Úvod do počítačových sítí: síťová část: kartičky

https://www.warriorsofthe.net

souhrn 1

...
jak se projevilo to, že vznik sítí iniciovala armáda?
- nijak, data proudí nezabezpečeně
jaká je definice LAN?
- žádná; lokální sítě LAN bývají většinou privátní
VPN – geografické rozšíření privátní sítě

adresování počítačů

na fyzické vrstvě se nepoužívají adresy
na linkové vrstvě se používají fyzické, MAC adresy

adresování služeb

v URI není protokol, ale schéma (které je někdy totožné s názvem protokolu)

souhrn 1

o přidělování IP adres rozhoduje správa sítě
router zajišťuje směrování požadavků a odpovědí

kryptografie

symetrické šifrování
- pro zašifrování a dešifrování se používá stejný klíč
- rychlé, vhodné na velká data
- neřeší problém přenosu klíče
asymetrické šifrování
- veřejný a tajný klíč
- netřeba přenášet tajný klíč, veřejný klíč naopak netřeba tajit
- pomalé algoritmy
- problém autenticity veřejného klíče – je potřeba ověřit, že daný veřejný klíč opravdu patří danému člověku
hashovací funkce
- vytvoření otisku dat
- není možné data z hashe zpětně odvodit
- nalezení dat se shodným hashem je obtížné
- kryptografické hashovací funkce mají dodatečné bezpečnostní mechanismy
šifrování dat v praxi
- data se šifrují symetricky pomocí náhodného klíče
- symetrický klíč se šifruje asymetricky
elektronický podpis
- hash dat se zašifruje tajným klíčem odesilatele
- příjemce hash dešifruje pomocí veřejného klíče odesílatele a porovná ho s vlastnoručně spočítaným hashem
Diffie-Hellmanův algoritmus – výměnou informací veřejným kanálem lze získat sdílenou tajnou informaci
autenticita veřejných klíčů
- lze ověřit z více nezávislých zdrojů
- klíč mi ověří někdo, jehož klíč mám ověřený
- veřejně uznávaná certifikační autorita
certifikát
- klíč doplněný o identifikaci vlastníka a podepsaný vydavatelem
- řetěz certifikačních autorit – alespoň nejvýše postavené autoritě bych měl věřit
SSL, TLS – mezivrstva mezi transportní a aplikační vrstvou umožňující autentikaci a šifrování
aplikační vrstva TCP/IP
- spojuje funkce OSI 5, 6 a 7 – pravidla komunikace mezi klientem a serverem, stav dialogu, interpretaci dat
- na aplikační vrstvě definuje formát zpráv, průběh dialogu atd.
DNS
- překlad jmen na adresy a naopak
- protokol nad UDP (obvykle) i TCP (větší dotazy)
- nameservery
- jednotkou dat je záznam – SOA (info o doméně), NS (nameserver), A (IPv4 adresa počítače), AAAA (IPv6 adresa počítače), PTR (doménové jméno počítače), CNAME (kanonické jméno počítače – k aliasu), MX (poštovní server)
servery DNS
- typy – primární (záznamy o doméně), sekundární (kopie dat o doméně), caching-only (jen nevyřešené dotazy)
- každá doména musí mít alespoň jeden nameserver
- aktualizaci zónové databáze vyvolává sekundární server, je ale možné z primárního serveru signalizovat její potřebu
vyřizování DNS dotazu
- klient se zeptá lokálního nameserveru, ten se následně ptá několika serverů, každému posílá celou doménu a dostává dílčí odpovědi odkazující na další nameserver (NS) nebo na konkrétní počítač (A)
- klient pokládá rekurzivní dotaz, lokální nameserver pokládá nerekurzivní dotazy
- součástí doménového jména může být tečka (nelze sekat domény podle teček)
zabezpečení DNS spočívá v tom, že si klient volí náhodný zdrojový port, náhodné ID a že je těžké dostat se ke komunikaci nameserverů
možné napadnutí DNS – cache-poisoning (server útočníka se označí za nameserver pro doménu vyššího řádu)
zabezpečení DNS = DNSSEC – informace o doménách jsou podepsané
diagnostika DNS – nslookup, dig

e-mail

open relay servery umožňují komukoliv odesílat poštu

souhrn

problémy FTP – nešifrovaný přenos, přenos probíhá přes pomocné spojení, aktivní spojení je rizikem
MTA vs. MX

protokol HTTP je bezstavový, stavovost zajišťují cookies

principy směrování

směrování by měla umět každá stanice v TCP/IP síti
směrovací tabulka – každý záznam má položky cíl, maska, gateway
direct/indirect/default záznamy

ICMP

řídicí zprávy pro IP
time to live (TTL) – počet „hopů“, které smí packet přeskočit
- TTL u DNS opravdu znamená čas (jak dlouho záznam platí), ale na IP vrstvě nikoliv

dynamické řízení směrovacích tabulek

matfyzácký BIRD
https://bird.network.cz/

IP filtrování

nepracuje na IP vrstvě, ale v TCP/IP
specifikujeme, jaký typ provozu chceme povolit
nejpřísnější – z vnitřní sítě do vnější povolíme jenom určité porty
obvyklá konfigurace – ven cokoliv, dovnitř nic (problém u FTP s aktivním přenosem a u protokolů s mnoha kanály, např. SIP)
problém se servery uvnitř sítě – řešilo se pomocí odděleného segmentu (DMZ, demilitarizovaná zóna)

proxy server

address resolution protocol (ARP)

konverze MAC a IP adres
neznámé adresy se zjišťují broadcastovou výzvou
výsledky se na konkrétním uzlu ukládají do ARP cache
unicastová odpověď
nelze ověřit správnost odpovědi
pouze na konkrétní lince – mezi routery OSI 3
proxy ARP – router zjišťuje, jestli na sebe zařízení vidí, pokud ne, tak dělá ARP prostředníka

linková vrstva OSI 2

dělí se na dvě podvrstvy
- logical link control (LLC) – umožňuje různým protokolům přistupovat ke stejnému médiu (multiplexing)
- media access control (MAC) – řídí adresaci uzlů a přístup k médiu
TCP/IP se touto vrstvou nezabývá
síťový segment (fyzická síť) – množina uzlů sdílející stejné médium
PDU na linkové …
topologie
- multipoint
  - sběrnice, hvězda, kruh
  - …
virtuální sítě (VLAN)
- prostředek jak na jedné fyzické síti provozovat více lokálních sítí
- technicky se řeší tak, že se do rámce vloží 32 bitů VLAN tagu
- tagovat může koncová stanice nebo switch (pro koncovou stanici transparentně)
- protiklad VPN – VPN vytváří z více sítí jednu, VLAN z jedné sítě několik
WiFi (WLAN)

fyzická vrstva OSI 1

analogový vs. digitální přenos
- reálný svět je analogový
nestíněná kroucená dvojlinka (UTP)
- 4 páry měděných vodičů
- 100Mb Ethernet používá jen dva páry
- kabel může být přímý nebo křížený – ale dnes už obvykle autodetekce MDI/MDIX
- alternativa – kabel s kovovým stíněním