RES 224 Architecture des applications Internet. Addressage: DNS et DHCP

Transcription

1 RES 224 Architecture des applications Internet dario.rossi Addressage: DNS et DHCP RES224 v Dario Rossi

2 Plan Introduction L espace de nommage DNS Nom et labels, Root et TLD Zones et domaines Base d information du DNS Ressources Example de base Architecture et protocole DNS Résolution de noms Format de requetes/reponses Examples de resolution Apercu du protocole DHCP Machine à étas finis Format des messages References

3 Domain Name System (DNS)

4 Introduction Le niveau 2 relie physiquement les équipements sur la base d une adresse physique (MAC) Le niveau 3 relie les équipements logiquement entre eux sur la base d une adresse logique (IP) Le niveau 4 relie les applications entre elles sur la base d un identifiant (port) Le niveau 7, et donc les usagers, références les équipements par un nom Nom symbolique «intuitif ou facile». Plus simple à retenir qu une adresse Application Transport Network Data link Physical

5 Introduction Internet, grand réseaux dynamique Beaucoup d'adresses dans le réseau Adresses dynamiques et adresses statiques On associe aux adresses IP un nom symbolique Plus «agréable» à mémoriser qu'un numéro Les noms doivent être uniques Nécessité de tables de correspondance (exemple: /etc/host, HOST.TXT) Resolution (IP, nom) ARPANET: mis-à-jour periodique et centralisée de la base (chaque nuit), puis rediffusion à tous les hotes Probleme: Internet grandit Solution: table distribué Table distribué Extension de l adresse à la notion de ressource Ressources correspondantes à des addresses Organisation de l espace de nommage en domaines Chaque domaine gere ces correspondances

6 Organismes Internet Corporation for Assigned Names and Numbers (ICANN) Assure la gestion des noms des adresses et des identifiants de ports etc. Internet Assigned Numbers Authority (IANA) Assure le travail technique de ICANs Regional Internet Registries (RIRs) Delegation du travail de IANA RFC1466 définit les règles d'allocation des adresses IP aux RIR et aux LIR RIRs APNIC (Asia Pacific Network Information Centre) ARIN (American Registry for Internet Numbers) qui a en charge les Amériques et une partie de l'afrique subsaharienne; RIPE NCC (Réseaux IP Européens - Network Coordination Centre) qui a en charge l'europe, le Moyen-Orient, l'ex-urss et la partie de l'afrique non couverte par ARIN. AfriNIC (African Regional Network Information Centre) LACNIC (Latin American and Caribbean IP address Regional Registry).

7 Domain Name System (DNS) Les composantes du DNS Un espace de nommage Une base de données (spécification des ressources) Un protocole pour interroger la base Une architecture: resolver (client) et serveur Configuration du client et server Plusieurs RFCs décrivent l annuaire Internet: RFC 883 et 884 ensuite 1034 et : Paul Mockapetris définis le DNS RFC 1032, 1033, 1034, 1035, 1101, 1122, 1123, 1183, 1713, 1794, 1912, 1995, 1996, 2010, 2136, 2137, 2181, 2308, 2317, , 2606, etc. Optional readings RFC1034 et RFC1035

8 Espace de nommage Structure d arbre avec une racine La racine (root) est représentée par un point «.». Un nœud représente un domaine À chaque nœud de l arbre est associé un label Les informations associées à chaque nœud du domaine sont contenus dans une base et gérées par ce nœud (en fait, cela est simpliste plus de details dans la suite) Chaque nœud peut avoir des fils, dont le labels doivent etre différent (pour garantir l unicité) it x fr z Label Désigné par des caracteres alphanumériques et «-» En fait, limitation de praticité, car 255 valeurs seraient possibles mais ne sont pas sur le clavier! La taille maximum d un label est de 63 caractères Pas de sensibilité à la casse (case insensitive) A nouveau, pratique courante et pas limitation technologique y

9 Espace de nommage Nom de domaine Concatenation de labels sur un chemin donné Séparé par des dots «.» du point de vue des etres humains Suite de pair (longueur, label) du point de vue des messages du reseau La taille d un nom de domaine est au maximum de 255 characterès La profondeur de l arbre est limitée par cette taille Nom de domaine complet Fully Qualified Domain Name (FQDN ) doit etre unique dans le reseau (pas d ambiguité dans la resolution) est composé de l ensemble des labels d un feuille de l arbre jusqu à la racine Par default, le DNS ajoute le nom de domaine locale (e.g., www deviens Le «.» finale est souvent omis (mais deviens ) Hormis la premiere, le choix des labels est laissé aux besoins des usages Le choix de est pour retrouver intuivement le nom de la machine de l ENST qui supporte une application WEB.

10 Espace de nommage. root tld edu mil gov com net int org ch fr ca ddn ibm hp enst nic www www infres tsi siav rms

11 Root Root server Par definition, au plus haut de la hierarchie points d entrée dans le système de résolution globale Ils ont un rôle de «reroutage» des résolutions Connaissent tous les autres root server Connaissent tous les TLDs [a-m].root-servers.net Essayez b.root-server.net e NASA Mt View, CA f Internet Software C. Palo Alto, CA b USC-ISI Marina del Rey, CA l ICANN Marina del Rey, CA a NSI Herndon, VA c PSInet Herndon, VA d U Maryland College Park, MD g DISA Vienna, VA h ARL Aberdeen, MD j NSI (TBD) Herndon, VA k RIPE London i NORDUnet Stockholm m WIDE Tokyo Site de référence

12 Root Lettre ancien nom Organisation Ville / Etat Région (continent) A VeriSign Dulles(*), Virginie, États-Unis B ns1.isi.edu USC-ISI M arina del Rey, Californie États-Unis C Cogent Distribution par anycast D terp.umd.edu University of M aryland College Park, M aryland, États-Unis E NASA M ountain View, Santa Clara County, Californie États-Unis F ISC Nairobi, distribution par anycast Kenya G ns.nic.ddn.mil U.S. DoD NIC Colombus, Ohio États-Unis H U.S. Arm y Aberdeen Proving Ground, aos.arl.arm y.mil Research Lab M aryland États-Unis I nic.nordu.net Autonomica Stockholm, Suède, distribution Union par anycast européenne J VeriSign Distribution par anycast K RIPE NCC Londres, Royaume-Uni, distribution par anycast Union européenne L ICANN Los Angeles, Californie États-Unis M W IDE Project Tokyo, distribution par anycast Japon

13 Top-Level Domain Les Top-Level Domain (TLD): Domaines de premier niveau (RFC1591) Connaissent tous les root server Connaissent les serveur delegués de sous-domaine Deux types cctld: country code TLD ex. fr, ca, ma, us, de, gtld: generic TLD ex. com, org, net, + 7 nouveaux biz, aero, name, pro, musuem, info et coop et encore récemment mobi

14 Domaine vs Zone Domains et zones Un domain identifie une sous arborescence de l espace de nommage (Domain = lieu topologique) Une zone contient une base avec l ensemble des informations associées à ce nœud (Zone = borne administrative) La délégation Un nœud délégue la gestion à un nœud fils, ceci devient une zone Ce qui confère la distribution des donnés au sein du DNS Ceci permet aux TLD de deleguer toutes les nombreuses sous-zones (e.g., plusieurs millions de site.com.) Le nœud père doit être en possession des adresses où se trouvent la base d information des fils auxquels il a delegué des zones Glue records pour eviter references circulaires dans la resolution

15 Espace de nommage Domaine fr Zone fr fr Zone enst enst edf infres tsi siav rd prod rms

16 Espace de nommage Domaine= sous-arbre, lieu topologique Zone= forme arbitraire, bornes administratives fr Zone enst enst edf ses Zone infres infres tsi siav rd prod rms Domaine enst

17 Domaine vs Zone Zone Administré séparément. Une zone peut être subdivisée en plusieurs zones. L'autorité d'une zone est déléguée à une personne qui est chargée de créer des serveurs de domaine Remarque: il existent des boites dont le business est de gerer des bases de donnés DNS pour des tiers À chaque fois qu'une zone est créé, L'administrateur alloue un nom à cette zone (verifié avec RIR), Notifie les adresses IP des serveurs DNS de sa zone à la zone père Les noms de machines dans cette zone sont inseré dans le database. Remarque: pour une zone on a obligatoirement un serveur primaire et un serveur secondaire. Le serveur secondaire copie la base du premier (zone transfer). La difference n est que dans le nom, les deux serveurs sont pareils

18 Service DNS Le service principale du DNS consiste dans la resolution de noms: Associer une adresse IP à un nom Associer un nom à une adresse IP (résolution inverse) Associer un nom à une ressource La résolution de nom est basé sur un modèle client/serveur Le serveur est celui qui détient les informations Chaque serveur est autoritaire sur sa propre zone Il consulte d autres serveurs DNS au delà du périmètre de sa zone Notion de serveur autoritaire Autoritaire: serveur responsable de l information, concernant sa zone, qu il est en train de communiquer (le secondaire est aussi autoritaire ) Non autoritaire: serveur qui détient l information mais qui n est à l origine de celle-ci (information retenue temporairement)

19 Ressources et base d information du DNS La base d information: Contient des enregistrements ou Ressources Records (RR) Un enregistrement représente une ressource de l annuaire et une association entre plusieurs objets Enregistrement de type Start Of Authority (SOA) : indique l'autorité sur la zone. contient toutes les informations sur le domaine: le délai de mise à jour des bases de données entre serveurs de noms primaires et secondaires, le nom du responsable du site Enregistrements de type Name Server (NS) : les adresses des serveurs DNS responsables de la zone

20 Ressources et base d information du DNS Enregistrement de type Adresse (A, A6, AAAA): définit les noeuds fixes du réseau ceux qui ont des adresses IP statiques Enregistrements de type Mail exchanger (MX) : Identifie les serveurs de messagerie (recepteur) Enregistrements de type Canonical Name (CNAME): définit des alias sur des noeuds existants. Enregistrement de type Pointeur (PTR): résolution de noms inverse dans (domaine in-addr.arpa.) Pour chaque RR, le DNS garde: Le nom, le type, la classe, la durée de vie, la valeur

21 Example enst.fr. IN SOA ns1.enst.fr. hstr.enst.fr. ( ; numéro de série ; rafraîchissement (REFRESH) 3600 ; nouvel essai (RETRY) ; Obsolescence (EXPIRE) ) ; TTL minimal de 1 jour enst.fr. IN NS ns1.enst.fr. ; commentaire enst.fr. IN NS ns2.enst.fr. ; enst.fr peut être IN NS ns1 IN NS ns2

22 Example ns1.enst.fr. IN A ns2.enst.fr. IN A smtp.enst.fr. IN A localhost.enst.fr. IN A www IN CNAME ns1.enst.fr. ftp IN CNAME ns2.enst.fr. enst.fr. IN MX smtp.enst.fr in-addr.arpa. IN PTR ns1.enst.fr.

23 Architecture/Protocole DNS Norme (assez) stable RFC 1034 : concepts et facilités du DNS RFC 1035 : spécification de l implémentation Protocole Paradigme client-server, fortement distribué Messages de type requête/réponse, format binaire Besoin primaire: rapidité, eviter lourdeur, fiabilité Transport: UDP et TCP UDP plus rapide (evite three way handshake) La taille des messages UDP est limité à 512 octets Si la réponse est supérieure à 512 octets, elle est tronquée, la requête est retransmise une deuxième fois mais basée sur TCP TCP pour transfer de zone

24 Architecture/Protocole DNS Transfer de zone Implementé comme query DNS (ressource AXFR) Le serveur secondaire copie la base de données du server primaire avec TCP (fiabilité impérative) Debut et fin par le SOA Numero de serie incrementale pour confronter versions Policy Polling periodique effectué par le serveur secondaire Effectué chaque REFRESH secondes En cas de problemes, re-essaye chaque RETRY secondes Problemes persistent: la base est jetée après EXPIRE sec

25 Architecture/Protocole DNS Modalités d interrogation Mode iteratif Obligatoire Complexité sur le le client Mode récursif Optionnel Complexité sur le serveur Difficile pour troubleshooting en cas de panne Benefique pour le cache En pratique Recursif jusqu au serveur DNS locale Iteratif depuis le serveur DNS locale

26 Resolution Resolution recursive de type A pour y.x.com Remarque: La reponse dans le cache du resolver pourra servir les prochaines requetes fr 2 it. 6 3 com 4 y.x.com enst 7 5 x z 8 DB Cache ns1 www y Lien logique Lien physique 1 Requete Reponse

27 Resolution Resolution iterative de type A pour y.x.com Remarque: La reponse dans le cache du resolver pourra servir les prochaines requetes fr 3 2 it. com 4 y.x.com enst 5 x z 8 DB Cache 1 ns1 www 6 7 y Lien logique Lien physique Requete Reponse

28 Format des requêtes/réponses 1 32 IDENTIFICATION FLAGS NBR. DE QUESTIONS NBR. DE RRs AUTORITAIRES NBR. DE REPONSES NBR.de RRs SUPPLEMENTAIRES QUESTIONS REPONSES AUTORITAIRES INFORMATIONS SUPPLEMENTAIRES

29 Format des requêtes/réponses Identification (16 bits): pour associer une réponse à une requête Flags (16 bits): 1 QR : Question = 0, Réponse = 1 2 OPCODE (3 bits) 0 question standard / 1 question inverse / 2 requête de statuts du serveur 5 AA: = 1 Authorative Answer 6 TC : = 1 Truncated Response 7 RD: = 1 Recursion Desired sinon question itérative 8 RA : = 1 Recursion Allowed indique le support de la récursion 9 Reserved : = 0 10 AD Authentic Data 11 CD Checking Disabled 12 RCODE (4bits) Reponse Code 0 Pas d erreur. 1 Erreur de format, question non interprétable. 2 Problème sur le serveur. 3 Nom dans la question n existe pas 4 Type de la question n est pas supporté 5 Question refusée Réservées

30 Format des requêtes/réponses Question Nom Type Classe Nom 5 v e r d i 4 e n s t 2 f r 0 FQDN

31 Format des requêtes/réponses Type Symbole Valeur Description type type de demande A 1 Adresse IP x x NS 2 Nom du serveur de nom autoriaire x x CNAME 5 Nom canonique x x PTR 12 Pointeur x x HINFO 13 Information sur le host x x MX 15 Serveur de messagerie x x AXFR 252 Requête pour zone de transfert x ANY / * 255 Requête pour tous enregistrement x

32 Format des requêtes/réponses Class 1= (IN) Internet address 2 = Non attribué ou non supporté 3 = Réseau Chaos du MIT 4 = attribué au MIT pour Hesiod

33 Format des requêtes/réponses Réponse Nom Type Classe Durée de vie de la réponse (TTL) Longueur de la donnée Donnée

34 Example Démonstration et analyse de trafic Question: cb 4c 40 e d b9 c0 a8 00 0a d4 1b 36 fc ab a2 b c 63 6c

35 Example Démonstration et analyse de trafic Question: 0007 cb 4c 40 e d b9 c0 a8 000a d4 1b 36 fc aba2 b c 636c Ethernet / IP /UDP/ DNS

36 Example Démonstration et analyse de trafic Question: 0007 cb 4c 40 e d b9 c0 a8 000a d4 1b 36 fc ab a2 b c 636c ID /QR OPCODE AA TC RD/ RA Z RCODE

37 Example Démonstration et analyse de trafic Question: 0007 cb 4c 40 e d b9 c0 a8 000a d4 1b 36 fc ab a2 b c 636c QDCOUNT/ ANCOUNT / NSCOUNT / ARCOUNT

38 Example Démonstration et analyse de trafic Question: 0007 cb 4c 40 e d b9 c0 a8 000a d4 1b 36 fc ab a2 b c 636c www 3 lcl 3 fr 0 / TYPE/ CLASS

39 Example Démonstration et analyse de trafic Réponse: d cb 4c 40 e cd d4 1b 36 fc c0 a8 00 0a a2 b c 636c c0 0c e c0 10 c e c1 6e 9837

40 Example Démonstration et analyse de trafic Réponse: d cb 4c 40 e cd d4 1b 36 fc c0 a8 00 0a a2 b c 636c c0 0c e c0 10 c e c1 6e 9837 Ethernet/ IP/ UDP / DNS

41 Example Démonstration et analyse de trafic Réponse: d cb 4c 40 e cd d4 1b 36 fc c0 a8 00 0a a2 b c 636c c0 0c e c0 10 c e c1 6e 9837 ID/ QR OPCODE AA TC RD/ RA Z RCODE

42 Example Démonstration et analyse de trafic Réponse: d cb 4c 40 e cd d4 1b 36 fc c0 a8 00 0a a2 b c 636c c0 0c e c0 10 c e c1 6e 9837 QDCOUNT / ANCOUNT / NSCOUNT / ARCOUNT

43 Example Démonstration et analyse de trafic Réponse: d cb 4c 40 e cd d4 1b 36 fc c0 a8 00 0a a2 b c 636c c00c e c0 10 c e c1 6e www 3 lcl 3 fr 0 / TYPE/ CLASS

44 Example Démonstration et analyse de trafic Réponse: d cb 4c 40 e cd d4 1b 36 fc c0 a8 00 0a a2 b c 636c c0 0c e c0 10 c e c1 6e 9837 C0 0C = => Offset Ptr +12 (to 0x03)

45 Example Démonstration et analyse de trafic Réponse: d cb 4c 40 e cd d4 1b 36 fc c0 a8 00 0a a2 b c 636c c0 0c e c0 10c e c1 6e 9837 CNAME / Internet / TTL=8m / Size of Ptr Len/ Ptr

46 Example Démonstration et analyse de trafic Réponse: d cb 4c 40 e cd d4 1b 36 fc c0 a8 00 0a a2 b c 636c c0 0c e c0 10 c e c1 6e 9837 C0 0C = => Offset Ptr +16 (to 0x03)

47 Example Démonstration et analyse de trafic Réponse: d cb 4c 40 e cd d4 1b 36 fc c0 a8 00 0a a2 b c 636c c0 0c e c0 10 c e c1 6e 9837 TYPE/ CLASS/ TTL / Data Len /

48 Example dig ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0 ;; QUESTION SECTION: ; IN A ;; ANSWER SECTION: IN CNAME lcl.fr. lcl.fr. 417 IN A ;; Query time: 50 msec ;; SERVER: #53( ) ;; WHEN: Thu Dec 20 22:21: ;; MSG SIZE rcvd: 58

49 Résolution de nom inverse

50 Conclusions et remarques Protocole simple et flexible Déploiement et mise en œuvre rapide Adapté à plusieurs réseaux / usages (voir SPF dans le cours SMTP) Plusieurs attaques structurelles possibles Nécessité de laisser passer le trafic DNS (pas de filtrage) Exposé aux attaques mais suffisement robuste Talon d Achille de l Internet 9/11 twin towers (cfr. TD) Ne supporte pas tous types de ressources Évolutions RFC4423 (Host Identity Protocol, HIP) Internet of things?

51 Dynamic Host Configuration Protocol (DHCP)

52 Protocole DHCP DHCP Basé sur Bootp + extensions ( backward compatibility) RFC 2131 (updated 3396, 4361, 5494) Client/server, request/reponse Format PDU binaire sur UDP (port 67/68) Fonctionnalités Gestion centralisé de l allocation de ressource (addresses IP) Mise en place automatique de paramètres de configuration Addresse IP, netmask, default GW, DNS resolver

53 Protocole DHCP En brief: Le client émet en broadcast un paquet de type DHCPDISCOVER, pour identifier les serveurs DHCP disponibles Le serveur répond par un paquet DHCPOFFER (broadcast), qui contient les premiers paramètres Le client établit sa configuration et envoie un DHCPREQUEST pour valider son adresse IP Le serveur répond par un DHCPAK avec l adresse IP pour confirmer l attribution. OFFER ACK DISCOVER REQUEST OFFER

54 Protocole DHCP DHCP Discover Eth macc FF:FF:FF:FF:FF:FF IP UDP DHCP Type: Discover Transation ID: x Opts: Hostname, preferred IP DHCP Request Eth macc FF:FF:FF:FF:FF:FF IP UDP DHCP Type: Request Transation ID: x Opts: Hostname, IPoffered, DHCP server IPs C S Discover Offer Request Ack DHCP Offer Eth macs macc IP IPs IPoffered UDP DHCP Type: Offer Transaction ID: x Params: netmask, gw, DNS, lease time, DHCP Ack Eth macs macc IP IPs IPc UDP DHCP Type: Ack Transaction ID: x Params: mask, gw, DNS, lease

55 Protocole DHCP Baux DHCP (DHCP lease) Prêt d un adresse IP donnée pour une durée limitée (soft state) Demande (par le client) de prolongation du bail : DHCPREQUEST Optimisation des adresses IP en jouant sur la durée des baux Courte durée pour les réseaux où les ordinateurs se branchent et se débranchent souvent, Longue durée pour les réseaux constitués en majorité de machines fixes. Mode Client/Serveur Les clients : machines disposant du protocole TCP/IP, et d une application DHCP (pump, dhclient) Les serveurs : machines ou routeurs configurés manuellement disposant du service serveur DHCP (dhcpd) Fonctionne au-dessus d UDP; les échanges sont à l initiative des clients

56 Protocole DHCP Init/ Reboot Request Rebooting NACK Nack Decline Init Selecting Request Discover NACK NACK Collecte des messages Offers ACK Rejet des messages Offer/Ack/Nack Expiration bail Requesting ACK Bound ACK Renewing Rejet des messages Offer non valides ACK Rebinding Expiration du délai

57 Protocole DHCP Allocation d adresses IP Statique Dynamique Manuelle Adresse fixée par l administrateur Automatique Adresse fixée définitivement Dynamique Adresse prêtée pour une certaine durée (bail) DHCP

58 References Optional reading: D.Wessel and M. Fomenkov, Wow, that s a lot of packets, Passive and Active Measurement (PAM), dnspackets/wessels-pam2003.pdf

59 ?? //