Microsoft PowerPoint - InternetOperation1104.ppt

Transcription

1 インターネットオペレーション 重近範行

2 おさらい : ブロードキャスト 同一ブロードキャストドメインに所属している全てのマシンに情報を伝播 ブロードキャスドメインは セグメント と言われることが多い

3 おさらい : ブロードキャスト 同一ブロードキャストドメインに所属している全てのマシンに情報を伝播 ブロードキャスドメインは セグメント と言われることが多い

4 おさらい : ブロードキャスト 同一ブロードキャストドメインに所属している全てのマシンに情報を伝播 ブロードキャスドメインは セグメント と言われることが多い

5 ブロードキャストアドレス rg-gate> /sbin/ifconfig vlan2 vlan2: flags=8843<up,broadcast,running,simplex,multicast> mtu 1500 vlan: 2 parent: wm1 address: 00:02:b3:ec:6c:d4 inet netmask 0xffffff80 broadcast このアドレスはどうやって付くの?

6 ブロードキャストアドレスは? 同一ブロードキャストドメインで同じである IPアドレスとネットマスクから生成されるホスト部がすべて 1 サブネット部の論理和

7 ブロードキャストアドレスの計算 rg-gate> /sbin/ifconfig vlan2 vlan2: flags=8843<up,broadcast,running,simplex,multicast> mtu 1500 vlan: 2 parent: wm1 address: 00:02:b3:ec:6c:d4 inet netmask 0xffffff80 broadcast xffffff80 はネットワーク部が 1 でホスト部が 0 ネットワーク部が 0 でホスト部が 1 のマスクを作るため 0xffffff80 の否定を算出する

8 ブロードキャストアドレスの計算 rg-gate> /sbin/ifconfig vlan2 vlan2: flags=8843<up,broadcast,running,simplex,multicast> mtu 1500 vlan: 2 parent: wm1 address: 00:02:b3:ec:6c:d4 inet netmask 0xffffff80 broadcast xffffff80 = よって否定は = 0x f

9 ブロードキャストアドレスの計算 rg-gate> /sbin/ifconfig vlan2 vlan2: flags=8843<up,broadcast,running,simplex,multicast> mtu 150 vlan: 2 parent: wm1 address: 00:02:b3:ec:6c:d4 inet netmask 0xffffff80 broadcast と 0x f の論理和論理和は?

10 ブロードキャストアドレスの計算 rg-gate> /sbin/ifconfig vlan2 vlan2: flags=8843<up,broadcast,running,simplex,multicast> mtu 150 vlan: 2 parent: wm1 address: 00:02:b3:ec:6c:d4 inet netmask 0xffffff80 broadcast = 0xcbb78f01 = x f =

11 ブロードキャストアドレスの計算 rg-gate> /sbin/ifconfig vlan2 vlan2: flags=8843<up,broadcast,running,simplex,multicast> mtu 1500 vlan: 2 parent: wm1 address: 00:02:b3:ec:6c:d4 inet netmask 0xffffff80 broadcast ) =0xcbb78f01 =

12 IP アドレスとネットマスクと 8bit 境界 Class A,B,C Class A アドレスの先頭が 0 から始まる 8bit マスク Class B アドレスの先頭が 10 から始まる 16bit マスク Class C アドレスの先頭が 110 から始まる 24bit マスク

13 マスク長が 8bit 境界からずれると 25bit マスク (0xffffff80) 26bit マスク (0xffffffc0) 27bit マスク (0xffffffe0 28bit マスク (0xfffffff0) 29bit マスク (0xfffffff8) 30bit マスク (0xfffffffc) 23bit マスク (0xfffffe00) 22bit マスク (0xfffffc00) 21bit マスク (0xfffff800) 20bit マスク (0xfffff000) 19bit マスク (0xffffe000) 18bit マスク (0xffffc000) 17bit マスク (0xffff8000)

14 ネットワークアドレスの表記 IPアドレス Subnetmask の場合 21bitマスク クラス C 相当 /21

15 ブロードキャストアドレスへの通信 自分の PC のインターフェースの情報を調べてブロードキャストアドレスに ping を打ってみよう Windows だと反応無いかも cpu.sfc.wide.ad.jp % ifconfig em0 em0: flags=8943<up,broadcast,running,promisc,simplex,multicast> mtu 1500 options=1b<rxcsum,txcsum,vlan_mtu,vlan_hwtagging> inet netmask 0xffffffe0 broadcast inet6 fe80::203:47ff:fedf:7475%em0 prefixlen 64 scopeid 0x3 inet6 2001:200:0:8803:203:47ff:fedf:7475 prefixlen 64 autoconf ether 00:03:47:df:74:75 media: Ethernet autoselect (1000baseSX <full-duplex>) status: active

16 ブロードキャストアドレスで遊ぼう 自分の PC のインターフェースの情報を調べてブロードキャストアドレスに ping を打ってみよう Windows だと反応無いかも cpu.sfc.wide.ad.jp % ping 結果はどうなると思いますか???

17 ブロードキャストアドレスで遊ぼう 自分の PC のインターフェースの情報を調べてブロードキャストアドレスに ping を打ってみよう Windows だと反応無いかも cpu.sfc.wide.ad.jp % ping PING ( ): 56 data bytes 64 bytes from : icmp_seq=0 ttl=64 time=7.565 ms 64 bytes from : icmp_seq=0 ttl=255 time=7.585 ms (DUP! 64 bytes from : icmp_seq=0 ttl=255 time=7.633 ms (DUP! 64 bytes from : icmp_seq=0 ttl=64 time=7.657 ms (DUP!) 64 bytes from : icmp_seq=0 ttl=64 time=7.676 ms (DUP!) 64 bytes from : icmp_seq=0 ttl=64 time=9.187 ms (DUP!) 64 bytes from : icmp_seq=0 ttl=255 time=9.430 ms (DUP! 64 bytes from : icmp_seq=0 ttl=64 time=9.578 ms (DUP!) 同一セグメントの PC が全て ping に応答

18 では これではどうなる? ping Limited broadcast address ping [ 他のセグメントのブロードキャストアドレス ] Directed broadcast address 原理的にはどちらのパケットがルータを越える事ができるでしょうか?

19 なぜ no ip drected-broadcast? ルータの設定の際に各 L3 インターフェースで no ip directed-broadcast を見たことはありませんか? directed-broadcast の動きを知ると 怖さがわかる

20 Limited broadcast 2 種類の broadcast /24 ルータ /24

21 Limited broadcast 2 種類の broadcast ( 自分のセグメント ) /24 ルータ /24

22 Limited broadcast 2 種類の broadcast ( 他のセグメント ) ルータがコピーして送信 /24 ルータ /24

23 Limited broadcast 2 種類の broadcast ブロードキャストメッセージの嵐に /24 ルータ /24

24 ブロードキャストを用いたアプリケーション DHCP dhcp discoverの宛先に使用 Limited broadcast Netbios Name service 時に使用 Directed broadcast( 自分のセグメント ) 宛先 Mac addressは all f

25 では ネットワーク構築!: ネットワークをどんどん接続 何でつなぐ? ハブ? スイッチ? ルータ?????????????

26 では ネットワーク構築!: ネットワークをどんどん接続 結局それぞれの特性が掴めないと決定できない リンクの特性 拠点間の距離 使い方 アドレス数 etc????????????

27 リピータとブリッジの違い ブロードキャストドメイン ハブ ハブ sw ハブ ハブ

28 リピータとブリッジの違い???? ドメイン ハブ ハブ sw ハブ ハブ

29 リピータとブリッジの違い コリジョンドメイン ハブ ハブ sw ハブ ハブ

30 コリジョンドメインが同一である意味 あなたの PC を CNS への接続する場合 リピータにつなぐー > 無線 LAN で接続 同じ AP につながっている人と手前の回線資源を奪い合う ブリッジにつなぐ 同じ SW につながっている人と奪い合うのは上流の回線資源のみ

31 状況 1: あなたはどっちに接続するとお得? A さん B さん C さんはそれぞれ 3Mbps で外部の FTP サーバからファイルを転送中 Uplink : 100M ITC へ Uplink : 10M ITC へ AP(11Mbps) SW(10Mbps) A さん B さん c さん A さん B さん c さん

32 状況 2: あなたはどっちに接続するとお得? A さん B さん C さんはそれぞれ 3Mbps でお互いにファイルを交換中 Uplink : 100M ITC へ Uplink : 10M ITC へ AP(11Mbps) SW(10Mbps) A さん B さん c さん A さん B さん c さん

33 リピータのやってること : コリジョンって何? 全てのポートに同じ電気信号をコピーして送信 宛先 :B A B C D E F G H

34 リピータのやってること : コリジョンって何? 宛先 :B の電気信号が全てのノードに送信 A B C D E F G H

35 リピータのやってること : コリジョンって何? 全てのノードが宛先を確認し B のみが受信 A B C D E F G H

36 リピータのやってること : コリジョンって何? A と H が同時に送信を始めるとコリジョンが発生 宛先 :B 宛先 :G A B C D E F G H

37 コリジョン回避手法 CSMA/CD Carrier Sense Multiple Access with Collision Detection CSMA/CA Carrier Sense Multiple Access with Collision Avoidance

38 CSMA/CD による衝突回避 A と H が同時に送信を始めるとコリジョンが発生 宛先 :B 宛先 :G A B C D E F G H

39 CSMA/CD による衝突回避 A と H は自分が出した電気信号が戻ってこないので 衝突が起こったことを把握する?? A B C D E F G H

40 CSMA/CD による衝突回避 A と H は一定時間待って データを再送信する 宛先 :B A B C D E F G H

41 リピータのやってること : コリジョンって何? 全てのノードが宛先を確認し B のみが受信 A B C D E F G H

42 CSMA/CD による衝突回避 A と H は一定時間待って データを再送信する 宛先 :G A B C D E F G H

43 リピータのやってること : コリジョンって何? 同様に全てのノードが宛先を確認し G のみが受信 A B C D E F G H

44 CSMA/CA による衝突回避 無線は有線と同じ CD を使うことができない A B C D E F G H

45 CSMA/CA による衝突回避 誰も使っていないことを検知したら ん? 誰も使ってなさそう! A B C D E F G H

46 CSMA/CA による衝突回避 一定時間待って 大丈夫かな? A B C D E F G H

47 CSMA/CA による衝突回避 データを送信 おりゃ! A B C D E F G H

48 リピータを用いたネットワークの限界 段数 10-baseT : 4 段まで 100-baseT: 2 段まで 距離 伝送媒体の特性に拠って異なる

49 ブリッジの働き : コリジョンドメインの分離手法 とにかく Frame が目的のノードに届けばいい どのポートに誰がいるか覚えておけばいい A B C D E F G H

50 MAC アドレス学習による送信ポート選択 B を宛先とするデータが送信された場合 宛先 :B A B C D E F G H

51 MAC アドレス学習による送信ポート選択 左から 2 番目のポートに B がつながっているのを知っていれば 無駄のないデータ送信ができる A B C D E F G H

52 MAC アドレスとポートを結びつけるには? さて MAC アドレスを覚えていないデータが到達した場合 どうなる? ( 選択肢 1): 全てのポートにデータを送信 ( 選択肢 2):ARP-request を送信し ポートを特定する -> 答えは 選択肢 1 番 ARPで解決するのは MACアドレスとIPアドレスの対応情報です

53 セグメント ブロードキャストドメインの限定 ブロードキャストパケットが届く範囲 最小単位のネットワーク 要求に応じたオペレーションをするために分割 無線 LAN セグメント 広い範囲でユーザに自由に開放 ファイアーウォールセグメント ユーザの PC を外部の攻撃から守りたい サーバーセグメント セキュリティの観点からユーザセグメントとは分割したい

54 VLAN( 仮想 LAN) 要求 1 つのネットワーク機器で 複数のセグメントを管理したい 複数のネットワーク機器で 1 つのセグメントを共有したい VLAN Port VLAN Tagged VLAN(802.1q)

55 Port VLAN 同じスイッチのポート間で LAN を分離 各 VLAN は物理的に独立したスイッチと同じように動作 VLAN1 VLAN2

56 独立したルータによる VLAN 転送 同じスイッチで VLAN1,2 を設定した場合でも VLAN 間接続のためにルータが必要 VLAN1 VLAN2 ルータ

57 ルータとして機能するスイッチ (Layer 3 スイッチ ) と VLAN スイッチが VLAN 間転送をする ルータ接続のための物理ポートが不要 VLAN1 VLAN2 ルータ

58 Tagged VLAN あるフレームがどの VLAN に対するものなのかを Ethernet フレームに tag をつける 一本の物理回線に複数の VLAN を通せる Ethetnetフレームに VLAN tag(vlanのid) のためのフィールドを追加 VLAN1 1 2 VLAN2 両方の VLAN に属するパケットが流れる VLAN1 VLAN2

59 広域 Ethernet 遠隔地点間を Ethernet の技術で接続 光ファイバ網の整備 高額な専用線が不必要 比較的安価 / 高性能なスイッチ Ethernetの広域化 1000BASE-LX 10GBASE-ER 5km 40km

60 広域 Ethernet 専用線の場合 各地点で 1 本ずつ線があればいい VLAN を用いたセグメントの共有が簡単 東京 VLAN 1 VLAN 2 大阪 VLAN 1 VLAN 2 大阪 VLAN 1 VLAN 2 名古屋 各地点で 2 本ずつの回線が必要 東京 名古屋

61 何故 広域 Etnernet が流行っているか 複数地点を接続するには Shared Link を使うと効率がいい Point-to-Point 回線だと たくさんのリンクが必要 広域 Ethernet 技術を用いると LAN 環境を遠隔複数拠点で共有することができる ネットワーク管理者の要望 LAN の延長で管理したい 機器 ( カード ) が安い

62 広域 Ethernet サービス CWC 高速バックボーンサービス NTTCom ギガウェイ KDDI KDDI Ether-VPN サービス Poweredcom powered ethernet NTT-communications e-vlan その他いろいろ 回線導入コストは 20km 離れた場所で 100Mbps の回線を引く場合 月額 70 万円 ( ギガウェイの場合 )

63 ブロードキャストドメインの分割 ブロードキャストドメイン ハブ ハブ ルータ ハブ ハブ

64 L3 に上げることの意味 ブロードキャストの嵐を回避 折り返しのトラフィックの軽減 セグメントをまたぐ通信は必ずルータ経由になる

65 IP アドレスの割り当て 管理組織から組織 /ISP にざっくり割り当て 日本国内はJPNIC ISPがさらにその顧客に割り当て JPNIC ~ を使ってください 企業 ISP 慶応大学

66 アドレッシング 配られたアドレスブロック 部署によって使い分けしたい キャンパスによって使い分けしたい などのポリシーに対応 ー > サブネットの導入

67 サブネット あるネットワーク内では 割り当てられた IP アドレス空間を使って サブネットを構築 ( セグメント ) 例 : netmask ~ まで その他は自由にホストに割り当てできる ~ ( 個 ) ~ ~ ~5.255 先頭から 2048 個 次の 256 個 次の 256 個 サーバ ユーザセグメント 事務局セグメント

68 DHCP アドレス取得までの流れ DHCP server node A MAC アドレスを用いた通信 1. DHCP DISCOVER node A からのブロードキャスト宛の DHCP サーバ向けのパケット 2. DHCP OFFER node A 宛の DHCP サーバからのパケット 3. DHCP REQUEST node A からのブロードキャスト宛の DHCP サーバ向けのパケット 4. DHCP ACK node A 宛の DHCP サーバからのパケット

69 DHCP サーバのログ lease { starts /12/04 05:07:31; ends /12/04 05:17:31; binding state active; next binding state free; hardware ethernet 00:02:2d:07:bb:2e; uid " "; client-hostname "sirokuma-t23"; }

70 HTTPD のログ [16/Mar/2004:08:07: ] "GET / HTTP/1.1" "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)" [16/Mar/2004:09:17: ] "GET / HTTP/1.1" "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)" [16/Mar/2004:11:07: ] "GET / HTTP/1.1" "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)" [16/Mar/2004:11:22: ] "GET / HTTP/1.1" "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)" [16/Mar/2004:13:49: ] "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX XXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801 %u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u 9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078 %u0000%u00=a HTTP/1.1" "-" "-" [16/Mar/2004:14:50: ] "GET / HTTP/1.1" "-" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"

71 通信履歴より IP アドレス ホスト特定の方法 ホスト名 MACアドレス netbios 名 (Windows) 認証用アカウント名 アカウントデータベースより 契約名

72 ブリッジとルータ まとめ ブロードキャストドメイン サービスとログ ホスト特定性