Решение о перенаправлении узла

Хосты в сети создают пакеты IPv4 и IPv6 для отправки на другие узлы. 

Эти узлы могут быть как локальными, находящимися в той же сети, так и удаленными, находящимися в других сетях.

При отправке пакета, хосты используют таблицу маршрутизации для определения, куда направить пакет.

Пакеты могут быть отправлены на:

1️⃣ Себя: Для тестирования сети, хосты могут отправить пакеты сами себе, используя специальные IP-адреса, такие как 127.0.0.1 для IPv4 и ::1 для IPv6.

2️⃣ Локальные узлы: Пакеты отправляются на устройства в той же локальной сети, где находится отправитель. В этом случае хосты используют тот же сетевой адрес.

3️⃣ Удаленные узлы: Пакеты направляются на устройства, находящиеся в других сетях. Для этого требуется маршрутизация, чтобы определить оптимальный путь к удаленному узлу. В домашней или корпоративной сети, устройства могут быть соединены друг с другом через коммутаторы или точки доступа, обеспечивая локальное соединение. Однако, для связи с устройствами за пределами локальной сети, требуется помощь маршрутизаторов, которые обеспечивают маршрутизацию между сетями.

N.A. ℹ️ Help

VoIP (Voice over Internet Protocol)

Что такое VoIP?

VoIP представляет собой метод передачи голосовой информации через интернет. 

В отличие от использования традиционных аналоговых или цифровых сетей телефонной связи.

Вместо того чтобы использовать выделенные линии для передачи звука, VoIP использует сеть интернета для конвертации и передачи голосовых данных в виде цифровых пакетов.

Протоколы VoIP

Для установления и управления голосовыми соединениями в сети VoIP используются различные протоколы.

Одним из основных протоколов является SIP (Session Initiation Protocol), который отвечает за управление сеансами связи, включая их инициализацию, модификацию и завершение.

Еще одним важным протоколом является RTP (Real-time Transport Protocol), который обеспечивает передачу голосовых данных в реальном времени с минимальными задержками.

Преимущества VoIP

VoIP предлагает ряд преимуществ по сравнению с традиционными телефонными сетями. 

Одним из главных преимуществ является экономия затрат благодаря использованию существующей инфраструктуры интернета.

⚡️Кроме того, VoIP предоставляет гибкость и масштабируемость, позволяя легко добавлять новых пользователей и функции без необходимости дополнительных инвестиций в оборудование.

N.A. ℹ️ Help

Протокол OSPF

OSPF (Open Shortest Path First) – дословно переводится как «Сперва открытый короткий путь» - надежный протокол внутренней маршрутизации с учетом состояния каналов (Interior gateway protocol, IGP).

Как правило, данный протокол маршрутизации начинает использоваться тогда, когда протокола RIP уже не хватает по причине усложнения сети и необходимости в её легком масштабировании.

OSPF наиболее широко используемый протокол внутренней маршрутизации. 

Есть несколько понятий, связанных с этим протоколом, которые не встречаются в других протоколах и являются уникальными:

• Router ID: Уникальный 32-х битный номер, назначенный каждому маршрутизатору. Как правило, это сетевой адрес с интерфейса маршрутизатора, обладающий самым большим значением. Часто для этих целей используется loopback интерфейс маршрутизатора.
• Маршрутизаторы-соседи: Два маршрутизатора с каналом связи между ними, могут посылать друг другу сообщения.
• Соседство: Двухсторонние отношения между маршрутизаторами-соседями. Соседи не обязательно формируют между собой соседство.
• LSA: Link State Advertisement – сообщение о состоянии канала между маршрутизаторами.
• Hello сообщения: С помощью этих сообщений маршрутизаторы определяют соседей и формируют LSA

Типы маршрутизаторов OSPF

Разберем различные типы маршрутизаторов при использовании протокола OSPF:

⏺ABR: Area Border Router – маршрутизатор внутри нулевой зоны, через который идет связь с остальными зонами

⏺DR, BDR: Designated Router, Backup Designated Router – этот тип маршрутизаторов обсуждался выше, это основной и резервирующий маршрутизаторы, которые ответственны за базу данных маршрутизаторов в сети. Они получают и посылают обновления через Multicast остальным маршрутизаторам в сети.

⏺ASBR: Autonomous System Boundary Router – этот тип маршрутизаторов соединяет одну или несколько автономных систем для осуществления возможного обмена маршрутами между ними.

N.A. ℹ️ Help

Настройка интерфейсов маршрутизатора

На этом этапе маршрутизаторы имеют свои базовые конфигурации

⏺Следующим шагом является настройка их интерфейсов.

Это связано с тем, что маршрутизаторы не доступны конечным устройствам до тех пор, пока не будут настроены интерфейсы.

На маршрутизаторах Cisco используется множество разных интерфейсов.

Например, маршрутизатор Cisco ISR 4321 оснащен двумя интерфейсами Gigabit Ethernet:

• GigabitEthernet 0/0/0 (G0/0/0)
• GigabitEthernet 0/0/1 (G0/0/1)

Задача настройки интерфейса маршрутизатора очень похожа на управление SVI на коммутаторе.

⏺В частности, он включает в себя выполнение следующих команд:

Router(config)# interface type-and-number

Router(config-if)# denoscription denoscription-text

Router(config-if)# ip adress ipv4-address subnet-mask

Router(config-if)# ipv6 adress ipv6-address/prefix-length

Router(config-if)# no shutdown



Когда интерфейс маршрутизатора включен, должны отображаться информационные сообщения, подтверждающие включенную связь.

Несмотря на то, что команда denoscription не требуется для включения интерфейса, рекомендуется использовать ее.

Это может быть полезно при устранении неполадок в производственных сетях, предоставляя информацию о типе подключенной сети.

Если интерфейс подключен к интернет-провайдеру или оператору услуги, команда denoscription будет полезна для ввода стороннего подключения и контактной информации.

Текст описания может содержать не более 240 символов.

⏺Использование команды no shutdown активирует интерфейс и аналогично включению интерфейса.

Для активации физического уровня интерфейс должен быть также подключен к другому устройству (коммутатору или маршрутизатору).

🔥В межмаршрутизаторских соединениях, где нет коммутатора Ethernet, оба взаимосвязанных интерфейса должны быть настроены и включены.

N.A. ℹ️ Help

Настройка VLAN в Mikrotik

Умение настраивать VLAN (Virtual Local Area Network) является базовым навыком для системного администратора.

Сегментирование сети с помощью VLAN необходимо для стандартов безопасности, таких как PCI и HIPAA, и помогает поддерживать порядок в больших сетях.

Настройка VLAN на маршрутизаторах MikroTik несложна, и ниже описаны основные шаги.

⏺Дизайн VLAN

Первым шагом должно быть планирование схемы сети.

Используйте схемы, чтобы отразить структуру организации, размещая каждый департамент в отдельном VLAN.

Это помогает управлять доступом и оптимизировать сеть.

Для серверов и хранилищ данных рекомендуется использовать отдельные коммутаторы, а гостевые и беспроводные сети помещать в отдельные VLAN для безопасности.

⏺Транковые протоколы VLAN

В этом примере создадим три VLAN: для HR (192.168.105.0/24), бухгалтерии (192.168.155.0/24) и гостевой сети (192.168.180.0/24).

Маршрутизатор подключен к коммутатору по интерфейсу ether2 с 802.1q транком между ними.

WAN подключение идет через ether1, обеспечивая доступ к интернету для всех пользователей VLAN.

⏺Создание VLAN на MikroTik

Сначала создадим VLAN на интерфейсе ether2:

/interface vlan
add comment="HR" interface=ether2 name="VLAN 105 - HR" vlan-id=105
add comment="Accounting" interface=ether2 name="VLAN 155 - Accounting" vlan-id=155
add comment="Guests" interface=ether2 name="VLAN 180 - Guests" vlan-id=180

Назначим IP-адреса для каждого VLAN:

/ip address
add address=192.168.105.1/24 comment="HR Gateway" interface="VLAN 105 - HR"
add address=192.168.155.1/24 comment="Accounting Gateway" interface="VLAN 155 - Accounting"
add address=192.168.180.1/24 comment="Guests Gateway" interface="VLAN 180 - Guests"

⏺Настройка VLAN на коммутаторе

Назначьте порты доступа на коммутаторах конкретным VLAN.

Клиенты, подключенные к этим портам, будут получать IP-адреса из соответствующих VLAN.

🔥 Настройте правила на фаерволе, чтобы ограничить доступ между VLAN по необходимости, обеспечивая безопасность и сегментацию сети.

N.A. ℹ️ Help

Cisco ASA: блокировка доступа к сайтам

Сегодня мы обсудим, как можно заблокировать к определенным вебсайтам (к их доменам) с самым обычным межсетевым экраном Cisco ASA.

Данный метод работает как на старых 5500 моделях, так и на новых 5500-X. 

Единственное требование – наличие версии ПО старше 8.4(2).

Важный момент – даже если данное решение по блокировке вебсайтов выглядит довольно простым, оно не является заменой полноценному веб-прокси серверу.

В случае Cisco, таким решением является Cisco WSA – Web Security Appliance.

Используемые методы

Всего существует несколько способов блокировки страниц в интернете:

• Регулярные выражения с MPF (Modular Policy Framework);
• Блокировка по сетевому адресу с помощью листов контроля доступа (ACL);
• Используя FQDN (Fully Qualified Domain Name) в листе контроля доступа (ACL);

1️⃣Первый метод работает довольно хорошо с HTTP сайтами, но он не будет работать от слова совсем с HTTPS сайтами.

2️⃣Второй метод будет работать только для простых сайтов, у которых статический IP – адрес, то есть будет очень трудоемко настроить его для работы с такими сайтами как Facebook, VK, Twitter и т.д.

Поэтому, в этом посте мы опишем третий метод.

Описание настройки

При использовании версии ПО выше или равной 8.4(2), появилась возможность добавлять в ACL такие объекты как FQDN (полные доменные имена).

Таким образом, вы можете разрешить или запретить доступ к хостам используя их доменные имена вместо IP – адресов.

Создание расширенного ACL:

access-list <номер_ACL> extended deny tcp any host <IP_сайта> eq www

Эта команда создает расширенный ACL для блокировки доступа к веб-сайту с указанным IP-адресом.

Применение ACL к интерфейсу входящего трафика:

access-group <номер_ACL> in interface <название_интерфейса>

Эта команда применяет созданный ACL к интерфейсу, через который проходит входящий трафик.

Сохранение настроек:

write memory

Эта команда сохраняет текущую конфигурацию устройства.

N.A. ℹ️ Help

Настройка IP Traffic Export в Cisco

Начиная с версий 12.3 Cisco анонсировала фичу под названием IP Traffic Exporter. Сегодня поговорим о ней.

Настройка IP Traffic Exporter

Давайте представим, что у нас есть IP – телефон с адресом 192.168.2.13 и его трафик мы хотим зеркалировать.

Условно говоря, процесс настройки мы можем разбить на следующие конфигурационные шаги:

⏺Создаем ACL (access control list) для сопоставления трафика, который нас интересует;
⏺Создаем профиль для экспортера;
⏺Добавляем интерфейс в профиль;
⏺Конфигурируем направления для ACL;
⏺Назначаем IP Traffic Exporter на интерфейс;

Начнем? Создаем ACL:

access-list 100 permit 192.168.2.13



Далее, мы создадим профиль экспорта и назовем его EXP_PHONE. Настройку его сделаем в режиме захвата (capture).

Внутри настройки профиля, мы укажем длину пакетов в 512 и повесим свежесозданный ACL 100:

ip traffic-export profile EXP_PHONE capture
 outgoing access-list 100
 length 512



Как и в других системах, в IOS необходимо применить вашу конфигурацию.

Мы заходим в режим настройки интерфейса и включаем захват трафика. Сделать это можно следующим образом:

interface FastEthernet1
 ip traffic-export apply EXP_PHONE size 1024



В команде size мы задаем размер буфера для пакетов.

Теперь, нам нужно включить экспортер трафика, чтобы сделать это, укажем следующие команды:

interface FastEthernet1
merion# traffic-export interface fa1 start //данная команда начинает захват трафика
merion# traffic-export interface fa1 stop //данная команда останавливает захват трафика
merion# traffic-export interface fa1 copy flash:
Capture buffer filename []? merion_dump
Capture buffer copy operation to flash may take a while. Continue? [confirm]
Copying capture buffer to flash:merion_dump
806 bytes copied.
merion#



Мы сделали копирование на flash память маршрутизатора.

N.A. ℹ️ Help

Команды проверки конфигурации

Ниже приведены наиболее популярные show команды, используемые для проверки конфигурации интерфейса.

show ip interface brief
show ipv6 interface brief



💬 Выходные данные содержат все интерфейсы, их IP адреса, а также их текущее состояние. Активные и действующие интерфейсы представлены значением «up» в столбцах «Status» и «Protocol». Любые другие значения будут означать наличие проблемы либо с настройками, либо с подключением кабелей.

show ip route
show ipv6 route



💬 Отображает содержимое таблицы маршрутизации IPv4, которая хранится в ОЗУ.

show interfaces



💬 Отображает статистические сведения по всем интерфейсам устройства. Тем не менее, эта будет отображать только информацию об адресации IPv4.

show ip interfaces



💬 Отображает статистику IPv4 всех интерфейсов маршрутизатора.

show ipv6 interface



💬 Отображает статистику IPv6 всех интерфейсов маршрутизатора.

Настройка IP Traffic Export в Cisco

Начиная с версий 12.3 Cisco анонсировала фичу под названием IP Traffic Exporter. Сегодня поговорим о ней.

N.A. ℹ️ Help

Многоадресная рассылка

Многоадресная рассылка уменьшает трафик, позволяя узлу отправлять один пакет выбранной группе узлов, которые подписаны на группу многоадресной рассылки.

Многоадресный пакет — это пакет с IP-адресом назначения, который является адресом многоадресной рассылки. 

Для многоадресной рассылки в протоколе IPv4 зарезервированы адреса от 224.0.0.0 до 239.255.255.255.

Узлы, которые получают конкретные многоадресные данные, называются клиентами многоадресной рассылки.

⏺Клиенты многоадресной рассылки используют сервисы, запрошенные программой клиента для подписки на группу многоадресной рассылки.

Каждая группа многоадресной рассылки представлена одним групповым IPv4-адресом назначения.

Когда IPv4-узел подписывается на группу многоадресной рассылки, он обрабатывает пакеты, адресованные на этот групповой адрес, а также пакеты, адресованные на его уникальный индивидуальный адрес.

Протоколы маршрутизации, такие как OSPF, используют многоадресную передачу. 

Например, маршрутизаторы с включенной функцией OSPF взаимодействуют друг с другом, используя зарезервированный адрес многоадресной рассылки OSPF 224.0.0.5.

⚡️Только устройства с поддержкой OSPF будут обрабатывать эти пакеты с адресом IPv4 назначения 224.0.0.5. Все остальные устройства будут игнорировать эти пакеты.

N.A. ℹ️ Help

Устаревшая классовая адресация

В 1981 г. IPv4-адреса в сети Интернет назначались с помощью классовой адресации согласно RFC 790 (Назначенные адреса).

Заказчикам выделялся сетевой адрес на основе одного из трех классов: A, B или C. 

Согласно стандарту RFC одноадресные диапазоны делятся на следующие классы.

⏺Класс A (от 0.0.0.0/8 до 127.0.0.0/8) разработан для очень крупных сетей, имеющих более 16 млн адресов хостов. Для обозначения сетевого адреса IPv4-адреса класса А использовали фиксированный префикс /8 с первым октетом. Остальные три октета использовались для адресов хостов.

⏺Класс B (от 128.0.0.0/16 до 191.255.0.0/16) разработан для поддержки потребностей средних и крупных сетей, содержащих приблизительно 65 000 адресов хостов. Адрес класса B использовал фиксированный префикс /16, два старших октета для обозначения сетевого адреса. Оставшиеся два октета определяли адреса хостов.

⏺Класс C (от 192.0.0.0/24 до 223.255.255.0/24) предназначен для небольших сетей с количеством хостов не более 254. Блоки адресов класса С использовали префикс /24 для трех старших октетов для указания адреса сети и последний октет для указания адресов хостов.

Также имеется многоадресный блок класса D (от 224.0.0.0 до 239.0.0.0) и блок экспериментальных адресов класса E (от 240.0.0.0 до 255.0.0.0).

В то время, с ограниченным количеством компьютеров, использующих Интернет, классическая адресация была эффективным средством распределения адресов.

Сети классов A и B имеют очень большое количество адресов узлов, а класс C имеет очень мало. 

На сети класса А приходится 50% сетей IPv4.

Это привело к тому, что большинство доступных адресов IPv4 не используются.

В середине 1990-х годов, с появлением World Wide Web (WWW), классическая адресация устарела, чтобы более эффективно распределять ограниченное адресное пространство IPv4.

⚡️Классовое распределение адресов было заменено бесклассовой адресацией, которая используется сегодня.

N.A. ℹ️ Help

Поднимаем OSPF на оборудовании Cisco

Настройка OSPF (Open Shortest Path First) довольна проста и чем-то похожа на протоколы маршрутизации RIP и EIGRP, то есть состоит из двух основных шагов:

⏺включения протокола глобальной командой router ospf PROCESS_NUMBER;
⏺выбора сетей, которые протокол будет «вещать», для чего используется команда(ы) network 255.255.255.255 0.0.0.255 AREA_NUMBER;

Как сразу заметно, в OSPF появляется указание «зоны» - area. 

Первая команда включения говорит сама за себя, но поясним про PROCESS_NUMBER и AREA_NUMBER – это номер процесса и номер зоны соответственно.

Для установления соседства номер процесса OSPF не должен быть одинаковым, но обязательно должен совпадать номер зоны.

Интерфейсы и сети указываем через обратную маску.

Пример настройки OSPF

Компьютер - 10.0.1.0/24 - маршрутизатор R1 - 172.16.0.0/24 - маршрутизатор R2 - 192.168.0.0 - компьютер

В нашей топологии у маршрутизаторов R1 и R2 есть напрямую подключенные подсети.

Нам нужно включить данные подсети в процесс динамической маршрутизации OSPF.

Для этого нам сначала нужно включить OSPF на обоих маршрутизаторах и затем «вещать» данные сети с помощью команды network.

На маршрутизаторах переходим в глобальный режим конфигурации и вводим следующие команды, в соответствии с нашей схемой:



router ospf 1
network 10.0.1.0 0.0.0.255 area 0
network 172.16.0.0 0.0.255.255 area 0





router ospf 1
network 192.168.0.0 0.0.0.255 area 0
network 172.16.0.0 0.0.255.255 area 0



Далее нам нужно проверить, заработала ли динамическая маршрутизация, и для этого используем команды show ip ospf neighbors и show ip route.

Вот и все – также просто, как и настроить RIP: главное не забывать указывать одинаковый номер автономной системы.

⏺Первая команда должна показать «соседа» - на обоих маршрутизаторах убедитесь, что там указан адрес другого маршрутизатора в выводе данной команды.

⏺Вторая команда выведет таблицу маршрутизации, и, маршруты, получаемые по OSPF, будут отмечены буквой O.

N.A. ℹ️ Help

Статический и динамический NAT

Static NAT

Статический NAT использует сопоставление локальных и глобальных адресов один к одному.

Эти сопоставления настраиваются администратором сети и остаются постоянными. 

Когда устройства отправляют трафик в Интернет, их внутренние локальные адреса переводятся в настроенные внутренние глобальные адреса.

Для внешних сетей эти устройства имеют общедоступные IPv4-адреса.

Статический NAT особенно полезен для веб-серверов или устройств, которые должны иметь согласованный адрес, доступный из Интернета, как например веб-сервер компании.

Статический NAT требует наличия достаточного количества общедоступных адресов для удовлетворения общего количества одновременных сеансов пользователя.

Статическая NAT таблица выглядит так:

Inside Local Adress - Inside Global Adress

192.168.1.2 - 208.165.17.5
192.168.1.3 - 208.165.17.6
192.168.1.4 - 208.165.17.7

Dynamic NAT

Динамический NAT использует пул публичных адресов и назначает их по принципу «первым пришел, первым обслужен». 

Когда внутреннее устройство запрашивает доступ к внешней сети, динамический NAT назначает доступный общедоступный IPv4-адрес из пула.

Подобно статическому NAT, динамический NAT требует наличия достаточного количества общедоступных адресов для удовлетворения общего количества одновременных сеансов пользователя.

Динамическая NAT таблица выглядит так:

Inside Local Adress - Inside Global Adress

192.168.1.2 - 208.165.17.5
Available - 208.165.17.6
Available - 208.165.17.7
Available - 208.165.17.8

N.A. ℹ️ Help

Длина префикса IPv6-адреса

Как вы помните, префикс, или сетевая часть адреса IPv4, может быть обозначен маской подсети в десятичном формате с разделительными точками или длиной префикса (запись с наклонной чертой).

Например, IPv4-адрес 192.168.1.10 с маской подсети в десятичном формате с разделительными точками 255.255.255.0 эквивалентен записи 192.168.1.10/24.

В IPv4 /24 называется префиксом.

В IPv6 это называется длиной префикса. IPv6 не использует для маски подсети десятичное представление с разделительными точками.

⏺Как и IPv4, длина префикса представлена в виде косой черты и используется для указания сетевой части адреса IPv6.

Диапазон длины префикса может составлять от 0 до 128. 

Обычная длина префикса IPv6 для локальных сетей и большинства сетей других типов — /64.

64 бита
Префикс
2001:0 дБ 8:000 а:0000

64 бита
Идентификатор интерфейса
0000:0000:0000:0000

Пример: 2001:db8:a::/64

Это означает, что длина префикса, или сетевая часть адреса, составляет 64 бита, а оставшиеся 64 бита остаются для идентификатора интерфейса (хостовой части) адреса.

Настоятельно рекомендуется использовать 64-битный идентификатор интерфейса для большинства сетей. 

⚡️Это связано с тем, что автоконфигурация адресов без учета (SLAAC) использует 64 бита для идентификатора интерфейса. Это также упрощает создание и управление подсетями.

N.A. ℹ️ Help

Типы IPv6-адресов одноадресной рассылки

Индивидуальный адрес служит для однозначного определения интерфейса устройства под управлением протокола IPv6. 

Пакет, который отправляется на такой адрес, будет получен интерфейсом, назначенным для этого адреса.

Как и в случае с протоколом IPv4, IPv6-адрес должен быть индивидуальным. IPv6-адрес назначения может быть как индивидуальным, так и групповым.

Адреса IPv6 для одноадресной рассылки

• Глобальный индивидуальный адрес
• Локальный адрес канала
• Обратная петля
• Неопределенный адрес
• Уникальный локальный адрес
• Встроенный iPv4- адрес

В отличие от устройств IPv4, имеющих только один адрес, адреса IPv6 обычно имеют два одноадресных адреса:

⏺Глобальный индивидуальный адрес аналогичен публичному IPv4-адресу. Эти адреса, к которым можно проложить маршрут по Интернету, являются уникальными по всему миру. Глобальные индивидуальные адреса могут быть настроены статически или присвоены динамически.

⏺Локальный адрес канала (LLA) — это необходимо для каждого устройства с поддержкой IPv6. Локальные адреса канала используются для обмена данными с другими устройствами по одному локальному каналу.

В протоколе IPv6 термин «канал» означает подсеть. Локальные адреса каналов ограничены одним каналом. Они должны быть уникальны только в рамках этого канала, поскольку вне канала к ним нельзя проложить маршрут.

🔥Другими словами, маршрутизаторы не смогут пересылать пакеты, имея локальный адрес канала источника или назначения.

N.A. ℹ️ Help

RIPv1 и RIPv2: в чем разница?

1️⃣Routing Information Protocol Version 1 (RIPv1)

Прямо и по пунктам:

RIPv1 это Distance-Vector протокол. Если переводить на русский - дистанционно-векторный.

Distance vector routing - так называемая дистанционно-векторная маршрутизация, главный принцип которой основан на вычислении специальных метрик, которые определяют расстояние (количество узлов) до сети назначения

RIPv1 это classfull протокол. Это означает, что он не отправляет маску подсети в апдейтах маршрутизации

RIPv1 не поддерживает VLSM (Variable Length Subnet Masking)

VLSM (Variable Length Subnet Masking) - метод эффективного использования IP – адресации, который избавляет от привязки к классу сети (класс A, класс B, класс C). VLSM позволяет дробить подсеть на подсеть и так далее. Тем самым, мы можем эффективно использовать адресное пространство согласно реальных потребностей, а не класса сети

RIPv1 поддерживает максимум 15 хопов! Это означает, что любой маршрутизатор, который расположен от вас в больше, чем 15 узлов (маршрутизаторов) будет отмечен как недоступный

Раз в 30 секунд RIPv1 отправляет широковещательные апдейты маршрутизации – каждый узел должен принять и обработать этот апдейт

2️⃣Routing Information Protocol Version 2 (RIPv2)

RIPv2 это гибридный протокол. Он реализован на базе Distance-Vector, но так же поддерживает часть алгоритмов Link State маршрутизации, то есть, может отслеживать состояние каналов

Link State routing - отслеживает состояние каналов и отправляет LSA (Link-state advertisement) пакеты, в которых рассказывает о состоянии своих каналов. Примером link state протокола маршрутизации является OSPF

RIPv2 - classless протокол. В отличие от своего старшего брата первой версии, второая версия умеет отправлять маску подсети в апдейтах маршрутизации

RIPv2 поддерживает VLSM!

RIPv2, как и RIPv1 поддерживает максимум 15 хопов

RIPv2 отправляет мультикаст сообщения об апдейтах на адрес 224.0.0.9. Это уменьшает нагрузку на сеть и в первую очередь на узлы, на которых не запущен RIP

N.A. ℹ️ Help

Уникальный локальный адрес

Уникальные локальные адреса (диапазон fc00::/7 до fdff::/7) пока не реализованы.

Таким образом, этот модуль охватывает только конфигурацию GUA и LLA. 

Однако уникальные локальные адреса могут использоваться для адресов устройств, которые не должны быть доступны извне, таких как внутренние серверы и принтеры.

Уникальные локальные IPv6-адреса имеют некоторые общие особенности с частными адресами RFC 1918 для IPv4, но при этом между ними имеются и значительные различия.

⏺Уникальные локальные адреса используются для локальной адресации в пределах узла или между ограниченным количеством узлов.
⏺Уникальные локальные адреса могут использоваться для устройств, которым никогда не понадобится использование других сетей или получение из них данных.
⏺Уникальные локальные адреса не маршрутизируются глобально и не преобразуются в глобальный адрес IPv6.

Многие сайты используют частные адреса RFC 1918, чтобы обеспечить безопасность или защитить сеть от потенциальных угроз.

⚡️Однако обеспечение безопасности никогда не было целью технологий NAT/PAT, поэтому организация IETF всегда рекомендовала принимать соответствующие меры предосторожности при использовании маршрутизаторов в Интернете.

N.A. ℹ️ Help

Протокол GRE: Создание туннелей для виртуальных сетей

Generic Routing Encapsulation (GRE) — это протокол туннелирования, который позволяет инкапсулировать различные типы сетевых пакетов в IP-туннели.

Основной принцип работы GRE заключается в добавлении новой заголовочной информации к исходному пакету, что позволяет передавать его через промежуточные сети. 

В результате оригинальный пакет "заворачивается" в GRE-заголовок и IP-заголовок, что позволяет ему путешествовать по маршрутам, как обычный IP-пакет.

Примеры использования GRE для создания туннелей между удаленными сетями

⏺Соединение филиалов: GRE используется для создания туннелей между головным офисом и филиалами компании.

⏺Виртуальные частные сети (VPN): GRE-туннели часто применяются для создания VPN, где требуется передавать нестандартные или многоадресные трафики.

⏺Транзит между различными сетевыми протоколами: GRE позволяет инкапсулировать различные типы трафика, включая IPv6 в IPv4, что делает его полезным для интеграции сетей с разными протоколами.

Настройка GRE туннелей на маршрутизаторах

Чтобы настроить GRE туннель на маршрутизаторе, необходимо выполнить следующие шаги.

1️⃣ Создание интерфейса туннеля:

interface Tunnel0
ip address 192.168.1.1 255.255.255.0
tunnel source 10.0.0.1
tunnel destination 10.0.0.2

В этом примере интерфейс туннеля (Tunnel0) получает IP-адрес 192.168.1.1.

Параметры tunnel source и tunnel destination указывают IP-адреса исходного и конечного маршрутизаторов соответственно.

2️⃣ Настройка маршрутизации:

Добавьте маршрут для направления трафика через туннель:

ip route 172.16.0.0 255.255.255.0 192.168.1.2

Здесь 172.16.0.0 — это сеть, к которой нужно получить доступ через туннель, а 192.168.1.2 — IP-адрес на удаленной стороне туннеля.

3️⃣ Проверка туннеля:

Убедитесь, что туннель работает корректно, используя команды для проверки состояния туннеля:

show ip interface brief
show interface Tunnel0

N.A. ℹ️ Help

RPKI: что это и почему важно?

RPKI (Resource Public Key Infrastructure) — это уровень безопасности для протокола BGP, обеспечивающий криптографическое подтверждение владельца сетевых ресурсов.

BGP не предусматривает понятия владельца, что позволяет любому объявить лучший маршрут, иногда случайно или злоумышленно.

RPKI базируется на стандарте PKI (Public Key Infrastructure) согласно RFC 6480, применяя криптографию для безопасной маршрутизации.

Почему RPKI важен?

RPKI делает BGP более безопасным и надежным. Безопасность BGP — системная проблема, особенно актуальная с ростом Интернета.

Нарушение маршрутизации может привести к:

⏺Кражам данных (Amazon: кража криптовалюты через угон DNS).
⏺Утечкам данных (Mastercard, Visa: утечка префиксов).

Какую защиту предлагает RPKI?

Проблемы BGP возникают чаще всего из-за человеческих ошибок.

RPKI использует криптографическую модель для аутентификации владельцев IP-адресов через открытые ключи и сертификаты, добавляя уровень безопасности к IPv4 и IPv6.

Эти сертификаты продлеваются ежегодно, аналогично HTTPS для веб-страниц. 

Как работает RPKI?

RIR (Regional Internet Registry) обеспечивает корневое доверие. IANA (Internet Assigned Numbers Authority), часть ICANN, распределяет IP-адреса региональным RIR, которые затем распределяют их локальным сетям.

Это создает доверенную цепочку сертификатов.

ROA

ROA (Route Origin Authorization) — это документ, подтверждающий право AS (Autonomous System) объявлять определенные префиксы.

Например, если AS65005 объявляет маршрут 1.0.0.0/8, ROA подтверждает его право.

Как развертывается RPKI?

Сертификаты и ROA доступны в публичных хранилищах. 

Каждая сеть проверяет подписи сертификатов и срок действия ROA. Если проверка не удалась, ROA игнорируется.

Результаты проверки:

⏺Действительное: ROA присутствует, префикс и номер AS совпадают.
⏺Недопустимое: ROA присутствует, но данные не совпадают.
⏺Не найдено или неизвестно: ROA отсутствует.

N.A. ℹ️ Help

Популярные методы выполнения сегментации сети

Если вы собираетесь использовать сегментацию сети, тогда вам потребуется обратить внимание на следующие ключевые задачи:

⏺Определить, действительно ли пользователь принадлежит той или иной группе в сети;
⏺Ограничить доступ к интернет-трафику юзеров из одной группы, от группы других;
⏺Предоставить юзерам разрешение на использование только разрешенных ресурсов, а также требуется наложить запрет на остальную информацию.

Решением первой задачи является использование технологии 802.1x в корпоративных сетях.

То есть использование дополнительного фактора (например, учетки в AD и сертификата) для получения доступа в сеть.

Вторая проблема решается с помощью создания дополнительных виртуальных сетей, путем создания разных для сотрудников разных департаментов и т.д - отдельный серверный сегмент, отдельная DMZ и пр.

Для решения третьей задачи обычно используется фильтрация на основе IP-адресов.

Контроль доступа обычно может быть реализован двумя способами: грубыми средствами и тонкой фильтрацией. 

🔥Это реализуется с помощью листов контроля доступа - обычных, расширенных и динамических.

N.A. ℹ️ Help

Ограничения традиционных методов сегментации

Если использовать популярные подходы для исправления второй и третьей задачи из прошлого поста, большинство функций вы будете выполнять вручную, особенно когда будете использовать сеть.

Эта ситуация станет более ощутимой, ведь после сегментирования среда будет динамичной. 

Например, могут отличаться:

⏺Некоторые правила, которые тесно связаны с обновлениями служб защиты, а также которые управляют ресурсами и сотрудниками компаний;
⏺Количество групп юзеров, которое может меняться от условий реорганизации внутри организации, а от различных дополнений ресурсов в сети и так далее;
⏺Расположение групп пользователей, в связи с чем может возникнуть необходимость расширить сегментацию на новые части сети;

Поддержание сегментации сети становиться все более сложной в зависимости от динамики роста количества сотрудников и различных устройств - то есть сегментация это не единовременная операция, а постоянный и очень важный процесс.

На данный момент также популярным подходом становится программно-определяемая сегментация сети, к примеру у Cisco это протокол TrustSec.

🔥 Этот подход позволяет полностью уйти от IP-адресации и не мучаться с перекраиванием листов контроля доступа в случае смены VLAN-а или изменения топологии сети.

Ставь 👍, если понравилась серия постов о сегментации сети.

N.A. ℹ️ Help