11

Netzwerke (Fach) / B. Transportschicht (Lektion)

Diese Lektion wurde von Segetown86 erstellt.

Lektion lernen

Diese Lektion ist leider nicht zum lernen freigegeben.

zurück  |  weiter 1 / 1

• Transmission Control Protocol - TCP übernimmt als verbindungsorientiertes Protokoll die Aufgabe der Datensicherheit sowie der Datenflusssteuerung und ergreift Maßnahmen bei einem Datenverlust.- TCP teilt den Datenstrom von den Anwendungen in Segmente auf, versieht sie mit einem Header und übergibt sie an das IP-ProtokollWS
• Portnummern -Die Adressierung der Applikationen erfolgt durch so genannte Ports. -Die Ports werden in drei Gruppen eingeteilt:+Well KnownPortssind fest einer Anwendung oder einem Protokoll zugeordnet (1-1023). Die Verwaltung dieser Ports übernimmt die IANA.+Registered Ports sind für Dienste vorgesehen (1024-49151)+DynamicallyAllocatedPorts werden dynamisch zugewiesen (49152-65535). Jeder Client kann diese Ports nutzen. -Eine IP-Adresse zusammen mit der Portnummer spezifiziert einen Socket. Jede TCP-Verbindung wird durch zwei Sockets eindeutig identifiziert.
• User Datagram Protocol -UDP ist ein verbindungsloses, nicht zuverlässiges Protokoll, d.h. es wird im Gegensatz zu TCP vor dem Senden von Daten keine Verbindung zur Gegenstelle aufgebaut und bestätigt. Für die sichere Übertragung ist die Anwendung selbst zuständig. -Es gibt also keine Garantie,+dass das gesendete Paket auch ankommt+dass die Pakete in der gleichen Reihenfolge wie beim Senden ankommen+dass ein Paket nur einmal beim Empfänger (Applikation) ankommt -UDP hat aber einen sehr geringeren Protokoll-Overhead und kaum Übertragungsverzögerungen. Die UDP-Datenpakete (Datagramme) werden praktisch ohne Verzögerung an die Anwendung weitergeleitet. Das ist für Multimedia-Anwendungen und z.B. Voice-over-IP wichtig.
• Netzwerkanalyse (Motivation) -Die Netzwerkanalyse gehört zu den Grundaufgaben des Netzwerk-administrators. Sie dient im Wesentlichen der Erkennung von:+Auslastung und Verhalten des Netzwerks+Schwachstellen wie•mangelhafte Konfiguration•fehlende Patches•fremde Software (z.B. Filesharing-Tools, Serv-U)+Missbrauch und Eindringlingen-Allerdings sind Rahmenbedingung und Grenzen zu beachten:+Datenschutz+nur im eigenen Bereich erlaubt+gezielte Verschleierung von unerlaubten Aktivitäten ist schwer zu entdecken
• Netzwerkscan (Möglichkeiten) -Prüfung der physikalischen Eigenschaften eines Netzwerks.-Netzwerk-Monitoring+Überwachung und Analyse von Verbindungen-Port-Scan+Suche nach Diensten, die über das Netz erreichbar sind.-Rechner-Scan+Versuch, über das Netz zusätzliche Informationen über die Konfiguration eines Rechner zu erhalten-Port-und Rechner-Scan als aktiveMaßnahmen werden später behandelt. Hier wird zunächst nur auf das passiveNetzwerk-Monitoring eingegangen.
• Netzwerk-Monitoring -Aufzeichnung aller Verbindungsdaten am Gateway-Rechner oder durch „schnüffeln“ (sniffen) im Netz. Das Verfahren ist passiv, d.h. es werden nur die ohnehin vorhandene Datenpakete gelesen und ausgewertet. -Vorteile:+Es werden alle Verbindungen erfasst+Sehr gut bei konkretem Verdacht oder zur Verfolgung von bekannten Missbrauchsfällen oder Fehlern -Probleme:+Bandbreite / Geschwindigkeit des Rechners+Die Bestimmungen des Datenschutzes sind zu beachten!
• Übersetzung von Adressen -IPv4-Adressen im Internet sind knapp. -Nicht jeder Rechner in einem Firmennetz, der Zugriff zum Internet hat, kann eine eigene IP-Adresse bekommen. Das ist auch aus Sicherheitsgründen nicht immer erwünscht. -Lösungen:+mittelfristig: IPv6 mit 128-bit Adressen einsetzen+kurzfristig: ClasslessInter-Domain Routing (CIDR) nutzen+realisiert:•Stellvertreter (Proxies) für Internetzugriffe verwenden•private, nicht global sichtbare Adressen innerhalb eines internen Netzes verwenden und nur diese beim Zugriff auf das Internet in öffentliche Adressen umsetzen
• Proxy -Ein Proxy ist ein Server (besser: Service/Dienst), über den Zugriffe auf das Internet zusammengefasst werden. Der Proxy geht stellvertretend für andere Rechner ins Internet. -Die Daten, die über den Proxy abgewickelt werden, können dort gespeichert werden. Bei einer erneuten Anfrage auf das gleiche Ziel werden sie dann nicht aus dem Internet geladen, sondern aus dem Proxy-Speicher zum Empfänger geschickt. -Auf diese Weise wird Datenverkehr ins Internet eingespart. Das senkt die Kosten und erhöht die Bandbreite für andere Anwendungen.
• Basic NAT -Das Internet-Gateway ersetzt in allen ausgehenden Datenpaketen die privaten IP-Adressen der Stationen durch öffentliche IP-Adressen (Source NAT). -Damit die eingehenden Datenpakete wieder dem richtigen Ziel zugeordnet werden, speichert das Gateway die aktuellen Zuordnungen privater zu öffentlichen Adressen in einer Tabelle. -Bei eingehenden Datenpaketen wird dann die öffentliche Adresse wieder durch die zugehörige private Adresse ersetzt und das Paket in das private Netz weitergeleitet (Destination NAT). -So einfach es sich anhört: dieses Verfahren bedeutet eine ständige Veränderung von Datenpaketen in der Schicht 3 bis hin zur Anpassung aller Prüfsummen.
• Network AddressPort Translation -NAPT, häufig auch PAT (Port and Address Translation) genannt, wird angewendet, wenn es nur eine öffentliche IP-Adresse für ein lokales Netz gibt. -Sie erweitert Basic NAT dahingehend, dass neben der Adresse auch der Port der ausgehenden Datenpakete geändert wird. Eine Verbindung wird nun nicht mehr nur auf Schicht 3, sondern auch auf Schicht 4 betrachtet. -Damit ist es möglich, mehrere Rechner über eine einzige öffentliche IP-Adresse mit dem Internet zu verbinden. Es ist das Verfahren, das die marktüblichen Router z.B. in Verbindung mit einem DSL-Anschluss praktizieren.
• Anzeige
• NAPT -Das Internet-Gateway ersetzt in allen ausgehenden Datenpaketen die privaten IP-Adressen der Stationen durch seine eigene öffentliche IP-Adresse (Source NAT). Außerdem wird der Source-Port im TCP/UDP-Segment verändert -Damit die eingehenden Datenpakete wieder dem richtigen Ziel zugeordnet werden, speichert der Router die aktuellen Zuordnungen von privaten IP-Adressen zu Ports in einer Tabelle. -Bei eingehenden Datenpaketen wird dann die öffentliche Adresse anhand des Ports wieder durch die zugehörige private Adresse ersetzt und das Paket in das private Netz weitergeleitet (Destination NAT). -Auch hier wieder: dieses Verfahren bedeutet eine ständige Veränderung von Datenpaketen bis hin zur Anpassung der Prüfsummen, jetzt zusätzlich in der Schicht 4.

zurück  |  weiter 1 / 1