do okruhu sledovaných parametrů kabeláže přidává vlastnosti jako impedance, útlum či přeslech na blízkém konci kabelu. V roce 2001 je pak aktualizována normou EIA/TIA-568-B pro Cat. 5e a dále pak v roce 2002 byla schválena norma TIA568-B.2.1 definující Cat. 6 a 7. Výše uvedená standardizace je platná pro USA. Výchozí mezinárodní normou o univerzálních strukturovaných kabelážních systémech pro přenos dat, hlasu, obrazu a ostatních nízkonapěťových signálů v budovách a areálech i v ostatním světě je v současné době norma ISO/IEC (Ed.2). Její uvedení vedlo ke značnému sladění s americkou normou TIA/EIA 568-B a jejími doplňky. Z nové normy ISO/IEC vychází i evropská norma EN (Ed.2) a česká ČSN EN50173 (Všeobecné podmínky kabelového systému). Tyto normy popisují obecně topologii kabelového systému jako systému skládajícího se ze tří subsystémů: páteřní sítě mezi budovami, páteřní sítě uvnitř budov a horizontální rozvody. 1.3 Kategorie Na základě očekávaných přenosových rychlostí byly definovány kategorie kabelů, kdy těmito kategoriemi jsou definovány elektrické a mechanické parametry těchto kabelů, které zaručí možnost využívat tyto kabely právě na očekávaných přenosových rychlostech [1], [2]. Kategorie 1 Kabely této kategorie jsou také označovány jako Level 1 a nejsou popsány v rámci doporučení EIA/TIA. Tento typ rozvodů není určen k datovým přenosům, lze jej použít např. k telefonním rozvodům. Přenosové rychlosti do 1 Mbit/s, vhodné např. pro analogové telefonní rozvody, ISDN (Integrated Services Digital Network) a podobně. Kategorie 2

14 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 13 Kabely tohoto typu jsou také označovány jako Level 2 a také nejsou popsány v rámci doporučení EIA/TIA. Byly využívány pro původní propojení terminálů, s maximální šířkou pásma 1,5 MHz. Jsou určeny pro digitální přenos zvuku a především pro rozvody IBM Token Ring. Přenosové rychlosti kolem 4 Mbit/s. Kategorie 3 Kabely této kategorie jsou již popsány v doporučení EIA/TIA. Jsou určeny pro rozvody dat a hlasu s šířkou pásma 16 MHz a přenosovou rychlostí do 10 Mbit/s. Využívá se u datových přenosů označovaných jako 10Base-T Ethernet. Kategorie 4 Kabely této kategorie jsou určeny pro přenos dat v sítí Token ring s šířkou pásma 20 MHz a přenosovou rychlostí do 16 Mbit/s. Kategorie 5 Strukturovaná kabeláž využívající tuto kategorii pracuje v šířce pásma do 100 MHz. Realizované rozvody jsou určeny pro počítačové sítě s přenosovou rychlostí 100 Mbit/s, resp. 1 Gbit/s v případě využití všech 8 vodičů. Kabely této kategorie nacházeli své uplatnění v 155 Mbit/s ATM (Asynchronous Transfer Mode), technologii Token ring. V praxi byl nahrazen standardem Cat. 5e. Kategorie 5e Jde o kategorii, která rovněž pracuje v šířce pásma do 100 MHz, avšak vyžaduje nové způsoby měření parametrů a v některých parametrech je přísnější. Cílem je provozovat tuto kategorii na přenosových rychlostech 1 Gbit/s. Standardně se této kategorie využívá u 100 Mbit/s ANSI X3T9.5 TPDDI, 155 Mbit/s ATM a GigabitEthernet. Kategorie 6 Kabely této kategorie pracují s šířkou pásma 250 MHz. Využívá se pro velmi rychlé páteřní aplikace v oblasti lokálních sítí. V současné době se jedná o nejpopulárnější kabeláž pro nově budované rozvody. Kategorie 6a Kabely této kategorie pracují s šířkou pásma 500 MHz. Používá se pro zvláště rychlé páteřní aplikace v oblasti lokálních sítí. Využívá se i pro 10GBASE-T Ethernet (10 Gbit/s).

15 14 FEKT Vysokého učení technického v Brně Kategorie 7 Kabely této kategorie pracují v šířce pásma do MHz. Kabel je plně stíněný každý pár je stíněn zvlášť hlinikovou fólií a kabel sám má ještě celkové vnější stínění. Tato plně stíněná konstrukce má ale za následek větší váhu, větší vnější průměr a menší ohebnost kabelu než UTP nebo STP. Používá se pro přenosy plné šířky videa, teleradiologii, (např. i vládní správa USA). V současné době se provádí první pokusy s tímto standardem. Širšímu komerčnímu využití však nejvíce brání vysoká cena komponentů a především neznalost protokolu i fyzického využití. Kategorie 7a Kabely této kategorie jsou zavedené normou ISO Edition 2, pozměňovací návrh 2 (2010), kdy jejich šířka pásma je až 1000 MHz. Jejich nasazení se předpokládá pro různé aplikace včetně CATV (Cable Television) (862 MHz). Výsledky simulace ukázaly, že 40 Gigabitový Ethernet může být provozován na 50 metrech a 100 Gigabitový Ethernet na 15 metrech. V roce 2007 vědci z Pensylvánské státní univerzity předpovídali, že buď 32 nm nebo 22 nm obvody by umožnily 100 Gigabitový Ethernet na 100 metrech. Kategorie 7a zatím není definována ve standardu TIA/EIA-568. Kategorie 7a s největší pravděpodobností nebude kompatibilní s blížícím se standardem 40GBASE-T. Kategorie 8 V březnu 2013 technické doporučení TIA TR42.7 definovalo, že 40GBASE - T bude vyžadovat nový kabelážní systém definovaný pro šířku pásma 1,6 GHz až 2 GHz. V současné době bude kategorie 8 používat standardní konektor 8P8C, známý jako RJ-45. Kabely kategorie 8 by měly být plně zpětně kompatibilní s Cat. 6a a nižšími kategoriemi a bude vztahována k ANSI/TIA-568-C.2-1 "Specifikace pro 100 Ω kategorii 8". Technické doporučení ISO/IEC TR z roku 2013 definovalo dvě nové kategorie pro 4 - párové měděné kroucené dvojlinky s 2 konektory s pracovní frekvencí až 1,6 GHz a případné režie na 2,0 GHz: Třída I (kategorie 8.1) - minimálně v provedení kabelem F/UTP, plně zpětně kompatibilní a interoperabilní s třídou F (tj. Cat. 6a) pomocí 8P8C konektorů. Třída II (kategorie 8.2) - v provedení kabelem F/FTP nebo S/FTP, které spolupracují s třídou F A (Cat. 7a) s použitím 8P8C nebo TERA/GG45 (GigaGate 45) /ARJ45 (Augmented Registered Jack 45) stíněných konektorů (obr. 1.6).

16 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO Optické kabely V okamžiku, kdy jsou datové toky od více uživatelů prostřednictvím aktivních síťových prvků sdružovány v rámci sítě poskytovatele, či jsou přenášeny páteřní sítí, pak požadavky na extrémně rychlé přenosy obecně nejsou klasické metalické kabely schopny splnit. Vhodné řešení pro tak náročné aplikace nabízí optické kabely, které místo elektrického signálu přenáší optický signál. Přenos informace je tak realizován fotonem. Struktura optického kabelu je znázorněna obr Základní princip optického kabelu spočívá v odrazu optického signálu na rozhraní mezi jádrem a pláštěm, jak je znázorněno na obr Princip přenosu optickým vláknem je tedy založen na totálním odrazu na rozhraní dvou optických prostředí s rozdílným indexem lomu. Jádro je tvořeno válcovým dielektrikem o indexu lomu n 1. Plášť je dielektrikum o indexu lomu n 2. Platí, že n 1 > n 2. Potom tedy pro paprsky, které vstupují do jádra pod úhlem menším než mezní úhel β (cos β = n 2 /n 1 ), dochází na rozhraní jádro - plášť k totálnímu odrazu [3]. Míra schopnosti vlákna navázat do svého jádra optický svazek ze svého okolí je označována jako numerická apertura NA, kterou lze podle [3] určit následujícím vztahem: NA = n 0 sin φ a, (1.1) kde n 0 je index lomu materiálu, ze kterého se světlo navazuje do vlákna a φ a je maximální úhel pro návaznost. Pro optický přenos se využívá oblast vlnových délek 0,5 až 1,6 μm. Přenosové oblasti se rozdělují do takzvaných oken. Hodnoty a rozdělení do jednotlivých oken vyplývají z materiálových vlastností a výrobních možností, které jsou dány technologií výroby. V současnosti jsou definovány čtyři okna s rozsahy vlnových délek: okno I. - kolem 820 nm, Jádro Plášť Primární ochrana Sekundární ochrana Obrázek 1.3: Struktura optického kabelu

17 16 FEKT Vysokého učení technického v Brně Plášť Jádro Optický signál Obrázek 1.4: Princip šíření signálu otickým kabelem okno II až 1335 nm, okno III až 1565 nm, okno IV až 1610 nm. Oblast vlnových délek 1300 až 1600 nm pak vykazuje nejmenší ztráty tzv. Rayleighovým rozptylem a minimální hodnoty absorpčních ztrát, materiálové disperze a materiálového útlumu. Proto pro tuto oblast existují výkonné zdroje a detektory záření Materiály optických vláken Standardním označením materiálu běžných optických vláken je termín sklo. Ve skutečnosti se jedná o sklokřemičitá vlákna, kdy základním materiálem pro výrobu skleněných optických vláken je vždy SiO 2 doplněno o dopanty (neboli legovací příměsi), kterými jsou oxidy různých chemických prvků, jako např. GeO 2, P 2 O 5, B 2 O 3. Koncentrací těchto dopantů se dosahuje požadovaných vlastností optického vlákna. Příměsi ve vlákně ovlivňují vlastnosti z hlediska velikosti a průběhu indexu lomu jádra a pláště. Skleněná optická vlákna mají útlum do 1 db km 1. V současnosti se pak začínají prosazovat i tzv. POF (Polymer Optical Fibre) vlákna, která jsou obecně označovány jako plastová. Konstrukce a princip přenosu je obdobný jako u skleněných optických vláken. Jádro je vyráběno z polymethylmethalcrylatenu PMMA (Polymethylmethakrylát) a plášť z fluorinatedenu PMMA. Plastová optická vlákna vykazují větší útlum než skleněná a používají se především pro rozvod na poslední míli, případně na rozvody LAN po budovách. Zásadní výhoda oproti skleněným vláknům je výrazně nižší cena a mnohem snadnější montáž a spojování. Jejich vlastnosti pak umožňují provozovat i Gigabit Ethernet [3]. Optická vlákna a tak i kabely lze dělit do dvou skupin, do mnohavidových (MM - MultiMode) a jednovidových (SM - Single Mode). Z pohledu konstrukce je rozdíl mezi těmito vlákny v průměru jádra a pláště. U vícevidových vláken jsou tyto rozměry 62,5/125 μm či 50 /125 μm a u jednovidových vláken 9/125 μm.

18 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 17 Jendovidové SM (Jednovidová Single Mode) vlákno přenáší pouze jeden vid, tj. jednu vlnovou délku. Mají konstantní index lomu jádra a skokovou změnu indexu lomu pláště. Přenosu jediného vidu dosáhneme zmenšením velikosti jádra. Jedná se o vlákna s konstantním indexem lomu, malou disperzí, malým útlumem a velmi dobrou přenosovou kapacitou. Malý průměr jádra ztěžuje navázání světla do samotného vlákna. Pro buzení se používají laserové zdroje. V současné době jsou SM nejpoužívanější pro dálkové přenosy. Mnohovidová (Step Index Multi Mode) vlákna mají jádro s konstantním indexem lomu, který se skokově mění v indexu lomu pláště. Vyznačují se jednoduchou výrobou a manipulací. Tato jednoduchost je vykoupena větším útlumem, disperzí a malou přenosovou kapacitou oproti SM. MM jsou velmi využívána pro spoje na krátkou vzdálenost jako je 1-3 km. Využívají se tedy pro automatizační a jiné průmyslové účely, sítě LAN. Do skupiny mnohavidových vláken pak patří i tzv. GIMM (Gradientní Graded Index Multi Mode) vlákna s proměnným, tedy gradientním, indexem lomu (většinou s průběhem kvadratické paraboly). Rozměr tohoto vlákna je normalizován dle doporučení ITU-T. Výhoda vláken GIMM je, že mají stejně jako MM jednoduchou výrobu a manipulaci, ale mají mnohem lepší přenosové parametry. Tato vlákna se používají především pro telekomunikační účely na kratší vzdálenosti. Mnohavidová vlákna tak mají ve srovnání s jednovidovými horší přenosové vlastnosti. Proto lze jednovidová vlákna použít pro přenos na větší vzdálenosti. Nevýhodou jednovidových vláken je vyšší cena způsobena většími nároky na přenos a fakt, že generátorem optického signálu musí být laser. V případě vícevidového optického kabelu lze jako zdroj optického signálu použít i speciální LED diody, které jsou výrazně levnější. V současné době jsou optické kabely nezbytnou součástí pozemních přenosových tras. 1.5 Typy konektorů Důležitou vlastností kabelážního systému je typ použitých konektorů. V případě metalické kabeláže je situace jednodušší, protože se v současné době využívají pouze konektory typu RJ-45. Na obr. 1.5 jsou znázorněny zásuvka (jacket) a zástrčka (plug) RJ-45. Tento typ konektoru s osmi kontakty je určen pro čtyřpárový kabel. Specifikace kategorií strukturované kabeláže zahrnují nejen mechanické vlastnosti konektorů, ale i základní elektronické vlastnosti jako např. útlum. Pro zajištění lepších elektronických vlastností na vyšších kmitočtech musí být kontakty konektorů pozlaceny. V případě nově definované kategorie Cat. 8.2 jsou pak standardizovány i konektory TERA, GG45 a ARJ45, kdy odpovídající zástrčky jsou uvedeny na obr Pro zapojení čtyřpárových kabelů byly definovány dvě varianty označené jako TIA/EIA 568-A a TIA/EIA 568-B (obr. 1.7).

19 18 FEKT Vysokého učení technického v Brně Obrázek 1.5: Příklad zástrčky a zásuvky RJ-45 (a) (b) (c) Obrázek 1.6: Konektory (a) TERA, (b) GG45, (c) ARJ45 Pár 2 Pár 2 Pár 3 Pár Pár 3 1 Pár Pár 1 4 Pár 4 Pár 3 Pár 3 Pár 2 Pár Pár 2 1 Pár Pár 1 4 Pár T568A T568A (a) T568B T568B (b) Obrázek 1.7: Barevné schéma vodičů xtp kabelu (a) dle TIA/EIA 568-A, (b) dle TIA/EIA 568-B Propojovací kabely počítač zásuvka, zásuvka switch, či počítač switch se zapojují na obou koncích stejně, buď dle obr. 1.7(a) nebo obr. 1.7(b). Takový kabel je pak označován jako přímý. V případě propojení dvou počítačů (resp. sobě si odpovídajících zařízení v sítí), kdy není nutný switch, počítače je možné propojit přímo. Použitý kabel však musí být zapojen kříženě, aby vysílání na jedné straně přecházelo v příjem na straně druhé a naopak. Takový kabel, označovaný jako křížený, pak na základě použité přenosové rychlosti musí být zapojen dle obr. 1.8 [4]. Současné síťové adaptéry jsou však schopny

20 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 19 RJ 45 RJ 45 RJ 45 RJ 45 RJ 45 RJ 45 RJ 45 RJ (a) (b) Obrázek 1.8: Provedení kříženého kabelu určeného pro přenosovou rychlost (a) 100Mb/s (100BASE-TX), (b) 1000 Mb/s (1000BASE-T) SC ST Obrázek 1.9: Optické konektory typu SC a ST automaticky přepínat režim příjmu resp. vysílání na svém síťovém portu a tak nutnost striktně využít křížený nebo přímý kabel pro propojení jednotlivých prvků komunikační sítě přestává být v praxi významná. V případě optických kabelových tras je výběr konektorů mnohem bohatší. Všechny optické kabelové trasy musí být vhodně zakončeny tak, aby mohly být dále použity. Konektory optických vláken se dělí dle druhu užitého vlákna a také způsobu provedení komunikace, tedy simplex nebo duplex. Mezi nejvíce používané konektory v počítačových sítí LAN patří konektory LC (Lucent Connector), SC (Standard Connector), FC (Ferrule Connector) a ST (Straight Tip). Ukázky konektorů SC a ST jsou uvedeny na obr Běžný uživatel a provozovatel sítě se standardně setká, resp. využívá optické kabely, které jsou již zakončeny vhodným typem konektoru. Proto problematika optických konektorů není dále rozebírána a zájemce lze odkázat např. na zdroj [3].

21 20 FEKT Vysokého učení technického v Brně 2 ZÁKLADNÍ STRUKTURA SÍTÍ Každá komunikační síť se vždy skládá e dvou základních komponent, které slouží ke vzájemnému propojení koncových stanic/uživatelů. Primárně se jedná o aktivní prvky sítě, jako jsou např. směrovače (označované také jako routery z anglického pojenování), a dále pak se nutně jedná o spoje. Spoje jsou realizovány buď drátovými či bezdrátovými vedeními a slouží k propojení aktivních prvků sítě, které mezi sebou přepojují užitečné informace. Na základě zaváděné terminologie jsou pak spoje také označovány jako okruhy, kanály či linky. Využitím spojů jsou tedy jednotlivé aktivní prvky propojeny a společně vytváří síťovou topologii. 2.1 Klasifikace síťových topologií Na základě vzájemného propojení aktivních prvků sítě lze definovat několik architektur síťových topologií. Obecně se problematika topologie sítí věnuje zapojením různých prvků do datových sítí a zachycením jejich skutečné, tedy reálné, a také logické, tj. virtuální, podoby. Topologie sítí je součástí teorie grafů a pojmenování jednotlivých architektur tak využívá pojmů známých z této oblasti matematiky. Jak již bylo uvedeno, topologii lze obecně chápat jako určitý tvar či strukturu daného uskupení, kdy na takové uskupení lze nahlížet ze dvou hledisek: fyzického a logického. Fyzická topologie odráží reálnou konstrukci sítě, tedy zapojených zařízení a jejich umístění včetně využívaných spojů. Logická topologie se vztahuje k tomu, jak jsou data sítí přenášena a jakými cestami jsou směrovány z jednoho zařízení do druhého. 2.2 Druhy topologií sítí Z hlediska topologie sítí obecně existují dva základní způsoby spojení jednotlivých uzlů sítě. Prvním je spojení dvoubodové (point-to-point), které je tvořeno řadou spojů, z nichž každý propojuje koncovou stanici s přepojovacím uzlem - aktivním prvkem, nebo spojuje jednotlivé aktivní prvky navzájem. V tomto případě je pak informace mezi koncovými stanicemi vyměňována nepřímo přes mezilehlé uzly. Do této kategorie pak patří zejména topologie typu: hvězda - jedná se o jeden z nejpoužívanějších způsobů propojení uzlů sítě. Každá koncová stanice je připojena pomocí kabelu k centrálnímu prvku, kterým byl dříve rozbočovač (hub), dnes se jedná o přepínač (switch), viz. obr. 2.1(a). Mezi každými dvěma stanicemi existuje vždy jen jedna cesta. Tento typ síťové architektury pochází

22 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 21 z počátku využívání výpočetní techniky, kdy jednotlivé počítače byly připojeny k centrálnímu stroji (mainframe) kruh - tato topologie označuje zapojení stanic, kdy je jeden uzel připojen k dalším dvěma (sousedním) uzlům tak, že v celku vytvoří kruh (obr. 2.1(b)). Kruhová topologie je méně efektivní než hvězdicová topologie, protože v ní musí data projít přes mnoho uzlů než se dostanou ke svému cíli. Tento princip propojení uzlů sítě je tedy pomalejší a další nevýhodou této topologie je skutečnost, že v případě poruchy jednoho uzlů zkolabuje celá síť. strom - tímto termínem se označuje propojení uzlů sítě do útvaru, který připomíná strom. Principiálně vychází z hvězdicové topologie spojením aktivních síťových prvků, které jsou v centrech jednotlivých hvězd. Tento typ propojení se využívá především v rozsáhlých počítačových sítích. Např. v případě firemní sítě, jednotlivé hvězdice mohou představovat jednotlivá oddělení společnosti, patra budovy či jiné logické celky. Jak je vidět na obr. 2.1(c), jednotlivé hvězdice jsou opět propojeny hvězdicovitým způsobem a tak lze sledovat jistou hierarchii v aktivních prvcích sítě. (a) (b) (c) (d) Obrázek 2.1: Základní topologie založené na dvoubodovém spojení: (a) hvězdicová topologie, (b) kruhová topologie, (c) stromová topologie, (d) úplný polygon

23 22 FEKT Vysokého učení technického v Brně (a) (b) Obrázek 2.2: Další topologie založené na dvoubodovém spojení: (a) propojené kruhy, (b) neúplný polygon (obecná topologie) úplný polygon - tento typ síťové architektury je spíše jen teoretický, kdy všechny jednotlivé uzly sítě mají mezi sebou přímé spojení (obr. 2.1(d)). Pro komunikaci mezi koncovými stanicemi tak není nutné využívat centrální uzel, jak je tomu v případě hvězdicové topologie, ani mezilehlých stanic, jak je tomu u kruhové topologie. V rámci komunikace je tak v případě topologie úplného polygonu dosaženo maximální efektivity, ovšem za cenu obtížné realizovatelnosti, která se s rostoucím počtem aktivních prvků stává až nemožná. Další typy topologií charakteristické dvoubodovým spojením jsou deriváty výše zmíněných. Lze tak např. zmínit topologii propojených kruhů (obr. 2.2(a)) či topologii neúplného polygonu (obr. 2.2(b)), která bývá také označována jako obecná topologie. Druhou skupinou topologií sítí z hlediska způsobu spojení aktivních prvků jsou sítě využívající kanály (spoje) se všesměrovým vysláním. Do této kategorie v dnešní době patří bezdrátové sítě, provozované na lokální, metropolitní, či globální (využívající radiových či satelitních spojů) úrovni (obr. 2.3(a)). Sítě této topologie se vyznačují typicky tím, že mají jeden komunikační kanál, který je sdílen všemi uživateli sítě. Data vysílaná kterýmkoliv uživatelem jsou tedy přijímána i ostatními, kdy ovšem na daná data reaguje pouze ta stanice, pro kterou jsou určena. K tomuto účelu se využívá vhodného způsobu adresování, kdy systémy se všesměrovým šířením signálu dovolují adresovat více koncových stanic současně využitím tzv. všesměrových (multicast) adres. V případě metalických vedení do skupiny všesměrového vysílání patří sběrnicová topologie, také označovaná jako bus topology (obr. 2.3(b)). Jde o způsob zapojení jednotlivých koncových stanic do sítě, kdy vzájemné propojení těchto stanic je zprostředkování prostřednictvím společného (sdíleného) přenosového média - sběrnice. Topologie typu sběrnice je charakteristická jednoduchým zapojením, nízkými pořizovacími náklady,

24 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 23 (a) (b) Obrázek 2.3: Topologie založené na využití kanálu se všesměrovým vysíláním: (a) princip bezdrátové sítě, (b) sběrnicová topologie ovšem v okamžiku, kdy chtějí dvě či více koncových stanic komunikovat současně, nastává kolize. Protože s rostoucím počtem koncových stanic v síti pravděpodobnost kolize stoupá, pak jak už v sítích sběrnicové topologie, tak i bezdrátových sítích je využíván rozhodovací mechanismus pro řešení, případně zabránění, konfliktů v případě, že na sdílené médium se pokouší přistupovat více uživatelů současně. Využívaným mechanismem (přístupovou metodou) je tzv. systém náhodného přístupu (CSMA - Carrier Sense Multiple Access), který buď řeší až případné kolize - CSMA/CD (Carrier Sense Multiple Access With Collision Detection) nebo se kolizím aktivně snaží zabránit - CSMA/CA (Carrier Sense Multiple Access with Collision Avoidance). 2.3 Charakteristika síťových topologií Výše uvedené topologie sítí jsou vždy charakteristické pro místo svého nasazení a vždy se jedná o jistý kompromis mezi výhodami a nevýhodami každé topologie. Jak již bylo uvedeno, v případě sběrnicové topologie její zásadní výhodou je snadná realizace a snadné rozšíření již existující sítě. Nevyžaduje tolik kabeláže jako např. hvězdicová topologie a je vhodná pro malé nebo dočasné sítě, u kterých se neočekává velká přenosová rychlost. V případě požadavku na vysokou přenosovou rychlost je nutné brát do úvahy normou stanovenou maximální délku kabelu, která tak značně omezuje počet připojitelných stanic. V případě poruchy kabelu pak většinou i sama síť přestává být funkční, protože dojde k porušení impedančního přizpůsobení. Velký počet stanic pak vede i na častější vznik kolizí, kdy tak komunikace v rámci dané přístupové metody může ustat. V případě kruhové topologie je přenos dat relativně jednoduchý, protože se data ve formě paketů posílají vždy jedním směrem. Přidání dalšího uzlu má i relativně malý dopad

25 24 FEKT Vysokého učení technického v Brně na výslednou šířku pásma, ovšem v takovém případě je nutné síť dočasně vypnout, než dojde k vzájemnému propojení nového uzlu s jeho sousedy. Protože jsou jednotlivé stanice propojeny samostatným kanálem, pak obecně nedochází ke vzniku kolizí. Nevýhodou kruhové topologie je však vyšší doba trvání přenosu zprávy, protože data musí procházet přes každý mezilehlý uzel mezi odpovídajícím zdrojem a cílem. V případě poruchy některého z uzlů sítě kruhové topologie, i celá síť se stává nefunkční. Hvězdicová topologie se snadno nastavuje a spravuje, protože závady jsou snadno identifikovatelné. V případě poruchy jedné z koncových stanic či odpovídajícího spoje, přesává komunikovat pouze tato stanice. V případě poruchy centrálního aktivního prvku se celá síť stává nefunkční. Stromová topologie je v současnosti běžně využívanou. Jak již bylo naznačeno, propojením jednotlivých hvězdicových topologií do další "nadřazených" hvězdic dochází k hierarchizaci sítě. Tato hierarchizace vede na vyšší bezpečnost sítě, neboť jednotlivé části jsou od sebe vzájemně odděleny vyššími aktivními prvky a tak možnost odposlouchávání síťové komunikace se značně stěžuje. V případě selhání některého z výše postavených aktivním prvků sítě však dochází k odpojení dané větve od zbytku sítě. Jednotlivé části jsou sice schopné pracovat autonomně, tj. stanice jsou schopny komunikovat vzájemně mezi sebou (např. v rámci podnikové sítě), ale odpojená část sítě již nemá přístup k Internetu.

26 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 25 3 AKTIVNÍ PRVKY SÍTĚ 3.1 Opakovače a rozbočovače Aktivní prvky komunikačních sítí pracující na nejnižší, tj. fyzické vrstvě referenčního modelu ISO/OSI jsou opakovače (repeater) a rozbočovače (hub). Oba typy aktivních prvků tedy pracují na fyzické vrstvě. Opakovač je síťový prvek, který obecně přijímá zkreslený signál, zatížený šumem. Činností tohoto aktivního prvku dochází k obnovení původního signálu, který je tak zbaven šumu a zkreslení, je obnoveno časování signálu, je zesílen na potřebnou výkonovou úroveň a opětovně vysílán do další části komunikačního řetězce. Původně byly využívány i v drátových sítích založených na přístupové technologii Ethernet. Sama přístupová metoda (CSMA/CD) však počet těchto aktivních prvků v sítí omezuje z důvodu bezpečné detekce kolizí. Je to z toho důvodu, že nasazení opakovačů v síti vnáší nezanedbatelné zpoždění do celkové doby přenosu signálu mezi koncovými stanicemi. Z důvodu příliš velkého zpoždění by tak mohlo dojít k situaci, kdy by kolize byla detekovatelná pouze v části sítě. V případě kabelových systémů se opakovače využívají v sítích, kde fyzické médium je realizováno optickým kabelem. Opakovače v tomto případě buď převádí optický signál na elektrický, který je zesílen a opětovně převeden do optické podoby, nebo lze využít tzv. optické zesilovače využívající erbiem dopované vlákno. Jak tedy z právě uvedeného vyplývá, využití opakovačů dovoluje prodloužit dosah signálu a dnes se v převážné většině využívají v bezdrátových sítích, třebaže jejich nasazení se příliš nedoporučuje, protože v některých případech dochází ke snížení celkové propustnosti kanálu. To je např. případ bezdrátových sítí dle standardu IEEE V případě jiných bezdrátových komunikačních systémů lze zesílený signál vysílat na odlišné frekvenci nosné, než na které byl přijímán, jako je tomu např. u satelitní komunikace. Druhým aktivním prvkem pracujícím na fyzické vrstvě je rozbočovač, v anglické literatuře označovaný jako hub, network hub, repeater hub či také jako multiport repeater. Jak již z anglického pojmenování vyplývá, jedná se ve své podstatě o opakovač, který má však více portů. Znamená to tedy, že veškerá data, která přijdou na některý z portů jsou zkopírovány (zopakovány) na všechny ostatní porty bez ohledu na to, přes který odchozí port je cílová stanice dostupná. Takové chování rozbočovače má tedy za následek, že všechny stanice připojené k opakovači jsou schopny přijímat veškerou síťovou komunikaci v daném segmentu. Důsledkem pak je, že jsou zbytečně přetěžovány i ty části segmentu, pro který daná data nejsou určena. Rozbočovač pak ani neumožňuje větvení sítě a nelze jej použít

27 26 FEKT Vysokého učení technického v Brně k realizaci hvězdicové topologie sítě. V současnosti se nasazení v komunikačních sítích nepředpokládá jak z důvodu nižší propustnosti tak i nižší bezpečnosti přenosu dat, kdy není možné zabránit nežádoucímu odposlechu datové komunikace třetí stranou. Místo opakovačů jsou tak v současných sítích nasazovány aktivní prvky pracující na vyšších vrstvách referenčního modelu. Ty jsou popsány v následujícím textu této kapitoly. 3.2 Přepínače Přepínač, anglicky označovaný termínem switch, nebo síťový přepínač (network switch) je víceportový aktivní prvek počítačové sítě, který spojuje její jednotlivé části. Přepínač slouží jako centrální prvek v sítích topologie typu hvězda, kdy v minulosti se jako centrální prvek v sítích tohoto typu používal jednodušší rozbočovač (hub) L2 přepínače V porovnání s rozbočovačem jsou přepínače inteligentnější, neboť do jisté provádí provádí analýzu obsahu záhlaví rámců linkové vrstvy. Na základě MAC adresy jsou přepínače schopny rozeznat, na který odchozí port má daný rámec přeposlat. Přepínač tedy pracuje na 2. vrstvě referenčního modelu ISO/OSI. Takové přepínače jsou označovány jako L2 přepínače. Využitím znalosti MAC (Media Access Control) adresy příjemce tak přepínač příchozí pakety nepřeposílá na všechny ostatní odchozí porty jako tomu je v případě rozbočovače. Přepínač je tak schopen zásadně snížit tok zbytečných dat v síti, čímž tak zvyšuje efektivitu komunikace mezi uzly sítě. Pro efektivní činnost si přepínač vytváří a uchovává tabulku MAC adres všech zařízení připojených k jednotlivým portům. Na počátku provozu je však jeho tabulka prázdná a proto se po krátkou dobu chová jako rozbočovač. Rozesílá tak datové rámce všem připojeným zařízením, kdy daný rámec je přijímán pouze tím uzlem sítě, pro který je určen. Odpovědí na daný rámec se pak přepínač dozvídá o MAC adrese protilehlého uzlu a zapíše si ji do své tabulky. Později, když na některý z portů přepínače přijde rámec určený pro známý uzel sítě, pak přepínač tento rámec odesílá pouze prostřednictvím odpovídajícího portu. Jak již bylo uvedeno, přepínače ve svém základním provedení pracují na linkové (spojové) vrstvě ISO/OSI modelu. Svým chováním umožňují segmentaci sítě na kolizní domény (collision domain), kdy každý port přepínače představuje oddělenou kolizní doménu a poskytuje celou šířku pásma síťového média jedinému či několika málo uzlům připojeným k tomuto portu. Je jasné, že čím méně uzlů se nachází v jedné kolizní doméně, tím větší šířka pásma připadá na každý uzel a snižuje se počet kolizí.

28 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 27 Realizace přepínání rámců u L2 přepínače je založena na využití speciálního hardware, kdy přepínače využívají ASIC (Application Specific Integrated Circuit) integrované obvody pro potřeby vybudování udržovací přepínací tabulky uchovávající informace o MAC adresách síťových uzlů připojených na odpovídající porty. Jeden ze způsobů, jak pohlížet na L2 přepínač je jako na víceportový most (multiport bridge). Charakteristické rysy, které popisují vlastnosti L2 přepínače jsou: přemostění kolizních domén prostřednictvím hardware (na základě MAC), rychlost síťového rozhraní, vysoká rychlost přepínání, nízká latence. Zpracování rámců L2 přepínači je velmi efektivní, protože neexistuje žádná úprava datového paketu, dochází jen ke změně zapouzdření paketu a to pouze v tom případě, že paket (rámec) přechází z/na rozdílné technologie (např. z Ethernetu na FDDI). L2 přepínače mají stejná omezení jako síťové mosty. Mosty jsou efektivní, když je síť navržena podle pravidla 80/20, tedy že uživatelé v rámci komunikace s okolní sítí tráví 80% svého času v jejich lokálním segmentu. Přemostěné sítě segmentují kolizní domény, ale síť je stále jedna velká všesměrová doména. Stejně tak i L2 přepínače nemohou rozdělit všesměrové domény a proto nemohou nahradit směrovače v sítích (viz kap. 3.3) Vícevsrtvé přepínače Kromě základní podoby přepínače pracujícího pouze na 2. vrstvě referenčního modelu a schopného tak analyzovat záhlaví přeposílaných rámců, jsou popisovány i přepínače, které dovolují vyhodnocovat informace v záhlaví vyšších vrstev. Takové přepínače jsou označovány jako vícevrstvé. L3 přepínače Kromě vyhodnocení informací protokolu linkové vrstvy jsou L3 přepínače schopny také analyzovat hlavičku síťového protokolu. L3 přepínače jsou tedy schopny obecně stejné činnosti jako směrovače (kap. 3.3). Rozdíl mezi L3 přepínačem a směrovačem spočívá jen ve fyzické realizaci. Tradiční směrovače využívají mikroprocesory na rozhodování kam přeposlat pakety, ale L3 přepínač vykonává tuto činnost pouze prostřednictvím hardwaru. L3 přepínače mohou být umístěny kdekoliv v síti LAN s vysokým provozem a efektivně nahradit funkci směrování. K tomuto účelu je využíván speciální hardware pro zpracování paketů, realizovaný tzv. ASIC obvody. L3 přepínače tedy ve srovnání se základní podobou L2 přepínače nemají rozdílnou činnost a běžně poskytují tyto funkce: určení cesty paketu na základě logického adresování,

29 28 FEKT Vysokého učení technického v Brně provádění kontrolních součtů hlaviček 3. vrstvy, vyhodnocování pole TTL (Time To Live), zpracování a vyhodnocování rozšiřujících parametrů záhlaví paketu, zajištění zabezpečení (jako např. firewall). Využití L3 přepínačů přináší následující výhody [5]: hardwarové přepínání paketů, vysoký výkon přepínání paketů, snadná škálovatelnost, nižší latence, nižší náklady, řízení toku, zajištění zabezpečení, zajištění QoS (Quality of Service). Samotná činnost, resp. algoritmus využívaný při přepínání paketů je poměrně jednoduchý a více méně obdobný pro většinu směrovacích protokolů. Uvažujme situaci, kdy jeden uživatel (A) sítě má zájem odeslat data (paket) druhému uživateli (B) nacházejícího se v jiné síti. Poté, co zdrojový uživatel (A) získal vhodnými prostředky adresu směrovače (L3 přepínače), odešle daný paket přímo na fyzickou adresu MAC tohoto směrovače. Část směrování vyhodnocuje cílovou adresu paketu a rozhoduje se, zda zná vhodnou cestu pro přeposlání paketu. Pokud neví, kterým směrem je nutné daný paket odeslat, často jej aktivní prvek zahodí. V opačném případě změní cílovou fyzickou adresu MAC na takovou, která odpovídá dalšímu směrovači na trase, označovaného jako Next hop a paket odešle. Další "hop" může být již samotný koncový uživatel (B) nebo další směrovač (L3 přepínač), který vykonává stejný způsob přepínání, jako předešlý uzel sítě. Z toho tedy vyplývá, že jak paket postupně prochází sítí, každým přeposláním se mění fyzická adresa MAC, ale síťová adresa koncového uzlu je neměnná. Pro efektivní popis výše uvedeného procesu organizace IEEE zavedla vhodné hierarchické pojmy. Síťové zařízení bez schopnosti dál odesílat pakety do podsítí je označováno jako "end system" (ES), zatím co zařízení, které do dokáže je označováno jako "intermediate system" (IS). Zařízení IS jsou dále rozdělovány na taková, která jsou schopna vzájemně komunikovat v rámci jedné směrovací domény (Intradomain IS) a na taková, která komunikují jak s prvky uvnitř směrovací domény tak mezi rozdílnými směrovacími doménami (Interdomain IS). Za směrovací doménu je všeobecně považována část sítě, která je pak spravována v rámci jednoho orgánu (společnosti) a je řízena vlastním souborem administrativních pravidel. Směrové domény jsou také označovány jako autonomní systémy (AS - Automonous System).

30 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 29 L4 přepínače Přepínače 4. vrstvy, nebo též jen L4 přepínače jsou v podstatě L3 přepínače, které navíc analyzují hlavičku transportního protokolu a tak dokáží své rozhodnutí o přepínání měnit na základě typu aplikace jako je např. Telnet či FTP. Toto přepínání poskytuje další možnosti nad 3. vrstvou, kdy směrování paketů je tak prováděno na základě čísla portu příslušné aplikace uloženého v hlavičce transportního protokolu. Tato čísla portů jsou uvedené v doporučení RFC 1700 [6] a odkazují na protokol vyšší vrstvy, program nebo obecně na aplikaci. Největší výhodou přepínání na 4. vrstvě je, že správce sítě může nakonfigurovat tyto přepínače na určování priorit datového provozu generovaného či určeného pro danou aplikaci. Znamená to tedy, ze požadovanou míru kvality služeb (QoS) lze definovat pro každého uživatele. Např. několik uživatelů může být definovaných jako jedna video skupina a může jí být přiřazena vyšší priority či poskytnuta větší šířka pásma oproti ostatním uživatelům. MLS přepínače MLS (Multi-Layer Switch) přepínače kombinují techniky přepínání paketů dle vrstev 2, 3, a 4 a poskytují tak vysokou rychlost zpracování paketů s nízkou latencí. Těchto charakteristických vlastností se dosahuje využitím řady filtrů na množství směrovacích tabulek respektující kritéria určená správcem sítě. Rychlost přepínání MLS přepínači dosahuje hodnoty maximální rychlosti přenosového média a také rychlost směrování MLS přepínači je značná, kdy tak odstraňují úzká hrdla toku dat, které klasické směrovače svým omezenějším výkonem způsobují. Technika zpracování paketů MLS přepínači je založena na myšlence "route once - switch many". Dlouhý a výkonově náročný proces směrování je tedy proveden pouze u prvního paketu, kdy ostatní pakety vyhovující daným pravidlům jsou již jen přepínány. MLS přepínače mohou provádět rozhodnutí směrování či přepínání na základě: zdrojové anebo cílové MAC adresy v rámci linkové vrstvy, zdrojové anebo cílové IP adresy v hlavičce paketu síťové vrstvy, použitého protokolu v hlavičce síťové vrstvy, čísla zdrojového anebo cílového portu v záhlaví segmentu transportní vrstvy. Mezi L3 a L4 přepínačem není žádný rozdíl ve výkonu, protože proces směrování a přepínání je v tomto případě prováděn vždy hardwarově [7]. Přepínače vrstvy 4-7 Některé přepínače mohou používat i informace z vyšších vrstev referenčního modelu ISO/OSI. Takový přepínač je možné označovat jako L4-7 přepínač, přepínač obsahu (con-

31 30 FEKT Vysokého učení technického v Brně tent switch), přepínač služeb (content service switch), přepínač webových služeb (web switch) nebo také jako přepínač aplikací (application switch). Tyto přepínače se typicky využívají pro potřeby rovnoměrného zatížení mezi servery, označované jako tzv. load balancing. Myšlenku load balancing lze provádět na HTTP, HTTPS, VPN nebo na jakýchkoliv TCP/IP službách s použitím příslušného portu. Nejčastěji se jedná o překlad cílových síťových adres tak, aby se rozložilo zatížení služby mezi klienty a zároveň, aby klient nevěděl, který server právě pracuje s jeho požadavky. Některé L4-7 přepínače jsou také schopny vykonávat NAT (Network Address Translation), tj. překlad adres a portů rychlostí síťového rozhraní. Tyto přepínače bývají často využívány na provádění standardních operací jako je SSL šifrování s dešifrování, aby se snížilo zatížení serverů, které přijímají veškerou komunikaci. Jedno z využití je také centralizovaná správa digitálních certifikátů. L7 přepínače jsou pak základem technologie "content delivery network", což je v podstatě distribuovaný systém služeb rozložený do několika datacenter. Taková síť zabezpečuje vysoký výkon a vysokou dostupnost požadovaných služeb. Některé typy aplikací pak vyžadují opakované žádosti od klienta, kdy tyto žádosti musí být směrovány na stále stejný server. Vzhledem k tomu, že klient nemůže vědět, se kterým serverem začal prvotní komunikaci, je využíván tzv. content switch, který si tuto potřebnou informaci pamatuje a tak řídí datový tok těchto opakovaných požadavků. Např. požadavky ze stejné zdrojové IP adresy jsou tak každým směrováním směrovány na stejný aplikační server. 3.3 Směrovače Směrovače jsou aktivní zařízení v datové síti, která propojují alespoň dvě různé sítě. Směrovače rozdělují kolizní domény, filtrují a blokují všesměrové vysílání a dále pak zjišťují optimální trasu pro směrování paketů k cíli. Pracují na 3. vrstvě ISO/OSI referenčního modelu, tj. na síťové vrstvě. Z tohoto důvodu se někdy označují jako přepínače na třetí vrstvě, podobně síťové mosty mohou být nazývány přepínači na druhé vrstvě. Výkonné směrovače jsou v podstatě velmi silné počítače, provádějící vysokou míru zpracování průchozích dat. Směrovače, jakožto logická zařízení, byly již od počátku založeny na konceptu více síťových rozhraní. Jeden z prvních směrovačů vyvinula firma BBN Technologies (dříve zvaná Bolt, Beranek a Newman), posléze byl nahrazen systémy DEC PDP-11 nakonfigurovanými pro směrování IP paketů. Populárními směrovači byly také levnější modely serverů SPARC od firmy Sun Microsystems. Když do Internetu vtrhla na začátku 80. let 20. století komerce, mnoho poskytovatelů připojení k Internetu zakoupilo v té době

32 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 31 za účelem směrování právě systémy Sun. V této době založená firma CISCO pak proměnila směrovače v samostatná hardwarová zařízení a v současnosti v oblasti směrovačů a přepínačů se svými výrobky dominuje trhu. Na základě očekávané činnosti směrovače jej lze rozdělit do tří základních funkčních systémů: řídící úroveň (control plane), doručovací úroveň (forwarding plane) a základní deska (back plane), jejichž společným úkolem je odeslat přijatý datový paket na správné odchozí rozhraní. Metody určení tohoto rozhraní jsou velmi složité algoritmy určené k optimalizaci výkonnosti sítě směrování Funkce prováděné směrovačem Jak je znázorněno na obr. 3.1, základní funkční schéma směrovače se sestává ze dvou hlavních procesů. Prvním procesem je zpracování a správa směrovacích informací označovaná pojmem směrování (routing). Druhým procesem je pak přepojování datových jednotek, často překládaných do češtiny jako přepínání (switching nebo forwarding). Účelem správy směrovacích informací je vytvořit vhodný obraz topologie sítě tak, aby bylo možné stanovit nejlepší cestu datové jednotky (PDU Protocol Data Unit) do cílové sítě. Výsledkem je dosažení optimální výkonnosti celé sítě. Sousední směrovače si vzájemně vyměňují své informace o topologii sítě a předávají jejich změny prostřednictvím vhodného směrovacího protokolu. Síťová topologie je popsána pomocí sítí a podsítí identifikovaných rozsahem síťových adres. Tyto informace jsou uloženy ve směrovací tabulce a slouží jako data pro vyhodnocení nejlepší cesty do cílové sítě. Nejdůležitějšími prvky topologie sítě jsou sousední směrovače, které je nutno identifikovat včetně jejich linkových MAC adres. Těmto směrovačům jsou následně přímo předávány datové jednotky v souladu s výsledkem směrovacího rozhodovacího procesu. Tyto informace jsou tedy odvozeny z nalezené nejlepší cesty a jsou uloženy v tzv. přepojovací tabulce. Samotné přepojování paketů je realizováno na základě informací v hlavičce PDU, především podle cílové adresy. Přepojení paketu do odchozího linkového rozhraní se provede podle údajů v přepojovací tabulce, proto celkový výkon směrovače přímo závisí na rychlosti prohledání této tabulky. Proces směrování Jak bylo uvedeno výše, hlavní funkcí směrovače na třetí síťové vrstvě a jeho hlavním přínosem jako aktivního prvku je směrování. Kromě vyhodnocování a správy směrovacích dat, udržování aktuálnosti a správnosti záznamů ve směrovací i přepojovací tabulce, musí jeho procesorová jednotka zajistit mnoho dalších řídicích funkcí. Funkce procesu směrování obsahuje tyto oblasti:

33 32 FEKT Vysokého učení technického v Brně Proces směrování Aktualizace záznamů Směrovací tabulka Výměna směrovacích informací Přepojovací tabulka Výměna směrovacích informací Vyhledávání cílové adresy Příchozí pakety Přepojování paketů Odchozí pakety Obrázek 3.1: Základní schéma procesů ve směrovači správa směrovacích informací, konfigurace směrovače, správa směrovače. Směrování (routing), přesněji zpracování směrovacích informací, se realizuje pomocí různých směrovacích protokolů pro komunikaci se sousedními směrovači za účelem získání a dalším šíření informací o topologii sítě a o změnách v síti. Tyto zprávy se přenášejí běžnými PDU jednotkami, ale jsou adresovány přímo směrovači. Po příjmu takového paketu musí směrovač zpracovat nejen hlavičku (decapsulation), ale i obsah datové části a na jejím základě aktualizovat směrovací (RIB - Routing Information Base) a přepojovací tabulku (FIB - Forward Information Base). Směrovací tabulka RIB obsahuje jednotlivé cesty do známých sítí s určením IP adresy sousedního směrovače (next hop) a dalšími parametry. Přepojovací tabulka FIB má podobnou strukturu jako směrovací tabulka obsahuje cestu založenou na IP prefixu sítě, ale odkazuje přímo na patřičné odchozí linkové rozhraní aktivního prvku. Oblast konfigurace směrovače slouží k nastavení parametrů, podle kterých směrovač upravuje jednotlivé procesy a chování. Parametrů k nastavení je velké množství, patří k nim především úpravy chování modulů směrování, přepínání, autorizace, klasifikační

34 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 33 pravidla a mnoho dalších. Směrovací procesorová jednotka dále zajišťuje funkce jako jsou virtuální rozhraní (přidružená k fyzickým), smyčkové rozhraní (loopback bez vazby na fyzický port), virtuální síťové adresování, DHCP (viz kap. 5.3) server a tak dále. K funkcím konfigurace směrovače nutně patří funkce pro vkládání, uchovávání, úpravu i odstraňování konfiguračních souborů. Uchování konfigurace zajišťuje trvalá paměť typu FlashROM, která je načtena při výpadku napájení routeru nebo jeho restartu. Zálohování se provádí uložením do souboru nebo na FTP servery v síti. Pro efektivní správu sítě jsou důležitá data o aktuálním stavu i dlouhodobém trendu síťového provozu. Sběr těchto statistických informací patří mezi další funkce směrovače a souhrnně jsou tyto funkce zařazeny do oblasti správy směrovače. Monitorování provozu je důležité pro včasný opravný zásah při poruše sledovaného aktivního prvku. Ke správě slouží většinou vzdálený centrální dohled i konfigurace standardizovanými protokoly pro správu, typicky SNMP (viz kap ). Proces přepojování Základní funkce procesu přepojování (forwarding, switching) realizují předání přijaté datové jednotky na správný výstupní port směrovače. Základní funkce zahrnují takové operace, které je nutné provádět nad každým přicházejícím/odcházejícím paketem, kdy mezi tyto operace patří: ověření platnosti hlavičky IP a její délky, kontrola doby života paketu (pole TTL - Time To Live), výpočet nového zabezpečení hlavičky (pole CRC - Cyclic Redundancy Check), nalezení nejlepší cesty prohledáním přepojovací tabulky, fragmentace, zpracování volitelných parametrů. Funkce ověření platnosti hlavičky IP je nutná pro ověření správnosti údajů v IP hlavičce, neboť tyto údaje se využívají k vyhodnocení směrování paketu. Ověření zahrnuje kontrolu verze IP paketu a délky hlavičky, pro zjištění přesné struktury a konzistence polí hlavičky. Kontrola doby života paketu se vztahuje k vyhodnocení pole TTL v záhlaví IP paketu. Tato hodnota udává počet směrovačů, které ještě mohou paket předat směrem k cíli. Nastavením této hodnoty lze omezit, jak daleko se paket může vzdálit od zdroje, ale hlavním důvodem je zabránit nekonečné cirkulaci paketu ve smyčce tvořené více směrovači (s chybou topologie sítě). Po počáteční kontrole platnosti údajů IP hlavičky může směrovač zahájit hledání nejlepší cesty k cílovému uzlu. Hledání cesty je založeno na cílové IP adrese obsažené v

35 34 FEKT Vysokého učení technického v Brně hlavičce IP. K této adrese směrovač nalezne nejpřesnější záznam v přepojovací tabulce a určí odpovídající výstupní port. Při analýze cílové adresy se případně může zjistit, že paket patří lokálnímu směrovači,případně že se jedná o skupinový přenos na více adres (multicast). V případě, že maximální velikost datové jednotky (MTU Maximum Transfer Unit) je pro odchozí rozhraní menší, než pro příchozí, musí být paket rozdělen do menších bloků, zvaným fragmentů. Fragmentace se uplatňuje v IP protokolu do verze IPv4 včetně. V případě protokolu IPv6 se již procesem fragmentace nepočítá. Protože před opětovným odesláním zpracovaného paketu do sítě k dalšímu směrovači nebo již k cílovému uzlu dochází ke změně hodnoty pole TTL, je nutné opětovně vygenerovat nový cyklický zabezpečovací kód (CRC). V případě protokolu IPv4 záhlaví obsahuje pole pro volitelné parametry, které se však v praxi příliš nepoužívají, protože jimi lze narušit bezpečnost sítě. Kromě základních funkcí prováděných během přepojování paketů směrovač nabízí již i pokročilejší zpracování paketů, které reagují na požadavky nových a stále se rozšiřujících síťových a uživatelských služeb. Patří sem především požadavky na bezpečnost (ACL Access Control List), garance přenosových parametrů, rozdílné zacházení s datovými toky. Důležitým požadavkem je, aby přídavné zpracování významně neovlivnilo propustnost směrovače. Mezi doplňkové, třebaže dnes považované za standardní funkce procesu přepojování lze tak zařadit: klasifikace paketů, překlad adres, prioritní zpracování provozu. Prvním krokem k zajištění různého zacházení pro vybrané datové toky je identifikace těchto paketů, tzn. rozlišení vybraných paketů od ostatních. Tyto operace prováděné nad pakety jsou označovány jako klasifikace. Klasifikační pravidla se vztahují k jednotlivým polím hlavičky síťového (IP), transportního (TCP/UDP) příp. i linkového protokolu (např. Ethernet). Proto musí být původní vyhodnocení cílové IP adresy rozšířeno o další položky příslušných hlaviček. Komplexní vyhodnocení těchto polí je označováno pojmem klasifikace paketů. Z důvodu velice omezeného rozsahu IP adres verze 4, kdy rozsah adres dle IPv4 je v současnosti již oficiálně vyčerpán, je běžné, že se celá lokální podsíť mapuje na 1 či více veřejných adres. Jde o již zmíněnou funkci NAT. Tato operace vyžaduje správu existujících připojení a příslušných veřejných a privátních adres a portů TCP a UDP. Konvergovaná síť, obsahující nové služby pracující v reálném čase, vyžaduje náročné

36 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 35 parametry zpoždění a kolísání rychlosti, které lze zajistit pouze upřednostněním vybraného provozu před ostatními datovými přenosy. Současně je nutné zajistit, aby prioritní datové toky využívaly pouze ve sjednané míře kapacitu přenosového okruhu, tj. aby nedošlo k omezení ostatních datových toků Základní struktura směrovače Z funkčního hlediska lze z pohledu základní struktury směrovače rozlišit šest základních funkčních bloků jak je to uvedeno na obr Síťové rozhraní se skládá z jednotlivých portů směrovače, které jsou fyzickými zakončeními komunikačních linek druhé úrovně ISO/OSI modelu. Slouží jako vstupně/výstupní body pro zpracovávané datové jednotky. Tyto porty mají různé vlastnosti dle použité síťové technologie konkrétní linky, např. Ethernet, ATM, VDSL, sériová linka, optický spoj atd. Hlavními funkcemi síťových rozhraní jsou podpora patřičného linkového protokolu, zpracování příchozích rámců oddělení hlavičky IP a její vyhodnocení (decapsulation), předání IP hlavičky přepojovacímu modulu, uložení datové části do vyrovnávací paměti, zapouzdření (encapsulation) odesílaných IP paketů do příslušného rámce linkového protokolu. V části linkové karty je umístěn blok přepojování (Forwarding Engine). Tento blok realizuje vlastní přepojování paketu rozhoduje, kterému síťovému rozhraní budou předány jednotlivé pakety. Rozhodování provádí především podle obsahu IP hlavičky (cílové IP adresy) a na základě nejpřesnějšího záznamu v přepojovací tabulce. Tento funkční blok zajišťuje také klasifikaci paketů a může být realizován softwarově nebo hardwarově, dle požadavku na výkonnost aktivního prvku. Blok správa front (Queue Manager) spravuje obsah vyrovnávacích pamětí, které dočasně uchovávají pakety v případě, když odchozí rozhraní není volné. Při stavech, když zatížení sítě je vyšší než kapacita front, dojde k zahlcení front a tento modul zajišťuje také selektivní zahazování paketů. K tomuto účelu existuje několik algoritmů pro výběr paketů, které může v daném okamžiku zahodit (Tail Drop, Random Early Detection - RED, vážený RED). Řízení provozu (Traffic Manager) je odpovědné za prioritní řízení a regulaci odchozího provozu podle nastavených požadavků na kvalitu služeb dle jednotlivých tříd. Tento blok také zajišťuje tvarování provozu, pokud je vyžadováno na výstupním portu, případně kontrolu rychlosti a objemu přicházejících dat na vstupu. Někdy se funkce správy front a řízení provozu spojují do jednoho funkčního bloku. Část označená jako základní deska (Backplane) je fyzickým propojovacím polem mezi jednotlivými moduly síťových rozhraní i dalšími moduly a zajišťuje tak předávání paketů ze vstupních do výstupních portů. Navrhuje se jako samostatný modul z důvodu, že v

37 36 FEKT Vysokého učení technického v Brně Výstupní síťové rozhraní Vstupní síťové rozhraní L2 L3 L2 L3 Směrovací tabulka Linková karta Řízení provozu Správa front Vyrovnávací paměť Blok přepojování Přepojovací tabulka Procesor správy cest Základní deska Centrální procesorová jednotka Paměť Linková karta Správa front Řízení provozu L2 L3 Výstupní síťové rozhraní Vyrovnávací paměť Přepojovací tabulka Blok přepojování L2 L3 Vstupní síťové rozhraní Modul přepojovacího pole Obrázek 3.2: Základní funkční bloky směrovače

38 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 37 Směrovací tabulka Procesor správy cest Řidicí rovina Datová rovina Vyovnávací paměť 3a 1 Vstupní síťové rozhraní L2 L3 2 Blok přepojování 3b Přepojovací tabulka 4 5 Základní deska Obrázek 3.3: Procesy prováděné nad přicházejícím paketu zařízení směrovače není konstantní konfigurace jednotlivých bloků a moduly lze i libovolně přidávat. Pro zvýšení propustnosti směrovače základní deska může využívat pouze jeden komunikační kanál s časovým multiplexem (TDM - Time Division Multiplex), nebo lépe prostorový multiplex (SDM - Space Division Multiplex), umožňující současný přenos paketů z více vstupů na více výstupů. Funkční blok označený jako procesor správy cest (Route Control Processor) je zodpovědný za samotné zpracování dat směrovacích protokolů a vyhodnocení a správu směrovacích informací směrovací tabulku RIB i přepojovací tabulku FIB. Obsahuje také systém správy směrovače, zpracovává výjimky a nestandardní situace při zpracování paketů atd. Tento blok je většinou softwarový Procesy při zpracování datových jednotek Proces zpracování datových jednotek lze rozčlenit na několik základních kroků a dílčích operací. Jednotlivé operace prováděné na přicházející datové jednotce jsou naznačeny na obr První krok (či operace) představuje samotný příjem rámce. Příjem probíhá na linkové úrovni interpretací položek v hlavičce protokolu linkové vrstvy a detekci začátku a konce této datové jednotky. Výsledkem zpracování údajů v hlavičce rámce je vytvořen kontext

39 38 FEKT Vysokého učení technického v Brně vstupního Číslo rozhraní vstupního Číslo rozhraní vstupního rozhraní Číslo vstupního Číslo rozhraní vstupního Číslo rozhraní vstupního rozhraní Číslo vstupního Číslo rozhraní vstupního Číslo rozhraní vstupního rozhraní stupního rozhraní Typ vstupního rozhraní Typ vstupního rozhraní Typ vstupního rozhraní Typ vstupního rozhraní Typ vstupního rozhraní Typ vstupního rozhraní Typ vstupního rozhraní Typ vstupního rozhraní nformace paketu L2 informace paketu L2 informace paketu L2 informace paketu L2 informace paketu L2 informace paketu L2 informace paketu L2 informace paketu L2 informace paketu rojová MAC Zdrojová adresa MAC Zdrojová adresa MAC adresazdrojová MAC Zdrojová adresa MAC Zdrojová adresa MAC adresazdrojová MAC Zdrojová adresa MAC Zdrojová adresa MAC adresa ílová MAC adresa Cílová MAC adresa Cílová MAC adresa Cílová MAC adresa Cílová MAC adresa Cílová MAC adresa Cílová MAC adresa Cílová MAC adresa Cílová MAC adresa L3 informace paketu L3 informace paketu L3 informace paketu Ingress L3 Information Ingress L3 Information Ingress L3 Information Zdrojová IP adresa Zdrojová IP adresa Zdrojová IP adresa Informace o odchozím Informace rozhraní o odchozím Informace rozhraní o odchozím rozhraní Cílová AIP adresa Cílová AIP adresa Cílová AIP adresa Identifikace linkové Identifikace karty linkové Identifikace karty linkové karty Protokol 4. vrstvy Protokol 4. vrstvy Protokol 4. vrstvyindentifikace portu Indentifikace na kartě portu Indentifikace na kartě portu na kartě Adresa paketu ve Adresa vyrovnávací paketu ve vyrovnávací DSCP (QoS) DSCP (QoS) Adresa paketu ve vyrovnávací DSCP (QoS) paměti paměti paměti Číslo zdrojového Číslo portu zdrojového Číslo portu zdrojového portu Číslo cílového portu Číslo cílového portu Číslo cílového portu (a) (b) (c) Obrázek 3.4: Kontext paketu a jeho vývoj během zpracování přicházejícího paketu paketu (obr. 3.4(a)). Kontext je datová struktura nutná pro další zpracování ve směrovači, obsahuje v tomto kroku zdrojovou i cílovou MAC adresu pro účely další případné filtrace. Po vyhodnocení obsahu L2 hlavičky jsou dále zpracována zapouzdřená data síťové vrstvy. Nejprve je určen její začátek a pak je identifikována oblast odpovídající hlavičce paketu. Zpracování hlavičky zahrnuje ověření konzistence dat v hlavičce (tj. kontrole zabezpečení CRC), přečtení obsahu jednotlivých polí hlavičky a zápis příslušných informací do kontextu paketu. Kontext je tak rozšířen o IP adresy odesílatele a zdroje, identifikátor třídy služeb (QoS), typ a zdrojový a cílový port transportního protokolu, atd. (viz obr. 3.4(b)). Získáním těchto informací je paket připraven na vyhledávání požadovaného výstupu. V rámci dalšího kroku se tak rozpracovaný paket s jeho kontextem přenáší ze síťového rozhraní do bloku přepojování. Tento blok zpracovává obsah paketu ale i kontext paketu. Na základě informací z kontextu je spuštěno prohledávání přepojovací tabulky pro nalezení správného výstupního portu. Do kontextu paketu je pak přidán identifikátor patřičného výstupního rozhraní pro pozdější odeslání. Paket je uložen ve vyrovnávací paměti rozhraní. Informace o uložení paketu ve vyrovnávací paměti, resp. adresa paměťového prostoru, na které je paket uložen, se také stává součástí jeho kontextu (viz obr. 3.4(c)). Po dokončení procesu prohledávání záznamů v přepojovací tabulce a výběru toho s největší shodou, je kontext paketu zaslán do modulu základní desky. Podle záznamů v

40 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 39 Správa front 8 9 Výstupní 10 L2 Řízení provozu síťové L3 rozhraní 7 6 Vyrovnávací paměť Základní deska 5 Obrázek 3.5: Procesy prováděné nad odcházejícím paketu kontextu spojovací pole na základní desce zjistí, na který výstup má přenést paket. Podle aktuálního stavu požadavků na přenos pak spojovací pole naplánuje přepojení datové jednotky na požadovaný výstup směrovače. V rámci plánování lze zohlednit i prioritu paketu a zajistit rychlejší přepojení pro datové jednotky s vysokou prioritou. Zpracování paketu se provádí pouze na základě informací z kontextu paketu. Tento postup má výhodu v tom, že nevyžaduje přenos celého paketu, tj. velkého objemu dat a navíc kontext má pevnou délku, která výrazně zjednoduší synchronizaci jednotlivých procesů. Proces zpracování příchozího paketu končí jeho samotným předáním na požadovaný výstup. Tímto ho přijme výstupní rozhraní a začíná proces zpracování odchozího paketu, kdy i tento proces lze rozdělit do několika samostatných kroků (obr. 3.5). Při předání odchozího paketu vysílací části modulu výstupního rozhraní dojde nejprve k jeho uložení do vyrovnávací paměti tohoto modulu a je aktualizována adresa v paměti v kontextu paketu. Podle informací z kontextu určí blok správy front prioritu paketu a zařadí kontext do odpovídající fronty. Podle priority paketu blok správy front naplánuje, kdy má poslat paket z vyrovnávací paměti na výstupní port. V případě zahlcení výstupního portu tento blok zajišťuje zahazování paketů vybraných podle výrobcem implementovaného mechanismu. Blok řízení provozu určuje, zda náhodou nedochází k překročení případného rychlostního limitu nastaveného pro dané rozhraní či pro cílového uživatele. Zjistí-li se překročení rychlosti, blok řízení provozu může pozdržet či zahodit daný paket. V rámci činnosti tohoto bloku tedy dochází k tvarování výstupního provozu. Pokud nedochází k překročení rychlostního limitu, je paket v rámci dalšího kroku předán výstupnímu síťovému rozhraní, kde dochází k přípravě ke konečnému odeslání paketu. Rozhraní nejprve provede aktualizaci polí IP hlavičky, konkrétně snížení hodnoty TTL a výpočtu nového zabezpečení CRC. Následně je vygenerována nová hlavička protokolu

41 40 FEKT Vysokého učení technického v Brně linkové vrstvy a paket je tedy zapouzdřen do rámce. Konečným krokem zpracování paketů směrovačem je pak již samo fyzické odeslání paketu na úrovni fyzické síťové vrstvy po daném médiu. 3.4 Firewall Firewall je síťové zařízení, které slouží k řízení a zabezpečování síťového provozu mezi sítěmi s různou úrovní důvěryhodnosti a zabezpečení. Zjednodušeně se dá říct, že slouží jako kontrolní bod, který definuje pravidla pro komunikaci mezi sítěmi, které od sebe odděluje. Tato pravidla historicky vždy zahrnovala identifikaci zdroje a cíle dat (zdrojovou a cílovou IP adresu) a zdrojový a cílový port, což je však pro dnešní firewally už poměrně nedostatečné modernější firewally se opírají přinejmenším o informace o stavu spojení, znalost kontrolovaných protokolů a případně prvky IDS (Intrusion Detection System). Pomocí firewallů lze dosáhnout nejbezpečnější možné připojení k Internetu nebo obecně jen do jiné sítě. Firewally kontrolují a poté schvalují nebo zamítají jednotlivé pokusy o připojení mezi interní sítí a externími sítěmi jako je např. Internet. Robustní firewally chrání síť na všech vrstvách od linkové až po aplikační. Firewally jsou umístěny na hranicích sítě a jsou přímo připojeny k okruhům, které poskytují přístup k jiným sítím. Z tohoto důvodu se jim často říká zabezpečení hranic. Zjednodušeně je místo zapojení firewallu naznačeno na obr Pojem zabezpečení vnějších hranic je důležitý - bez tohoto konceptu by každý hostitelský počítač v rámci sítě musel provádět funkce firewallů sám, zbytečně by zatěžoval své prostředky a zdroje, a tak by v lokálních, velmi rychlých sítích zvyšoval dobu potřebnou k připojení, autentizaci a zašifrování dat. Použitím firewallu lze soustředit veškeré externí služby zabezpečení do optimálního zařízení, vyhrazeného přímo k tomuto účelu. Kontrola provozu na hraničních bránách má dále také tu výhodu, že zamezuje aby provoz, který byl napaden hackerským útokem, využíval kapacitu interní sítě. Ze své podstaty vytvářejí firewally mezi interními a externími sítěmi úzká místa, protože veškerý provoz, který putuje mezi interní sítí a externím prostředím, musí projít jediným bodem. To je ale nízká cena, kterou je nutné za zabezpečení zaplatit. Externí připojení pomocí pronajatých linek je v porovnání s rychlostí moderních počítačů relativně pomalé, takže čekací doba způsobená firewally může být zcela transparentní. Pro většinu uživatelů se standardním připojením k Internetu postačí i relativně levné firewally. Pro podniky a ISP (Internet Service Provider), jejichž internetový provoz je mnohem obsáhlejší, byl vyvinut zcela nový druh extrémně rychlých (a také velmi nákladných) firewallů, které se vyrovnají i s těmi nejnáročnějšími privátními sítěmi. Některé země dokonce pomocí vysokorychlostních firewallu cenzurují Internet [8].

42 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 41 Postupem času se na samotný firewall integrovaly i další funkce. Základní službou je "autentizace". Předtím, než může uživatel přistupovat k síťovým zdrojům, musí se přihlásit. Proces přihlašování probíhá buď na základě údajů v interní databázi nebo údajů na externím serveru. Aby je bylo možné snadno integrovat do sítě, podporují dnešní firewally i směrování. Samozřejmostí je pak i integrace virtuálních privátních sítí VPN (Virtual Private Network). Z pohledu velikosti můžeme firewally rozlišit na osobní a ostatní. Osobní jsou nainstalovány na pracovních stanicích a jejich funkce jsou zpravidla omezené. Ostatní firewally jsou nainstalovány na serverech, popřípadě na počítačích postavených k tomu účelu, nebo to jsou samostatná zařízení. Hlavní funkcí osobního firewallu je obvykle filtrování komunikace na jednom počítači. Ostatní (někdy také síťové) firewally filtrují komunikaci mezi sítěmi. Další rozdělení firewallů je možné podle úrovně, na které firewall filtruje komunikaci. Firewally tedy mohou pracovat primárně na základě tří metod: Filtrování paketů Jde o nejnižší úroveň poskytované bezpečnosti využitím paketového filtru. Tento filtr je schopen blokovat jednotlivé pakety na základě zdrojové či cílové IP adresy nebo podle TCP/UDP portu, což dokáže i průměrný směrovač či přepínač. Firewall založený na filtrování paketů tedy odmítá pakety TCP/IP od neautorizovaných uživatelů a odmítá pokusy o připojení k neautorizovaným službám. Ve filtrech jsou obvykle nastavena tato pravidla: zablokuj pokusy o připojení zvenčí, ale povol pokusy o připojení zevnitř sítě, LAN WAN Firewall Obrázek 3.6: Umístění firewallu na hranici sítě

43 42 FEKT Vysokého učení technického v Brně nepropouštěj pakety TCP určené portům, které by neměly být k dispozici na Internetu (např. port pro relace NetBIOS), ale propouštěj pakety, které by měly být k dispozici (jako např. SMTP). Ve většině filtrů lze přesně uvést, na jaký server by ten který druh provozu měl směřovat - např. provoz SMTP na portu 25 by měl směřovat výhradně na IP adresu poštovního serveru. omez příchozí přístup na určité rozsahy IP. Kvalitnější filtry zkoumají stav všech připojení, které přes ně procházejí, sledují příznaky naznačující hackování, jako např. přímé směrování, přesměrování ICMP (Internet Control Message Protocol) a falšování IP adres (IP spoofing). Připojení, která vykazují výše uvedené charakteristiky, se přeruší. Filtrování neřeší problém zabezpečení připojení k Internetu beze zbytku. Především je nutné zmínit, že odchozí provoz obsahuje IP adresy počítačů za filtrem. Je tedy celkem snadné zjistit typ a počet hostitelských počítačů připojených k Internetu za filtrem a směrovat útoky proti těmto adresám. Filtrování neskrývá totožnost hostitelů umístěných za filtrem. U protokolů vyšší úrovně jako jsou hlavičky TCP nejsou navíc filtry schopny kontrolovat všechny fragmenty zprávy IP, protože hlavička je přítomná pouze v prvním fragmentu. Další fragmenty neobsahují ve své hlavičce žádné informace a lze je porovnávat pouze s pravidly na úrovni IP, která jsou většinou volnější, aby přes filtr nějaký provoz propustila. V tomto případě lze zneužít chyb v implementaci IP na cílových počítačích a také by v takovém případě mohlo v rámci sítě docházet ke komunikacím s nainstalovanými trojskými koni. Modernější firewally podporují opětovné sestavování fragmentovaných paketů a následně použití pravidel firewallu na tyto pakety. Filtry navíc nejsou ani tak inteligentní, aby v rámci paketů síťové vrstvy kontrolovaly legitimitu protokolů. Například nekontrolují pakety HTTP v paketech TCP a nemohou tedy zjistit, jestli tyto pakety neobsahují programy na napadání bezpečnostních chyb (exploity), které pak mohou napadnout webový prohlížeč nebo webový server na vaší straně připojení. Většina moderních útoků hackerů je založena na zneužívání těchto náročnějších služeb, protože kromě útoků, které způsobují nepříjemné odepření služeb, firewally téměř úplně vyloučily úspěšné útoky na síťové vrstvě. Překládání síťových adres nebo také stavová inspekce Nedostatek předchozího typu odstraňuje "stavový firewall" (statefull inspection). Ten umí přiřadit pakety k příslušnému spojení. Díky této vlastnosti firewall rozpozná, že se jedná o pakety vracející se do sítě v rámci spojení, které bylo navázáno zevnitř. Úroveň bezpečnosti je tím mnohem vyšší. Tento typ firewallu dokáže od-

44 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 43 halit například "spoofing", tj. útok založený právě na tom, že se pakety odeslané útočníkem "vracejí" do sítě. Zabezpečení na této úrovni je zajištěno překládáním síťových adres (Network Address Translation - NAT), které řeší problém skrývání interních hostitelů. Funkce NAT je v podstatě proxy na síťové vrstvě: požadavky jménem všech interních hostitelů provádí jediný hostitelský počítač, takže totožnost interních hostitelských počítačů je před veřejnou sítí skryta. Windows 2000 a XP, Linux a mnohé moderní operační systémy UNIX tuto funkci poskytují v distribuci operačního systému. Windows NT tuto funkci nemají. Funkce NAT skrývá interní IP adresy tak, že všechny adresy interních hostitelů zkonvertuje na adresu firewallu. Firewall potom pomocí čísla portu TCP přepošle datovou část z interního hostitelského počítače z jeho vlastní adresy. Tím monitoruje, jaká připojení z veřejné sítě se přiřazují ke kterým hostitelům v privátní síti. Pro Internet se jeví, že veškerý provoz v interní síti pochází od jednoho velmi zaneprázdněného počítače. Proxy a aplikační brána NAT řeší mnoho problémů spojených s přímým připojením k Internetu, ale přesto neblokuje tok paketů přes firewall úplně. Někdo se zařízením pro monitorování síťového provozu (network monitor) může monitorovat provoz, který přichází z firewallu a zjistit, že firewall překládá adresy pro jiná zařízení. Pak je tedy možné, aby hacker zpětně provedl únos připojení TCP nebo zfalšoval připojení přes firewall. Tyto problémy řeší proxy na aplikační úrovni. Umožňují prostřednictvím firewallu úplně přerušit tok protokolů na síťové úrovni a omezit provoz pouze na protokoly vyšší úrovně - HTTP, FTP a SMTP. Proxy na aplikační úrovni je kombinace serveru a klienta pro uvedený protokol. Například webový proxy je kombinace webového serveru a webového klienta. Protokolový server na proxy přijímá připojení od klientů v interní síti a protokolový klient na proxy se připojuje k veřejnému serveru. Jakmile přijme protokolový klient proxy z veřejného serveru data, server proxy zašle data konečnému internímu klientovi. Proxy fungují na hranicích mezi dvěma sítěmi, které nejsou propojeny pomocí směrovačů. Jakmile provede klient v chráněné síti připojení na server ve veřejné síti, obdrží proxy žádost o připojení a připojí se jménem chráněného klienta. Pak proxy postoupí požadavek z veřejného serveru do interní sítě. Proxy v podstatě provádějí jakožto prostředníci neškodné útoky a jsou dobrým příkladem toho, jak by mohl libovolný systém, který funguje jako prostředník mezi jedním uživatelem a jiným koncovým bodem systému, případně provádět škodlivější zpracování dat bez svolení uživatele.

45 44 FEKT Vysokého učení technického v Brně Aplikační proxy se od překladačů síťových adres a filtrů liší v tom, že s proxy většinou komunikuje aplikace internetového klienta. Internet Exploreru se např. sdělí adresa webového proxy a Internet Explorer pak neprovede rozpoznání IP adresy a nepřipojí se přímo, ale zasílá všechny požadavky z Internetu na tento proxy server. Aplikační proxy nemusí být nainstalovány na firewallech. Roli proxy může provádět jakýkoliv server, buď v rámci interní sítě nebo mimo ni. Bez firewallu však stále není k dispozici žádné skutečné zabezpečení, a proto jsou nutné oba komponenty. Server proxy musí být před útoky na síťové vrstvě, které způsobují odepření služby (jako např. "ping of death"), chráněn alespoň nějakým typem paketového filtru. A pokud není proxy nainstalován na firewallu, je nutné nějak otevřít průchod firewallem. Ideálním řešením je, aby firewall prováděl funkce proxy. Tímto způsobem se znemožní propouštění paketů z veřejného prostředí přes firewall. Jak již bylo uvedeno výše, většina firewallů také provádí dvě další důležité služby zabezpečení, kterými jsou šifrovaná autentizace a propojování virtuálních privátních sítí. Šifrovaná autentizace Šifrovaná autentizace umožňuje externím uživatelům na Internetu prokázat firewallu, že jsou autorizovaní uživatelé a že tedy mají oprávnění provést připojení k interní síti přes firewall. Šifrovaná autentizace může využívat jakéhokoliv množství bezpečných autentizačních protokolů. Jakmile je spojení ustaveno, může nebo nemusí být zašifrováno, v závislosti na tom, jaký firewall se používá a zda byl na klientovi nainstalován dodatečný software, který podporuje vytváření tzv. tunelů. Využití šifrované autentizace je výhodné, protože k němu dochází na transportní úrovni mezi softwarem klienta a firewallem. Jakmile se ustaví připojení, spustí se standardní aplikační software a software pro přihlašování k operačnímu systému zcela transparentně. Nemusíte tedy mít žádný zvláštní software, který podporuje konkrétní nainstalované firewally. Šifrovaná autentizace ale bohužel snižuje zabezpečení firewallu, neboť svou podstatou vyvolává tyto problémy: Firewall musí na nějakém portu reagovat, protože naslouchá pokusům o připojení. Hackeři se tak mohou dozvědět, že firewall existuje. Připojení může být po ustavení pomocí ICMP přesměrováno, obzvláště pokud není zašifrované. Hacker, který by sledoval ustavení připojení, může zfalšovat adresu autorizovaného klienta, a získat tak přístup do sítě, aniž by musel stávající připojení přesměrovávat. Přístup do sítě lze získat zneužitím ukradeného laptopu s příslušnými klíči.

46 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 45 Zaměstnanci, kteří pracují doma, se mohou stát cílem napadení, protože jejich počítače mají přístup do privátní sítě. Postup autentizace může obsahovat mnoho chyb nebo nemusí být úplně bezpečný, takže kdokoliv na Internetu má možnost otevřít průchody přes firewall. Ke všem uvedeným rizikům ve skutečnosti dochází pouze velmi zřídka. Propojování virtuálních privátních sítí Virtuální privátní sítě (VPN), kterým se také říká zašifrované tunely, umožňují bezpečné propojení dvou fyzicky oddělených sítí prostřednictvím Internetu, aniž by byla přenášená data odhalována neautorizovaným subjektům. V okamžiku, kdy se vytváří tunel, mohlo by ve vlastních VPN docházet k pokusům o přesměrování, ustavování zfalšovaných připojení a všem možným hackerským útokům. Pokud se ale privátní síť implementuje jako nedílná součást firewallu, mohou napadání VPN během vytváření tunelu zabránit autentizace firewallu a služby zabezpečení. Jakmile je síť VPN ustavena, odolává po dobu, kdy je zabezpečena šifrováním, napadení. A protože firewally jsou umístěny na hranicích Internetu, fungují jako skvělé koncové body na obou koncích tunelu. Privátní sítě mohou v podstatě přenášet provoz, jako kdyby to byly dvě dílčí sítě ve stejné doméně. Při využití sítě VPN také mohou uživatelé přímo kontaktovat vzdálené interní hostitele prostřednictvím skrytých IP adres; pokud by přišel pokus o připojení přímo z Internetu, překladače síťových adres a paketové filtry by mu zabránily. Jsou-li výhodnější z hlediska nákladů, je dobré místo VPN vždy použít pronajaté linky. V případě, že nejsou pronajaté linky k dispozici nebo jsou z hlediska nákladů neúnosné, měla by se pro veškerou komunikaci přes Internet mezi jednotkami organizace použít síť VPN. Při využití VPN jako primární metody komunikace mezi jednotkami organizace lze dosáhnout mnohem vyššího výkonu, když se bude ve všech lokalitách používat stejný ISP, protože provoz VPN nebude nutné směrovat přes zahlcené komerční Internetové ústředny. Hlavní zásadou, kterou je v tomto případě nutné dodržovat je, že nikdy nesmí docházet zasílání privátních informaci mezi jednotkami v rámci organizace přes Internet bez nějaké formy šifrování. Nezašifrované hlavičky paketů obsahují cenné informace o struktuře interní sítě. Některé firewally také nabízejí dodatečné služby, které se nevztahují přímo k zabezpečení, ale mohou být oceněny řadou uživatelů: Skenování virů Prohledává příchozí datový toky a zjišťuje, zda neobsahuje signatury virů. Mají-li být k dispozici nejaktuálnější signatury, je nutné si objednat službu aktualizace virů, kterou poskytuje dodavatel firewallu.

47 46 FEKT Vysokého učení technického v Brně Filtrování obsahu Umožňuje blokovat interním uživatelům přístup k určitým typům obsahu podle kategorií, např. pornografie, propaganda rasistických organizací, a informace o hackerství. Aktualizace seznamů blokovaných webových stránek pro určitou kategorii je k dispozici také pouze po registraci služby. 3.5 Gateway Gateway, nebo-li brána, je v počítačových sítích uzel, který spojuje dvě sítě s odlišnými protokoly. Brána musí vykonávat i funkci routeru (směrovače), a proto ji řadíme v posloupnosti síťových zařízení výše. Brána například přijme z Internetu pomocí webové stránky zprávu, kterou odešle do mobilní GSM sítě v podobě SMS zprávy Typy gateway První typem brány je brána pracující na aplikační úrovni (obr. 3.7). Jsou to brány mezi různými sítěmi pro zasílání zpráv (ICQ, Jabber,...) a podobně. Brána přijme celou zprávu, která se může skládat z mnoha menších částí (např. datagramů). Pak zprávu převede do formátu určeného pro cílovou síť a odešle. Bránu tak tvoří speciální program spuštěný na počítači, který je připojen do obou různých sítí (tj. například do Internetu pomocí síťové karty a do GSM sítě pomocí mobilního telefonu připojeného přes sériový port). Gateway Klient Server Aplikační vsrtva (HTTP) Aplikační vsrtva (HTTP) Aplikační vsrtva (FTP) Aplikační vsrtva (FTP) Transportní vrstva Transportní vrstva Transportní vrstva Transportní vrstva Síťová vrstva Síťová vrstva Síťová vrstva Síťová vrstva Linková vrstva Linková vrstva Linková vrstva Linková vrstva Fyzická Fyzická Fyzická Fyzická Obrázek 3.7: Gateway na aplikační úrovni

48 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 47 Gateway pracující na aplikační úrovni tak provádí konverzi mezi dvěma aplikačními protokoly. Gateway může nebo nemusí pracovat s různými transportními protokoly. Na obrázku je gateway mezi protokoly HTTP a FTP, která na obě strany používá transportní protokol protokol TCP. Druhým typem brány je brána pracující na transportní nebo síťové vrstvě, kdy tyto brány pak pracují např. přímo s datagramy. V takovém případě pak brána nedekóduje celou zprávu, ale jen transformuje datagramy jedné sítě do datagramů sítě druhé. Příkladem je tzv. SOCKS (Socket Secure), kde dochází k přenosu datagramů TCP/IP přes síť, která TCP/IP nepodporuje. V takovém případě TCP/IP aplikace používá speciální subsystém, který zajistí doručení datagramů až k bráně pomocí jiného protokolu (např. IPX/SPX - Internetwork Packet Exchange/Sequenced Packet Exchange) a v bráně probíhá zpětný převod do protokolu TCP/IP a odeslání do cílového místa v Internetu. Převod pracuje samozřejmě oběma směry.

49 48 FEKT Vysokého učení technického v Brně 4 AKTIVNÍ PRVKY BEZDRÁTOVÝCH SÍTÍ Podobně jako je tomu v případě kabelových sítí také v bezdrátových sítích bylo definováno několik typů aktivních prvků. V následujícím textu se omezíme pouze na terminologii spojenou s technologií dle standardu IEEE , často označovanou jako WiFi (Wireless Fidelity). 4.1 Přístupový bod Přístupový bod (AP - Access Point) je základní komponentou bezdrátových infrastruktur, která zajišťuje přístup mobilních zařízení k datové sítí, tj. k Internetu. Z pohledu základních operací prováděných přístupovým bodem je jeho činnost obdobná s činností Ethernet přepínače. Během komunikace bezdrátových terminálů s přístupovým bodem je definován jeden kanál v rámci technologie DSSS (Direct Sequence Spread Spectrum) nebo OFDM (Orthogonal Frequency Division Multiplexing), z čehož vyplývá, že komunikace mezi AP a koncovým uživatelem je charakteru polovičního duplexu. Další využívanou technologií přenosu dat mezi mobilní stanicí a přístupovým bodem je technologie FHSS (Frequency Hopping Spread Spectrum), která spočívá v tom, že nosný kmitočet se během vysílání mění na základě definované sekvence. Protože v rámci bezdrátové komunikace je využíván radiový přenos, lze kolem přístupového bodu definovat oblast pokrytí, která vymezuje prostor, ve kterém se mobilní stanice (klient) musí nacházet, aby byl schopen komunikovat s přístupovým bodem. Na základě hardwarové implementace lze přístupový bod provozovat v několika režimech. Primárně se jedná o tzv. "root mode". V tomto pracovním režimu je přístupový bod připojen k pevné lokální síti a zprostředkuje radiové spojení mobilním klientům nacházejícím se v jeho dosahu. Samozřejmě se předpokládá, že daným přístupovým bodem jsou obsluhování pouze ty mobilní stanice, které disponují potřeným oprávněním, tj. prošli během připojování do bezdrátové sítě procesy autentizace a autorizace. Příklad konfigurace bezdrátové sítě s přístupovými body pracujícími v režimu "root"je ukázán na obr V případě, že ke stejnému segmentu lokální počítačové sítě je připojeno více přístupových bodů (viz obr. 4.1), pak tyto přístupové body mezi sebou komunikují prostřednictvím této lokální sítě. Dalším základním režimem, ve kterém je možné přístupový bod provozovat je režim "bridge". V tomto případě přístupový bod pracuje jako most propojující dva oddělené segmenty pevné lokální sítě. Principiální znázornění této činnosti je ukázána na obr Dalším možným režimem, ve kterém lze přístupový bod provozovat je tzv. "repeater". V tomto režimu přístupový bod slouží jako náhrada pevného připojení přístupového bodu

50 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 49 LAN Přístupový bod (režim root ) Přístupový bod (režim root ) Mobilní terminály Oblast pokrytí Obrázek 4.1: Přístupové body pracující v "root" režimu LAN2 AP (režim bridge ) AP (režim bridge ) LAN1 Klienti Server Obrázek 4.2: Přístupové body pracující v "bridge" režimu do lokální sítě využitím radiového spoje. Je tedy nutné, aby se oblasti pokrytí přístupových bodů překrývaly (obr. 4.3). Znamená to tedy, že minimální překrytí oblasti pokrytí musí být alespoň 50%, což vede na významný pokles celkové pokryté plochy. Další, mnohem významnější nevýhodou tohoto režimu je skutečnost, že data jsou od vzálenějších bezdrátových stanic přenášena rádiovým spojením dvakrát, což ve svém důsledku vede

51 50 FEKT Vysokého učení technického v Brně LAN LAN Režim root Režim repeater Obrázek 4.3: Přístupové body pracující v režimu repeater na min. 50% pokles propustnosti sítě. Z tohoto důvodu se řešení bedrátové sítě za využití přístupových bodů pracujících v režimu "repeater" má nasazovat pouze v případě, že jiné efektivnější řešení připojení mobilnách klientů nenabízí Bezdrátový most Bezdrátové mosty jsou aktivní prvky bezdrátových sítí, které realizují obdobnou funkci, jako přístupové body provozované v pracovním režimu "bridge". Bezdrátové mosty tedy propojují segmenty lokální počítačové sítě na úrovni datové vrstvy a neumožňují tak připojení mobilních stanic. Propojení segmentů může být realizováno dvěma způsoby, buď bod bod nebo bod skupina bodů. Dosah bezdrátových mostů může být až několik desítek km při využití směrových antén. Podobně jako tomu je u přístupových bodů, i bezdrátové mosty lze provozovat v několika režimech. Základní pracovní režim je označován jako "root", kdy při propojování segmentů lokální sítě jeden z bezdrátových mostů musí být provozován v tomto režimu (obr. 4.4, obr. 4.5). Dalším režimem bezdrátového mostu je tzv. "non-root"režim, který může komunikovat s jiným bezdrátovým mostem provozovaným v "root"režimu. Příklad využití bezdrátových mostů propojující tři segmenty lokální datové sítě je znázorněn na obr. 4.4, ze kterého je vidět, že jeden z bezdrátových mostů je provozován režimu "root", ostatní v "nonroot" režimu. Bezdrátový most je pak také možné provozovat v režimu "repeater", který podobně jako u přístupového modu provozovaného ve stejnojmenném režimu, slouží k prodloužení

52 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 51 Bridge (režim root ) Bridge (režim non-root ) LAN2 LAN1 Klienti Server Bridge (režim non-root ) LAN3 Klienti Obrázek 4.4: Mosty propojující tři segmenty lokální datové sítě Bridge (režim root ) Bridge (režim non-root ) LAN1 LAN2 Klienti Server Bridge (režim repeater ) Obrázek 4.5: Most v operačním režimu repeater dosahu, jak je to schematicky znázorněno na obr. 4.5.

53 52 FEKT Vysokého učení technického v Brně LAN BCU AP (režim root ) Obrázek 4.6: Místo nasazení BCU jednotky pro řízení přidělování šířky pásma Jednotka pro řízení přidělované šířky pásma Bezdrátové sítě typu WiFi jsou běžně provozovány v rámci vnitřní podnikové sítě, kdy řízení šířky pásma jednotlivým uživatelům není problémové. V případě provozování venkovních instalací poskytovatelů bezdrátového připojení, kde zákazníci jsou děleni do několika skupin s odlišnými službami, lze jednotlivým skupinám přidělovat šířku pásma využitím jednotky BCU (Bandwidth Control Unit), která je umístěna mezi přístupovým bodem a pevnou datovou sítí (obr. 4.6). BCU provádí filtrování provozu na základě MAC adresy stanic. V souladu s nastavením BCU uživatelé jsou řazeny do příslušných front a každá fronta může mít odlišné nastavení parametrů jako např. šířka pásma v odchozím či příchozím směru Bezdrátové síťové karty Nejrozsáhlejší skupinou komponent bezdrátových sítí jsou bezdrátové síťové karty, které zajistí přístup klienta do této sítě. Protože skupina klientských terminálů je velmi rozsáhlá a variabilní, existuje několik typů bezdrátových síťových karet, které se liší ve způsobu připojení k terminálu. Z hlediska radiového rozhraní se jedná o jednotné standardizované řešení. V současné době je již zcela běžné, že jakékoliv "smart"bezdrátové zařízení je vybaveno

54 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 53 bezdrátovou síťovou kartou pro standard IEEE Klienti tak nemusí pro své zařízení pořizovat další hardware zajišťující jim přístup do sítě. Přesto v případě některých mobilních zařízení, jako jsou např. starší notebooky, jsou vybaveny PCMCIA rozhraním. Přestože to je méně časté, bezdrátové síťové karty jsou nabízeny i pro standardní stolní počítače. V tomto případě jsou bezdrátové karty realizovány s rozhraním PCIe nebo USB. Bezdrátové síťové karty mohou pracovat ve dvou režimech. V případě, že bezdrátová síť zajišťuje přístup do síťové infrastruktury, komunikaci bezdrátových stanic řídí přístupový bod a klientská rozhraní jsou plně závislá na něm. Druhou možností je komunikace v dočasné ad-hoc síti, která je tvořena pouze z klientských síťových rozhraní pracujících bez přístupového bodu.

55 54 FEKT Vysokého učení technického v Brně 5 VYBRANÉ PROTOKOLY KOMUNIKAČNÍCH SÍTÍ V předešlých kapitolách byly popsány aktivní prvky pevných i bezdrátových komunikačních sítí. Aby bylo možné pochopit jejich činnost či nasazení v jednotlivých částech sítě, je nutné být také obeznámen s podstatou komunikace na Internetu a síti. V současné době je propagována rodina protokolů TCP/IP obsahující sadu protokolů pro komunikaci v počítačové síti a je hlavním protokolem celosvětové sítě Internet. Komunikační protokol je množina pravidel, které určují syntaxi a význam jednotlivých zpráv při komunikaci. Vzhledem ke komplexnosti datové komunikace je síťová komunikace rozdělena do tzv. vrstev, které znázorňují hierarchii činností spojených se zpracováním užitečné informace koncového účastníka a jeho následného přenosu sítí. Výměna informací mezi vrstvami je přesně definována. Každá vrstva využívá služeb vrstvy nižší a poskytuje své služby vrstvě vyšší. Celý význam slova TCP/IP je Transmission Control Protocol/Internet Protocol (česky primární transportní protokol - TCP/protokol síťové vrstvy - IP). Komunikace mezi stejnými vrstvami dvou různých systémů je řízena komunikačním protokolem za použití spojení vytvořeného sousední nižší vrstvou. Architektura umožňuje výměnu protokolů jedné vrstvy bez dopadu na ostatní. Příkladem může být možnost komunikace po různých fyzických médiích - ethernet, token ring, sériová linka. Architektura TCP/IP je členěna do čtyř vrstev (na rozdíl od referenčního modelu OSI se sedmi vrstvami): aplikační vsrtva (application layer), transportní vrstva (transport layer), síťová vrstva (network layer), vrstva síťového rozhraní (network interface). Vstrva síťového rozhraní je nejnižší vrstvou a umožňuje přístup k fyzickému přenosovému médiu. Je specifická pro každou síť v závislosti na její implementaci. Příklady sítí: Ethernet, Token ring, FDDI (Fiber Distributed Data Interface), X.25, SMDS (Switched Multi-megabit Data Service). Síťová vrstva zajišťuje především síťovou adresaci, směrování a předávání datagramů. Na této vrstvě jsou využívány např. protokoly IP, ARP (Address Resolution Protocol), RARP (Reverse Address Resolution Protocol), ICMP, IGMP (Internet Group Management Protocol), IGRP (Interior Gateway Routing Protocol), IPSEC. Síťová vrstva je implementována ve všech prvcích sítě - směrovačích i koncových zařízeních. Transportní vrstva je implementována až v koncových zařízeních (počítačích) a umožňuje proto přizpůsobit chování sítě potřebám aplikace. Poskytuje spojované (protokol

56 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 55 TCP, spolehlivý) či nespojované (UDP, nespolehlivý) transportní služby. Aplikační vrstva je vrstvou aplikací. Aplikacemi se rozumí programy (procesy), které využívají přenosu dat po síti ke konkrétním službám pro uživatele. Jako příklad lze uvést protokoly Telnet, FTP (File Transfer Protocol), HTTP (Hypertext Transfer Protocol), DHCP (Dynamic Host Configuration Protocol), či DNS (Domain Name System). Aplikační protokoly používají vždy jednu ze dvou základních služeb transportní vrstvy, tj. TCP nebo UDP (User Datagram Protocol), případně obě dvě (např. DNS). Pro rozlišení aplikačních protokolů se používají tzv. porty, což jsou domluvená číselná označení aplikací. Každé síťové spojení aplikace je jednoznačně určeno číslem portu a transportním protokolem (a samozřejmě adresou počítače). Při popisu jednoznačného určení aplikace pomocí čísla portu, používaného transportního protokolu a IP adresy je pak využíván pojem "socket". 5.1 Směrovací protokoly V předešlých kapitolách byly popsány aktivní prvky, které se nejčastěji využívají v současných datových sítích. Tyto aktivní prvky spojují segmenty sítě či jednotlivé sítě. Charakteristickým rysem, resp. smyslem spojení těchto sítí je zajištění komunikace mezi jednotlivými uzly sítě a zajištění výměny informací mezi koncovými uživateli. Jak již bylo naznačeno dříve, spojení jednotlivých aktivních prvků do vhodných topologií dovoluje s výhodou využívat společné komunikační prostředky, protože komunikace mezi koncovými stanicemi je obecně vždy časově omezená. Sdílení těchto síťových prostředků však vede na nutnost identifikovat jednotlivé komponenty sítě a implementovat vhodné procesy pro nalezení těchto komponent v síti. Proces, který zajistí stanovení cesty od zdroje k cíli přes komunikační síť a následně i přenos uživatelských informací po této cestě, se nazývá směrováním a byl již naznačen v části věnované popisu směrovačů (viz kap. 3.3). Přestože hledání cesty je nezbytným procesem jak v případě spojově orientovaných přenosů, tak i u přenosů bez spojové orientace, častěji se o něm mluví ve spojení s paketovým přenosem, protože u paketového přenosu je každý paket směrován zvlášť, tj. proces směrování se provádí mnohem častěji. Dále pak z důvodu existence heterogenních (různorodých) paketových sítí existuje široká řada různých řešení. Pro proces směrování je tedy důležitá adresace uzlů, která zajišťuje správné doručení informací od zdrojového uzlu k cílovému. Pro tento účel se využívají síťové adresy, tj. adresy na úrovni síťové vrstvy referenčního modelu ISO/OSI, resp. internetové vrstvy modelu TCP/IP. Problematika adresace je řešena využitím protokolu IPv4 či dnes nově protokolem IPv6 a zájemce může bližší popis nalézt např. v [15]. Následující část se věnuje

57 56 FEKT Vysokého učení technického v Brně popisu směrovacích protokolů, díky kterým si aktivní prvky sítě dynamicky vyměňují informace potřebné pro efektivní přepojování paketů k určeným cílům. Jak již bylo zmíněno, aktivní prvek, který implementuje funkce směrování je označován jako směrovač a jeho principiální činnost byla popsána v kap Podle požadované výkonnosti může být směrovačem obyčejný počítač s více síťovými rozhraními provozující řadu dalších služeb, ale i specializované zařízení s hardwarovou podporou směrovacích funkcí. Na základě zjednodušené struktury směrovače uvedené na obr. 3.1 bylo naznačeno, že činnost směrovače lze rozdělit do dvou hlavních procesů: přepojování (forwarding) uživatelských informací na základě informací zjištěných z přepojovací tabulky, kdy tyto záznamy byly odvozeny ze záznamů v tzv. směrovací tabulce, směrování (routing), pod kterým se rozumí udržování aktuálních údajů ve směrovací tabulce pomocí vzájemné komunikace a výměny směrovacích informací s ostatními směrovači v síti, přičemž se využívá směrovacích protokolů Směrovací protokoly a autonomní systémy Aby směrovače získaly informace potřebné ke správnému přepojování paketů, musí v dostatečné míře znát topologii sítě. Směrovač tyto informace získá buď na základě konfigurace správcem sítě, kdy se jedná o tzv. statické směrování. Tento způsob definice záznamů ve směrovací tabulce je možný pouze v případě propojení několika málo sítí, kdy v případě poruchy některé z nich lze dostatečně rychle reagovat aktivním zásahem administrátora aktivního prvku do jeho směrovací tabulky. Druhou možností vytvoření záznamů ve směrovací tabulce je využití automatizované výměny informací o topologii a stavu sítě s dalšími směrovači. V tomto případě se jedná o tzv. dynamické směrování, které je schopné detekovat změny v topologii sítě, jako je např. připojení nových sítí, odpojení sítí, či výpadek linky. Tyto informace lze posléze rozeslat i ostatním směrovačům, které na dané události adekvátním způsobem reagují změnou záznamů v přepojovacích tabulkách. Využití směrovacích protokolů tak řeší problém rozrůstající sítě, kdy využití myšlenky statického směrování by bylo z pohledu administrátorů jednotlivých sítí neúnosné. Přesto však statické směrování má svá specifická místa využití, např. při definici adresy tzv. výchozí brány. Původní koncepce směrovačů využívaných v sítí ARPAnet (Advanced Research Projects Agency Network) - základ dnešního Internetu; využívala skutečnosti, že počet sítí byl relativně malý a tak si každý směrovač udržoval informace o celé síti. Růstem Internetu však toto řešení přestalo být únosné, neboť to vedlo na růst počtu záznamů ve směrovací tabulce a také na růst přenášených dat generovaných směrovacími protokoly. Globální síť

58 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 57 Směrovač EGP Směrovač Směrovač IGP IGP IGP IGP IGP Směrovač Směrovač Směrovač IGP Autonomní systém 1 Autonomní systém 2 Obrázek 5.1: Hierarchizace sítí jejím vydělením do autonomních systémů proto bylo nutné rozdělit na oddělené celky. Tyto celky jsou označovány jako autonomní systémy (AS - Autonomous System), které reprezentují menší sítě v rámci Internetu. Toto řešení umožňuje zakrýt před ostatními částmi sítě, tedy ostatními autonomními systémy, podrobnosti o topologii uvnitř daného autonomního systému. Důsledkem toho je, že se výrazně omezují informace, které se sítěmi v rámci využití směrovacích protokolů šíři, a které ostatní směrovače musí udržovat ve svých směrovacích tabulkách o autonomním systému. Zjednodušuje a zrychluje se tak proces směrování, který tak dovoluje efektivnější využití síťových prostředků pro přenos užitečných uživatelských dat. Z důvodu rozdělení globální sítě na autonomní systémy byly popsány dva typy směrovacích protokolů, které se využívají pro komunikaci uvnitř a mezi autonomními systémy, viz. obr Směrovací protokoly využívané uvnitř autonomního systému jsou označované jako IGP (Internal Gateway Protocol) protokoly, mezi které patří například směrovací protokoly RIP (Routing Information Protocol) či OSPF (Open Shortest Path First). Směrovací protokoly využívané pro výměnu informací mezi autonomními systémy jsou označované jako EGP (External Gateway Protocol) a z této skupiny lze například zmínit směrovací protokol BGP (Border Gateway Protocol). Podobně jako byly rozděleny směrovací protokoly, došlo i k rozdělení, resp. pojmenování směrovačů. Uvnitř autonomního systému jsou v anglické literatuře označeny výrazem interior router. Směrovače zajišťující datové spojení mezi autonomními systémy jsou označovány jako exterior router. Autonomní systém označuje skupinu sítí, která je spravována administrátorem sítě jako celek. Charakteristickou vlastností AS je využívání jednotných mechanizmů pro směrování dat, tj. využívaného směrovacího protokolu uvnitř autonomního systému a jednoho využívaného směrovacího protokolu mezi autonomními systémy. Síťové komponenty v rámci autonomního systému tvoří uzavřený celek (např. rozsáhlá podniková datová síť) oddělený od jiných autonomních systémů (např. od datové sítě poskytovatele připojení k Internetu). Autonomní systémy mohou být propojeny se svým okolím přes jeden nebo více hraničních směrovačů. Na těchto směrovačích jsou defi-

59 58 FEKT Vysokého učení technického v Brně nována pravidla, jakým způsobem jsou šířeny informace o dostupnosti stanic nacházejících se uvnitř AS do jeho okolí. Autonomní systémy jsou identifikovány pomocí čísla autonomního systému, které je systému primárně přidělováno organizací IANA. Původně, do roku 2007, byly autonomní systémy označeny pomocí 16 bitového čísla, které bylo v rozsahu Z tohoto rozsahu jsou identifikátory registrované pro využití v Internetu a identifikátory jsou určeny pro privátní využití. Příkladem takového privátního využití je přidělení identifikátoru AS poskytovatelem připojení. Využitím identifikátoru autonomního systému je možné ovlivnit proces směrování např. definováním, přes které autonomní systémy paket nesmí jít. Může tomu tak být v případě více alternativních cest přes kvalitnější linky komunikace je-li touto cestou např. síť konkurenční organizace. V souvislosti s úbytkem čísel autonomních systémů se v rámci doporučení RFC 4893 přechází na 32bitové číslování autonomních systémů, kdy opět jsou definovány rozsahy použití číslování pro potřeby využití Internetu ( ), resp. pro privátní využití ( ). Pro směrovače bylo vyvinuto několik postupů získání informace potřebné ke správnému rozhodování při výběru cesty. Historicky nejstarším způsobem bylo statické směrování se staticky nastavenými údaji o cestách. Toto řešení však vůbec nevyžaduje využití směrovacích protokolů, protože příslušné záznamy ve směrovací tabulce jsou aktualizovány ručně. Provedení změny záznamů ve směrovacích tabulkách v případě vzniku změn v topologii sítě je pak časově náročné, především v případě velkého počtu aktivních prvků v síti. Složitějším, ale efektivnějším řešením je využití dynamického směrování založeného na šíření směrovacích informací pomocí vhodného směrovacího protokolu. Historicky prvním typem směrovacích protokolů byla rodina protokolů "distance-vector", někdy také označené jako minimum hop. Tyto směrovací protokoly vybírají tu cestu k cílové síti, která má nejmenší počet přeskoků (hop). Do této skupiny směrovacích protokolů patří např. protokol RIP (Routing Information Protocol), který je blíže popsán dále v textu. Druhá velká skupina směrovacích protokolů je označena termínem "link-state". U těchto typů směrovacích protokolů je každé lince přiřazen váhový koeficient, tzv. metrika. Směrovače šíří informace o metrice svých linek svým sousedům pomocí zpráv nazývaných Link State Agreement - LSA. Směrovače pak vybírají cestu, která má nejmenší ohodnocení, tj. nejmenší celkový součet metrik. Do této skupiny směrovacích protokolů patří směrovací protokol OSPF (Open Shortest Path First), kterému je dále také věnována pozornost. Ať už jsou záznamy ve směrovací tabulce, resp. přepojovací tabulce směrovače vytvo-

60 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO Verze Délka hlavičky ToS/DSCP Délka Identifikace Flagy Offset fragmentu TTL Protokol Kontrolní součet hlavičky 32-bitová adresa zdroje 32-bitová adresa cíle Volitelné parametry Data Cílová síť Maska sítě Následující skok Obrázek 5.2: Princip vyhledávání v přepojovací tabulce ve směrovači řeny jakýmkoliv způsobem, práce s těmito záznamy během procesu přepojování je stejná. Přijde-li na vstupní port směrovače datový segment, pak aktivním prvkem je vyhodnocována hlavička IP datagramu. Nejdůležitější položkou v této chvíli je IP adresa cílového uzlu. Pro rozhodnutí, kam bude tento datový segment směrován, je vybrán záznam, který se v největší míře shoduje s cílovou adresou. Když nenajde žádnou shodu, tak se vybere výchozí cesta, pokud je nastavena. V případě uvedeném na obr. 5.2 jsou data určena pro cílový uzel s adresou Přepojovací tabulka aktivního prvku obsahuje záznam pro síť s maskou sítě i s maskou sítě Paket v tomto případě určený pro zařízení s IP adresou vyhovuje oběma záznamům. Ze dvou platných záznamů pak je přesnější, tj. ten, u kterého je větší shoda. Jedná se tedy o záznam s maskou sítě , kde je shoda na dvou bajtech oproti prvnímu záznamu se shodou pouze na prvním bajtu. Datový tok je proto směrován na aktivní prvek s IP adresou Další situace, která může nastat, je ta, že pro danou cílovou adresu neexistuje explicitní záznam v přepojovací tabulce. Například při hledání cesty pro cílovou adresu není žádná shoda s uvedenými záznamy a tak směrování bude provedeno na základě výchozí cesty označené kombinací adresy a masky Hlavním prostředkem pro rozhodnutí, kterým směrem dále odesílat přicházející datový tok je směrovací resp. přepínací tabulka aktivního prvku, tedy směrovače. Směrovací tabulka svými záznamy tak vyjadřuje síťovou topologii, která nutně nemusí zcela odpovídat reálné topologii sítě. Tzn. ve směrovací tabulce se nutně nemusí vyskytovat všechny sítě, tak jako tomu bylo v předešlém příkladu, kdy se pro další směrování využilo tzv. výchozí

61 60 FEKT Vysokého učení technického v Brně cesty. Směrovací tabulka tedy definuje pravidla pro stanovení následujícího přeskoku v síti. Jak již bylo naznačeno, hlavními položkami směrovací (resp. přepojovací) tabulky je informace o adrese cílové sítě, masce sítě a následujícího přeskoku směrem k cílové síti. Tyto položky mohou být definovány pevně a neměnně administrátorem sítě prostřednictvím statických záznamů, nebo mohou vznikat automaticky využitím vhodných směrovacích protokolů a pak se jedná o dynamické záznamy. V případě statických záznamů se logicky předpokládá jejich neměnnost v síti během provozu aktivního prvku a platnost takových záznamů je obecně nekonečná. Zavedení položky platnosti záznamu má význam v případě dynamického směrování, kdy v pravidelných intervalech jsou takové záznamy aktualizovány či po uplynutí nastaveného časovače zcela zrušeny, např. v případě odpojení dané sítě. V případě, že k cílové síti existuje více alternativních cest, pak pro výběr vhodnější cesty se využívá tzv. ohodnocení cesty, také označované jako metrika. Pojem metrika nejčastěji popisuje vlastnosti daného spojení mezi aktivními prvky a jde o váhový koeficient popisující např. přenosovou rychlost, propustnost linky, vytížení linky, atd. K zajištění pravidelné aktualizace směrovací tabulky aktivního prvku tedy slouží směrovací protokoly. Směrovacími protokoly je generován datový tok, který zajišťuje komunikaci mezi směrovači a umožňuje směrovačům vzájemnou výměnu informací o stavu sítě. V případě směrovacích protokolů tak mluvíme o dynamickém směrování, které dovoluje detekovat změny v topologii sítě, což v nejčastějších případech je připojení nových sítí, odpojení sítí, výpadek linky, výpadek aktivního prvku, atd. V pravidelných intervalech samy směrovače tedy rozesílají informace o síťové topologii ostatním směrovačům, které na základě získaných dat aktualizují vlastní směrovací tabulky. Mluvíme-li o požadavcích na směrovací protokoly, pak zásadním požadavkem je jejich přesnost. Každý IP datagram, který se šíří sítí má ve svém záhlaví definovanou dobu života, která se průchodem každého aktivního prvku snižuje. Toto opatření se zavádí z důvodu chybného směrování, aby chybně směrovaný IP datagram nebyl sítí šířen do nekonečna a stále zahlcoval síť, resp. zatěžoval aktivní prvky stálým zpracováním takového datagramu v případě, že jeho úspěšné doručení na straně přijímače již ani nemusí být očekáváno. Zpracovávané datové jednotky proto musí být aktivním prvkem směrovány do správného směru, neboť nesprávným směrováním může dojít ke zpoždění v přenosu IP datagramu až k jeho ztrátě, resp. zahození z důvodu nulové doby života a tak ztráty práva být dále šířen sítí. Směrovací protokol musí být také spolehlivý. Spolehlivost je zde vnímána jako správné provedení směrovacích funkcí i v případě vysokého zatížení aktivního prvku. Znamená to tedy, že záznamy ve směrovací tabulce musí reflektovat aktuální stav sítě za využití

62 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 61 co nejmenšího počtu záznamů, aby tak nedocházelo k zahlcování vyrovnávacích pamětí vstupních portů z důvodu nepřiměřeně dlouhého vyhledávání a vyhodnocení dalšího přeskoku směrem k cílové síti. S tímto požadavkem je spojena i očekávaná jednoduchost samotného směrovacího protokolu, jeho snadná hardwarová implementace. V případě vzniklých změn v sítí je požadována rychlá konvergence směrovacího protokolu. Obecně lze výměnu informací mezi směrovači popsat jako iterační proces a je tak nutné, aby se po konečné době tento proces ustálil a nedostal tak do stavu, kdy si směrovače mezi sebou vzájemně cyklicky vyměňují směrovací zprávy. Další požadavky na směrovací protokoly jsou pak z pohledu jejich flexibility, tj. přizpůsobení se různým kritériím, podle kterých jsou ohodnocovány cesty, tj. určovány metriky, schopnosti vyhodnotit využití alternativních cest, které by tak dovolili zvýšit propustnost sítě a vedly tak k optimalizaci směrování užitečného datového toku sítí. Aktuálně diskutovaným požadavkem směrovacích protokolů je pak zajištění kvality služeb (QoS - Quality of Service). V případě, že daný směrovač je prvním, na který je zasílán užitečný datový tok ze zdroje, pak tento směrovač musí být schopen operace klasifikace paketů, resp. IP datagramů a musí podporovat prioritní zpracování podle provozu či podle uživatele Směrovací protokoly typu distance vector Jak již bylo zmíněno, rozdělením globální sítě na autonomní systémy došlo i na rozdělení, resp. rozlišení směrovacích protokolů využívaných pro výměnu směrovacích protokolů uvnitř autonomního systému a výměnu směrovacích informací mezi autonomními systémy. V případě směrovacích protokolů využívaných uvnitř autonomního systému je jeden z typů směrovacího protokolu označován jako distance-vector. Myšlenka tohoto typu směrovacího protokolu spočívá v tvrzení, že nejlepší cesta je taková, která využívá nejmenší počet přeskoků, tj. v cestě mezi zdrojovou a cílovou sítí je nejméně aktivních prvků. Tento typ směrovacího protokolu využívá distribuovaný výpočet, resp. algoritmus, na kterém se podílí všechny směrovače v síti. Každý směrovač vyhodnocuje nejlepší cestu k cíli nezávisle na ostatních a o výsledku své nejlepší cesty informuje své sousedy. Tito na základě přijímaných informací mohou své znalosti o síti přehodnotit. Když sousední směrovač zjistí, že našel "lepší" cestu, než je ta původní, tak o tom také informuje svoje sousedy včetně směrovače, od kterého přišla zpráva inicializující výpočet. Z popisu je tedy zřejmé, že stanovení "nejlepší" cesty je iteračním procesem, který probíhá v několika krocích. Vlastnostmi směrovacího protokolu je pak nutné zajistit, aby tento iterační proces byl stabilní, tj. aby se proces po konečné době ustálil a nedostal do stavu, kdy si směrovače mezi sebou vzájemně cyklicky vyměňují směrovací zprávy a

63 62 FEKT Vysokého učení technického v Brně dále byla zajištěna dostatečně rychlá konvergence, tj. aby doba potřebná k ustálení byla co nejkratší. Výhodou směrovacích protokolů distance-vector je jejich jednoduchá konfigurace, údržba i řešení případných problémů. Zástupcem směrovacího protokolu je protokol RIP (Routing Information Protocol), který od svého vzniku dostál řady modifikací zajišťujících efektivnější činnost tohoto protokolu. Postupným využíváním protokolu RIP byly prezentovány různé jeho verze, které dovolují snadné hledání a následně i odstraňování problémů spojených např. se smyčkami ve směrovacích tabulkách atd. Přestože se v rámci zpráv směrovacího protokolu RIP přenáší celá směrovací tabulka svým sousedům, počet záznamů lze omezit využitím principu agregace adres, který byl diskutován již dříve a v případě možnosti dovoluje slučovat jednotlivé oblasti autonomního systému do nižšího počtu záznamů ve směrovacích tabulkách. Zásadní nevýhodou směrovacího protokolu RIP je omezený počet přeskoků, kterými je vyjadřována vzdálenost požadované sítě od daného směrovače. Počet přeskoků je velmi často omezen na 15, resp. na 16, kdy síť vzdálená 16 přeskoků je považována za nedostupnou. Protokol RIP je tak vhodný pro malé a střední sítě. Vhledem ke skutečnosti, že používaná metrika je fixní a vyjadřuje jen počet přeskoků, nelze využít paralelních cest pro rozkládání zátěže v sítí. Dále změna v topologii sítě může způsobit záplavové šíření směrovacích informací. Částečnou ochranu proti záplavovému šíření směrovacích informací může zajistit omezení rozhraní, přes která směrovač může rozeslat směrovací informace či omezení, přes která rozhraní mohou být jaké sítě avizovány. Tato pravidla však musí být nakonfigurována ručně. Činnost protokolu RIP Ačkoliv směrovací protokol RIP patří mezi nejstarší doposud používané směrovací protokoly v sítích IP, má stále své uplatnění v menších sítích a to především pro svoji nenáročnou konfiguraci a jednoduchost. Iterační proces protokolu vyhledávání nejkratší cesty pro směrování dat je založen na algoritmu označeném jako Ford - Fulkerson či Bellman - Ford. Tento algoritmus počítá nejkratší cestu v ohodnoceném grafu z jednoho uzlu do uzlu jiného. Přestože tento algoritmus obecně počítá i se záporně ohodnocenými hranami grafu, metrikou směrování je počet skoků k cílové síti, tzv. hop count. Protokol RIP šíří informace o sítích, které zná a dále tyto informace doplňuje o svoji vzdálenost od těchto sítí. Vzdálenost přímo připojené sítě je 1 přeskok. Jak již bylo uvedeno, maximální vzdálenost resp. počet možných přeskoků je 15. Občas se za maximální počet přeskoků považuje 16, kdy ovšem síť vzdálená 16 přeskoků je označena jako nedostupná. Znamená to tedy, že maximální počet směrovačů v jednom autonomním systému

64 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 63 Nově připojený směrovač A Stávající směrovač B zpráva Request zpráva Response Obrázek 5.3: Výměna zpráv mezi směrovači využívající směrovací protokol RIP je omezen na 15. Jak je zjednodušeně naznačeno na obr. 5.3, protokol RIP definuje dvě zprávy, kdy se jedná o zprávu Request a zprávu Response. V okamžiku, kdy je ke stávající síti připojen směrovač (v obr. 5.3 označen jako A), pak tento posílá na všechny své aktivní porty zprávu Request. Protistrana, tedy směrovač B, odpovídá zprávou Response, která s sebou nese směrovací tabulku daného směrovače. Zpráva Response nesoucí směrovací tabulku je pak směrovačem B směrovači A zasílána v pravidelných intervalech po vypršení časovače aktualizací. Směrovací tabulka každého směrovače primárně obsahuje záznam adresy cílové sítě a metriku cesty k cílové síti vyjádřenou počtem přeskoků, vypovídající tedy o mezilehlých uzlech sítě. Dále spolu s těmito základními záznamy směrovací tabulka udržuje informaci adresy směrovače, od kterého informaci o dostupnosti dané sítě získal. Platnost daného záznamu se vyjadřuje dobou od jeho poslední aktualizace. Pro potřeby výměny zpráv mezi směrovači se využívá nespolehlivý protokol UDP. V okamžiku příjmu zprávy Response, každý směrovač upraví svou vlastní směrovací tabulku dle příchozích informací od sousedů, ke kterým přičte jedničku a uloží si ji do své tabulky. Pro správnou činnost směrovacího protokolu využívá tento, stejně jako jakýkoliv jiný komunikační protokol, několik časovačů: V první řadě jde o časovač Update, kterým jsou nastaveny pravidelní intervaly aktualizace směrovacích tabulek. Každý směrovač svou znalost o topologii sítě svým sousedům rozesílá každých 30s. Když směrovač nepřijme směrovací informace z daného směru po dobu 180 s, tak si tuto cestu označí jako nepoužitelnou. K tomuto účelu se využívá časovač označen jako invalid timer, či jen zkráceně Invalid. Časovač Flush slouží k vyhodnocení situace, kdy ani po 240s z tohoto směru ne-

65 64 FEKT Vysokého učení technického v Brně dostane směrovač žádné směrovací informace, pak odstraní ze směrovací tabulky všechny informace, vztažené k sítím, které byly dostupné přes daný směr. V rámci modifikací protokolu RIP byl pak definován i tzv. Hold-down časovač, který bude zmíněn později. Zásadním nedostatkem původní definice směrovacího protokolu RIP je jeho pomalá konvergence v případě změny konfigurace v síti, neboť informace o této změně se z jednoho konce sítě na druhý může šířit dlouho. S ohledem na omezení počtu směrovačů v jednom autonomním systému a pravidelným aktualizacím po 30s může jít maximálně o 7,5min. Během této doby jednotlivé směrovače využívají nesprávnou informaci pro potřeby směrování uživatelských dat a vzniká tzv. problém smyček ve směrovacích tabulkách. Neplatné záznamy ve směrovací tabulce tak způsobují vysílají data po neplatných cestách a zacyklení uživatelských paketů v síti, což způsobuje vážné problémy z pohledu zahlcení síťových prvků. Pro názornost této skutečnosti je možné uvést příklad uvedený na obr. 5.4, který sestává ze tří směrovačů A, B a C. Tyto směrovače prostřednictvím portů vzájemně propojují sítě s adresami až Na počátku každý směrovač ve své směrovací tabulce obsahuje záznam o sítích, ke kterým a přes který port je připojen, kdy vzdálenost k těmto sítím je nulová. V průběhu aktualizací směrovacích tabulek se informace o existenci dalších sítí šíří k ostatním směrovačům, kdy v případě neexistujícího záznamu o dané sítí jsou informace o její dostupnosti přidány do směrovací tabulky relevantního směrovače a vzdálenost k této sítí je navýšena o jednotku. Je tomu tak např. v případě sítě , kdy informaci o existenci této sítě směrovač A získává od směrovače B. Daná síť je tedy pro směrovač A dostupná přes sériový port S0 a je vzdálená 1 přeskok. Obdobným způsobem je v rámci následující aktualizace směrovač A informován o existenci sítě s adresou , které je opět dostupná prostřednictvím portu S0 a tato síť je již vzdálená dva přeskoky. Pokud se topologie sítě nemění, pak v rámci dalších pravidelných zpráv Response, kterými si aktivní prvky vyměňují informace o sítích, které jsou pro ně dostupné, se ani směrovací tabulky žádného ze směrovačů nezmění. Situace se však velmi významně mění v okamžiku, kdy např. síť s adresou přestane být dostupná pro směrovač C prostřednictvím portu F0 (obr. 5.5). V daném okamžiku tak nedostupnost této sítě pro směrovač C je vyjádřena změnou záznamu v tabulce a počet přeskoků k této sítí se změní na nekonečno. Během následujícího procesu zasílání zpráv Response jednotlivými směrovači a tím tedy zasíláním jejich směrovacích tabulek, směrovač C od směrovače B získá informaci o dostupnosti sítě přes svůj port S0, kdy aktuální počet přeskoků si k této síti si směrovač C změní na 2. Směrovač B stejnou směrovací tabulku zasílá i směrovači A, ale v daném okamžiku se po výpočtu

66 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO F0 S0 S0 S1 S0 F0 A B C F0 S0 S0 S S0 S1 S0 S S0 F0 S0 S Obrázek 5.4: Průběh aktualizace směrovacích tabulek mezi směrovači využívající protokol RIP metriky pro síť situace u směrovače A nemění. Během dalšího okamžiku zasílání aktuálních směrovacích tabulek směrovač C oznamuje svou vzdálenost k síti směrovači B, který si záznam o této síti aktualizuje zvýšením počtu přeskoků o jednotku, tj. aktuální počet je 3. Opět po dalších 30 vteřinách dochází k zaslání aktuálních směrovacích tabulek, kdy směrovač C získává informaci o síti , která je dostupná přes port S0 a nově je vzdálená 4 přeskoky. Stejnou informaci získává i směrovač A a aktualizuje si svou směrovací tabulku. Tento proces aktualizace o dostupnosti sítě v čase pokračuje stejným způsobem, kdy postupně se vzdálenost jednotlivých směrovačů od této sítě zvyšuje, teoreticky až do nekonečna. Jak již ale bylo uvedeno, maximální počet přeskoků k síti, která je v rámci směrovacího protokolu RIP ještě považována za dostupnou, je omezená na 15. Z tohoto důvodu se tedy právě popsaný proces aktualizace o dostupnosti sítě opakuje jen do okamžiku, kdy jednotlivé směrovače začínají šíří svou vzdálenost k dané síti o velikosti 16. Teprve nyní jednotlivé směrovací uzly považují síť skutečně za nedostupnou. Protože aktuální informace o směrovacích tabulkách se posílají pravidelně po 30 s, skutečnost o výpadku některé ze sítí se směrovače dozvídají po 8 až 16 minutách. Dalším opatřením, jak urychlit výměnu informací o kritických událostech vzniklých v síti je okamžité informování sousedů o výpadcích, místo toho, aby se čekalo na pravidelnou aktualizaci směrovacích tabulek. Toto opatření je označováno jako vynucená aktualizace (anglicky triggered update). Stále v rámci tohoto opatření je proces konvergence algoritmu a identifikace nedostupnosti dané sítě stejný, jak bylo právě popsáno, ovšem doba nutná k tomuto zjištění není odvozena od intervalů pravidelných aktualizací, ale je spíše dána rychlostí komunikační sítě. Z tohoto důvodu byl proto zaveden mechanismu označován jako "Split Horizon", který zakazuje vysílání aktualizací zpět po rozhraní, po kterém byla přijata informace o dané

67 66 FEKT Vysokého učení technického v Brně F0 S0 S0 S1 S0 F0 A B C F0 S0 S0 S S0 S1 S0 S S0 F0 S0 S F0 S0 S0 S S0 S1 S0 S S0 S0 S0 S F0 S0 S0 S S0 S1 S0 S S0 S0 S0 S F0 S0 S0 S S0 S1 S0 S S0 S0 S0 S Obrázek 5.5: Průběh aktualizace směrovacích tabulek mezi směrovači využívající protokol RIP - případ nedostupnosti sítě síti. Toto opatření tedy řeší problém šíření neplatných záznamů o dostupnosti dané sítě přes nové rozhraní, přes které je však ve skutečnosti ona síť nedostupná. Nedostatkem tohoto mechanismus ale je, že nedokáže eliminovat problémy v případě smyček v síťové topologii. Z tohoto důvodu byl původní mechanismus Split Horizon modifikován a zaveden mechanismus "Split Horizon with Poison Reverse". Jeho prostřednictvím se do směru, odkud byla přijata aktualizace o dané síti, vysílá směrovací informace o této sítí se vzdáleností 16, tzn. že daná síť je z opačného směru nedostupná. Tímto opatřením pak aktualizace směrovacích tabulek již pracuje správně i v případě smyček v topologii sítě. Pro minimalizaci dopadu směrovacích smyček byl pak zaveden i nový časovač, označen jako "Hold-down", který nastavuje směrovač po obdržení informace o nedostupnosti sítě

68 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 67 po jehož dobu nebere v potaz další informace o změně směru a metriky pro danou síť. Verze protokolu RIP Směrovací Bellmanův - Fordův algoritmus použitý v protokolu RIP byl poprvé nasazen v počítačové síti ARPANet již roku Jednotliví výrobci vytvářeli své vlastní verze směrovacího protokolu tohoto typu, kdy původně rozdílné verze byly později sjednoceny pod jediný standard RFC 1058 v roce Tato specifikace používá směrování podle původních tříd protokolu IP verze 4, tzv. rozlišuje adresy A, B nebo C, resp. D i E. Periodické aktualizace směrování nezahrnují informace o masce sítě, protože podle původního systému je maska dána příslušností IP adresy do jedné ze tříd. Chybí tak podpora masky sítě proměnné délky, což znemožňuje existenci různě velkých podsítí uvnitř jedné třídy IP adres. Všechny podsítě musí být stejně velké, tedy se stejnou maskou a dále pak neexistuje podpora pro vzájemnou autentizaci směrovačů. Protokol RIPv1 je tak napadnutelný nejrůznějšími útoky. Díky nedostatkům původní specifikace RIP, byla v roce 1993 definována druhá verze (RIPv2) tohoto protokolu v rámci doporučení RFC 1388, které bylo později upraveno doporučením RFC Tato verze již dovoluje přenášet informace o masce sítě. K udržení zpětné kompatibility, zůstalo omezení 15 skoků a při správné konfiguraci může být RIPv2 plně kompatibilní se starší verzí. Druhá verze protokolu RIP pak také do své specifikace včlenila podporu pro vzájemnou autentizaci směrovačů. Původně se však hesla pro autentizaci přenášena v nekódovaném textu, což samozřejmě bylo nedostatečné pro bezpečnou komunikaci v síti Internet. Proto bylo později přestaveno doporučení RFC 2082 dovolující šifrovanou autentizaci algoritmem MD5 (Message-Digest algoritmus). Zatím poslední generace protokolu RIP je označena jako RIPng, která byla specifikována v doporučení RFC 2080 již v roce V podstatě se jedná o rozšíření protokolu RIPv2, která nově zahrnuje i podporu IPv6. Ostatní vlastnosti a také problémy předešlých verzí zůstávají zachovány Směrovací protokoly typu link state Jak již bylo uvedeno druhá skupina směrovacích protokolů využívaných uvnitř autonomního systému je označována termínem link-state. Základní mechanismus volby nejvhodnější cesty opět spočívá ve využití metriky linky, ovšem v tomto případě metrika není vyjádřena pouze počtem přeskoků, jako tomu je protokolů typu distance-vector, resp. jeho zástupce směrovacího protokolu RIP. Metrika v tomto případě vyjadřuje vlastnosti daného spojení mezi aktivními prvky a jde o váhový koeficient k jehož vyjádření se využívají např. přenosová rychlost, propustnost linky, vytížení linky, atd. Metrika je určována administrativně správcem sítě a je vztahována ke každému rozhraní směrovače a může být

69 68 FEKT Vysokého učení technického v Brně tak asymetrická. Směrovací protokoly typu link-state pak využívají principu optimalizace trasy, kdy hlavním cílem je minimalizace celkového součtu metrik mezi zdrojem a příjemcem užitečného datového toku. Algoritmus typu link-state aktivně testuje stav linky k sousedním směrovačům a tuto informaci posílá do celé sítě. Každý směrovač v síti tak má úplnou informaci o celé topologii sítě. Optimální cesta je následně počítána pomocí tzv. Dijkstrova algoritmu. Směrovač informuje své sousedy o přiřazených metrikách pomocí zpráv Link State Advertisement (LSA). Zpráva o metrice se neposílá zpět do směru, odkud byla přijata. V případě, že metrika cesty k dané síti v přijaté LSA zprávě je menší, než aktuální hodnota ve směrovací tabulce, tak si směrovač aktualizuje svůj záznam. V opačném případě neprovádí žádnou změnu. Dále pak rozešle svoji zprávu LSA svým sousedům. Směrovač je povinen předávat LSA zprávy na všech portech kromě portu, přes který byla zpráva LSA přijata. Ve zprávě LSA je uvedeno, která část informace od kterého směrovače pochází. K přijatým informacím každý směrovač přidá svoje znalosti o sítích a metrikách. Proto v ustáleném stavu všechny směrovače znají celou topologii sítě a mají stejné informace k rozhodování. Správnost přijetí LSA zpráv je pak potvrzována zprávou Link State Acknowledgment (LSAck). K zástupcům směrovacích protokolů z této skupiny patří protokol OSPF (Open Shortest Path First), mezi jehož hlavní výhody patří aktivní testování stavu linky k sousedním směrovačům. Případná změna ve stavu spojení mezi aktivními prvky je okamžitě rozesílána dalším aktivním prvků. Nedochází tak k periodickému rozesílání směrovací tabulky, na základě které by pak došlo k vyhodnocení o ztrátě spojení jako tomu je u protokolu RIP. Výhodou protokolu OSPF je, že podporuje alternativní cesty a dovoluje tak rozdělení zátěže datového toku do více cest. Dále směrovací protokol OSPF dovoluje rozdělit stávající autonomní systém do menších samostatných oblastí, v anglické literatuře označované jako area, a tím tak dovoluje jistou hierarchizaci. Je to analogie k samotným autonomním systémům, které do dílčích celků rozdělily globální síť, ovšem toto dělení na oblasti probíhá právě v rámci jednoho autonomního systému (obr. 5.6). Jednotlivé oblasti jsou identifikovány 32bitovým číslem zapisovaným ve formátu IP adres dle verze 4 jako např , kdy toto číslo je platné pouze o tzv. páteřní oblast. Je-li počet vydělených oblastí nízký, tak se využívá i zjednodušeného záznamu, kdy v případě páteřní oblasti to je pouze 0. V případě rozdělení autonomního systému na oblasti je nutnou součástí páteřní oblast nesoucí identifikátor 0. Páteřní oblast pak vzájemně propojuje další oblasti, které podle charakteru možnosti směrování datového toku nesou daná označení. Obecně se očekává, že páteřní oblast neobsahuje žádné koncové účastníky, ale pouze propojuje ostatní oblasti sítě, dovoluje jejich vzájemnou komunikaci prostřed-

70 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 69 Oblast 0 ASBR ABR ABR Oblast n Oblast 1 AS Obrázek 5.6: Rozdělení autonomního systému do oblastí u protokolu OSPF nictvím hraničních směrovačů oblastí ABR (Area Border Router), případně s hraničním směrovačem autonomního systému ASBR (Autonomous System Border Router). Rozdělením na oblasti se informace o vnitřní struktuře šíří pouze uvnitř této oblasti. Nevýhodami směrovacího protokolu je náročnost z pohledu jeho konfigurace. Protože se při výpočtu nejvhodnější cesty pracuje v několika iteračních krocích, řešení tohoto směrovacího protokolu je také výpočetně náročné. Dále pak protokol OSPF spravuje násobné kopie směrovacích informací, což vyžaduje větší množství paměťového prostoru. Činnost směrovacího protokolu OSPF OSPF zprávy využívané pro vzájemnou komunikaci mezi směrovači jsou zapouzdřeny přímo do IP paketů (nevyužívá se transportní protokol) a konzistence obsahu je zabezpečena algoritmem MD5. V rámci samotné komunikace mezi směrovači jsou pak popisovány jednotlivé typy zpráv. Pro potřeby navázání a následné pravidelné kontroly dostupnosti sousedních směrovačů jsou v pravidelných intervalech vysílány po všech rozhraních směrovače zprávy Hello. Po fázi navázání spojení pomocí Hello zpráv jsou pro výměnu informací o topologii sítě mezi sousedními směrovači využívány zprávy Database description (DD), které nesou souhrn LSA záznamů daného směrovače. Výměna takového popisu databáze zajišťuje, aby směrovací informace byly ve všech směrovačích autonomní oblasti konzistentní. Protože databáze může být rozsáhlá, tak je popis často rozdělen do více zpráv. Zprávy vysílá

71 70 FEKT Vysokého učení technického v Brně nadřazený směrovač a podřízený je potvrzuje. Pro dílčí aktualizaci vybraných záznamů databáze jsou definovány zprávy Link State Request (LSR), které jsou vyzyvatelem potvrzovány zprávou Link State Update (LSU). Tato je pak protistranou opět potvrzována zprávou Link State Acknowledegement (LSAck). Směrovač tedy pomocí zpráv Link State informuje své sousedy o přiřazených metrikách, případně si tyto záznamy od svých sousedů může vyžádat. Zpráva o metrice se neposílá zpět do směru, odkud byla přijata. V případě, že metrika cesty k dané síti v přijaté LSA zprávě je menší, než aktuální hodnota ve směrovací tabulce, tak si směrovač aktualizuje svůj záznam. V opačném případě neprovádí žádnou změnu. Dále pak rozešle svoji zprávu LSA svým sousedům. Směrovač je povinen předávat LSA zprávy na všech portech kromě portu, přes který byla zpráva LSA přijata. Ve zprávě LSA je uvedeno, která část informace od kterého směrovače pochází. Jak již bylo zmíněno dříve, každý směrovač přidá svoje znalosti o sítích a metrikách k informacím přijatým od sousedních směrovačů. Výsledkem společné komunikace mezi směrovači je pak skutečnost, že v ustáleném stavu všechny směrovače znají celou topologii sítě a mají stejné informace k rozhodování. Správnost přijetí LSA zpráv je pak potvrzována zprávami LSAck. Označení LSA vyjadřuje datové položky popisující informace stavu rozhraní směrovače, resp. metriku daného spojení mezi směrovači. Může také popisovat celý segment sítě nebo nést sumární informace o celé oblasti. Všechny směrovače si ukládají přijaté LSA do své lokální topologické databáze a zároveň je přeposílají na ostatní přilehlé směrovače. Tím se informace postupně rozšíří mezi všechny směrovače v síti. Výsledkem bude shodná topologická databáze na všech směrovačích. Každé LSA je tvořeno hlavičkou a datovou částí. Údaje v hlavičce určují typ LSA, identifikují směrovač, který dané LSA poslal a specifikují, kterou část databáze LSA popisuje. Datová část LSA se pak liší podle jejího typu. Na základě popisu typů zpráv, které jsou využívány směrovacím protokolem OSPF, lze sled jednotlivých zpráv znázornit graficky (obr. 5.7). Na počátku, kdy je do sítě připojen nový směrovač musí nalézt své sousedy. Použije k tomu Hello zprávy, které periodicky vysílá na všechna rozhraní s nakonfigurovaným protokolem OSPF (obr. 5.7(a)). Perioda odesílání Hello paketu bývá na LAN sítích standardně 10s. Pokud směrovač nedostane od svého souseda Hello paket po dobu, která je standardně čtyřnásobkem periody odesílání hello paketů, pak směrovač předpokládá, že spojení v daném směru je nefunkční. Každý Hello paket obsahuje pole Neighbor, ve kterém jsou Router ID všech již nalezených sousedů. Vztah sousednosti je mezi směrovači navázán ve chvíli, kdy v Hello paketu který dostal od svého souseda najde směrovač v tomto poli své vlastní Router ID. V té chvíli je ověřena obousměrná komunikace. Následně si pak směrovače vzájemně zašlou Database Description Packet (obr. 5.7(b)).

72 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 71 Směrovač A Směrovač B Směrovač A Směrovač B zpráva Hello zpráva Hello Database Description zpráva Hello Database Description (a) Směrovač A Směrovač B (b) Link State Request Link State Update Link State Acknowledgemnt Obrázek 5.7: Komunikace mezi směrovači v rámci protokolu OSPF (c) V něm je obsažen návrh náhodného sekvenčního čísla SEQ které bude použito pro další komunikaci. Ten směrovač, který má vyšší Router ID, bude zvolen jako Master a jím poslané sekvenční číslo bude v další komunikaci používáno. Dále nejprve Master a poté i Slave směrovač odešle další Database Description pakety, ve kterých si navzájem předají informace o svých topologických databázích. Tyto pakety jsou číslovány od dříve dohodnutého sekvenčního čísla. Nyní oba směrovače porovnají popis databáze, který dostali od svého souseda se svou vlastní databází. Pokud zjistí, že jim některé informace chybí nebo jsou zastaralé, vyžádají si příslušnou položku pomocí paketu typu Link State Request (LSR) (obr. 5.7(c)). Na něj soused odpoví paketem typu Link State Update (LSU), ve kterém zašle požadované informace. LSU paket je nutno potvrdit paketem Link State Acknowledgement. Nebude-li paket potvrzen, je po vypršení odpovídajícího časovače odeslán opakovaně. Podobný proces proběhne, pokud směrovač zjistí, že některý z jeho sousedů nadále není funkční, nebo když pomocí Hello protokolu nalezne nového souseda. Položku LSA s touto informací je třeba předat všem přilehlým směrovačům. Provede se to zasláním paketu typu LSU. Přilehlé směrovače tento LSU paket předají zase svým sousedům a tak se postupně informace rozšíří po celé oblasti.

73 72 FEKT Vysokého učení technického v Brně V rámci procesu aktualizace LSA záznamů topologických databází lze tedy rozlišit dvě možnosti. Buď se jedná o aktualizaci, resp. získání informací o síti, kdy do sítě je připojen nový směrovač nebo jde o komunikaci mezi směrovači, které jsou již déle součástí sítě. V případě nově připojeného směrovače do sítě si tento nejprve musí nalézt své sousedy, k čemuž využívá již zmíněné Hello pakety, které periodicky vysílá každým rozhraním s nakonfigurovaným protokolem OSPF. Každý Hello paket obsahuje pole Neighbor, ve kterém jsou identifikátory směrovačů všech již nalezených sousedů. Vztah sousednosti je mezi směrovači navázán ve chvíli, kdy v Hello paketu který dostal od svého souseda najde směrovač v tomto poli svůj vlastní identifikátor. Využitím paketu Database Description pak dochází k synchronizaci topologické databáze, kdy detaily jednotlivých LSA záznamů si směrovače vyměňují kombinací paketů Link State Request, Link State Update a Link State Acknowledgement. Je-li směrovač již součástí sítě delší dobu, pak pouze provádí kontrolu stavu linky, pomocí Hello paketů každých 10 s. V případě, že během kontroly stavu nejsou zjištěny změny v sítí, pak jednou za 30 min směrovače vysílají informace o sousedských vztazích. V případě, že je detekována změna v sítí, kdy některý ze směrovačů neodpoví na hello paket, pak informace o této skutečnosti je ihned předávána ostatním aktivním prvkům sítě Porovnání směrovacích protokolů RIP a OSPF Srovnáme-li nyní diskutované směrovací protokoly RIP a OSPF, pak v případě protokolu RIP se v pravidelných intervalech přeposílá celá směrovací tabulka, což vede na velké zatížení sítě. V případě protokolu OSPF se sítí šíří pouze informace o změnách a zatížení sítě je tak malé. Toto zatížení se pak dále snižuje v případě využití hierarchizace sítě, kterou protokol OSPF umožňuje. Protože však protokol OSPF pro nalezení nejlepší cesty využívá náročnější algoritmus než je tomu u protokolu RIP, pak i zatížení každého směrovače je vyšší. Mluvíme-li o směrovacím protokolu RIP, pak metrikou je zde označován počet přeskoků, tzv. hop count, jehož maximální hodnota může být 15, resp. 16 kdy takto ohodnocená síť je již považována za nedostupnou. V případě protokolu OSPF je metrikou tzv. cena, což je váhový koeficient vyjadřující parametry samotného spojení mezi jednotlivými směrovači. Dané spojení mezi dvěma aktivními prvky je omezeno hodnotou 65535, ale maximální hodnota součtu metrik pro nejkratší cestu není omezena. Přestože současná podoba protokolu RIP ihned informuje sousedy v případě zjištěné změny v topologii sítě, zásadním problémem tohoto protokolu je jeho pomalá konvergence.

74 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO Další směrovací IGP protokoly Protokoly RIP a OSPF nejsou jedinými zástupci směrovacích protokolů využívaných pro směrování dat uvnitř autonomního systému. Dalším zástupcem směrovacích protokolů typu distance-vector je např. proprietární protokol IGRP (Interior Gateway Routing Protocol) firmy Cisco. Znamená to tedy, že protokol IGRP byl nasazován jen na zařízeních této společnosti. Byl definován za účelem překonat omezení směrovacího protokolu RIP, který je omezen počtem přeskoků a jednoduchou metrikou. Protokol IGRP pro ohodnocení jednotlivých linek podporuje komplexnější metriku, která v sobě odráží zpoždění, šířku pásma, spolehlivost či zatížení linky. Maximální počet přeskoků je pak 255 a aktualizace směrovacích informací je prováděna pravidelně každých 90s. Oproti protokolu RIP dovoluje vícecestného směrování a využití alternativních cest. Nepodporuje však sítě s proměnnou délkou masky podsítě. Z tohoto důvodu jeho nasazení se již neočekává. Protože si společnost Cisco uvědomila zásadní omezení svého směrovacího protokolu IGRP spočívající v nepodporování sítí s proměnnou délkou masky, prezentovala protokol EIGRP (Enhanced Interior Gateway Routing Protocol), který tento nedostatek odstraňuje. Protokol je pak možné již používat i na jiných zařízeních než společnosti Cisco. Protokol EIGRP dosahuje vyšší efektivity a lepší konvergence než protokol IGRP, přitom však zůstává kompatibilní s tímto protokolem. Směrovače využívající tento směrovací protokol uchovávají tři tabulky. Základem je směrovací tabulka uchovávající informace o směru, kam směrovat daný paket uživatelského datového toku. Dále je definována tabulka sousedů, která uchovává IP adresy směrovačů, se kterými má daný směrovač přímé spojení na úrovni fyzické vrstvy. Třetí, topologická tabulka pak uchovává směrovače o kterých se dozvěděl z tabulek sousedů. Tato směrovací tabulka uchovává záznamy o všech směrovačích zjištěných protokolem EIGRP, ale dosud nejsou součástí směrovací tabulky. V rámci procesu aktualizace záznamů nejsou tímto směrovacím protokolem zasílány veškeré záznamy směrovacích tabulek, ale pouze jejich změny, podobně jako to dělají směrovací protokoly typu link-state. Zástupcem směrovacího protokolu typu link-state je např. protokol FSPF (Fabric Shortest Path First) popsaný v doporučení RFC4626. Podobně jako protokol OSPF pro udržování vzájemné komunikace mezi aktivními prvky využívá Hello pakety. Na základě informací v databázi topologie využívá Dijkstrův algoritmus pro nalezení nejkratší cesty. Záznamy v databázi topologie jsou pak v pravidelných intervalech aktualizovány ať už z důvodu detekované změny v topologii sítě nebo z důvodu obnovení platných záznamů. Na algoritmu stavu linek je založen i směrovací protokol IS-IS (Intermediate Systemto-Intermediate System), který na rozdíl od protokolu OSPF není založen na architektuře protokolu IP, ale na modelu OSI. Směrování se na směrovačích provádí na základě in-

75 74 FEKT Vysokého učení technického v Brně formace vypočtené algoritmem nejkratších cest. Algoritmus je spouštěn nad topologickou databází, která odráží podobu sítě a je konstruována na každém směrovači s pomocí vzájemně zasílaných zpráv. Metrikou linek je primárně přenosová rychlost linek, ale mohou do ní být zahrnuty i požadavky na kvalitu služby jako je chybovost spoje - spolehlivost, zatížení linky nebo zpoždění. Podobně jako je tomu u OSPF, také protokol IS-IS dovoluje hierarchizaci autonomního systému. Směrování uvnitř oblasti je zajišťováno tzv. směrovači první úrovně. Mezi oblastmi se směrování provádí na směrovačích druhé úrovně Směrovací protokoly EGP Z důvodu rozdělení globální sítě na autonomní systémy je nutné zajistit i jistou míru informovanosti o existenci a vzájemné propojení jednotlivých autonomních systémů. Pro tento účel byly vytvořeny směrovací protokoly pro výměnu směrovacích informací mezi autonomními systémy. Původním řešením směrovacího protokolu toho typu byl protokol EGP (Exterior Gateway Protocol), který byl prezentován v roce 1982 a později specifikován v rámci doporučení RFC904 v roce Jde o velmi jednoduchý směrovací protokol, jehož funkčnost je však omezena na síťové topologie typu strom. V počátcích Internetu byla využívána 3. vezre tohoto protokolu, ale v současné době se tento typ směrovacího protokolu nevyužívá a stávajícím uznávaným standardem je směrovací protokol BGP (Border Gateway Protocol) verze 4. Mezi základní vlastnosti směrovacího protokolu BGP patří skutečnost, že využívá techniky agregace adres, k vyhodnocení cesty nevyužívá jednoznačnou metriku, ale rozhoduje se na základě tzv. směrovací politiky. Z pohledu úrovně znalosti topologie sítě, způsobu předávání i obsahu směrovací informace se protokol BGP řadí na rozhraní směrovacích protokolů typu distance vector a link-state. Z tohoto důvodu je směrovací protokol BGP někdy označován jako protokol speciální třídy, tzv. typu path-vector. Protokol BGP nepracuje s grafem propojení jednotlivých směrovačů a sítí (jako to dělá např. OSPF), ale s grafem propojení autonomních systémů. V tomto grafu jsou pak vyhledávány cesty mezi sítěmi v různých autonomních systémech. Cestou k požadované síti se v terminologii BGP rozumí posloupnost čísel autonomních systémů, přes které se lze k cílové síti dostat. Na rozdíl od vnitřních směrovacích protokolů nemá BGP jednoznačnou metriku, podle níž by za všech okolností automaticky volil nejkratší cesty do jednotlivých cílových sítí, jako to dělají směrovací protokoly třídy IGP. Při směrování mezi AS totiž směrujeme provoz přes cizí AS, jejichž provozovatelé mají nejrůznější zájmy a provozní i obchodní podmínky. Respektováním všech těchto faktorů pak určíme tzv. směrovací politiku (angl. routing policy). Směrovací politika např. může určovat od kterých AS je povolen tranzit užitečných dat

76 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 75 přes náš AS, může určovat do kterých cílových AS bude povolen tranzit užitečných dat z našeho AS, může definovat, kterou vstupní linkou do našeho AS necháme vstupovat provoz ke kterým sítím, nebo obdobně kterou výstupní linkou z našeho AS necháme odcházet provoz k sítím pro který je určen směrovaný datový provoz. Do směrovací politiky směrovacího protokolu BGP je tak nutné zahrnout řadu faktorů a jeho konfigurace je tak více manuální, než je tomu u směrovacích protokolů využívaných uvnitř autonomních systémů, kde se spíše předpokládá automatické vyhledávání sousedního směrovače, je povolena vzájemná komunikace mezi nalezenými směrovači a cesty do jednotlivých cílových sítí jsou omezeny nejvýše ohodnocenou metrikou a žádnými dodatečnými podmínkami. Z pohledu funkce směrovacího protokolu BGP bylo řečeno, že bývá označován jako protokol speciální třídy, nazývané path-vector. Path vector je posloupnost čísel autonomních systémů, přes které vede cesta k nějaké síti. Spolu s každou cestou je šířen i její path vector, který se postupně prodlužuje, jak se cesta šíří do stále vzdálenějších autonomních systémů. Není žádoucí, aby cesta obsahovala smyčku a proto číslo autonomního systému se v path vector může objevit nejvýše jednou. Případné smyčky se automaticky odstraňují tak, že AS zahazuje cesty, které již v path vectoru obsahují jeho vlastní číslo. Path vector také slouží k výběru nejkratší cesty do jednotlivých sítí. Nejkratší cesta zde bude ta, která prochází co nejmenším počtem autonomních systémů. Při výběru tedy budou preferovány ty cesty, jejichž path vector je kratší. Směrovací informace si v rámci protokolu BGP vyměňují vždy sousední směrovače, které jsou vždy na hranicích autonomního systému. Každému BGP směrovači jsou při konfiguraci manuálně přiřazeni sousedé, se kterými si bude směrovací informaci vyměňovat. Aby výměna této informace byla spolehlivá, probíhá s použitím protokolu TCP, což je rozdíl oproti IGP. Každý směrovač si pak periodicky testuje dostupnost každého svého souseda pomocí tzv. keepalive zpráv. Pokud soused přestane být dostupný, musí směrovač odstranit všechny cesty vedoucí přes tohoto souseda a informovat o změně všechny své ostatní sousedy. 5.2 Protokol DNS V počátcích Internetu (v té době ARPAnetu) nebyl problém znát IP (tedy síťové) adresy jednotlivých koncových stanic či serverů a přesto existovala snaha dávat jednotlivým prvkům sítě smysluplná jména namísto číselných (nebo i hexadecimálních - dnes v IPv6) adres. Z počátku, opět díky nízkému počtu stanic a jejich malé dynamiky, stačilo ukládat informace potřebné k tomuto překladu do speciálního souboru zvaného hosts.txt. Dynamičnost tohoto způsobu je minimální a především spočívá na ochotě administrátora

77 76 FEKT Vysokého učení technického v Brně stanice k ručnímu provedení změn. V počátcích ARPANETu byla za jeho aktuálnost zodpovědný Stanfordský výzkumný institut, který jeho aktualizace rozesílal uživatelům sítě (přes službu ftp - viz RFC 953 [9] z roku 1985), kterými v té době byly především univerzity. V roce 1983 bylo vydáno vůbec první RFC, které specifikovalo samotný hierarchický systém doménových názvů [10], který byl později aktualizován doporučením RFC 1034 [11]. Pravděpodobně nejvýznamnější a nejspíše také vůbec první implementací představuje BIND (Berkley Internet Name Domain). Ten byl napsán pro operační systém Unix studenty univerzity v Berkley roku Na začátku 90. let byl pak zkompilován i pro systém Windows NT. I přes značné omezení a problémy se stále jedná o nejvíce rozšířenou serverovou implementaci vůbec. V současnosti je doménový systém DNS (Domain Name Service) provozován na aplikační vrstvě a představuje stromovou strukturu doménových názvů. Ta může být v podstatě neomezeně škálovatelná (max 127 úrovní) a i omezení pro samotné názvy domén je minimální. Při nazývání domén je však vždy třeba brát v potaz účel celého systému kladení smysluplných názvů stanicím sítě (včetně omezení celkové délky doménového jména na 253 oktetů). Z pohledu syntaktického je v základním podání použito symbolů abecedy (systém není citlivý na velikost), číslic a několika málo speciálních znaků (pomlčka a podtržítko). Toto omezení vychází především z praktické implementace, fakticky lze použít libovolné oktety. Jednotlivá jména (labely) doménových úrovní jsou potom odděleny tečkou. Ostatní znaky nejsou v základní implementaci dovoleny avšak rozvojem Internetu v oblastech používajících ne-románské abecedy je již možno používat i mnoha znaků těchto abeced (rozšíření IDNA - Internationalized Domain Names in Applications [12]). Hierarchie serverů začíná kořenovými servery na nejvyšší úrovni. Těch je po světě rozmístěno více tak, aby nemohlo dojít k absolutnímu výpadku či přetížení a také proto, aby jejich odezva byla co nejkratší. Kořenové servery udržují především záznamy o serverech národních domén TLD (Top Level Domain). V ukázkovém případě (viz obr. 5.8) je tato úroveň zastoupena doménou "cz". Dále následují úrovně nižší a to až do úrovně domény samotné stanice (v tomto případě Klientská stanice tedy v první fázi zjistí, zda překládanou adresu nemá již ve své mezipaměti (z předchozích dotazů) a v případě neúspěchu posílá rekurzivní dotazy postupně kořenovému, TLD a dalším DNS serverům nižší úrovně. Kdyby právě popsaným způsobem vypadaly všechny skutečné dotazy, představoval by provoz DNS značnou zátěž jednak sítě samotné, ale především potom kořenových a TLD serverů. Ve skutečnosti je tento provoz minimalizován použitím tzv. resolverů na úrovni poskytovatele připojení k Internetu (ISP).

78 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 77 Kořenový DNS server DNS server TLD DNS server DNS dotaz na DNS odpověď DNS server domény Žádost o navázání spojení s DNS klient ( Obrázek 5.8: Schéma rekurzivního dotazu DNS Toto uspořádání zároveň minimalizuje celkový čas odezvy pro naprostou většinu často používaných dotazů. Problémy toho řešení spočívají v časování platnosti jednotlivých záznamů tedy délky TTL (Time To Live) každého záznamu. Čím delší je jeho hodnota, tím menší je pak zatížení DNS serverů avšak prodlužuje se doba, po kterou je nutno počkat na vypršení platnosti záznamu právě v mezipamětích resolverů Typy záznamů Systém DNS umožňuje ukládání v podstatě libovolných textových záznamů. Pro různé funkcionality je určeno několik základních druhů záznamů. Záznamy pro překlad doménových názvů na adresy IP jsou označeny jako A pro překlad na adresy IPv4 a AAAA jsou označovány záznamy pro IPv6. Pro zpětný překlad jsou určeny záznamy PTR (pointer). Pro adresaci samotných DNS serverů jsou pak určeny záznamy NS (name server) a SOA (server of authority). NS záznam odkazuje na konkrétní IP adresu DNS serveru, zatím co SOA (Start of authority record) ukazují pouze na server nižší (případně i vyšší) úrovně hierarchie, spravující autoritativní záznamy dané domény. Záznamy CNAME (Canonical name) slouží jako jakési mezičlánky pro A resp. AAAA záznamy. Často se používají v

79 78 FEKT Vysokého učení technického v Brně Tabulka 5.1: Typy nejběžnějších DNS záznamů Typ záznamu A AAAA CNAME (DNS)KEY MX PTR SOA SRV TXT Použití Překlad doménových jmen na adresy IPv4 Překlad doménových jmen na adresy IPv6 odkaz na další A resp. AAAA záznam klíč DNSSec ověření mail serverů překlad IP adres na doménové jméno označení serevů autoritativních záznamů různé služby (např. VoIP) různé situaci, kdy je cílový A záznam použít pro velké množství dalších záznamů respektive v případech kdy se cílový záznam dynamicky mění. Krom těchto základních záznamů jsou pak hojně využívány záznamy MX (mail exchange), které ve své podstatě představují autorizační roli pro hosty provozující předávání elektronické pošty. Pro univerzální použití záznamů různými dalšími službami jsou určeny servisní SRV záznamy. Jejich použití je hojně rozšířené v oblasti VoIP technologií (ENUM v IMS). Mezi nejuniverzálněji použitelné záznamy pak patří záznamy TXT, mohou obsahovat v podstatě libovolný text. DNSKEY, KEY a NSEC(3) záznamy obsahují informace pro ověření identity serverů nižších domén systému DNSSec (viz níže). Stručný přehled nejběžnějších typů záznamů je uveden v tab Bezpečnost v DNS - DNSSec Jednoduchost a přitom zásadní význam systému DNS přináší nutnost zabezpečení dat v případě DNS především k ověření autentičnosti serverů poskytujících záznamy. Problematika spočívá v ukládání ověřovacích klíčů a následné podepisování odpovědí samotných serverů Implementace DNS Vzhledem k rozšíření služeb Internetu do téměř všech oblastí lidské činnosti je potřeba implementace systému DNS v podstatě na každém zařízení připojeném do sítě. Z pohledu modelu ISO/OSI se jedná o aplikační protokol (vrstva 7), spoléhající na transportní vrstvě na protokol UDP (jednoduché dotazy rychlá odpověď), méně často na TCP (delší dotazy, přenosy celých zón atd.). V obou případech je použit standardní port 53.

80 Aktivní prvky datových sítí pro integrovanou výuku VUT a VŠB-TUO 79 DNS servery Jak již bylo zmíněno výše, jednu z prvních a již dlouhou dobu nejrozšířenější na straně serveru představuje unixový BIND (někdy nazývaný jednoduše "named" podle názvu hlavního spustitelného souboru). Byl vyvinut studenty v Berkley (Berkley Internet Name Domain) a v dnešní době je označován jako standard pro DNS. Později byl zkompilován pro systém Windows NT. Později si firma Microsoft vyvinula vlastní serverovou aplikaci, která je součástí samotného systému a není nabízena pro systémy určené pro pracovní stanice. Cisco nabízí server DNS v širším produktu nazvaném CNR (Cisco Network Registrar). Kromě výše uvedených existuje velké množství jak volně šiřitelných tak i komerčních produktů, které ovšem v globálním rozsahu nehrají významnou roli. Kromě typických serverových aplikací tvoří snad nejširší skupinu jednoduché služby běžící na naprosté většině menších směrovačů, typicky těch, které provádějí překlad adres (NAT). Tato implementace může být provedena jako obyčejné přesměrování portu (směrovač poslouchá pro DNS požadavky a jen je přeposílá na předem určený DNS server), častěji je však použito velmi jednoduché avšak rovněž velmi účinné služby dnsmasq, což je malý server poskytující služby DNS, DHCP, BOOTP a TFTP. Jedná se o snad nejrozšířenější software, protože jej využívá velké množství domácích směrovačů běžících na platformě Linux. Implementace v OS a embedded systémech Většina operačních systémů je již dlouhou dobu vybavena podporou překladu doménových jmen na adresy IP i zpět. Navíc v naprosté většině obsahují i nástroj pro ruční překlad adres v příkazovém interpreteru například může uživatel ověřit, na jakou adresu jeho webový prohlížeč přistupuje. Napříč platformami (Unix, Windows, OS X, ios) je v systému přítomen nástroj nslookup. Jeho použití v OS Windows je naznačeno na obr Protokol DHCP Protokol DHCP (Dynamic Host Configuration Protocol) je služba automatické konfigurace koncového zařízení a patří mezi další ze základních služeb sady protokolů TCP/IP, která umožňuje jeho masivní nasazení v podobě celosvětové sítě Internet. Požadavek na automatickou konfiguraci síťových nastavení byl v minulosti způsoben nárůstem aktivních uzlů sítě a koncových stanic, kdy tak nebylo již možné spoléhat se na manuální konfiguraci těchto uzlů správcem (resp. již mnoha správci) sítě/sítí. Kromě potřeby automatické konfigurace uzlů sítě, využití DHCP bylo nutné na základě potřeby jasně stanovit využití adres IP pouze stanicemi, které jsou právě připojeny k síti a tím umožnit rozumné využití adresního prostoru. První požadavek byl formulován již v roce

81 80 FEKT Vysokého učení technického v Brně Obrázek 5.9: Překlad doménového jména pomocí nslookup v OS Windows 1993 v podobě RFC1531 [16], které vycházelo z rozšíření protokolu BOOTP. Původní doporučení v rámci sítí TCP/IP využívající IPv4 bylo o čtyři roky později doplněno v podobě RFC2131 [17]. Pro IPv6 byly později vydána doporučení RFC3315 [18] (2003) a RFC3633 [19] (2003), která jej rozšířilo o možnost přiřazování prefixů a RFC3736 [20], které přidalo možnost bezstavové konfigurace protokolu IPv Činnost DHCP Protokol DHCP pracuje v modelu server-klient, kdy stanice žádá o konfigurační informace server DHCP. Používá k tomu síťovou vrstvu, takže na rozdíl od protokolu BO- OTP je snadné nasměrovat komunikaci s DHCP serverem i ve velmi velkých sítích, např. samotného poskytovatele připojení. Stanice žádající o konfigurační data posílá žádost DHCPDISCOVER na všesměrovou (broadcast) adresu. Přitom použije UDP port 68 jako zdrojový a 67 jako cílový. Pokud je v síti přítomen DHCP server, který navíc má MAC adresu odesílatele požadavku (adresa je obsažena v těle žádosti DHCPDISCOVER) ve své databázi, odpoví na tento požadavkem zprávou DHCPOFFER, ve které posílá nabízenou konfiguraci. Pokud klient dostane (jednu nebo více) těchto zpráv, odpoví na ni zprávou DHCPREQUEST, která je stejně jako předchozí zprávy rovněž zaslána na všesměrovou adresu sítě, takže všechny DHCP servery v síti dostanou tuto informaci a již nezasílají další odpovědi. Pro potvrzení přijatého potvrzení DHCP serverem, který nabídku odeslal potvrzuje platnost přidělené konfigurace klientovi zprávou DHCPACK. Klient po jejím přijetí může začít přidělenou konfiguraci používat. V případě vyžádání dalších informací může klient použít zprávu DHCPINFO a v případě, že již nehodlá adresu dále využívat,