Réseaux - Cours 4. Traduction d adresse (NAT/PAT) et Service de Nom de Domaine (DNS) Cyril Pain-Barre. IUT Informatique Aix-en-Provence

Transcription

1 Réseaux - Cours 4 Traduction d adresse (NAT/PAT) et Service de Nom de Domaine (DNS) Cyril Pain-Barre IUT Informatique Aix-en-Provence Semestre 2 - version du 25/3/2011 Cyril Pain-Barre NAT/PAT et DNS 1 / 53

2 NAT (Network Address Translation) (RFC 2663 et 3022) Cyril Pain-Barre NAT/PAT et DNS 2 / 53

3 Saturation de l espace d adressage : cause L augmentation exponentielle du nombre d ordinateurs connectés à Internet a rapidement saturé l espace d adressage IP Phénomène dû aussi bien aux entreprises qu aux particuliers Côté entreprises : hébergent souvent des serveurs devant être joints en permanence leurs stations de travail ont aussi souvent besoin d accéder à tout moment à des services externes Côté particuliers : nombreux à avoir choisi un abonnement ADSL ou câble payé au forfait et qui restent connectés en permanence (que l attribution d adresse soit fixe ou dynamique) le prix des ordinateurs est tel qu une famille possède souvent plusieurs ordinateurs qui doivent tous accéder à Internet du point de vue FAI, une famille a les mêmes besoins qu une petite entreprise Si le CIDR a permis de régler en partie le problème, l espace d adressage IPv4 demeure insuffisant! Cyril Pain-Barre NAT/PAT et DNS 3 / 53

4 Saturation de l espace d adressage : effets La pénurie d adresses IPv4 s est traduite par la situation suivante : Il n est plus possible d attribuer une adresse IP à chaque station connectée à Internet. Dit autrement : Une organisation (entreprise/particulier) qui possède un certain nombre m de stations ayant besoin d un accès Internet n obtient généralement qu un petit nombre n d adresses IP dites publiques où Mais : n est bien plus petit que m (et peut même valoir 1!) En attendant le déploiement d IPv6, la technique de traduction d adresse NAT et en particulier sa variante PAT a été développée pour permettre à ces m stations d avoir accès à Internet. Cyril Pain-Barre NAT/PAT et DNS 4 / 53

5 Principe de la traduction d adresse Permettre à n adresses publiques d être partagées par un grand nombre m de stations (périphériques réseau). Pour cela : il faut placer une NATBox qui doit être le seul point de passage entre le Site NAT (réseau de l organisation) et le WAN (Internet) la NATBox est la seule qui possède et gère les n adresses publiques Site NAT NATBox WAN (Internet) n adresses publiques En schématisant, quand une station du Site NAT veut dialoguer avec l extérieur, elle passe par la NATBox qui utilisera (temporairement) l une des n adresses publiques Cyril Pain-Barre NAT/PAT et DNS 5 / 53

6 Quelques précisions une NATBox est un routeur avec les fonctionnalités NAT (la plupart des routeurs, et les *box des FAI) les stations du Site NAT n ont pas connaissance des adresses publiques de la NATBox et ne les utilisent pas mais ont des adresses privées qu il est fortement conseillé de prendre dans les plages définies par la RFC 1918 : /8 soit adresses (de à ) /12 soit adresses (de à ) /16 soit adresses (de à ) Site NAT réseau privé /8 partie "invisible" pour Internet NATBox n adresses publiques WAN (Internet) Pour les stations du WAN, seules les n adresses de la NATBox existent et le Site NAT avec ses adresses privées est invisible. Cyril Pain-Barre NAT/PAT et DNS 6 / 53

7 Précisions (suite) à l interieur du Site NAT, les stations communiquent entre elles en utilisant leurs adresses privées sans le NAT, un message envoyé à l extérieur ne pourrait avoir de réponse car les adresses privées ne sont pas routables dans le WAN la NATBox doit traduire (remplacer) dans un tel message, l adresse privée par une adresse publique, et inversement pour la réponse Sur un routeur CISCO, on définit les adresses publiques à utiliser pour la traduction (dynamique) dans un pool. Exemple : ip nat pool adrpub netmask définit un pool de 5 adresses publiques nommé adrpub Cyril Pain-Barre NAT/PAT et DNS 7 / 53

8 NAT et la discussion interne La station A ( ) veut discuter avec la station B ( ) : le dialogue étant interne, la NATBox n est pas concernée par ce trafic les datagrammes contiennent les adresses de A et de B A C IP réseau Sourceprivé IP /8 Dest NATBox (pool à ) B Internet Cyril Pain-Barre NAT/PAT et DNS 8 / 53

9 NAT et la discussion avec l extérieur A ( ) veut discuter avec la station externe C ( ) : 1 A envoie le datagramme qui parvient au routeur (NATBox) 2 la NATBox remplace l adresse source (privée) par une adresse publique disponible ( ), enregistre une association ( , ) dans sa table de traductions, et transmet le datagramme vers C 3 C répond à l adresse source du datagramme ( ) 4 la NATBbox reçoit le datagramme, consulte sa table de traductions, trouve l association ( , ), remplace l adresse destination par et retransmet le datagramme à A A C IP Source réseau privé /8 IP Dest B NATBox (pool à ) Internet Cyril Pain-Barre NAT/PAT et DNS 9 / 53

10 NAT et la discussion avec l extérieur A ( ) veut discuter avec la station externe C ( ) : 1 A envoie le datagramme qui parvient au routeur (NATBox) 2 la NATBox remplace l adresse source (privée) par une adresse publique disponible ( ), enregistre une association ( , ) dans sa table de traductions, et transmet le datagramme vers C 3 C répond à l adresse source du datagramme ( ) 4 la NATBbox reçoit le datagramme, consulte sa table de traductions, trouve l association ( , ), remplace l adresse destination par et retransmet le datagramme à A A C réseau privé / B NATBox (pool à ) IP Source Internet IP Dest Cyril Pain-Barre NAT/PAT et DNS 10 / 53

11 NAT et la discussion avec l extérieur A ( ) veut discuter avec la station externe C ( ) : 1 A envoie le datagramme qui parvient au routeur (NATBox) 2 la NATBox remplace l adresse source (privée) par une adresse publique disponible ( ), enregistre une association ( , ) dans sa table de traductions, et transmet le datagramme vers C 3 C répond à l adresse source du datagramme ( ) 4 la NATBbox reçoit le datagramme, consulte sa table de traductions, trouve l association ( , ), remplace l adresse destination par et retransmet le datagramme à A A IP Source IP Dest C réseau privé / B NATBox (pool à ) Internet Cyril Pain-Barre NAT/PAT et DNS 11 / 53

12 NAT et la discussion avec l extérieur A ( ) veut discuter avec la station externe C ( ) : 1 A envoie le datagramme qui parvient au routeur (NATBox) 2 la NATBox remplace l adresse source (privée) par une adresse publique disponible ( ), enregistre une association ( , ) dans sa table de traductions, et transmet le datagramme vers C 3 C répond à l adresse source du datagramme ( ) 4 la NATBbox reçoit le datagramme, consulte sa table de traductions, trouve l association ( , ), remplace l adresse destination par et retransmet le datagramme à A A IP Source IP Dest C réseau privé / B NATBox (pool à ) Internet Cyril Pain-Barre NAT/PAT et DNS 12 / 53

13 Terminologie du NAT Issue de CISCO, la terminologie fait la distinction entre : les adresses globales : adresses publiques routables (sur Internet) car elles ont une signification à portée globale les adresses locales : n ont un sens que localement, dans le Site NAT Selon où l on se trouve, on utilise l un de ces types d adresses : à l intérieur (inside) du Site NAT, on utilise des adresses locales à l extérieur (outside), on utilise des adresses globales adresses locales adresses globales NATBox Site NAT Internet Intérieur (inside) localement, les adresses des messages sont libres Extérieur (outside) à l extérieur, les adresses doivent être publiques Cyril Pain-Barre NAT/PAT et DNS 13 / 53

14 Terminologie du NAT (2) Les messages passant la frontière inside/outside sont modifiés par la NATBox qui en traduit les adresses : pour les messages sortants (inside outside) : les adresses locales sont traduites en adresses globales pour les messages entrants (inside outside) : les adresses globales sont traduites en adresses locales adresses locales adresses globales NATBox Site NAT Internet adresses locales Intérieur (inside) adresses globales Extérieur (outside) Cyril Pain-Barre NAT/PAT et DNS 14 / 53

15 Terminologie du NAT (3) On ajoute les qualificatifs d interne et d externe : les adresses internes (inside) sont celles maîtrisées par l administrateur du Site NAT les adresses externes (outside) font référence à des hôtes situés sur le WAN et qui possèdent (en principe) des adresses publiques On distingue donc en réalité les 4 types d adresses suivantes : adresses locales internes ou ALI (inside local address) : les adresses (en principe privées) des hôtes du Site NAT adresses globales internes ou AGI (inside global address) : les adresses publiques de la NATBox adresses locales externes ou ALE (outside local address) : les adresses des hôtes du WAN vues par les hôtes du LAN adresses globales externes ou AGE (outside global address) : les adresses des hôtes du WAN Cyril Pain-Barre NAT/PAT et DNS 15 / 53

16 Schéma général de la traduction NAT La NATBox traduit les adresses source (AS) et destination (AD) des messages qui franchissent la frontière inside/outside : message sortant AS : adresse locale interne AD : adresse locale externe Site NAT NATBox AS : adresse globale interne AD : adresse globale externe Internet AS : adresse locale externe AD : adresse locale interne Intérieur (inside) message entrant AS : adresse globale externe AD : adresse globale interne Extérieur (outside) Dans le cadre du NAT, les AS et les AD sont des adresses IP. Dans sa variante PAT, il s agit d adresses d applications. Dans le cas normal (hors overlapping), les adresses externes ne sont pas traduites (adresse locale externe adresse globale externe). Cyril Pain-Barre NAT/PAT et DNS 16 / 53

17 Traductions inside et outside On peut indiquer à la NATBox les traductions à opérer traduction inside : traduire les adresses internes (inside) AS : adresse locale interne Site NAT sortant AS : adresse globale interne Internet AD : adresse locale interne AD : adresse globale interne entrant Dans le cas normal, c est la seule nécessaire. traduction outside : traduire les adresses externes (outside) AD : adresse locale externe Site NAT sortant AD : adresse globale externe Internet AS : adresse locale externe AS : adresse globale externe entrant Cette traduction n est utile qu en cas d overlapping ou les deux à la fois (réalisé en pratique pour traiter l overlapping) Cyril Pain-Barre NAT/PAT et DNS 17 / 53

18 Overlapping (chevauchement d adresses) Cas de l intersection non vide des AGE et des ALI. Par exemple, une entreprise a changé d adresse de réseau (ou de fournisseur) mais n a pas encore reconfiguré ses stations. En attendant de le faire, elle met en place du NAT avec le pool des nouvelles adresses, mais il faut traiter le fait que les ALI sont probablement et légitimement réutilisées par des stations externes. Autre exemple, une entreprise a eu la mauvaise idée de ne pas utiliser les adresses privées pour son site NAT. Les adresses qu elle a choisies pour ses ALI sont déjà utilisées dans le WAN (AGE). Sans traduction des adresses externes, il y aurait ambiguïté car une même adresse désignerait à la fois une station interne et une station externe. Cyril Pain-Barre NAT/PAT et DNS 18 / 53

19 Variantes du NAT Avec n adresses publiques, plusieurs variantes sont possibles/combinables : NAT statique : n stations choisies du Site NAT ont accès à l extérieur (traductions ALI AGI fixées par avance) NAT dynamique : m stations (voire toutes) du Site NAT sont autorisées à accéder à l extérieur. Les AGI leur sont associées dynamiquement et temporairement. PAT dynamique : plusieurs milliers de stations peuvent partager une seule AGI (adresse publique). La variante du NAT la plus utilisée. PAT statique : surtout utilisée pour permettre à des serveurs internes d être joints depuis l extérieur auxquelles ont peut ajouter le traitement de l overlapping. Cyril Pain-Barre NAT/PAT et DNS 19 / 53

20 La traduction statique (ou 1 pour 1) Associer de manière fixe et permanente une AGI à une ALI. Surtout utilisée si le Site NAT dispose m serveurs devant être accessibles depuis l extérieur : réserver m adresses parmi les n adresses publiques ces m adresses ne pourront plus servir à la traduction dynamique configurer la NATBox avec m traductions statiques de type : (adresse globale interne, adresse locale interne) Exemple (partiel) d activation sur un routeur CISCO : # ip nat inside source static associe statiquement l ALI et l AGI Cette association est permanente et apparaît dans la table des traductions : # show ip nat translations Pro Inside global Inside local Outside local Outside global Cyril Pain-Barre NAT/PAT et DNS 20 / 53

21 Traitement des messages pour la traduction statique Message sortant : adresse source traduite ALI AGI si l association statique (AGI, ALI) existe, sinon il est rejeté Exemples : où seule la traduction statique ( , ) existe AS AS AD réseau privé / AD Internet NATBox table des traductions AGI ALI (statique) AS AD réseau privé / NATBox ERREUR table des traductions AGI ALI Internet (statique) Message entrant : adresse destination traduite AGI ALI si l association statique (AGI, ALI) existe, sinon il est rejeté (cette AGI est gérée mais non associée par la NATBox) AS AD réseau privé / AS AD NATBox Internet réseau privé / AS AD Internet NATBox ERREUR table des traductions AGI ALI (statique) table des traductions AGI ALI (statique) Cyril Pain-Barre NAT/PAT et DNS 21 / 53

22 La traduction dynamique NAT (ou m pour n) (m > n) Associer dynamiquement l une des n AGI à l une des m ALI autorisées lorsque nécessaire. Seules n stations auront un accès extérieur en même temps : configurer la NATBox pour autoriser les m hôtes à discuter avec l extérieur et définir le pool des n AGI qui seront utilisées lorsqu une sation autorisée entame un dialogue avec l extérieur, lui associer temporairement une AGI disponible l association prend fin après un certain temps d inactivité l AGI est alors remise dans le pool d adresses disponibles Aucune association ne peut être créée par un message entrant. Mais tant que l association (AGI, ALI) n a pas expiré, l hôte est accessible aux stations externes par l AGI. Les traductions dynamiques apparaissent comme les traductions statiques dans la table des traductions mais leur durée de vie (TTL) est limitée. Cyril Pain-Barre NAT/PAT et DNS 22 / 53

23 NAT dynamique : exemples Message sortant : association créée ou réutilisée pour les ALI autorisées uniquement (ici, ) AS AD réseau privé /8 pool à AS autorisée AD Internet pool ERREUR à autorisée AS réseau privé AD / Internet NATBox NATBox table des traductions AGI ALI (statique) (dynamique) table des traductions AGI ALI (statique) (dynamique) Message entrant : accepté et traduit uniquement si association existante pour l AGI AS AD AS réseau privé AD / Internet NATBox table des traductions AGI ALI (statique) (dynamique) AS AD réseau privé / Internet NATBox ERREUR table des traductions AGI ALI (statique) (dynamique) Cyril Pain-Barre NAT/PAT et DNS 23 / 53

24 NAPT (Network Address Port Translation) ou PAT (à nouveau RFC 2663 et 3022) Cyril Pain-Barre NAT/PAT et DNS 24 / 53

25 Caractéristiques du PAT Alors que NAT limite l accès simultané à l extérieur (Internet) à n stations si l on dispose de n AGI, le PAT permet cet accès à plusieurs milliers de stations même si n est réduit à 1 Les *box des FAI utilisent le PAT pour permettre à plusieurs ordinateurs d un foyer (ou d une TPE) d accéder à Internet, puisqu un foyer ne possède qu une seule adresse IP Le PAT est normalisé pour fonctionner avec des datagrammes IP contenant des messages ICMP, UDP ou TCP Pour d éventuels autres protocoles, des solutions peuvent être mises en place mais ce n est pas normalisé C est la variante la plus utilisée du NAT. Cyril Pain-Barre NAT/PAT et DNS 25 / 53

26 Fonctionnement du PAT Le PAT gère et traduit des adresses d application, là où le NAT crée et gère des associations (AGI, ALI) avec des adresses IP Rappel : les adresses d application sont des triplets (IP, Protocole, Port) La NATBox (PAT) associe une adresse d application globale à une application d un hôte interne qui entame un dialogue avec l extérieur Pour cela, comme les adresses IP, les ports sont aussi traduits. Une association a alors la forme : où (Protocole, ALI:PLI, AGI:PGI) Protocole : est UDP, TCP ou ICMP PLI (Port Local Interne) : est le port utilisé par l application locale PGI (Port Global Interne) : est le port associé pour l adresse globale de l application Tout le bénéfice du PAT réside dans la traduction des ports : pour un Protocole donné, en attribuant un PGI différent aux applications ayant besoin d un accès externe, une seule AGI suffit! Cyril Pain-Barre NAT/PAT et DNS 26 / 53

27 PAT : Exemple avec AGI unique La NATBox ne possède qu une seule AGI qu elle partage avec les hôtes du Site NAT : TCP (S) : autorisée réseau privé (D) :22 (S) : /8 (D) : NATBox table des traductions Proto Inside global Inside local tcp : :15001 TCP Internet un client SSH de se connecte au serveur SSH externe Cyril Pain-Barre NAT/PAT et DNS 27 / 53

28 PAT : Exemple avec AGI unique La NATBox ne possède qu une seule AGI qu elle partage avec les hôtes du Site NAT : (S) :15002 (S) :15001 (D) :25 réseau privé autorisée (D) : / NATBox table des traductions Proto Inside global Inside local tcp : :15001 tcp : :15001 TCP TCP Internet un client SMTP de se connecte au serveur SMTP externe Cyril Pain-Barre NAT/PAT et DNS 28 / 53

29 PAT : Exemple avec AGI unique La NATBox ne possède qu une seule AGI qu elle partage avec les hôtes du Site NAT : (S) :22 réseau privé (D) : /8 (D) : NATBox table des traductions Proto Inside global Inside local tcp : :15001 tcp : :15001 TCP TCP (S) :22 Internet le serveur SSH répond à la NATBox qui transmet au client de Cyril Pain-Barre NAT/PAT et DNS 29 / 53

30 PAT : Exemple avec AGI unique La NATBox ne possède qu une seule AGI qu elle partage avec les hôtes du Site NAT : (S) :25 (S) :25 (D) :15001 réseau privé (D) : / NATBox table des traductions Proto Inside global Inside local tcp : :15001 tcp : :15001 TCP TCP Internet le serveur SMTP répond à la NATBox qui transmet au client de Cyril Pain-Barre NAT/PAT et DNS 30 / 53

31 PAT : Filtrage des messages entrants Un message entrant ne peut créer d association dans la table des traductions : seul un message sortant peut le faire Un message entrant n est accepté et traduit que s il fait partie d un dialogue en cours Outre les associations en cours, les dialogues doivent être enregistrés et notamment les adresses des applications externes Quand un message entrant arrive, la NATBox vérifie que les adresses d application correspondent à celles d un dialogue existant Exemple : les adresses des applications externes des 2 connexions précédentes figurent en réalité dans la table des traductions. Les messages entrants qui n appartiennent pas à ces connexions sont rejetés réseau privé / NATBox TCP (S) :22 (D) :15001 ERREUR Internet table des traductions Proto Inside global Inside local tcp : :15001 tcp : :15001 Outside : :25 Cyril Pain-Barre NAT/PAT et DNS 31 / 53

32 Fonctionnement du PAT pour ICMP ICMP ne fournit pas de ports Les messages d erreur ICMP contiennent toutefois les en-têtes IP et TCP/UDP des datagrammes en cause et peuvent donc être traduits Les messages ICMP de demande (ECHO, Horodatage, etc.) contiennent un identificateur L identificateur est traduit comme s il s agissait d un port. Une traduction PAT pour un message ICMP (hors messages d erreur) envoyé vers l extérieur par une ALI aura donc la forme suivante : (ICMP, AGI:IGI, ALI:ILI) où ILI est l Identificateur Local Interne et IGI est l Identificateur Global Interne Ainsi la réponse, qui aura comme IP destination l AGI et comme identificateur IGI pourra être traduite et retransmise à l ALI correspondante Comme pour TCP et UDP, les adresses externes sont enregistrées, et les messages entrants ICMP étrangers à un dialogue en cours sont rejetés Cyril Pain-Barre NAT/PAT et DNS 32 / 53

33 PAT de messages ICMP sortants (hors erreurs) depuis : requête ping (ECHO REQUEST) d identificateur (ILI) 0 : ICMP réseau privé (S) : /8 (D) (S) : autorisée (D) NATBox ICMP Internet table des traductions Proto Inside global Inside local Outside icmp : : :0 depuis : autre requête ping d identificateur 0 : ICMP (S) :0 (D) réseau privé / (S) : autorisée (D) NATBox ICMP Internet table des traductions Proto Inside global Inside local Outside icmp : : :0 icmp : : :1 La NATBox a traduit l ILI (0) avec un IGI libre (1) Cyril Pain-Barre NAT/PAT et DNS 33 / 53

34 Schéma général de la traduction PAT Avec le PAT, on utilise aussi les PLE (Port Local Externe) et les PGE (Port Global Externe). On distingue les deux adresses suivantes pour une application externe pour un protocole donné (UDP, TCP, ICMP) : ALE:PLE : son adresse vue par un hôte du Site NAT AGE:PGE : son adresse dans le WAN (Internet) Pour des messages d un même protocole (UDP, TCP, ICMP), le schéma général de la traduction PAT est : Proto Proto (source) (dest.) (source) (dest.) ALI:PLI ALE:PLE Site NAT ALE:PLE ALI:PLI Intérieur (inside) message sortant NATBox message entrant Proto Proto (source) (dest.) (source) (dest.) AGI:PGI AGE:PGE Internet AGE:PGE AGI:PGI Extérieur (outside) Sauf en cas d overlapping, les adresses externes ne sont pas traduites : ALE AGE et PLE PGE Cyril Pain-Barre NAT/PAT et DNS 34 / 53

35 Table de traductions complète La table des traductions contient en réalité toutes ces adresses Exemple : la table ci-dessous montre les traductions pour les deux connexions TCP des exemples précédents et les deux dialogues ICMP (ping) : # show ip nat translations Pro Inside global Inside local Outside local Outside global tcp : : : :22 tcp : : : :25 icmp : : : :0 icmp : : : :1 Seules sont traduites les adresses internes (Inside global et Inside local) : les adresses externes (Outside local et Outside global) restent les mêmes. Ceci car la traduction demandée est inside (interne). Pour que les adresses externes soient traduites (cas d overlapping), il faut aussi opérer une traduction outside. Cyril Pain-Barre NAT/PAT et DNS 35 / 53

36 Gestion de la table des traductions/dialogues en cours Pour les variantes dynamiques du NAT et du PAT, la NATBox doit maintenir un état des dialogues (ou sessions) en cours : connexions TCP dialogues avec UDP dialogues avec ICMP (essentiellement ping) car les adresses globales internes temporairement allouées doivent être rendues à nouveau disponibles dès que possible : pour le NAT : l AGI associée à une ALI devra être à nouveau disponible lorsque les dialogues de l ALI avec l extérieur sont terminés pour le PAT : les couples AGI:PGI (de TCP et ceux d UDP) et AGI:IGI (ICMP) doivent être aussi restitués lorsque les applications ont terminé leur dialogue La NATBox doit détecter la fin des dialogues en cours, afin de pouvoir réallouer dès que possible les adresses globales internes. Cyril Pain-Barre NAT/PAT et DNS 36 / 53

37 Détection de la fin d un dialogue C est un problème difficile auquel il n y a pas de solution transparente Pour une connexion TCP : les deux côtés ont envoyé leur segment FIN un côté à envoyé un segment RST mais rien ne dit qu ils l ont reçu : la connexion est considérée comme close un certain temps (configurable) après l une de ces situations Pour un dialogue UDP ou ICMP : cela dépendant des (protocoles d ) applications le dialogue est considéré comme terminé si aucun datagramme le concernant n arrive à la NATBox pendant un certain temps (configurable) la NATBox peut disposer d un module reconnaissant les protocoles d application concernés et la fin de leurs dialogues Cyril Pain-Barre NAT/PAT et DNS 37 / 53

38 PAT statique et redirection de port (port forwarding) Comment un serveur du Site NAT peut-il être contacté depuis l extérieur? Rappel : le PAT (dynamique) filtre les messages entrants, et on ne peut contacter un serveur du Site NAT depuis l extérieur Une traduction PAT statique permet à l extérieur d initier un dialogue Exemple : la règle suivante sur la NATBox ajoute une entrée statique dans la table qui permet à l extérieur de se connecter au serveur SMTP de la station : # ip nat inside source static tcp # show ip nat translations Pro Inside global Inside local Outside local Outside global tcp : : Ainsi, les segments TCP destinés au port 25 de la NATBox seront redirigés (traduits) vers le serveur Certaines NATBox permettent de configurer des redirections de plages de port vers d autres plages, ainsi que les adresses externes autorisées Cyril Pain-Barre NAT/PAT et DNS 38 / 53

39 Effets de la traduction sur les autres protocoles La traduction opérée par le NAT/PAT doit être transparente, autant pour les ordinateurs que les protocoles de TCP/IP Or, la modification des adresses/ports source et destination n est pas anodine pour de nombreux protocoles comme IP, ICMP, TCP, UDP, FTP, et bien d autres : IP, TCP et UDP incluent les adresses IP dans le calcul de leur Checksum TCP et UDP y incluent aussi les ports et les données (voir FTP) Les messages d erreur d ICMP (types 3 à 5 et 11) contiennent une partie (au moins en-têtes IP et TCP/UDP) des datagrammes ayant provoqué l erreur FTP envoie, dans la commande PORT et en réponse de la commande PASV, une adresse d application à utiliser pour établir une connexion de données La NATBox doit en tenir compte et modifier tous les messages des protocoles qui utilisent les informations qu elle traduit! Cela implique parfois de constamment modifier les numéros de séquence et d acquittement d une connexion TCP... Cyril Pain-Barre NAT/PAT et DNS 39 / 53

40 Le DNS (Domain Name Service) (RFC 1034 et 1035) Cyril Pain-Barre NAT/PAT et DNS 40 / 53

41 Introduction Se rappeler d une adresse IP est assez difficile, ex : Mais alors de plusieurs ( , ,... ), c est franchement pénible! En revanche, retenir des noms comme allegro.iut.univ-aix.fr, c est bien plus facile C est pourquoi le DNS existe : il permet de nommer des ordinateurs et de résoudre des noms en adresses IP : en en allegro.iut.univ-aix.fr en et inversement (résolution inverse) Cyril Pain-Barre NAT/PAT et DNS 41 / 53

42 Origine du DNS Au début d internet, l espace de noms était plat et admettait des noms de type : serveur capucine gandalf... et centralisé : géré par le NIC (Network Information Center) puis plus tard par l INTERNIC (Internet Information Center) mais la multiplicité des ordinateurs connectés et nommés a rendu la gestion trop lourde et un nom pris ne pouvait plus être utilisé ce qui s est traduit par l utilisation de noms de plus en plus obscurs : serveurbis, gandalfsecond, etc. Cyril Pain-Barre NAT/PAT et DNS 42 / 53

43 DNS : espace de noms hiérarchisé et décentralisé Avec le DNS, l espace de noms est organisé en une hiérarchie au sommet de laquelle figure la racine et immédiatement en dessous les TLD (Top-Level Domain) ou domaines de niveau supérieurs : racine... com edu org fr uk top level domains L ICANN (Internet Corporation for Assigned Names and Numbers) a en charge la création des TLD et a créé notamment les TLD suivants : com : entreprises commerciales edu : établissements d enseignement org : organisations diverses un TLD par code pays sur 2 lettres (norme ISO 3166) : fr : France uk : Royaume-Uni de : Allemagne tv : île Tuvalu (qui en profite bien... ) Cyril Pain-Barre NAT/PAT et DNS 43 / 53