Размещено на http://www.allbest.ru/

Федеральное агентство по рыболовству

Федеральное государственное бюджетное образовательное учреждение высшего профессионального образования

«Астраханский государственный технический университет»

КУРСОВОЙ ПРОЕКТ

по дисциплине «Программно-аппаратные средства обеспечения информационной безопасности»

на тему: «Применение технологии трансляции адресов(NAT, PAT) при подключении к сети Интернет»

Студент гр. ДИБ-51

Я.С. Свирид

Руководитель А.Н. Савельев

АСТРАХАНЬ - 2014

ВВЕДЕНИЕ

Двумя основными проблемами, стоящими сегодня перед глобальной сетью Интернет, является ограниченность адресного пространства протокола IP и масштабирование маршрутизации. Эти проблемы не решает, но в некотором роде нивелирует приобретающая в последнее время все большую популярность технология, о которых сегодня и пойдет речь NAT (от англ. NetworkAddressTranslation -- «преобразование сетевых адресов») -- это механизм в сетях TCP/IP, позволяющий преобразовывать IP-адреса транзитных пакетов.

NAT применяется для решения следующих проблем и задач: При необходимости подключения к Интернет, когда количество внутренних узлов сети превышает выданное поставщиком услуг Интернет количество реальных адресов IP. NAT позволяет частным сетям IP, использующим незарегистрированные адреса, получать доступ к ресурсам Интернет. Функции NAT конфигурируются на пограничном маршрутизаторе, разграничивающем частную (внутреннюю) сеть и сеть общего пользования (например, Интернет). Далее сеть общего пользования мы будем называть внешней сетью, а частную сеть - внутренней сетью.

При необходимости изменения внутренней системы адресов. Вместо того, чтобы производить полное изменение всех адресов всех узлов внутренней сети, что представляет собой достаточно трудоемкую процедуру, NAT позволят производить их трансляцию в соответствии с новым адресным планом.

При необходимости организации простого разделения трафика на основе портов TCP. Функции NAT предоставляют возможность установления соответствия (mapping) множества локальных адресов одному внешнему адресу, используя функции распределенияинагрузкииTCP.

1 ТЕОРЕТИЧЕСКАЯ ЧАСТЬ

1.1 О компании Cisco

трансляция адрес интернет

Cisco - американская транснациональная компания, разрабатывающая и продающая сетевое оборудование. Cisco -- мировой лидер в области сетевых технологий, меняющих способы человеческого общения, связи и совместной работы.

Продукты компании Cisco:

- Ethernet-коммутаторы,

- маршрутизаторы,

- продукты для IP-телефонии (IP-, PBX-, VoIP-шлюзы).

Компания считается самым крупным в мире поставщиком аппаратных решений для обеспечения информационной безопасности предприятий. Среди них:

- межсетевые экраны,

- системы предотвращения вторжений (IPS - intrusion prevention system),

- продукты и услуги безопасности E-mail,

- технологии в области защиты веб-трафика и контроля сетевого доступа (Identity Service Engine),

- облачные услуги ScanSafe и другие.

1.2 Описание предметной области

NAT-- представляет собой стандарт IETF (InternetEngineeringTaskForce -- рабочая группа разработки технологий интернета), с помощью которого несколько компьютеров или устройств частной сети (с частными адресами из таких диапазонов, как 10.0.x.x, 192.168.x.x, 172.x.x.x) могут совместно пользоваться одним адресом IPv4, обеспечивающим выход в глобальную сеть.

Основная причина растущей популярности NAT связана со все более обостряющимся дефицитом адресов протокола IPv4 -- текущего протокола интернета.

NAT применяется в шлюзовых устройствах, образующих границу между общедоступной средой интернета и частной локальной сетью. Когда IP-пакет из частной сети проходит через шлюз, NAT преобразует частный IP-адрес и номер порта в общий IP-адрес и номер порта; все это строго отслеживается с тем, чтобы преобразования адресов не влияли на ход отдельных сеансов. Средство общего доступа к подключению интернета в различных операционных системах, а также многие шлюзы интернета активно используют NAT, особенно для соединения с широкополосными сетями, например, через линию DSL или кабельные модемы. Масштабы применения NAT быстро растут -- компьютеры все чаще объединяются в домашние или небольшие офисные сети, совместно использующие одно подключение к интернету.

Также NAT может использоваться для сокрытия IP-адресов локальной сети.

Механизм NAT определён в RFC 1631. Преобразование адресов методом NAT может производиться почти любым маршрутизирующим устройством -- маршрутизатором, сервером доступа, межсетевым экраном. Суть механизма состоит в замене обратного (source) адреса при прохождении пакета в одну строну и обратной замене адреса назначения (destination) в ответном пакете. Наряду с адресами source/destination могут также заменяться номера портов source/destination. Представим схему действий традиционного NAT на рисунке 1.2.



Рисунок 1.Схема действий традиционной NAT

Существует 3 базовых концепции трансляции адресов:

- статическая(StaticNetworkAddressTranslation),

- динамическая (DynamicAddressTranslation),

- перегруженный NAT (NAPT, NAT Overload, PAT).

1.2.1 Статический NAT

Статический NAT -отображение незарегистрированного IP-адреса на зарегистрированный IP-адрес на основании один к одному. Особенно полезно, когда устройство должно быть доступным снаружи сети.

С помощью этого типа NAT мы можем организовать трансляцию между сетями одинакового класса . Частным случаем является ситуация когда обе эти сети содержат по одному адресу (маска 255.255.255.255). Эта стратегия наиболее проста в реализации поскольку весь процесс трансляции может быть описан парой простых логических трансформаций.

1.2.2 Динамический NAT

Динамический NAT -отображает незарегистрированный IP-адрес на зарегистрированный адрес от группы зарегистрированных IP-адресов. Динамический NAT также устанавливает непосредственное отображение между незарегистрированным и зарегистрированным адресом, но отображение может меняться в зависимости от зарегистрированного адреса, доступного в пуле адресов, во время коммуникации. Динамическая трансляция необходима в случае, когда количество транслируемых адресов (внутренних и внешних) различно, впрочем иногда применяется и в случае, когда их количество одинаково, но из каких-либо соображений зависимость не может быть описана правилами статической трансляции. Количество взаимодействующих хостов в любом случае будет ограничено числом свободных (доступных) на NAT-интерфейсе адресов. Динамическая реализация NAT более сложна, поскольку требует вести учет взаимодействующих хостов, а иногда и конкретных соединений, в случае когда требуется просмотр и модификация содержимого на 4-м уровне (TCP например).

В этой технологии в отличае от статической трансляции появляется новое понятие - таблица NAT (NAT table), которая применительно к динамической трансляции представляет собой таблицу соответствия внутренних адресов и адресов интерфейса NAT (далее для краткости - NAT адресов.В случае динамический трансляции существует возможность организовать соединение извне к некоторому внутреннему хосту, но только в том случае, пока в NAT таблице существует соответствующая запись.

1.2.3 Перегруженный NAT(PAT)

ПерегруженныйNAT (NAPT, NATOverload, PAT, маскарадинг) .

Прежде чем разобрать технологические аспекты этой схемы, хочется сделать небольшое замечание. Дело в том, что именно эта техника наиболее распространена на сегодняшний момент, особенно в небольших частных сетях, имеющих выход в глобальные. И зачастую всю идеологию NAT путают с PAT -Port Address Translation , поскольку он призван решать проблему нехватки реальных IP и использование одного адреса, выделенного провайдером, для работы в Интернет хостов из локальной сети.

Строго говоря, PAT- это очень частный случай динамичесмкой трансляции, при котором мы имеем только один внешний адрес, за которым "спрятаны" внутренние - их может быть теоретически сколько угодно. В отличае от оригинальной динамической трансляции, PAT, разумеется, не подразумевает функционирование единовременно только одного соединения, иначе вся идея лишалась смысла. Дабы расширить количество одновременных сеансов, используя информацию о номере TCP порта. Таким образом количество одновременных сеансов ограничено только количеством свободных. Чаще всего под это дело выделяются порты, малоприменимые в других сферах. Линукс использует диапазон 60000-64096, но есть и другие варианты.

В отличае от классической динамической трансляции, PAT не допускает организации входящих соединений, и записи в таблице NAT только для активных соединений.

1.3 Типы NAT

Симметричный NAT (Symmetric NAT) -- Трансляция, при которой каждое соединение, инициируемое парой «внутренний адрес: внутренний порт» преобразуется в свободную уникальную случайно выбранную пару «публичный адрес: публичный порт». При этом инициация соединения из публичной сети невозможна.

Cone NAT, FullCone NAT -- Однозначная (взаимная) трансляция между парами «внутренний адрес: внутренний порт» и «публичный адрес: публичный порт». Любой внешний хост может инициировать соединение с внутренним хостом (если это разрешено в правилах межсетевого экрана).

Address-Restrictedcone NAT, Restrictedcone NAT -- Постоянная трансляция между парой «внутренний адрес: внутренний порт» и «публичный адрес: публичный порт». Любое соединение, инициированное с внутреннего адреса, позволяет в дальнейшем получать ему пакеты с любого порта того публичного хоста, к которому он отправлял пакет(ы) ранее.

Port-Restrictedcone NAT -- Трансляция между парой «внутренний адрес: внутренний порт» и «публичный адрес: публичный порт», при которой входящие пакеты проходят на внутренний хост только с одного порта публичного хоста -- того, на который внутренний хост уже посылал пакет.

1.4 Преимущества и Недостатки

Преимущества:

- Позволяет сэкономить IP-адреса (только в случае использования NAT в режиме PAT), транслируя несколько внутренних IP-адресов в один внешний публичный IP-адрес (или в несколько, но меньшим количеством, чем внутренних). По такому принципу построено большинство сетей в мире: на небольшой район домашней сети местного провайдера или на офис выделяется 1 публичный (внешний) IP-адрес, за которым работают и получают доступ интерфейсы с приватными (внутренними) IP-адресами.

- Позволяет предотвратить или ограничить обращение снаружи ко внутренним хостам, оставляя возможность обращения изнутри наружу. При инициации соединения изнутри сети создаётся трансляция. Ответные пакеты, поступающие снаружи, соответствуют созданной трансляции и поэтому пропускаются. Если для пакетов, поступающих снаружи, соответствующей трансляции не существует (а она может быть созданной при инициации соединения или статической), они не пропускаются.

- Позволяет скрыть определённые внутренние сервисы внутренних хостов/серверов. По сути, выполняется та же указанная выше трансляция на определённый порт , но возможно подменить внутренний порт официально зарегистрированной службы (например, 80-й порт TCP (HTTP-сервер) на внешний 54055-й). Тем самым, снаружи, на внешнем IP-адресе после трансляции адресов на сайт (или форум) для осведомлённых посетителей можно будет попасть по адресу http://example.org:54055, но на внутреннем сервере, находящемся за NAT, он будет работать на обычном 80-м порту. Повышение безопасности и скрытие «непубличных» ресурсов.

Недостатки:

- Старые протоколы. Протоколы, разработанные до массового внедрения NAT, не в состоянии работать, если на пути между взаимодействующими хостами есть трансляция адресов. Некоторые межсетевые экраны, осуществляющие трансляцию IP-адресов, могут исправить этот недостаток, соответствующим образом заменяя IP-адреса не только в заголовках IP, но и на более высоких уровнях (например, в командах протокола FTP). См. Application-levelgateway.

- Идентификация пользователей. Из-за трансляции адресов «много в один» появляются дополнительные сложности с идентификацией пользователей и необходимость хранить полные логи трансляций.

- Иллюзия DoS-атаки. Если NAT используется для подключения многих пользователей к одному и тому же сервису, это может вызвать иллюзию DoS-атаки на сервис (множество успешных и неуспешных попыток). Например, избыточное количество пользователей ICQ за NAT приводит к проблеме с подключением к серверу некоторых пользователей из-за превышения допустимой скорости подключений. Частичным решением проблемы является использование пула адресов(группы адресов), для которых осуществляется трансляция.

1.5 Ограничения NAT

[NAT-TERM] описывает ограничения, присущие всем вариантам NAT без особой детализации. Ниже приводится более подробное описание ограничений, присущий традиционной трансляции NAT.

1. Безопасность и сохранность тайны

Традиционная трансляция NAT может рассматриваться как средство сокрытия внутренней структуры сети, поскольку сеансы организуются со стороны внутренних хостов и реальные адреса этих хостов недоступны извне.

Однако в силу тех же причин могут осложниться вопросы отладки (включая случаи нарушения безопасности). Если хост частной сети совершает какие-либо некорректные действия в Internet (например, атака другого хоста или рассылка спама), существенно сложней отследить реальный источник проблем, поскольку IP-адрес хоста скрыт маршрутизатором NAT.

1.6 Трансляция исходящих фрагментов TCP/UDP в NAPT

Трансляция исходящих (т. е., переданных внутренними хостами) фрагментов TCP/UDP в случае NAPT обречена на неудачу. Причина этого заключается в том, что лишь первый фрагмент содержит заголовок TCP/UDP, который позволяет связать пакет с конкретной сессией для преобразования адресов. Последующие фрагменты не содержат информации о номере порта TCP/UDP, а просто включает некий идентификатор фрагментации, заданный в первом фрагменте. Предположим, что два приватных хоста передают фрагментированные пакеты TCP/UDP одному получателю. Может случиться так, что оба эти хоста используют одинаковый идентификатор фрагментации. Когда адресат получит эти два несвязанных фрагмента, содержащих один идентификатор фрагментации и адрес отправителя, он не сможет определить к какой из сессий относится каждый из фрагментов.

2 ПРАКТИЧЕСКАЯ ЧАСТЬ

2.1 Схема и параметры сети

Для начала примем некоторые общие соглашения, которые будут использованы в примерах.

В локальную сеть будет смотреть интерфейс Fa0/0, а в Интернет Fa0/1

Локальная сеть 192.168.1.0/24

Внутренний интерфейс Fa0/0 -- 192.168.1.1/24

Шлюз для локальны хостов -- 192.168.1.1

Внешний интерфейс Fa0/1 -- 111.111.111.2/24

Маршрут по умолчанию -- 111.111.111.1

Локальным хостам будем выдавать IP используя DHCP.

Соберем схему в Cisco Packet Tracer , представленную на рисунке 2.1.

Рисунок 1 - Схема для демонстрации

Настроим интерфейсы, укажем маршрут по умолчанию и dhcp-пул для раздачи ip-адресов локальным хостам:

conf t

interface FastEthernet0/0

description Local Network

ip address 192.168.1.1 255.255.255.0

duplex auto

speed auto

interface FastEthernet0/1

description Internet

ip address 111.111.111.2 255.255.255.0

duplex auto

speed auto

ip route 0.0.0.0 0.0.0.0 111.111.111.1

ipdhcp pool LOCAL

network 192.168.1.0 255.255.255.0

default-router 192.168.1.1

dns-server 192.168.1.1

2.2 Настройка PAT

Первым делом рассмотрим самый распространенный вариант с одним белым ip и N-ным количеством хостов в локальной сети -- PAT. Обычно именно он применяется в бытовых маршрутизаторах и называется там NAT. Его суть в том, что он подменяет ip-адреса внутренних хостов внешним и каждому уникальному соединению ставит уникальный порт в диапазоне 1024 -- 65535. При этом каждое активное соединение заносится в память и все пакеты, которые приходят в ответ на эти соединения «перекидываются» на соответствующий хост в локальной сети.

И так, чтобы все это заработало требуется выполнить следующие команды:

conf t

access-list 1 permit 192.168.1.0 0.0.0.255

ipnat inside source list 1 interface FastEthernet0/1 overload

Первым делом мы создали access-list, который сам по себе ничего не делает, он всего лишь описывает нашу локальную сеть.

После этого создаем правило которое заставляет использовать созданный ранее access-list1 для описания тех ip-адресов, к которым будет применяться трансляция при прохождении трафика через интерфейс смотрящий в интернет.

Далее сообщаем интерфейсам их роли:

ipnatoutside -- устанавливается на интерфейс, который смотрит в Интернет

ipnatinside -- устанавливается на интерфейс, который смотрит в локальную сеть

conf t

interface FastEthernet0/0

ip nat inside

interface FastEthernet0/1

ip nat outside

Именно после этих манипуляций они будут обрабатывать должным образом пакеты и осуществлять задуманное нами действие.

Теперь проверяем работоспособность.

Хост 192.168.1.6 с порта 1025 tcp запрашивает web страницу у хоста в Интернете, допустим 111.111.111.2 на порт 80 tcp

Для проверки вводим команду на маршрутизаторе:

Show ip nat translations

В ответ получаем следующую информацию представленную на рисунке 2.2, из чего следует, что маршрутизатор подменил ip-адресс 192.168.1.6 на свой адрес 111.111.111.2 но оставил порт 1025 не изменным, а дальше пошел на 111.111.111.2 порт 80 и получил страничку. Если бы порт 1025 уже использовался каким-либо соединением, то выбрался бы следующий свободный порт.



Рисунок 2-Настройки PAT

2.3 Настройка NAT

Суть динамической трансляции адресов в том, что создается пул «белых» ip-адресов, которые Вам выделил провайдер, и они динамически распределяются для трансляции внутренних ip-адресов на внешние, но пока они не закончатся. Если свободных «белых» адресов не остается, то внутренний хост не сможет выйти в Интернет, пока не освободится один из занятых ip-адресов.

Приводим маршрутизатор к стандартному состоянию, описанному в начале поста.

Для создания динамической трансляции адресов нам потребуется, так же как и ранее создать accesslist с описанием сети.

conf t

access-list 1 permit 192.168.1.0 0.0.0.255

Так же нам потребуется пул из которого будем выдавать ip-адреса. Создадим его:

conf t

ipnatpool NATPOOL 111.111.111.100 111.111.111.103 netmask 255.255.255.0 Далее соединяем пул с access-list`ом conf t

ip nat inside source list 1 pool NATPOOL Теперь выполняем привычную операцию по назначению интерфейсам ролей трансляции адресов

conf t

interface FastEthernet0/0

ip nat inside

interface FastEthernet0/1

ip nat outside

Для проверки вводим команду на маршрутизаторе:

Show ip nat translations В ответ получаем следующую информацию представленную на рисунке 2.3, из чего следует, что маршрутизатор подменил ip-адресс 192.168.1.3 на свой адрес 111.111.111.2 но оставил порт 1526 не изменным, а дальше пошел на 111.111.111.110 порт 80 и получил страничку.

Рисунок 3 Настройки NAT

ЗАКЛЮЧЕНИЕ

В ходе выполнения курсового проекта были решены следующие задачи:

1. Проведен анализ предметной области;

2. Произведена разработка топологии сети симуляторе Cisco Packet Tracer;

3. Произведена настройка NAT и PAT.

Таким образом достигнута основная цель проекта: применение технологии трансляции адресов (NAT,PAT) при подключении к сети Интернет в Cisco Packet Tracer.

СПИСОК ИСПОЛЬЗУЕМОЙ ЛИТЕРАТУРЫ

1. http://text.tr200.biz/referat_informatika_programmirovanie/?referat=454060&page=1

2. http://textedu.ru/docs/589/index-137661.html

3. http://do.gendocs.ru/docs/index-53986.html

4. http://www.winroute.ru/forum/viewtopic.php?t=5711&highlight=&sid=2d5a23d29e19be203984231d662e1ed6

5. http://www.faq-cisco.ru/articles/obshhie-svedeniya/nastraivaem-nat-i-pat-na-marshrutizatorah-cisco-dlya-vnutrennego-web-servera

6. http://www.ciscolab.ru/security/34-postroenie-ipsec-mezhdu-dvumya-cisco-routerami.html

7. http://xgu.ru/wiki/Cisco_ASA/NAT

8. http://habrahabr.ru/post/84060/

Размещено на Allbest.ru

...