Indirizzi IP: sono finiti!

RIPE è una delle 5 organizzazioni che gestiscono gli indirizzi IP a livello continentale, quella che gestisce l'Europa.

The RIPE NCC has run out of IPv4 Addresses
Today, at 15:35 (UTC+1) on 25 November 2019, we made our final /22 IPv4 allocation from the last remaining addresses in our available pool. We have now run out of IPv4 addresses. https://www.ripe.net/publications/news/about-ripe-ncc-and-ripe/the-ripe-ncc-has-run-out-of-ipv4-addresses

Altre info interessanti:

https://www.ripe.net/publications/news/about-ripe-ncc-and-ripe/ipv4-chart-updated 

https://www.ripe.net/manage-ips-and-asns/ipv4/ipv4-run-out

IP: routing

è presentato un esercizio, il quale, tra gli altri punti, chiede di fare la tabella di routing per R2.

Ora, la mia domanda è questa: se voglio instradare il pacchetto IP verso N3, è indifferente (ai fini dell’esame) farlo passare per R3 o per R1?

Si.

Non a fini d’esame invece, in questo caso come si comporta il router? Instrada il pacchetto in modo tale da fargli fare meno strada?

Il router si comporta come descritto dalla sua tabella di routing.

L'amministratore può avere deciso di realizzare le tabelle di routing in modo da minimizzare il numero di "hop", cioè il numero di router dal quale occorre passare (cioè "fare meno strada").

Sono però possibili altri criteri. Ad esempio, se l'amministratore desidera minimizzare la quantità di traffico che passa da una certa network, oppure desidera minimizzare il carico imposto su un certo router, allora potrebbe decidere di impostare route più lunghe.

IP: Firewall con mail server

Permettere alla organizzazione di "inviare e ricevere mail".

• ricevere mail significa traffico smtp entrante ((ip-dst=IP-ms and port-dst=25) + (ip-src=IP-ms and port-src=25)) e traffico dns entrante ((ip-dst=IP-ns and port-dst=53) + (ip-src=IP-ns and port-src=53)).
• il traffico dns entrante è necessario perché altrimenti dall'esterno non si riesce a trovare IP-ms.
• NON significa traffico pop (se significasse traffico pop allora come si dovrebbe indicare il procedimento con cui dall'esterno si inviano email all'organizzazione?).
• NON si deve permettere traffico a tutta l'organizzazione, ma solo agli indirizzi IP di mail server e name server (i vincoli richiesti nell'esercizio sono molto più ristretti).

• inviare email significa traffico smtp uscente  ((ip-dst=IP-ms and port-src=25) + (ip-src=IP-ms and port-dst=25)) e traffico dns uscente  ((ip-dst=IP-ns and port-src=53) + (ip-src=IP-ns and port-dst=53)).
• il traffico dns uscente è necessario perché altrimenti dall'interno non si riesce a trovare i mail server delle altre organizzazioni. 

• più chiaro di così non lo so spiegare

IP: indirizzi Ethernet e frame Ethernet

non mi è chiaro come fa il router a ricavare l'indirizzo fisico dei nodi della sua rete o del router successivo a cui instradare i pacchetti. Per i vari host, la traduzione tra ip e mac address è eseguita dal modulo ARP, per il router? è un modulo analogo, è lo stesso o non l'abbiamo visto?

Il router traduce da IP a mac address tramite ARP. Esattamente come un nodo non router.

>Volendo banalizzare di molto i concetti della seconda parte del corso, si può dire che (per noi, per ora):

>gli host sono connessi alle varie network via RJ45. Su questo cavo, si usa il protocollo ethernet.
>Sopra il protocollo ethernet, posso implementare vari protocolli (a seconda di quello che metto nel payload).
>Se voglio comunicare dentro la mia network, uso ethernet.
>Altrimenti, tramite ethernt invio i pacchetti ad un router, che in base all'ip che trova nel payload invia quel pacchetto ad un altro host via ethernet (se anche l'altra network alla quale è connesso il router è una network ethernet)?

quello che dice è giusto se cerco di interpretare ciò che credo abbia voluto dire. preso alla lettera non è completamente giusto. cerco di riformularlo qui sotto.

abbiamo visto in dettaglio solo la network ethernet (che può usare vari mezzi di comunicazione fisici); sulla network ethernet si usa il protocollo ethernet;

un frame ethernet può trasportare informazioni di molti protocolli diversi; noi abbiamo visto solo ARP, DHCP e IP.

per comunicare tra nodi che possono essere collegati a network diverse devo creare una network virtuale (internetwork) e noi abbiamo visto solo un modo per crearla: IP;

se i nodi della network virtuale appartengono alla stessa network ethernet, allora si usa un pacchetto IP incapsulato in un frame ethernet, e il frame va direttamente da mittente a destinatario;

se i nodi della network virtuale appartengono a network diverse, allora si usa un pacchetto IP incapsulato in un frame ethernet, e il frame va ad un router; il router estrae il pacchetto e lo fa proseguire incapsulandolo in un altro frame.

IP - Ethernet: chi vede un frame

Se supponiamo che un certo Mittente avente indirizzo IP-M e Eth-M voglia inviare un messaggio MSG ad un Destinatario IP-D non appartenente alla sua network, M genera il pacchetto ip con IP-M, IP-D e payload, il tutto in un frame ethernet avente Eth-M e Eth-Router come mittente e destinatario.

Un eventuale attaccante A avente IP-A e Eht-A collegato nella stessa network di M come fà ad entrare in possesso del frame (e quindi osservarne il traffico) se esso parte da Eth-M ed arriva a Eth-Router? C'è qualche differenza se la network a cui son collegati M ed A è cablata, wireless o mista?

Se il destinatario del frame è Eth-router allora A può vedere il frame (programmando opportunamente la propria scheda di rete) solo se si trova nella stessa cella di M (o del router, ma il router non è mai collegato in wireless).

Nel caso di network Ethernet cablata con dispositivi "hub" (dispositivi che oggi quasi non esistono più) allora A potrebbe vedere il frame anche se collegato allo stesso hub di M o del R. Ma oggi esistono solo gli switch, e con questi M non vedrebbe il traffico.

Da notare che un attaccante potrebbe (tentare di) alterare la cache ARP di M, nel qual caso M invierebbe i frame ad A invece che al router. Da notare anche che l'attaccante potrebbe (tentare di) osservare il traffico direttamente sul nodo M, installandovi del sw malware.

IP: assegnazione network number

ulla scelta del range
giustamente lei ha detto che prima si maggiora il numero con la potenza di 2 successiva poi li si somma e poi si cerca la potenza di 2 successiva.
Quindi nel secondo esempio 520 host da una parte 270 dall'altra ci servivano 2048

Ok chiaro, ma fare una divisione maggiore di 2 e poi associare più indirizzi alla network?
esempio prendo 1024 indirizzi, li divido in 8 blocchi 
i primi 5 blocchi li uso per la network da 520 e gli altri 3 li uso per la network da 270
è una pratica sbagliata?

E' una pratica sbagliata.

Il motivo è questo: quando un nodo si chiede se un indirizzo IP di destinazione appartiene alla propria network o a un'altra network, usa un certo algoritmo (calcolo dell'espressione booleana my-IP AND my-SM == IP-dst AND my-SM). Questo algoritmo assume che ogni network usi un range di indirizzi la cui lunghezza è una potenza di 2.

Quindi, se ad una network assegno un range la cui lunghezza non è una potenza di 2, allora l'algoritmo non funziona: il risultato dell'espressione booleana a volte è una risposta corretta per la domanda "IP-dst appartiene alla mia network?" e a volte non è una risposta corretta.

Esempio.

Supponiamo di avere assegnato i range come dice lei: i "primi 5 blocchi" ad una network N1 e "gli altri 3 blocchi" ad un'altra network N2.

Consideriamo un nodo X1 che appartiene a N1 e che deve inviare un pacchetto verso un indirizzo IP2 appartenente al "sesto blocco" (o al settimo o all'ottavo).

Il nodo N1 si chiede se IP2 appartiene alla propria network o a una network diversa. Per rispondere a questa domanda calcola l'espressione booleana (IP2 AND SM-N1) == (IP1 AND SM-N1)..

Il procedimento di AND logico tra subnet mask ed indirizzi IP identifica sempre range la cui lunghezza è una potenza di 2. Cioè, il range di indirizzi che messi in AND con una subnet mask generano un risultato identico ha sempre una lunghezza potenza di 2 (per definizione di subnet mask). 

Questo significa che (IP2 AND SM-N1) è certamente uguale a (IP1 AND SM-N1), quindi X1 ritiene che IP2 appartenga alla propria network. Quindi X1 invia una ARP request per trovare l'indirizzo Ethernet del nodo con indirizzo IP IP2 e non risponderà nessuno (perché IP2 NON appartiene a N1).

Assegnando gli indirizzi come dice lei, avremmo bisogno di un algoritmo che identifica range la cui lunghezza è un multiplo di una potenza di 2 (in questo caso 5 * 2^10). Un algoritmo del genere potrebbe anche esistere, ma il protocollo IP non funziona in questo modo.

IP: assegnazione indirizzi e network number

1) Lei ha detto che l'ip statico non si usa mai. Può essere che si usi in caso di proxy ? Ad esempio proxy aziendale, così da avere sempre la lista dei pc che fanno parte e riconoscerlo subito

Se ho detto che l'assegnazione statica degli indirizzi IP non si usa mai allora devo essere forzatamente messo in pensione.

L'assegnazione statica è molto meno comune dell'assegnazione dinamica. Ma "non si usa mai" è sbagliatissimo.

Se non si usasse mai, allora tutto quello che abbiamo visto sul DNS sarebbe pressoché inutile. Ogni record A dovrebbe infatti essere modificato ogni volta che un server viene acceso (o per qualche motivo scade il suo indirizzo IP e gli viene assegnato un altro). Ogni nodo dovrebbe cambiare la propria configurazione ogni volta che un router della sua network (un default gateway) viene acceso o cambia di indirizzo IP.

Forse, anzi molto probabilmente, non sono stato sufficientemente chiaro:

*) i nodi server (cioè i nodi utilizzati prevalentemente per eseguire processi server) e i router hanno configurazione statica; praticamente sempre; non l'ho evidenziato abbastanza perché mi pareva già evidente;

*) i nodi client (cioè i nodi utilizzati prevalentemente per eseguire processi client, come pc, smartphone, tablet etc etc etc) hanno quasi sempre configurazione dinamica; talvolta hanno configurazione statica ma è molto meno frequente della configurazione dinamica; quando la configurazione è statica, quasi certamente è un PC di una organizzazione (ma non è vero il contrario: un PC di una organizzazione ha molto spesso configurazione dinamica);

2)Lei ha detto che il network number viene scelto da una singola organizzazione mentre l'host number viene scelto dall'amministratore di rete. Poi ci ha detto che in linea di massima (oltre a certi casi) il NN viene scelto in modo che i range non siano sovrapposti. Però ci ha fatto l'esempio di range completamente sovrapposti e non solo in parte. È possibile che l'ente che gestisce il NN metta delle limitazioni anche sull' HN?

Non ho capito la domanda.

Si possono costruire range parzialmente o completamente sovrapposti. Si possono assegnare a network diverse range parzialmente o completamente sovrapposti.

Condizione necessaria (ma non sufficiente) affinché assegnazioni di questo genere funzionino è che

1) ci siano dispositivi aggiuntivi che non vediamo;

2) ci siano configurazioni aggiuntive che non vediamo;

3) gli host number appartenenti all'intervallo di sovrapposizione siano utilizzati in solo una delle due network (questo punto in realtà è un pò più intricato da spiegare, perché se i due NN hanno lunghezza diversa allora è difficile confrontare gli HN di una network con gli HN dell'altra network; ma l'idea dovrebbe essere chiara).

Forse lei si riferisce al punto 3 qui sopra.

Si, pensavo al caso 3

Per farla breve quando si assegna un NN, mi sembra difficile che dopo si coprano tutti gli indirizzi disponibili e che quindi rimanga qualcuno vacante. Allora pensavo che l'ente avesse la possibilità di dire io ti assegno il NN 134.156.0.0 /16 però tu hai il range che va da 

134.156.0.0 fino a 134.156.1100.000 (e anche il 134.156.1111.1111) e quindi si tenesse gli altri indirizzi disponibili per altre evenienze.  

In questa frase ci sono due punti importanti.

Primo, quando si assegna un range (NN) ad una network, è necessario che il range sia commisurato al massimo numero di host che si prevede di collegare a quella network. Non al numero di host che devo collegare a quella network adesso.

Se oggi devo collegarci 11 host, allora mi basta un NN di lunghezza 28 (in modo da avere 4 bit per l'host number). Ma se un giorno avessi la necessità di collegare a quella network 60 host, allora quel NN non potrei più usarlo. Modificare il NN assegnato ad una network è molto complicato, non concettualmente ma praticamente (occorre modificare le tabelle di routing di tutti i router dell'organizzazione; occorre cambiare la configurazione di tutti i nodi della network---più semplice se sono configurati dinamicamente; se nella network ci sono host aventi un nome DNS è necessario modificare i record A; etc). Quindi, appunto, quando si assegna un NN per la prima volta è opportuno cercare di fare la scelta corretta in modo da minimizzare il rischio di dovere fare in futuro operazioni di questo genere. Ovviamente uno pensa "io non ho la sfera di cristallo, quindi scelgo sempre NN con molti bit per l'host number in modo da non correre mai il rischio di rimanere senza indirizzi IP disponibili in quella network". Questo approccio non è applicabile perché gli indirizzi IP costano. Quindi occorre fare una stima adeguata. Stima che ovviamente non ha alcuna garanzia di essere corretta e che sarà sempre un compromesso.

Secondo, quando una organizzazione ha acquistato un range, l'organizzazione divide quel range in range più piccoli che assegnerà alle proprie network (procedimento che vedremo da domani). In ogni caso, ad una network deve essere sempre assegnato un range della forma già vista: il primo indirizzo del range ha host number composto da tutti zero, l'ultimo ha host number composto da tutti uno, il range contiene TUTTI gli indirizzi tra il primo e l'ultimo.

NON è possibile fare un assegnamento come quello ipotizzato nella domanda, in cui alla network non sono assegnati tutti gli indirizzi tra il primo e l'ultimo.

Questo vincolo non ha necessità di essere compreso. E' così. Il motivo per cui esiste questo vincolo invece può essere compreso. Lo sarà nelle prossime lezioni.