LOCAL AREA NETWORK - PROTOKÓŁ STP W SRODOWISKU PRODUKCYJNYM AUTHOR(S) DOCUMENT NUMBER : VERSION : STATUS : Final SOURCE : Atos DOCUMENT DATE : 15 April 2013 NUMBER OF PAGES : 12 : Radoslaw Dabrowski, Marcin Krajnik OWNER : Atos IT Services Copyright 2013, Atos IT Services All rights reserved. Reproduction in whole or in part is prohibited without the prior written consent of the copyright owner. For any questions or remarks on this document, please contact Atos,.
Contents 1 Model ISO/OSI + enkapsulacja... 3 2 Adresacja MAC... 6 3 Kolizje w sieci LAN i domena kolizyjna... 7 4 Rozgłoszenia w sieci LAN... 8 5 Działanie urządzenia: HUB... 9 6 Działanie urządzenia: Switch... 10 7 Działanie urządzenia: Router... 11 8 VLANy w sieciach LAN... 12
1 Model ISO/OSI + enkapsulacja Komunikacja we współczesnych sieciach komputerowych oparta jest o warstwowy model sieci ISO/OSI, który jest ustandaryzowanym odniesieniem, dla uproszczonego modelu używanego w Internecie, sieciach korporacyjnych, sieciach domowych, itd.: modelu TCP/IP. Do czego potrzeby jest nam model warstwowy? Każda warstwa zapewnia ustandaryzowany interfejs łączący poszczególne technologie, umożliwiając w ten sposób opracowywanie współpracujących ze sobą rozwiązań sieciowych. Poniżej znajduje się skrócony opis 7 warstw modelu ISO/OSI: NAZWA WARSTWY FUNKCJA PRZYKŁADOWE 7 Application Layer Zapewnia interfejs pomiędzy oprogramowaniem komunikacyjnym i aplikacjami które wymagają komunikacji poza PC na którym rezydują 6 Presentation Layer Definiuje i negocjuje formaty danych: ASCII, JPEG, MPEG, i inne, oraz zapewnia enkrypcję 5 Session Layer Definiuje negocjację, przebieg i zakończenie sesji komunikacyjnej. Zapewnia kontrolę i zarządzanie wieloma sesjami komunikacyjnymi, synchronizuje je, zapewnia właściwy kierunek przepływu danych. 4 Transport Layer Zapewnia połączenie end-to-end, może zapewnić kontrolę przepływu, niezawodność, kontrolę błędów itd. 3 Network Layer Posiada 3 główne funkcje: adresowanie logiczne (każde urządzenie posiada adres który jest używany w procesie routingu), routing oraz wybór trasy 2 Data-Link Layer Zapewnia fizyczne adresowanie, definiuje reguły rządzące tym kiedy urządzenie może wysyłać dane poprzez podłączone medium 1 Physical Layer Definiuje właściwości medium transmisyjnego, sygnałów oraz samej transmisji PROTOKOŁY/TECHNOLOGIE Telnet, HTTP, FTP, SMTP, POP3, VoIP TCP, UDP IP Ethernet (IEEE 802.3), HDLC, Frame Relay, PPP RJ-45, V.35, Ethernet
W sieciach LAN najczęściej jednak posługujemy się uproszczonym modelem TCP/IP. Poniższa tabela pokazuje związki pomiędzy modelem ISO/OSI (odniesienia) a modelem TCP/IP, oraz przykłady urządzeń które działają w ramach poszczególnych warstw: NAZWA WARSTWY ISO/OSI NAZWA WARSTWY TCP/IP PRZYKŁADY URZĄDZEŃ 7 Application Layer Firewall, IPS 6 Presentation Layer Application Layer 5 Session Layer 4 Transport Layer Transport Layer Firewall, Proxy 3 Network Layer Internet Layer Router 2 Data-Link Layer LAN switch, WIFI Access Point, Network Access DSL Modem 1 Physical Layer LAN hub, repeater Uwaga: w powyższej tabeli uwzględnione przykłady urządzeń są pokazane jedynie dla zobrazowania różnic. Obecnie bardzo popularnym rozwiązaniem są switche 3-ciej lub 4-tej warstwy, a huby są praktycznie niespotykane w nowoczesnych sieciach. Z modelem warstwowym sieci nierozerwalnie połączona jest enkapsulacja. Pojęcie enkapsulacji najprościej wyjaśnić na przykładzie dwóch komunikujących się ze sobą hostów: Host A Host B Załóżmy że Host A chce wysłać do Hosta B jakieś informacje. W tym celu musi we właściwy sposób przygotować dane do transmisji. Gdy rozważamy transmisję danych poruszamy się w dół (od warstwy 7 do 1) stosu.
Application Layer Presentation Layer Session Layer Transport Layer Network Layer Data-Link Layer Physical Layer DANE SEGMENT/DATAGRAM PAKIET RAMKA SYGNAŁ PDU: Protocol Data Units 1. W ramach warstw 7 5 dane przygotowywane są do wysłania: DATA 2. Na warstwie 4 dodawany jest nagłówek TCP lub UDP zawierający np. źródłowy i docelowy nr portu, itd - powstaje Segment (TCP) lub datagram (UDP): TCP/UDP Header DATA Segment / Datagram 3. W ramach 3 warstwy dodawany jest nagłówek IP wraz z adresowaniem (IP adresy) otrzymujemy pakiet: IP Header TCP/UDP Header DATA Packet 4. Warstwa 2 dodaje nagłówek i trailer ramki, zawierający miedzy innymi adresowanie fizyczne (adresy MAC): Frame Header IP Header TCP/UDP Header DATA Frame Trailer Frame W ten sposób przygotowana ramka wysyłana jest poprzez medium do Hosta B, gdzie odbywa się dekapsulacja oraz odczyt właściwych informacji w kolejności odwrotnej niż wyżej opisana. Oczywiście należy też zauważyć że nie rozważamy tu szczegółowych informacji zawartych w poszczególnych nagłówkach dodawanych do przesyłanych danych, a jedynie sam mechanizm enkapsulacji. Krótkie omówienie komunikacji end-to-end (a więc między innymi użycie poszczególnych typów adresowania, krótka informacja o protokole ARP itd.) znajdzie się na początku prezentacji.
2 Adresacja MAC Urządzenia 2-giej warstwy do transportowania danych w ramach sieci lokalnej jako adresu (zarówno docelowego jak i źródłowego) w technologii Ethernet używają adresu MAC - Media Access Control. Adres MAC to 48-bitowy unikalny identyfikator interfejsu urządzenia składający się z dwóch głównych części: Pierwsze 24 bity zawierają kod producenta karty sieciowej/urządzenia sieciowego, pozostałe 24 bity są unikalnym identyfikatorem danego egzemplarza karty. Adres MAC jest wyrażany w formacie 12 hexadecymalnych symboli. Przykład: B8-CA-3A-D2-1E-B9. NIC (Network Interface Card) używa adresu MAC żeby zdecydować czy przekazać ramkę do wyższej warstwy (np. w przypadku gdy adres docelowy w ramce = adresowi karty co oznacza że host analizujący ramkę jest hostem docelowym) czy też ją zignorować.
3 Kolizje w sieci LAN i domena kolizyjna CSMA/CD Carrier Sense Multiple Access / Collision Detection technologia używana w sieciach Ethernet w celu wykrywania kolizji we wspólnym medium transmisyjnym. Używana jest jedynie w wypadku gdy transmisja odbywa się w trybie half-duplex; obecnie switche używają tej technologii tylko w wypadku połączenia do urządzenia niewspierającego transmisji full-duplex, lub gdy zawiedzie auto-negocjacja trybu. Carrier Sense Używając technologii CSMA/CD wszystkie urządzenia sieciowe które mają dane do wysłania muszą nasłuchiwać przed transmisją. Jeśli stacja wykryje we wspólnym medium sygnał z innego urządzenia medium jest zajęte czeka określony czas przed próbą transmisji. Gdy nie wykryje żadnego sygnału medium jest wolne stacja transmituje swoją wiadomość. W czasie tej transmisji stacja ciągle nasłuchuje żeby wykryć czy nie nastąpiła kolizja. Po skończeniu transmisji, stacja wraca do domyślnego trybu nasłuchiwania. Multi-Access Jest możliwe że dwa (lub więcej) urządzeń wykryją wolne medium i zaczną transmisję w tym samym czasie wiadomości są propagowane dopóki nie nastąpi kolizja, w wyniku której są zniekształcone/zniszczone. Pozostałość po kolizji jest w dalszym ciągu propagowana poprzez medium co umożliwia jej wykrycie. Collision Detection Gdy urządzenie działa w trybie nasłuchiwania, potrafi wykryć gdy we wspólnym medium wydarzy się kolizja wzrost amplitudy sygnału powyżej normalnego poziomu. Każde urządzenie które transmituje i jednocześnie wykryje kolizję, kontynuuje transmisję, w celu upewnienia się, że wszystkie urządzenia w domenie kolizyjnej wykryją kolizję. Jam Signal & Random Backoff Gdy kolizja zostaje wykryta, wszystkie transmitujące urządzenia wysyłają sygnał zagłuszający, który powiadamia wszystkie inne urządzenia o kolizji (w ramach domeny kolizyjnej) celem jest wywołanie trybu backoff. Algorytm backoff powoduje, że wszystkie urządzenia zaprzestają transmisji na losowy okres czasu, który pozwala na wygaszenie kolizji w medium. Po upływie tego losowego opóźnienia, urządzenia wracają do trybu nasłuchiwania. Losowość opóźnienia zapewnia, że urządzenia które brały udział w kolizji, nie rozpoczną ponownie transmisji w tym samym czasie. HUB wszystkie porty tworzą jedną domenę kolizji SWITCH każdy port jest osobną domeną kolizji
4 Rozgłoszenia w sieci LAN Rozgłoszenia w sieci LAN to ruch generowany przez hosta którego odbiorcami są wszystkie stacje działające w ramach domeny rozgłoszeniowej (adres docelowy ramki zwykle FFFF-FFFF-FFFF). Wszystkie porty switcha w podstawowej konfiguracji należą do tej samej domeny rozgłoszeniowej. Rozgłoszenia w sieci LAN używane są na przykład w ramach protokołu ARP w celu dowiązania konkretnego adresu MAC do adresu IP. Protokół ARP wysyła zapytanie na adres rozgłoszeniowy (do wszystkich stacji w domenie rozgłoszeniowej): Jaki jest adres MAC stacji docelowej o konkretnym adresie IP? Właściwa stacja widząc swój adres IP w pakiecie ARP odpowiada na zapytanie ARP swoim adresem MAC. To oczywiście tylko jeden uproszczony przykład. Należy pamiętać, że ruch rozgłoszeniowy może mieć bardzo duży wpływ na wydajność sieci, stąd dążyć należy do jego ograniczenia, jak również do tego aby domeny rozgłoszeniowe były jak najmniejsze. VLANy, interfejsy 3-ciej warstwy (np. routerów), itd. dzielą domeny rozgłoszeniowe:
5 Działanie urządzenia: HUB Bardziej precyzyjnym określeniem Huba jest koncentrator. Jest to urządzenie pracujące w warstwie pierwszej modelu ISO/OSI (warstwie fizycznej), przesyłając sygnał z jednego portu (gniazda) na wszystkie pozostałe. Nie analizuje ramki pod kątem adresu MAC oraz IP. Ponieważ koncentrator powtarza każdy sygnał elektroniczny, tworzy jedną domenę kolizyjną. Koncentrator najczęściej podłączany jest do routera jako rozgałęziacz, do niego zaś dopiero podłączane są pozostałe urządzenia sieciowe: komputery pełniące rolę stacji roboczych, serwerów, drukarki sieciowe i inne. Obecnie urządzenia te, wyparte przez przełączniki działające w drugiej warstwie modelu ISO/OSI (warstwie łącza danych, wykorzystując adresy MAC podłączonych urządzeń), praktycznie nie są już stosowane. Jednakże koncentrator przenosi sygnał z portu wejściowego na wszystkie porty wyjściowe bit po bicie, przełącznik natomiast ramka po ramce, co jest powodem wprowadzania opóźnień (także dodatkowych, zmiennych, w zależności od długości ramki).
6 Działanie urządzenia: Switch Switch (przełącznik warstwy łącza danych) pośredniczy w komunikacji miedzy urządzeniami wewnątrz sieci LAN. Przekazuje przychodzące do niego ramki z jednego portu na drugi (lub na kilka portów) w zależności od informacji w swojej tablicy przełączania. Tablica przełączania to lista zawierająca wpisy w postaci : "port" - "adres MAC". Przełącznik odbierając ramki na swoich portach "uczy się" nieustannie aktualizując swoją tablicę (sprawdzając źródłowe adresy MAC ramek). Przełącznik zawsze sprawdza adres źródłowy i docelowy przychodzącej ramki. Adres źródłowy, aby móc tworzyć tablice przełączania (wie na jakim porcie jest dany MAC). Adres docelowy, aby po sprawdzeniu w tablicy przełączania wysłać ramkę odpowiednim portem. Występują trzy typowe sytuacje przy przekazywaniu ramki: 1. Przełącznik otrzymuje ramkę rozgłoszeniową FF:FF:FF:FF:FF:FF i wysyła ją na wszystkie porty prócz źródłowego. 2. Przełącznik posiada w tablicy przełączania informacje na jakim porcie podłączony jest komputer o adresie MAC takim jak w ramce i wysyła ją zgodnie z tablicą przełączania. 3. Przełącznik nie posiada w tablicy przełączania informacji na jakim porcie znajduje się komputer o adresie MAC takim jak w ramce i wysyła ją na wszystkie porty prócz źródłowego (licząc, że któryś komputer odpowie i powracająca ramka pozwoli mu na dodanie wpisu do tablicy przełączania). Jak działa switch.pdf
7 Działanie urządzenia: Router Router to udządzenie sieciowe pracujące w trzeciej warstwie modelu ISO/OSI. Wykorzystuje się go to łączenia różnych sieci komputerowych. Można go nazwać węzłem komunikacyjnym. Na podstawie informacji zawartych w nagłówkach pakietów TCP/IP jest w stanie przekazać pakiety z dołączonej do siebie sieci źródłowej do docelowej. Proces kierowania ruchem nosi nazwę trasowania, routingu lub rutowania. Rutowanie zachodzi pomiędzy co najmniej dwiema podsieciami, które można wydzielić w ramach jednej sieci komputerowej. Router tworzy i utrzymuje tablicę routingu, która przechowuje ścieżki do konkretnych obszarów sieci oraz metryki z nimi związane. Metryki różnią się dla poszczególnych protokołów routingu np. metryką może być liczba routerów po drodze do sieci docelowej lub wartość metryki może być złożona z przepustowości, dostępności łącza, wiarygodności łącza oraz opóźnienia łącza. Trasy do innych sieci mogą być dodane statycznie przez administratora (trasa statyczna) lub pozyskana przez router od sąsiadujących urządzeń za pomocą protokołów routingu (trasa dynamiczna). Najpopularniejszymi protokołami klasy IGP (wewnętrznymi względem systemu autonomicznego w którym pracują) są OSPF i IS-IS. Protokołem klasy EGP (zewnętrznymi względem systemu autonomicznymi w którym pracują) jest obecnie BGP4. Najczęściej stosowanymi protokołami trasowania są: RIP IGRP EIGRP OSPF IS-IS BGP
8 VLANy w sieciach LAN Sieć VLAN (ang. Virtual LAN) to wydzielona logicznie sieć na obszarze innej, większej sieci fizycznej. Urządzenia tworzące sieć VLAN, niezależnie od swojej fizycznej lokalizacji (switcha, do którego są podłączone), mogą się swobodnie komunikować ze sobą, a jednocześnie są odseparowane od innych sieci VLAN. Oznacza to, że na poziomie switcha nie ma możliwości skomunikowania urządzeń należących do dwóch różnych sieci VLAN (dotyczy to także ramek rozgłoszeniowych). Sieci VLAN konfiguruje się switchach. Jedna sieć VLAN może swym zasięgiem obejmować wiele switchy, a w najprostszym przypadku tworzona jest w jednym przełączniku. Zastosowanie VLAN w sieciach przynosi wiele korzyści. Umożliwiają one ograniczyć ruch rozgłoszeniowy, gdyż rozgłaszane ramki trafiają tylko do komputerów w obrębie danej sieci VLAN, nie zalewają całej sieci LAN. Stosując sieci VLAN łatwo jest dostosować strukturę sieci do zmian w organizacji. Administrator może dokonać zmian topologii sieci programowo, a nie sprzętowo. Np. użytkownik należący do danej sieci VLAN zmienia stanowisko pracy. Administrator konfiguruje switch tak, by nowe stanowisko należało do odpowiedniej sieci VLAN. Dzięki temu nie trzeba zmieniać topologii fizycznej. Taka elastyczność jest szczególnie ceniona w dużych sieciach, w których często zachodzą zmiany w fizycznej topologii sieci. I wreszcie, podział sieci fizycznej na wiele sieci VLAN zwiększa bezpieczeństwo sieci komputerowej już z racji samej tylko separacji ruchu sieciowego w różnych sieciach VLAN.