Файл: Шпора.docx

DNS используется для хранения IP-адресов.

Рассмотрим, как выполняются DNS-запросы.

Они бывают двух видов:

- итеративные

- рекурсивные

Итеративный запрос.

На каждом компьютере, который подключен к Internet и DNS, имеется DNS-агент. Он ищет в своей локальной таблице соответствий искомое имя. Если нет, то он обращается с запросом к своему DNS-серверу верхнего уровня. DNS-сервер ищет у себя и возвращает либо результат, либо признак «не найден» + адрес другого DNS-сервера, который рекомендуется для продолжения DNS-запроса. Таким образом, в этом режиме DNS-агент выполняет перебор DNS-серверов сам, пока не будет найден ответ.

Рассмотрим пример:

DNS-агент попытается обратиться к серверу .com, передав ему имя msdn.microsoft.com. Если в домене верхнего уровня этот адрес явно не прописан (а он не прописан), сервер возвратит «не знаю» + IP-адрес сервера microsoft.com. DNS-агент обратится к microsoft.com, опросит его. На этом сервере хранится IP-адрес того DNS-сервера, на котором было зарегистрировано это имя.

Возвратит «не найдено» + IP msdn.microsoft.com.

Перебор по циклу выполняет DNS-агент.

Адрес DNS-сервера задается в свойствах протокола (ТСР) или может устанавливаться автоматически (поDHCP).

Рекурсивный запрос.

Заключается в том, что DNS-агент спрашивает DNS-сервер: «Узнай мне IP такого имени».

DNS-сервер сам занимается поиском и возвращает конечный результат. То есть делегируются обязанности.

Рекурсивный запрос лучше тем, что возникает возможность кэширования адресов (ведь поиск все время занимает сервер, а не клиентские машины и клиентам ищущим один и тот же адрес, можно сразу дать ответ).Если бы каждый клиент сам искал адрес итеративно то это сильно бы загружало сеть этими поисковыми запросами.

Однако, если бы все испоьзовали рекурсивный поиск, то все DNS-сервера пытались бы спихнуть на более выше стоящиеDNS-сервера и на центральныеDNS-сервера приходилось бы просто гигантская нагрузка.

Поэтому, на практике делается так:

Терминальные узлы в локальной сети используют рекурсивные запросы, а уже DNS-сервера локальных сетей используют итеративные запросы (то есть сами ищут адреса никому не перепоручая это задачу)

Таким образом, количество серверов, занимающихся поиском IPадресов, достаточно невелико, что бы не перегружать сеть, и, в то же время, их достаточно много, что бы справляться с нагрузкой (не идет перегрузки на центральные сервера).

Очень опасны атаки на DNS-сервера, так как просто переписав соответствие между символьным именем иIP-адресом, мы переправим все запросы этого ресурса на другой ресурс. Если жеDNS-сервера лягут, то станет невозможным использование каких-либо интернет услуг.

Вопрос № 28

Понятие сетевого экрана. Основные принципы его функционирования.

Сетевой экран – это специализированное ПО, призванное обеспечить защиту находящихся за ним узлов от атак извне.

Существуют сетевые экраны, защищающие локальную сеть от угроз из внешней сети (интернет). Это обычно выделенный сервер.

Локальные сетевые экраны ставятся на конкретный узел и защищают узел от угроз, как из интернета, так и из локальной сети.

Существуют экраны работающие на сетевом, на транспортном, на канальном и на прикладном уровне. Иногда работают на нескольких уровнях сразу.

Функции:

1. Разрешение и запрет трафика – это основная детерминированная задача.

2. Анализ трафика

Трафик делится на исходящий и входящий.

В протоколе ТСР для передачи данных надо создать соединение. Кто-то его устанавливает (инициирует), а кто-то подтверждает. Если узел создает соединение, то экран обычно разрешает исходящий трафик и запрещает входящий, т.е. не дает кому-то извне инициализировать соединение с компом.

Для протокола UDPустановлено такое соглашение:

Первый по времени пакет от А с порта ПА на узел Б на порт ПБ считается запросом на установление соединения. Далее все пакеты с ПА на ПБ и с ПБ на ПА разрешаются.

Возникает вопрос, что если соединение логически закончилось и начинается новое с ПБ на ПА, то это уже нелегальный пакет. На такой случай в экране предусмотрен таймаут, по прохождении которого соединение считается оборванным.

Так работает экран на транспортном уровне.

На канальном уровне можно запретить передачу пакетов от узлов с заданными МАС-адресами.

Вопрос № 29

Технология NAT. Принципы организации и функционирования. Статическая и динамическая трансляция адресов.

Благодаря NATне нужно каждому узлу в локальной сети выдавать глобальныйIP.

Локальные сети имеют диапазон адресов 192.168.х.х.

Узел Zимеет 2 сетевые платы, одна подключена кLAN, вторая – кInternet, таким образом, у него есть 2IP:IPLIPG.

В простейшем случае (статический NAT) просто подменяется одинIPна другойIP.

В более сложном случае (динамический NAT) в локальной сети больше одного компьютера, то узлу сNATвыдается набор глобальныхIP-адресов и он динамически создает соответствия между локальными и глобальнымиIP. Таким образом, организация может уменьшить количество используемыхIP(если уNAT-вского узла закончились глобальныеIP, то пользователь из локальной сети не сможет установить соединение сInternet, пока другой пользователь не разорвет соединение и не появится свободныйIPG).Так работают провайдеры.

Самым сложным случаем является NATс трансляцией портов.NATповышает безопасность, так как, благодаря ему, компьютер может установить соединение с узлом в сети интернет, но не позволяет узлу из интернета установить соединение с вашим компьютером.

Пример по ТСР:

Диапазон портов (65556) делится на 2 части:

1. Собственные порты узла

2. Порты для трансляции

Узел с NATзаносит данные о пакете в таблицу

А затем модифицирует исходный пакет:

И перенаправляет его в интернет в таком виде он дойдет до сервера.

Сервер посылает ответ:

NAT-узел видит, что пот получателя попадает в диапазон портов трансляции и ищет по этому значению запись в своей таблице (т.е. порт трансляции является ключевым полем). Затем модифицирует входящий пакет:

При ТСР соединении периодически посылаются пустые квитанции, что бы покачать, что соединение живо.

На самом деле, NATв своей таблице хранит все четыре параметра, что закрывает возможность передать несанкционированный пакет на конечный узел, передавая его наNAT-узел со всевозможными значениями порта-получателя.

Количество соединений с интернетом, которые может одновременно получать локальная сеть, ограничено числом портов трансляции.

Статический и динамический NATработают на уровнеIP(сетевом) и для них не важно,TCPилиUDP.

NATс трансляцией портов работает на транспортном уровне.

При работе по UDPNAT-узел считает соединение открытым при прохождении исходящего ( от внутреннего узла) пакета. По истечении таймаута соединение считается разорванным. Покуда соединение не разорвано, осуществляется доставка ответов. При прохождении пакета, как от отправителя, так и от получателя (ответ) таймаут обнуляется.

Обычно NATи сетевой экран ставятся на один и тот же узел, так как они пользуются одной и той же логикой и великолепно работают вместе.