R é s e a u x - Cours 4 et Service de Nom de Domaine (DNS) Cyril Pain - Barre IUT Informatique Aix-en-Provence

Transcription

1 R é s e a u x - Cours 4 T r a d d adresse u c t (NAT/PAT) i o n et Service de Nom de Domaine (DNS) Cyril Pain - Barre IUT Informatique Aix-en-Provence Semestre 2 - version du 25/3/2011 Cyril Pain-Barre NAT/PAT et DNS 1 / 53

2 NAT (Network Address Transl ) (RFC 2663 et 3022) Cyril Pain-Barre NAT/PAT et DNS 2 / 53

3 Saturation de l espace d adressage : cause L augmentation exponentielle du nombre d ordinateurs connectés à Internet a rapidement saturé l espace d adressage IP Phénomène dû aussi bien aux entreprises qu aux particuliers Côté entreprises : hébergent souvent des serveurs devant être joints en permanence leurs stations de travail ont aussi souvent besoin d accéder à tout moment à des services externes Côté particuliers : nombreux à avoir choisi un abonnement ADSL ou câble payé au forfait et qui restent connectés en permanence (que l attribution d adresse soit fixe ou dynamique) le prix des ordinateurs est tel qu une famille possède souvent plusieurs ordinateurs qui doivent tous accéder à Internet du point de vue FAI, une famille a les mêmes besoins qu une petite entreprise Si le CIDR a permis de régler en partie le problème, l espace d adressage IPv4 demeure insuffisant! Cyril Pain-Barre NAT/PAT et DNS 3 / 53

4 Saturation de l espace d adressage : effets La pénurie d adresses IPv4 s est traduite par la situation suivante : Il n est plus possibled attribuer une adresse IP `a chaque station connectée `a Internet. Dit autrement : Une organisation (entreprise/particulier) qui possède un certain nombre m de stations ayant besoin d un accès Internet n obtient généralement qu un petit nombre n d adresses IP dites publiques où Mais : n est bien plus petitque m (et peutm ê m e valoir 1!) En attendant le déploiement d IPv6, la technique de traduction d adresse NAT et en particulier sa variante PAT a développ é e pourpermettre` ces m stations d avoir accès Ìnternet. Cyril Pain-Barre NAT/PAT et DNS 4 / 53

5 Principe de la traduction d adresse Permettre `a n adresses publiques d être partagées par un grand nombre m de stations (périphériques réseau ). Po u r cela : il faut placer une NATBox qui doit ˆ le seul pointde passagee entre le Site NAT (réseau de l organisation) et le WAN(Internet) la NATBox est la seule qui possèdeet g è r e les n adresses publiques Site NAT NATBox WAN (Internet) n adresses publiques En schématisant, quand une station du Site NAT veut dialoguer avec l extérieur, elle passe par la NATBox qui utilisera (temporairement) l une des n adresses publiques Cyril Pain-Barre NAT/PAT et DNS 5 / 53

6 Quelques précisions une NATBox est un routeur avec les fonctionnalités NAT (la plupart des routeurs, et les *box des F A I ) les stations du Site NAT n ont pas connaissance des adresses publiques de la NATBox et ne les utilisent pas mais ont des adresses privées qu il est fortement conseillé de prendre dans les plages d é fi n i e s par la RFC 1918 : /8 soit adresses (de `a ) /12 soit adresses (de `a ) /16 soit adresses (de `a ) Site NAT réseau privé /8 partie "invisible" pour Internet NATBox n adresses publiques WAN (Internet) Po u r les stations du W A N,seules les n adresses de la NATBox existent et le Site NAT avec ses adresses privées est invisible. Cyril Pain-Barre NAT/PAT et DNS 6 / 53

7 Précisions (suite) à l interieur du Site NAT, les stations communiquent entre elles en utilisant leurs adresses privées sans le NAT, un message envoyé ` l extérieur ne pourrait avoir de r é p o n s e car les adresses pr i v é e s ne sont pas routables dans le W A N la NATBox doit traduire (remplacer) dans un tel message, l adresse privée par une adresse publique, et inversement pour la réponse Sur un routeur CISCO, on définit les adresses publiques ùtiliser pour la traduction (dynamique) dans un pool. Exemple : ip nat pool adrpub netmask définit un poolde 5 adresses publiques nommé adrpub Cyril Pain-Barre NAT/PAT et DNS 7 / 53

8 NAT et la discussion interne La station A ( ) veut discuter avec la station B ( ) : le dialogue et interne, la NATBox n est pas concernée par ce trafic les datagrammes contiennent les adresses de A et de B A C IP réseau Sourceprivé IP /8 Dest NATBox (pool à ) B Internet Cyril Pain-Barre NAT/PAT et DNS 8 / 53

9 NAT et la discussion avec l extérieur A ( ) veut discuter avec la station externe C ( ) : 1 A envoie le datagramme qui parvient au routeur (NATBox) 2 la NATBox remplace l adresse source (privée) par une adresse publique disponible ( ), enregistre une association ( , ) dans sa table de traductions, et transmet le datagramme vers C 3 C r é p o n d ` l adresse source du datagramme a ( ) 4 la NATBbox reçoit le datagramme, consulte sa table de traductions, trouve l association ( , ), remplace l adresse destination par et retransmet le datagramme À A IP Source réseau privé /8 IP Dest B NATBox (pool à ) Internet C Cyril Pain-Barre NAT/PAT et DNS 9 / 53

10 NAT et la discussion avec l extérieur A ( ) veut discuter avec la station externe C ( ) : 1 A envoie le datagramme qui parvient au routeur (NATBox) 2 la NATBox remplace l adresse source (privée) par une adresse publique disponible ( ), enregistre une association ( , ) dans sa table de traductions, et transmet le datagramme vers C 3 C r é p o n d ` l adresse source du datagramme a ( ) 4 la NATBbox reçoit le datagramme, consulte sa table de traductions, trouve l association ( , ), remplace l adresse destination par et retransmet le datagramme À A réseau privé / B NATBox (pool à ) IP Source IP Dest. Internet C Cyril Pain-Barre NAT/PAT et DNS 10 / 53

11 NAT et la discussion avec l extérieur A ( ) veut discuter avec la station externe C ( ) : 1 A envoie le datagramme qui parvient au routeur (NATBox) 2 la NATBox remplace l adresse source (privée) par une adresse publique disponible ( ), enregistre une association ( , ) dans sa table de traductions, et transmet le datagramme vers C 3 C r é p o n d ` l adresse source du datagramme a ( ) 4 la NATBbox reçoit le datagramme, consulte sa table de traductions, trouve l association ( , ), remplace l adresse destination par et retransmet le datagramme À A réseau privé / B NATBox (pool à ) IP Source IP Dest Internet C Cyril Pain-Barre NAT/PAT et DNS 11 / 53

12 NAT et la discussion avec l extérieur A ( ) veut discuter avec la station externe C ( ) : 1 A envoie le datagramme qui parvient au routeur (NATBox) 2 la NATBox remplace l adresse source (privée) par une adresse publique disponible ( ), enregistre une association ( , ) dans sa table de traductions, et transmet le datagramme vers C 3 C r é p o n d ` l adresse source du datagramme a ( ) 4 la NATBbox reçoit le datagramme, consulte sa table de traductions, trouve l association ( , ), remplace l adresse destination par et retransmet le datagramme À A réseau privé / B IP Source IP Dest NATBox (pool à ) Internet C Cyril Pain-Barre NAT/PAT et DNS 12 / 53

13 T e r m du NAT i n o l o g i e Issue de CISCO, la terminologie fait la distinction entre : les adresses globales : adresses publiques routables (sur Internet) car elles ont une signification `a portéeglobale les adresses locales : n ont un sens que localement, dans le Site NAT Selon où l on se trouve, on utilise l un de ces ty p e s d adresses : `a l intérieur (inside) du Site NAT, on utilise des adresses locales `a l extérieur (outside), on utilise des adresses globales adresses locales adresses globales NATBox Site NAT Internet Intérieur (inside) localement, les adresses des messages sont libres Extérieur (outside) à l extérieur, les adresses doivent être publiques Cyril Pain-Barre NAT/PAT et DNS 13 / 53

14 T e r m du NAT i (2) n o l o g i e Les messages passant la frontière inside/outside sont modifiés par la NATBox qui en traduit les adresses : pourles messages sortants (inside outside) : les adresses locales sont traduites en adresses globales pourles messages entrants (inside outside) : les adresses globales sont traduites en adresses locales adresses locales adresses globales NATBox Site NAT Internet adresses locales Intérieur (inside) adresses globales Extérieur (outside) Cyril Pain-Barre NAT/PAT et DNS 14 / 53

15 T e r m du NAT i (3) n o l o g i e On ajoute les qualificatifs d interne et d externe : les adresses internes (inside) sont celles maîtrisées par l administrateur du Site NAT les adresses externes (outside) font référence `a des hôtes situés sur le WANet qui possèdent(en principe ) des adresses publiques On distingue donc en réalitéles 4 types d adresses suivantes : adresses locales internes ou ALI (inside local address) : les adresses (en principeprivées) des hôtes du Site NAT adresses globales internes ou AGI (inside global address) : les adresses publiques de la NATBox adresses locales externes ou ALE (outside local address) : les adresses des hôtes du W A Nvues par les hôtes du LAN adresses globales externes ou AGE (outside global address) : les adresses des hôtes du W A N Cyril Pain-Barre NAT/PAT et DNS 15 / 53

16 Schéma généralde la traduction NAT La NATBox traduit les adresses source (AS) et destination (AD) des messages qui franchissent la frontière inside/outside : message sortant AS : adresse locale interne AD : adresse locale externe Site NAT NATBox AS : adresse globale interne AD : adresse globale externe Internet AS : adresse locale externe AD : adresse locale interne Intérieur (inside) message entrant AS : adresse globale externe AD : adresse globale interne Extérieur (outside) Dans le cadre du NAT, les AS et les AD sont des adresses IP. Dans sa variante PAT il s agit, d adresses d applications. Dans le cas normal (hors overlapping), les adresses externes ne sont pas traduites (adresse locale externe adresse globale externe). Cyril Pain-Barre NAT/PAT et DNS 16 / 53

17 T r a insided u et outside c t i o n s On peutindiquer `a la NATBox les traductions `a opérer traduction inside : traduire les adresses internes (inside) AS : adresse locale interne Site NAT AD : adresse locale interne sortant entrant Dans le cas normal, c est la seule nécessaire. AS : adresse globale interne Internet AD : adresse globale interne traduction outside : traduire les adresses externes (outside) AD : adresse locale externe Site NAT AS : adresse locale externe sortant entrant AD : adresse globale externe Internet AS : adresse globale externe Cette traduction n est utile qu en cas d overlapping ou les deux ` la fois (réalisé en pratique pourtraiter l overlapping) Cyril Pain-Barre NAT/PAT et DNS 17 / 53

18 Overlapping (chevauchement d adresses) Cas de l intersection non vide des AG E et des ALI. Par exemple, une entreprise a changé d adresse de réseau (ou de fournisseur) mais n a pas encore reconfiguré ses stations. En attendant de le faire, elle met en place du NAT avec le pooldes nouvelles adresses, mais il faut traiter le fait que les ALI sont probablement et légitimementréutiliséespar des stations externes. Autre exemple, une entreprise a eu la mauvaise idée de ne pas utiliser les adresses privées pour son site NAT. Les adresses qu elle a choisies pourses ALI sont d é j à utilisées dans le W A N (AGE). Sans traduction des adresses externes, il y aurait ambiguïté car une même adresse désignerait`a la fois une station interne et une station externe. Cyril Pain-Barre NAT/PAT et DNS 18 / 53

19 Variantesdu NAT Avec n adresses publiques, plusieurs variantes sont possibles/combinables: NAT statique : n stations choisies du Site NAT ont accès `l extérieur (traductions ALI AGI fixées par avance) NAT dynamique : m stations (voire toutes) du Site NAT sont autorisées accéder `a l extérieur. Les AGI leur sont associées dynamiquement et temporairement. PATdynamique : plusieurs milliers de stations peuvent partager une seule AGI (adresse publique). La variante du NAT la plus utilisée. PATstatique : surtout utilisée pourpermettre`a des serveurs internes d être joints depuis l extérieur auxquelles ont peut ajouter le traitement de l overlapping. Cyril Pain-Barre NAT/PAT et DNS 19 / 53

20 La traduction statique (ou 1 pour 1) Associer de manière fixe et permanenteune AG I ` une ALI. a Surtout utilisée si le Site NAT dispose m serveurs devant âccessibles depuis l extérieur : réserver m adresses parmi les n adresses publiques ces m adresses ne pourrontplus servir ` la traduction dynamique a configurer la NATBox avec m traductions statiques de type : (adresse globale interne, adresse locale interne) Exemple (partiel) d activation sur un routeur CISCO : # ip nat inside source static associe statiquement l ALI et l AGI Cette association est permanenteet apparaît dans la table des traductions : # show ip nat translations Pro Inside global Inside local Outside local Outside global Cyril Pain-Barre NAT/PAT et DNS 20 / 53

21 T r a des i messages t e pour m lae traduction n t statique Message sortant : adresse source traduite ALI AGI si l association statique (AGI, ALI) existe, sinon il est rejeté Exemples : où seule la traduction statique ( , ) existe AS AS AD réseau privé / AD Internet NATBox table des traductions AGI ALI (statique) AS AD réseau privé / NATBox ERREUR table des traductions AGI ALI Internet (statique) Message entrant : adresse destination traduite AGI ALI si l association statique (AGI, ALI) existe, sinon il est rejeté (cette AGI est gérée mais non associée par la NATBox) AS AD réseau privé / AS AD NATBox Internet réseau privé / AS AD Internet NATBox ERREUR table des traductions AGI ALI (statique) table des traductions AGI ALI (statique) Cyril Pain-Barre NAT/PAT et DNS 21 / 53

22 La traduction dynamique NAT (ou m pourn) (m > n) Associer dynamiquement l une des n AG I ` l une des m ALI a autorisées lorsque nécessaire. Seules n stations auront un accès extérieur en m ê m e temps : configurer la NATBox pourautoriser les m hôtes `a discuter avec l extérieur et définir le pooldes n AGI qui seront utilisées lorsqu une sation autorisée entame un dialogue avec l extérieur, lui associer temporairement une AGI disponible l association prend fin après un certain temps d inactivité l AGI est alors remise dans le pool d adresses disponibles Aucune association ne peutˆe créée par un message entrant. Mais tant que l association (AGI, ALI) n a pas expiré, l hôte est accessible aux stations externes par l AGI. Les traductions dynamiques apparaissent comme les traductions statiques dans la table des traductions mais leur durée de vie (TTL) est limitée. Cyril Pain-Barre NAT/PAT et DNS 22 / 53

23 NAT dynamique : exemples Message sortant : association créée ou réutiliséepour les ALI autorisées uniquement (ici, ) AS AD réseau privé /8 pool à AS autorisée AD Internet pool ERREUR à autorisée AS réseau privé AD / Internet NATBox NATBox table des traductions AGI ALI (statique) (dynamique) table des traductions AGI ALI (statique) (dynamique) Message entrant : accepté et traduit uniquement si association existante pour l AGI AS AD AS réseau privé AD / Internet NATBox table des traductions AGI ALI (statique) (dynamique) AS AD réseau privé / Internet NATBox ERREUR table des traductions AGI ALI (statique) (dynamique) Cyril Pain-Barre NAT/PAT et DNS 23 / 53

24 NAPT (Network Address PortTransl ) ou P A T (à nouveau RFC 2663 et 3022) Cyril Pain-Barre NAT/PAT et DNS 24 / 53

25 Caractéristiques du PAT Alors que NAT limite l accès simultané `a l extérieur (Internet) `a n stations si l on dispose de n AG I, le P A Tpermetcet accès `a plusieurs milliers de stations m ê m e si n est r é d u i t `1 Les *box des F A utilisent I le PATpour permettre`plusieurs ordinateurs d un foyer (ou d une TPE) d accéder Ìnternet, puisqu un foyer ne possèdequ une seule adresse IP Le PATest normalisé pour fonctionner avec des datagrammes IP contenant des messages ICMP, UDP ou TCP Pour d éventuels autres protocoles, des solutions peuvent ˆ mises en place mais ce n est pas normalisé C est la variante la plus utilisée du NAT. Cyril Pain-Barre NAT/PAT et DNS 25 / 53

26 Fonctionnementdu PAT Le PATgère et traduit des adresses d application, là où le NAT crée et gère des associations (AGI, ALI) avec des adresses IP Rappel : les adresses d application sont des triplets (IP, Protocole, Po r t ) La NATBox (PAT) associe une adresse d application globale ùne application d un hôte interne qui entame un dialogue avec l extérieur Pour cela, comme les adresses IP, les ports sont aussi traduits. Une association a alors la forme : où (Protocole, ALI:PLI, A G I :P G I ) Protocole : est UDP, TCP ou ICMP PLI (Port Local Interne) : est le port utilisé par l application locale PGI (Port Global Interne) : est le port associé pour l adresse globale de l application T o le u bénéfice t du P A Tréside dans la traduction des ports: pourun Protocole donné, en attribuant un PGI différent aux applications ay a n t besoind un accès externe, une seule AG I suffit! Cyril Pain-Barre NAT/PAT et DNS 26 / 53

27 P A : Exemple T avec AGIunique La NATBox ne possède qu une seule AGI qu elle partage avec les hôtes du Site NAT : TCP (S) : autorisée réseau privé (D) :22 (S) : /8 (D) : NATBox table des traductions Proto Inside global Inside local tcp : :15001 TCP Internet un client SSH de se connecte au serveur SSH externe Cyril Pain-Barre NAT/PAT et DNS 27 / 53

28 P A : Exemple T avec AGIunique La NATBox ne possède qu une seule AGI qu elle partage avec les hôtes du Site NAT : (S) :15002 (S) :15001 (D) :25 réseau privé autorisée (D) : / NATBox table des traductions Proto Inside global Inside local tcp : :15001 tcp : :15001 TCP TCP Internet un client SMTP de se connecte au serveur SMTP externe Cyril Pain-Barre NAT/PAT et DNS 28 / 53

29 P A : Exemple T avec AGIunique La NATBox ne possède qu une seule AGI qu elle partage avec les hôtes du Site NAT : (S) :22 réseau privé (D) : /8 (D) : NATBox table des traductions Proto Inside global Inside local tcp : :15001 tcp : :15001 TCP TCP (S) :22 Internet le serveur SSH r é p o n d ` la NATBox qui transmet au client de Cyril Pain-Barre NAT/PAT et DNS 29 / 53

30 PAT : Exemple avec AGI unique La NATBox ne possède qu une seule AGI qu elle partage avec les hôtes du Site NAT : (S) :25 (S) :25 (D) :15001 réseau privé (D) : / NATBox table des traductions Proto Inside global Inside local tcp : :15001 tcp : :15001 TCP TCP Internet le serveur SMTP répond à la NATBox qui transmet au client de Cyril Pain-Barre NAT/PAT et DNS 30 / 53

31 P A : Filtrage T des messages entrants Un message entrant ne peut créer d association dans la table des traductions : seul un message sortant peut le faire Un message entrant n est accepté et traduit que s il fait partie d un dialogue en cours Outre les associations en cours, les dialogues doivent ênregistrés et notamment les adresses des applications externes Quand un message entrant arrive, la NATBox vérifie que les adresses d application correspondent `a celles d un dialogue existant Exemple : les adresses des applications externes des 2 connexions pr é c é d e n t e s figurent en réalitédans la table des traductions. Les messages entrants réseau privé qui n appartiennent / NATBox pas ` ces connexions a sont rejetés. Proto Inside global TCP (S) :22 (D) :15001 ERREUR Internet table des traductions Inside local tcp : :15001 tcp : :15001 Outside : :25 Cyril Pain-Barre NAT/PAT et DNS 31 / 53

32 Fonctionnementdu PAT pouricmp ICMP ne fournit pas de ports Les messages d erreur ICMP contiennent toutefois les en-têtes IP et TCP/UDP des datagrammes en cause et peuvent donc ˆtraduits Les messages ICMP de demande (ECHO, Horodatage, etc.) contiennent un identificateur L identificateur est traduit comme s il s agissait d un port.une traduction PATpour un message ICMP (hors messages d erreur) envoyé vers l extérieur par une ALI aura donc la forme suivante : (ICMP, A G I :I G I, ALI:ILI) où ILI est l Identificateur Local Interne et IGI est l Identificateur Global Interne Ainsi la réponse, qui aura comme IP destination l AGI et comme identificateur IGI pourraˆet traduite retransmise `l ALI correspondante Comme pourtcp et UDP, les adresses externes sont enregistrées, et les messages entrants ICMP et ` un dialogue en cours a sont rejetés Cyril Pain-Barre NAT/PAT et DNS 32 / 53

33 P A de T messages ICMP sortants (hors erreurs) depuis : requête ping (ECHO REQUEST) d identificateur (ILI) 0 : ICMP réseau privé (S) : /8 (D) (S) : autorisée (D) NATBox ICMP Internet table des traductions Proto Inside global Inside local Outside icmp : : :0 depuis : autre requête ping d identificateur 0 : ICMP (S) :0 (D) réseau privé / (S) : autorisée (D) NATBox ICMP Internet table des traductions Proto Inside global Inside local Outside icmp : : :0 icmp : : :1 La NATBox a traduit l ILI (0) avec un IGI libre (1) Cyril Pain-Barre NAT/PAT et DNS 33 / 53

34 Schéma généralde la traduction PAT Avec le P A T on, utilise aussi les PLE (Po r t Local Externe) et les PGE (Port Global Externe). On distingue les deux adresses suivantes pour une application externe pourun protocole donné (UDP, TCP, ICMP) : ALE:PLE : son adresse vue par un hôte du Site NAT AGE :PGE : son adresse dans le WAN (Internet) Pour des messages d un même protocole (UDP, TCP, ICMP), le schéma général de la traduction PATest : Proto Proto (source) (dest.) (source) (dest.) ALI:PLI ALE:PLE Site NAT ALE:PLE ALI:PLI Intérieur (inside) message sortant NATBox message entrant Proto Proto (source) (dest.) (source) (dest.) AGI:PGI AGE:PGE Internet AGE:PGE AGI:PGI Extérieur (outside) Sauf en cas d overlapping, les adresses externes ne sont pas traduites : ALE AGE et PLE PGE Cyril Pain-Barre NAT/PAT et DNS 34 / 53

35 T a deb traductions l e complète La table des traductions contient en réalité toutes ces adresses Exemple : la table ci-dessous montre les traductions pourles deux connexions TCP des exemples précédents et les deux dialogues ICMP (ping) : # show ip nat translations Pro Inside global Inside local Outside local Outside global tcp : : : :22 tcp : : : :25 icmp : : : :0 icmp : : : :1 Seules sont traduites les adresses internes (Inside global et Inside local) : les adresses externes (Outside local et Outside global) restent les mêmes. Ceci car la traduction demandée est inside (interne). Po u r que les adresses externes soient traduites (cas d overlapping), il faut aussi opérer une traduction outside. Cyril Pain-Barre NAT/PAT et DNS 35 / 53

36 Gestion de la table des traductions/dialogues en cours Po u r les variantes dynamiques du NAT et du P A T la, NATBox doit maintenir un et des dialo sessions) en cours : connexions TCP dialogues avec UDP dialogues avec ICMP (essentiellement ping) car les adresses globales internes temporairement allouées doivent ˆetre rendues `a nouveau disponibles dès que possible: pourle NAT : l AGI associée ` une ALI devra ˆ ` nouveau disponiblee a lorsque les dialogues de l ALI avec l extérieur sont terminés pourle P A T: les couples AG I : P G I (de TCP et ceux d UDP) et AG I : I G I (ICMP) doivent ˆet aussi restitués lorsque les applications ont terminé leur dialogue La NATBox doit d é t e c t e r la fin des dialogues en cours, afin de pouvoir réallouerdès que possible les adresses globales internes. Cyril Pain-Barre NAT/PAT et DNS 36 / 53

37 Détectionde la fin d un dialogue C est un pr o b l è m e difficile auquel il n y a pas de solution t Po u r une connexion TCP : les deux côtés ont envoyé leur segment FIN un côté ` envoyé un segmenta RST mais rien ne dit qu ils l ont reçu : la connexion est considérée comme close un certain temps (configurable) après l une de ces situations Po u r un dialogue UDP ou ICMP : cela dépendant des (protocoles d ) applications le dialogue est considéré comme terminé si aucun datagramme le concernant n arrive `a la NATBox pendantun certain temps (configurable) la NATBox peutdisposer d un module reconnaissant les protocoles d application concernés et la fin de leurs dialogues Cyril Pain-Barre NAT/PAT et DNS 37 / 53

38 P A statique T et redirection de port(portforwarding) Comment un serveur du Site NAT peut-ilˆ contacté depuis l extérieur e? Rappel : le P A T(dynamique) filtre les messages entrants, et on ne peut contacter un serveur du Site NAT depuis l extérieur Une traduction PATstatique permet`a l extérieur d initier un dialogue Exemple : la règle suivante sur la NATBox ajoute une entrée statique dans la table qui permet` l extérieur de se connecter au serveur SMTP de la station : # ip nat inside source static tcp # show ip nat translations Pro Inside global Inside local Outside local Outside global tcp : : Ainsi, les segments TCP destinés au port25 de la NATBox seront redirigés (traduits) vers le serveur Certaines NATBox permettent de configurer des redirections de plages de port vers d autres plages, ainsi que les adresses externes autorisées Cyril Pain-Barre NAT/PAT et DNS 38 / 53

39 Effets de la traduction sur les autres protocoles La traduction opérée par le NAT/PAT doit ˆe transparente, autant pourles ordinateurs que les protocoles de TCP/IP Or, la modification des adresses/ports source et destination n est pas anodine pourde nombreux protocoles comme IP, ICMP, TCP, UDP, FTP, et bien d autres : IP, TCP et UDP incluent les adresses IP dans le calcul de leur Checksum TCP et UDP y incluent aussi les portset les données (voir FTP) Les messages d erreur d ICMP (types 3 `a 5 et 11) contiennent une partie (au moins en-têtes IP et TCP/UDP) des datagrammes ayant provoqué l erreur FTP envoie, dans la commande PORT et en r é p o n s e de la commande P A S une V, adresse d application `a utiliser pour e une connexion de données La NATBox doit en tenir compte et modifier tous les messages des protocoles qui utilisent les informations qu elle traduit! Cela implique parfois de constamment modifier les numéros de séquence et d acquittement d une connexion TCP... Cyril Pain-Barre NAT/PAT et DNS 39 / 53

40 Le DNS (Domain Name Service) (RFC 1034 et 1035) Cyril Pain-Barre NAT/PAT et DNS 40 / 53

41 Introduction Se rappeler d une adresse IP est assez difficile, ex : Mais alors de plusieurs ( , ,... ), c est franchement pénible! En revanche, retenir des noms comme allegro.iut.univ-aix.fr, c est bien plus facile C est pourquoile DNS existe : il permetde nommer des ordinateurs et de r eso noms en adresses IP : en en allegro.iut.univ-aix.fr en et inversement (résolution inverse) Cyril Pain-Barre NAT/PAT et DNS 41 / 53

42 Origine du DNS Au début d internet, l espace de noms e admettait p l des noms de ty p e : serveur capucine gandalf... et centralisé : géré par le NIC (Network Information Center) puis plus tard par l INTERNIC (Internet Information Center) mais la multiplicité des ordinateurs connectés et nommés a rendu la gestion trop lourde et un nom pr i s ne pouvaitplus ˆ utilisé e ce qui s est traduit par l utilisation de noms de plus en plus obscurs : serveurbis, gandalfsecond, etc. Cyril Pain-Barre NAT/PAT et DNS 42 / 53

43 DNS : espace de noms hiérarchisé et décentralisé Avec le DNS, l espace de noms est or g a n i s é en une hiérarchie au sommet de laquelle figure la racine et immédiatement en dessous les TLD (T o p - Domain) L e v oue domaines l de niveau supérieurs : racine... com edu org fr uk top level domains L ICANN (Internet Corporation for Assigned Names and Numbers) a en charge la création des TLD et a créé notamment les TLD suivants : com : entreprises commerciales edu : d enseignemente t a org : organisations diverses un TLD par code pays sur 2 lettres (norme ISO 3166) : fr : Fr ance uk : Royaume-Uni de : Allemagne tv : ˆ T u v a (qui l ı u en pr o fi t e bien. l.. ) e Cyril Pain-Barre NAT/PAT et DNS 43 / 53

44 DNS : délégationde gestion de (sous-)domaine L ICANN a ensuite délégué la gestion des sous-domaines des TLD ` des entreprises ou organisations gouvernementales : com et net ` la société VeriSign a edu, org et autres ` l INTERNIC a fr et re ( de ˆ la ı r é u n i o l n ) ` l AFNIC e (Association Française pourle Nommage Internet en Coopération) etc. Ces gestionnaires vendent (parfois via des registrars) les sous-domaines de leurs TLD et en d é l è g u e n t la gestion ` leurs acheteurs : a google.com free.fr gouv.fr univ-aix.fr Le propriétaired un sous-domaine peutensuite le décliner`sa guise afin de nommer des ordinateurs et/ou de créer des sous-sous-domaines : (ordinateur) smtp.free.fr (ordinateur) hd.free.fr (sous-sous-domaine) Cyril Pain-Barre NAT/PAT et DNS 44 / 53

45 Achat/Dépôt d un sous-domaine Se fait généralement pourune durée limitée (1 `a 10 ans) auprès d un registrar Doit ˆetr associé `a l identité l adresse postaled une personnequi doit fournir 3 types d informations : Administrative Contact : responsable du sous-domaine Billing Contact : payeur du sous-domaine T e c h Contact n i c : a responsable l technique du sous-domaine le tout pouvantˆ la m ê m e personnee t Ces informations sont publiques et consultables par tout le monde : sous Unix, en utilisant la commande whois sur le We b, grâce ` des serveurs WHOIS a (ex : Cyril Pain-Barre NAT/PAT et DNS 45 / 53

46 DNS : terminologie Le terme domaine désigne à la fois un domaine, un sous-domaine, etc : fr, univ-aix.fr et iut.univ-aix.fr sont des domaines Le nom d un domaine ne doit pas dépasser 63 caractères Les seuls caractères autorisés sont les lettres a-z, les chiffres 0-9 et le tiret - Le DNS est insensible à la casse : iut.univ-aix.fr IUT.Univ-Aix.fr Les points séparent des labels : iut.univ-aix.fr est composé des 3 labels iut, univ-aix et fr On ne peut distinguer un domaine d un nom d ordinateur : allegro.iut.univ-aix.fr est un domaine (correspondant à un ordinateur) Un nom complètement qualifié ou FQDN (Fully Qualified Domain Name) est un domaine contenant sa position dans la hiérarchie et devrait se terminer par un point : univ-aix.fr. allegro n est pas un FQDN mais allegro.iut.univ-aix.fr. oui Cyril Pain-Barre NAT/PAT et DNS 46 / 53

47 DNS : base de données répartie,efficace et fiable Un dépositairede domaine doit mettre `a disposition au moins 2 serveurs de noms (sur des réseaux en principedifférents) chargés de répondre aux requêtes concernant les noms locaux Les relations (non physiques) entre les différents serveurs peuvent ˆ illustrées ainsi (en ne prenant qu un serveur par domaine) : Les serveurs de noms d un domaine doivent connaître les serveurs de noms du domaine parent et des domaines fils serveur racine serveur pour com serveur pour org... serveur pour fr serveur pour serveur pour serveur pour serveur pour google.com lsis.org free.fr univ aix.fr serveur pour hd.free.fr serveur pour iut.univ aix.fr Cyril Pain-Barre NAT/PAT et DNS 47 / 53

48 DNS : base de données répartie,efficace et fiable Un serveur de noms peut gérer un domaine ainsi que plusieurs sous-domaines Par exemple, un registrar peut gérer lui-même les domaines qu il vend Les schéma en est réduit d autant et moins de serveurs seront sollicités pourr é s o u d r e un nom : serveur racine serveur pour com serveur pour org... serveur pour fr serveur pour google.com serveur pour lsis.org serveur pour free.fr et hd.free.fr serveur pour univ aix.fr et iut.univ aix.fr Cyril Pain-Barre NAT/PAT et DNS 48 / 53

49 DNS : la résolutionde noms T o hôte u t doit connaître au moins un serveur de noms (en principede son domaine mais ce n est pas une obligation) Sur un hôte, le client DNS effectuant la résolutionde noms est appelé solveur de noms Po u r r é s o u d r e un nom, il a deux possibilités: résolution récursive : demander `a son serveur de le r é s o u d r e et si le serveur ne connaît pas la réponse, il contactera un autre serveur, etc., et la réponse reviendra résolution itérative : demander `a son serveur de le r é s o u d r e et si le serveur ne connaît pas la réponse, il lui dira quel serveur est susceptible de la connaître. Le solveur contactera alors ce serveur, etc., jusqu à contacter un serveur en mesure de lui répondre Cyril Pain-Barre NAT/PAT et DNS 49 / 53

50 Situation du DNS dans TCP/IP Le DNS est un protocole d application DNS peut utiliser indépendamment UDP ou TCP Pour la quasi-totalité des requêtes DNS, c est UDP qui est utilisé car il est rapide Mais certaines requêtes engendrent des réponses longues (supérieures `a 512 octets): dans ce cas, TCP est utilisé IP Les serveurs DNS ont un portréservé en UDP et TCP : le 53 UDP DNS TCP Cyril Pain-Barre NAT/PAT et DNS 50 / 53

51 Utilisation de caches DNS Lorsqu un serveur DNS a réaliséune résolutionrécursive, il enregistre la réponse obtenue dans un cache Si un autre client lui posela m ê m e question, il utilisera son cache pour répondre mais indiquera dans la réponse qu il n avait pas autorité pour répondre (Non-authoritative answer) et précisera auprès de quel serveur le client peut espérer une réponse ferme Une entrée dans le cache ` une durée de vie (TTL) qui a indiquée dans la réponse reçue par le serveur Elle sera enlevée du cache lorsque sa durée de vie expirera Cyril Pain-Barre NAT/PAT et DNS 51 / 53

52 Le différentes informations d une base DNS Le DNS ne se limite pas ` la simple résolutionde a noms Différents types d informations sont gérés par un serveur et ont un code. En particulier : A : Adresse IPv4 d ordinateur AAAA : Adresse IPv6 d ordinateur MX : (Mail exchanger) adresse du serveur SMTP du domaine. Il peuty en avoir plusieurs, chacun avec une priorité (le plus petitest prioritaire ) CNAME : nom canonique pourun alias (autre nom pourle domaine) NS : (Name Server) nom d un serveur de noms du domaine PTR : lien vers un autre nom de domaine. Utilisé surtout pourla résolution inverse SOA : (Start Of Authority) plusieurs paramètres concernant le domaine : nom du serveur pri m ai re de la zone adresse mail du responsable, est remplacé par. (point) durée de vie des enregistrements fournis et autres choses Une requête `a un serveur de noms précise le type d information voulue en réponse (ou ANY). Cyril Pain-Barre NAT/PAT et DNS 52 / 53

53 La résolutioninverse La résolutioninverse consiste `a obtenir le FQ D N d un hôte `partir de son adresse IP Exemple : traduire en allegro.iut.univ-aix.fr Pour cela, il faut déclarer un champ PTR pour l ordinateur : in-addr.arpa. IN PTR allegro.iut.univ-aix.fr. le serveur de noms doit aussi gérer le sous-domaine de in-addr.arpa correspondant soit w.x.y.z l adresse d un ordinateur, alors le serveur doit gérer : w.in-addr.arpa. si le réseau est de classe A x.w.in-addr.arpa. si le réseau est de classe B y.x.w.in-addr.arpa. si le réseau est de classe C Cyril Pain-Barre NAT/PAT et DNS 53 / 53