NAT și tunelare

1Recapitulare4 min

Primul punct este cel pe care îl demolăm astăzi. Tot cursul 6 a insistat că adresele IP nu se schimbă pe traseu - și acum vom vedea un echipament care le schimbă intenționat, la fiecare pachet, în ambele direcții. Nu e o contradicție: e o excepție construită cu grijă, care are propriile consecințe neplăcute.

Rezultate ale învățării

• Să explicați de ce s-au epuizat adresele IPv4 și ce a amânat criza
• Să urmăriți un pachet prin translatare, dus și întors
• Să alegeți între NAT static, NAT dinamic și PAT
• Să folosiți corect termenii inside local, inside global, outside local, outside global
• Să configurați NAT pe Cisco și pe Linux
• Să enumerați ce strică NAT-ul și de ce
• Să explicați diferența dintre stratificare și tunelare
• Să scrieți și să citiți o adresă IPv6 și să explicați cum funcționează 6to4

2Problema: de ce s-au terminat adresele8 min

IPv4 folosește adrese de 32 de biți, deci aproximativ 4,3 miliarde de valori - din care o parte considerabilă este rezervată și nefolosibilă. Ultimele blocuri libere au fost distribuite de IANA în februarie 2011.

Trei mecanisme au amânat criza, iar toate trei sunt încă în uz:

3Ce face, concret, translatarea8 min

Ruterul ține evidența translatărilor într-o tabelă NAT, construită fie static de administrator, fie dinamic prin inspectarea traficului care trece.

4Cele trei tipuri de translatare10 min

NAT static - unu la unu

Problema: un server are adresă privată, dar trebuie să fie accesibil din exterior printr-o adresă publică fixă.
Soluția: o asociere permanentă între adresa internă și una publică rezervată. Translatarea funcționează în ambele sensuri, deci conexiunile pot fi inițiate și dinspre Internet - este singurul tip la care asta merge fără configurări suplimentare.

NAT dinamic - n la m

Problema: 40 de stații interne, dar doar 20 de adrese publice disponibile.
Soluția: un rezervor (pool) de adrese publice, din care stațiile primesc temporar câte una, atât timp cât comunică. Când rezervorul se golește, stațiile următoare nu mai ies - comportament care se depanează greu, pentru că depinde de ora din zi. Conexiunile din exterior nu pot fi inițiate, pentru că nu se știe dinainte ce adresă are cine.

PAT - n la unu

Problema: 40 de stații interne și o singură adresă publică.
Soluția: PAT (Port Address Translation), numit și NAT overload la Cisco și MASQUERADE în Linux. Pe lângă adresă, ruterul translatează și portul sursă, folosindu-l ca identificator al conversației. Când răspunsul se întoarce, portul destinație spune ruterului cărei stații îi aparține.

Deschideți mai multe conexiuni de la stații diferite și observați coloana din mijloc: adresa publică este mereu aceeași, dar portul diferă. Aceasta este întreaga idee.

Cu 16 biți de port, o singură adresă publică susține teoretic peste 64 000 de conversații - practic, câteva sute de stații, pentru că un browser modern deschide zeci de conexiuni pentru o singură pagină. Aceasta este, în cifre, explicația pentru care planeta a rămas pe IPv4 mult mai mult decât se estima în 1995.

5Cei patru termeni care încurcă pe toată lumea6 min

Documentația Cisco folosește patru denumiri pentru adresele implicate. Sunt logice odată înțelese, dar până atunci produc o confuzie remarcabilă.

6NAT pe echipamente Cisco9 min

Configurarea are întotdeauna trei componente, iar lipsa oricăreia produce un NAT care nu funcționează și nu dă nicio eroare.

1. Ce se translatează - un ACL sau o asociere statică.
2. În ce se translatează - un rezervor de adrese, sau o interfață.
3. Care interfață e „inside" și care „outside" - pasul uitat cel mai des.

! 1. ce se translateaza - un ACL obisnuit, dar aici permit inseamna
!    "acesta e traficul despre care vorbesc", nu "lasa-l sa treaca"
R1(config)# access-list 1 permit 192.168.1.0 0.0.0.255

! 2. in ce se translateaza - adresa interfetei de iesire, oricare ar fi ea
R1(config)# ip nat inside source list 1 interface gigabitEthernet 0/1 overload

! 3. cine e inauntru si cine e afara
R1(config)# interface gigabitEthernet 0/0
R1(config-if)# ip nat inside
R1(config)# interface gigabitEthernet 0/1
R1(config-if)# ip nat outside

! serverul 192.168.1.100 este vizibil din Internet ca 86.120.5.8
R1(config)# ip nat inside source static 192.168.1.100 86.120.5.8

! doar portul 80, daca nu vrem sa expunem tot serverul
R1(config)# ip nat inside source static tcp 192.168.1.100 80 86.120.5.8 80

Priviți ultima linie din prima comandă: are doar două coloane completate și niciun protocol. Este asocierea statică - permanentă, existentă chiar dacă nimeni nu comunică. Celelalte patru sunt dinamice și dispar la expirarea temporizatorului.

7NAT în Linux10 min

Translatarea se configurează cu aceleași unelte ca filtrarea, dar în tabela nat. Regula de aur este să știți în ce lanț intrați - și motivul este pur logic:

# iesire: rescrie sursa privata cu adresa publica rezervata
iptables -t nat -A POSTROUTING -s 192.168.1.100 -j SNAT --to-source 141.85.200.1

# intrare: rescrie destinatia publica cu adresa privata a serverului
iptables -t nat -A PREROUTING -d 141.85.200.1 -j DNAT --to-destination 192.168.1.100

# si, obligatoriu, activarea rutarii in nucleu
sysctl -w net.ipv4.ip_forward=1

# rezervor de adrese publice
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT \
         --to-source 141.85.200.2-141.85.200.6

# PAT cu adresa interfetei de iesire, oricare ar fi ea
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -j SNAT --to-source 141.85.200.2-141.85.200.6
iptables -t nat -A POSTROUTING -s 192.168.1.100 -j SNAT --to-source 141.85.200.1

Port forwarding

Când un server intern trebuie expus doar pentru o anumită aplicație, se rescrie destinația pe baza portului. Este exact ce faceți în interfața ruterului de acasă când „deschideți un port".

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 \
         -j DNAT --to-destination 192.168.1.100

# regula de filtrare trebuie sa permita si ea traficul!
iptables -A FORWARD -i eth0 -o eth1 -d 192.168.1.100 -p tcp --dport 80 -j ACCEPT

# necesar doar daca in retea exista mai multe gateway-uri:
iptables -t nat -A POSTROUTING -o eth1 -p tcp --dport 80 -d 192.168.1.100 \
         -j SNAT --to-source 192.168.1.1

8Ce ne costă NAT6 min

Merită spus și partea bună, pentru că se invocă des ca argument: NAT oferă, ca efect secundar, o formă de protecție - nimic nu ajunge la stațiile interne fără să fi fost cerut. Nu este însă un firewall și nu înlocuiește unul: nu filtrează nimic din ce iese, nu inspectează conținutul și nu vă apără de o stație internă compromisă.

9Conceptul de tunelare7 min

10Tunelul GRE8 min

GRE (Generic Routing Encapsulation) creează o legătură logică între două rutere care nu sunt vecine fizic. Ruterele intermediare nu știu nimic despre conținutul tunelului: pentru ele, este un simplu pachet IP adresat capătului celălalt.

! pe R2
R2(config)# interface tunnel 0
R2(config-if)# ip address 172.16.0.1 255.255.255.252
R2(config-if)# tunnel source 203.0.113.2
R2(config-if)# tunnel destination 198.51.100.4
R2(config-if)# tunnel mode gre ip

! pe R4 - oglinda exacta
R4(config)# interface tunnel 0
R4(config-if)# ip address 172.16.0.2 255.255.255.252
R4(config-if)# tunnel source 198.51.100.4
R4(config-if)# tunnel destination 203.0.113.2

De aici înainte, tunnel 0 se comportă ca orice interfață: are adresă IP, apare în tabela de rutare, poate participa la OSPF. Ruterele R2 și R4 sunt, din punctul de vedere al rutării, vecini direcți - deși între ele sunt kilometri de Internet.

11Tunelul SSH6 min

Un tunel SSH redirectează un port local printr-o sesiune SSH deja criptată. Scenariu tipic: Alice are cont pe un ruter Linux accesibil din Internet și vrea să administreze prin Telnet un server vechi din spatele lui, fără să își trimită parola în clar prin Internet.

ssh -N -L 0.0.0.0:5000:141.85.200.1:23 alice@141.85.200.19

#      -N  nu deschide shell pe masina intermediara
#      -L  tunel local: portul de intrare este pe masina locala
#  0.0.0.0:5000  adresa si portul pe care se asculta local
#  141.85.200.1:23  destinatia finala, vazuta din masina intermediara

După comandă, orice conexiune la 127.0.0.1:5000 de pe mașina lui Alice iese criptată spre serverul SSH și, de acolo, spre 141.85.200.1:23. Aplicația lui Alice crede că vorbește cu un serviciu local.

12IPv6, pe scurt10 min

IPv6 nu este o versiune îmbunătățită a lui IPv4, ci un protocol nou, gândit să rezolve exact neajunsurile lui.

Scrierea adreselor

O adresă IPv6 se scrie ca opt grupuri de câte patru cifre hexazecimale. Există două reguli de prescurtare: zerourile din fața fiecărui grup se pot omite, iar un singur șir continuu de grupuri nule se poate înlocui cu ::.

Încercați fe80::1, ::1 și 2002:8d55:c813::1 - ultimul este o adresă 6to4, pe care o veți recunoaște imediat după explicația din secțiunea următoare.

Convenția practică este ca primii 64 de biți să fie partea de rețea și ultimii 64 partea de interfață. Subnetarea funcționează identic cu IPv4 la nivel de bit, doar că spațiul e atât de mare încât se lucrează cu prefixe fixe: /48 pentru un site, /64 pentru un segment.

13Tunelul 6to46 min

Migrarea la IPv6 se face treptat: apar insule IPv6 într-o magistrală care rămâne IPv4. Tunelurile statice GRE funcționează, dar trebuie configurate manual, capăt cu capăt. Tunelul 6to4 se construiește automat, printr-un truc elegant de adresare.

1. Adresele insulei IPv6 trebuie să facă parte din 2002::/16.
2. Următorii 32 de biți ai adresei sunt exact adresa IPv4 publică a ruterului de la ieșirea insulei, scrisă hexazecimal. Pentru 141.85.200.19 aceasta înseamnă 8D:55:C8:13, deci prefixul 2002:8D55:C813::/48.
3. Când un ruter de capăt primește un pachet IPv6 spre o astfel de adresă, extrage din ea adresa IPv4 a destinației și încapsulează pachetul într-un pachet IPv4 spre acea adresă.
4. Ruterele intermediare rutează un pachet IPv4 obișnuit; câmpul Protocol are valoarea 41, adică „IPv6 încapsulat".
5. Ruterul de la celălalt capăt recunoaște valoarea 41, decapsulează și livrează pachetul IPv6 în insula lui.

14Erori frecvente4 min

• „NAT-ul e configurat, dar tabela e goală" Lipsesc marcajele ip nat inside / ip nat outside de pe interfețe. Fără ele, ruterul nu știe în ce direcție să translateze. Sunt al treilea pas, cel uitat.
• „Am pus regula specifică după cea generală" SNAT și DNAT sunt ținte terminale: prima potrivire câștigă și lanțul se oprește. Specificul deasupra generalului. Aceeași regulă ca la ACL-uri.
• „Port forwarding-ul nu merge, deși DNAT-ul e corect" Tabela nat a mutat pachetul, dar tabela filter l-a aruncat imediat după. Adăugați regula pe FORWARD. Cele două tabele nu se cunosc între ele.
• „Tunelul GRE e sus, ping-ul merge, dar site-urile nu se încarcă" Problemă de MTU: pachetele mici trec, cele mari nu încap după încapsulare. ip mtu 1400 și ip tcp adjust-mss 1360 pe interfața de tunel.
• „Am crezut că tunelul îmi criptează traficul" GRE nu criptează nimic. Nici 6to4, nici L2TP simplu. Pentru confidențialitate: IPsec, SSH sau WireGuard. Tunelul rezolvă conectivitatea, nu secretul.
• „Am scris două :: într-o adresă IPv6" Adresa devine ambiguă și e respinsă de orice implementare. Un singur ::, pentru cel mai lung șir de grupuri nule.
• „Port forwarding-ul de acasă nu merge deloc" Furnizorul folosește CGNAT: adresa dumneavoastră „publică" e din 100.64.0.0/10. Verificați ce adresă are interfața WAN a ruterului. Dacă e din acel bloc, soluția e o adresă publică de la furnizor sau un tunel către un server extern.

15Rezumat și glosar4 min

16Întrebări de verificare6 min

17Direcții de aprofundare2 min

Cursul următor revine la rutare, dar la varianta care se întreține singură: protocoalele link-state și OSPF. Veți vedea de ce, într-o rețea cu douăzeci de rutere, rutele statice devin imposibil de administrat - și cum reușesc ruterele să își construiască singure o hartă completă a topologiei.

Laboratorul 6 configurează ACL-uri, NAT și PAT pe ruterul de margine al firmei - exact combinația din ultimele două cursuri.

• RFC 3022 - NAT tradițional
• RFC 2784 - Generic Routing Encapsulation
• RFC 3056 - conectarea domeniilor IPv6 prin nori IPv4 (6to4)
• RFC 7526 - retragerea 6to4 din practica recomandată
• RFC 8200 - Internet Protocol, versiunea 6
• RFC 6598 - spațiul de adrese pentru CGNAT