Network basics

Ogni computer mantiene una cache (1) delle risoluzioni (gli indirizzi MAC associati agli IP) già ottenute di recente, in modo da evitare il ricorso ad ARP ogni volta. Le corrispondenza della cache sono mantenute per un periodo breve, (es 10 minuti), e possono essere visualizzate con il comando arp -a.

La richiesta ARP (2) è inviata in broadcast, un pò come se qualcuno si affacciasse in corridoio, e gridasse: chi ha questo IP ? Ciò si ottiene indirizzando la richiesta ARP verso un indirizzo Ethernet di destinazione, pari ad una sequenza di uni. Le interfacce di rete di tutti i computer della LAN, quando osservano transitare un pacchetto Broadcast, sono obbligate a riceverlo, e passarlo allo strato superiore, che valuta le eventuali azioni da intraprendere. Host B quindi, invia la sua risposta ARP (4) in unicast, ossia usando l'indirizzo ethernet di Host A come destinazione, comunicando così il proprio indirizzo MAC, usato come mittente.

Possiamo verificare ciò che si verifica effettivamente, analizzando il risultato di questo capture prodotto con il comando ping www.libero.it, eseguito sul computer 192.168.120.40, avendo impostato il Default Gateway verso 192.168.120.1, che ospita anche il DNS locale.

No. Time        Source             Destination        Protocol Info
----------------------------------------------------------------------------------------------------------------------
1 0.000000    Intel_54:3b:a5     Broadcast          ARP   Who has 192.168.120.1? Tell 192.168.120.40
2 0.001191    Asiarock_5d:78:5d Intel_54:3b:a5     ARP   192.168.120.1 is at 00:13:8f:5d:78:5d
3 0.001207    192.168.120.40     192.168.120.1      DNS   Standard query A www.libero.it
4 0.104855    192.168.120.1      192.168.120.40     DNS   Standard query response CNAME vs-fe.iol.it A 195.210.91.83
5 0.105211    192.168.120.40     195.210.91.83      ICMP Echo (ping) request
6 0.131673    195.210.91.83      192.168.120.40     ICMP Echo (ping) reply
7 0.136285    192.168.120.40     192.168.120.1      DNS   Standard query PTR 83.91.210.195.in-addr.arpa
8 0.393369    192.168.120.1      192.168.120.40     DNS   Standard query response PTR vs-fe.iol.it
9 1.104211    192.168.120.40     195.210.91.83      ICMP Echo (ping) request
10 1.130009    195.210.91.83      192.168.120.40     ICMP Echo (ping) reply
11 1.130200    192.168.120.40     192.168.120.1      DNS   Standard query PTR 83.91.210.195.in-addr.arpa
12 1.131326    192.168.120.1      192.168.120.40     DNS   Standard query response PTR vs-fe.iol.it
13 5.103641    Asiarock_5d:78:5d Intel_54:3b:a5     ARP   Who has 192.168.120.40? Tell 192.168.120.1
14 5.103666    Intel_54:3b:a5     Asiarock_5d:78:5d ARP   192.168.120.40 is at 00:16:6f:54:3b:a5

Innanzitutto, osserviamo (p 1-2) la richiesta-risposta ARP necessaria a determinare l'indirizzo Ethernet del DNS, in modo da poter inoltrare verso lo stesso, la richiesta (p 3-4) necessaria a risolvere il nome di dominio www.libero.it in un indirizzo IP. Poi (p 5-6) osserviamo la richiesta-risposta ICMP echo (notiamo come il DNS introduca una latenza di 10 msec, ed il ping solo di 3 msec), fatta passare attraverso il Default Gateway, seguita a sua volta (p. 7-8) da una richiesta di risoluzione inversa al DNS, eseguita allo scopo di poter scrivere a schermo il nome di dominio di chi ha risposto al ping; notiamo che stavolta, la latenza del DNS è di 20 msec. Dopo la seconda richiesta ICMP, osserviamo (p 11-12) una seconda richiesta di risoluzione inversa indirizzata al DNS, che stavolta viene servita in modo praticamente immediato, essendo la risposta già presente nella cache del DNS locale. Per finire, osserviamo (p. 13-14) una richiesta di risoluzione ARP, diretta stavolta dal Default Gateway verso il computer su cui stiamo operando, ed originata probabilmente dallo scadere della cache ARP del router.

Possiamo verificare come i pacchetti ARP siano privi di intestazione IP, essendo la loro circolazione esclusivamente interna alla rete locale. Si veda Wikipedia, per una breve discussione delle vulnerabilità introdotte da ARP.

^ indice

Bridge e switch

Il protocollo Ethernet originario prevedeva solamente la trasmissione a 10 Mbit/sec mediante un cavo coassiale su cui si affacciavano tutti i computer; lo stesso mezzo trasmissivo veniva quindi usato "a turno" dai diversi computer, mediante ad una tecnica di accesso condiviso denominata Carrier Sense Multiple Access, Collision Detect (CSMA/CD), attuata dallo strato MAC 802.3, su cui non ci soffermiamo.
Attualmente, oltre a prevedere velocità di trasmissione di 100 Mbit/sec, 1 Gbit/sec e 10 Gbit/sec, adottando due coppie ritorte, o la fibra ottica, i computer di una stessa LAN vengono sempre più spesso interconnessi secondo una topologia a stella, o ad albero, i cui nodi di transito sono denominati switch, ed i computer sono interconnessi su collegamenti full-duplex (es. 100BASE-TX). Gli switch sono dotati di più porte, ognuna delle quali gestisce le comunicazioni con un diverso computer (oppure con un altro switch, od un router). In questo modo, più computer di una stessa LAN possono trasmettere simultaneamente, senza interferenze reciproche, in quanto i domini di collisione restano separati per ognuna delle porte.

Lo switch non usa un proprio indirizzo Ethernet, ma instrada sulle porte in uscita le stesse identiche trame che riceve sulle porte in ingresso. Quando un computer connesso allo switch trasmette verso una destinazione per la quale non si è mai osservato traffico, le trame sono ritrasmesse su tutte le porte; d'altra parte, ogni switch attraversato prende nota dell'indirizzo Ethernet del mittente, e riempie una propria tabella di instradamento, mettendo così in corrispondenza l'indirizzo, con la porta di provenienza.

Da quel momento in poi, ogni volta che lo switch riceverà un pacchetto indirizzato ad un computer di cui conosce la porta di connessione, ritrasmetterà il pacchetto solo su quella porta, evitando di disturbare gli altri.
Allo scopo di accellerare il processo di apprendimento da parte dello switch, è possibile che all'accensione, i computer inviino di pacchetti ARP di annuncio, detti gratuitous ARP, in cui affermano l'indirizzo MAC di se stessi. In tal modo, comunicano allo switch il proprio indirizzo Ethernet; nel caso il computer abbia cambiato la porta di connessione, lo switch provvede anche ad aggiornare la tabella di instradamento.
Uno strumento per stimolare l'emissione di richieste ARP, è l'uso del comando ping, che invia un pacchetto ICMP (Internet Control message Protocol) di tipo Echo Request che, per raggiungere la destinazione, suscita appunto una richiesta ARP. Nel caso in cui quest'ultima non dovesse comparire, può essere benissimo il caso che la risoluzione sia già stata acquista dal proprio computer, e salvata nella cache: questo può essere investigato, invocando il comando arp -a.

^ indice

Strato di rete IP, gateway, router

Quando l'indirizzo IP di destinazione è esterno alla LAN di partenza, come nel caso (#3), allora il datagramma è inviato a destinazione in modo indiretto, ossia per il tramite di un Host speciale presente nella LAN, il Default Gateway (R1 nella figura seguente), che svolge le funzioni di router verso il resto di internet. Questo vuol dire che la richiesta ARP dell'host, sarà volta a localizzare l'indirizzo MAC del default gateway. Nel caso (#1) invece, l'host mittente LH2 si accorge che il destinatario LH3 è sulla stessa sottorete, e quindi raggiungibile in modo diretto, e finalizza la richiesta ARP all'individuazione diretta dell'indirizzo MAC di LH3. La consegna è quindi effettuata da un dispositivo switch, che prende in esame unicamente l'intestazione dello strato di collegamento.

Un router ha almeno due interfacce di rete, appartenenti a due LAN diverse, ed opera sui pacchetti scapsulandolifino al livello di rete, ed esaminando l'indirizzo IP di destinazione. Quindi, dopo aver consultato le proprie tabelle di instradamento, il router decide su che interfaccia re-inviare il pacchetto. Ad esempio, nel caso (#2), l'host mittente LH4 si avvede che il destinatario LS1 ha un IP che appartiene ad una diversa sottorete, e spedisce il pacchetto usando l'indirizzo MAC del proprio Default Gateway R2. Questo, anzichè reindirizzare il pacchetto verso R1 e di lì verso Internet, lo inoltra correttamente sull'interfaccia che collega LS1.

Le tabelle di instradamento dei router non sono apprese dal traffico, come avviene per quelle degli switch, bensì vengono popolate a seguito di continue comunicazioni con gli altri router di Internet. Qui sotto, è mostrato un esempio di come potrebbero apparire le tabelle di instradamento IP, per i router che interconnettono quattro diverse LAN. Per i diversi prefissi di sottorete, è indicata l'interfaccia di uscita da usare per raggiungere quella data sottorette.

Più sotto, sono descritti dei metodi per individuare l'attraversamento di rete.

^ indice

Interfacce remote

Mentre i dispositivi comunicano tra loro in modo diretto mediante lo strato fisico, che genera/riceve il segnale trasmesso sul mezzo trasmissivo, gli strati protocollari più elevati, mantengono un colloquio detto tra pari con una untità remota.

La figura precedente illustra come un dispositivo switch, si limita ad elaborare le intestazioni dello strato di collegamento, mentre un router prende in esame anche le intestazioni IP, allo scopo di inoltrare il pacchetto nella direzione corretta.

^ indice

TCP

Una particolarità notevole del protocollo IP, è che in linea di principio i pacchetti appartenenti alla stessa comunicazione possono seguire instradamenti diversi nel BackBone, causando l'eventuale arrivo a destinazione con un ordine differente da quello di partenza.

Lo strato di software superiore, il TCP, che si occupa del trasporto, provvede quindi a garantire il riordino dei pacchetti, assieme a gestire le richieste di tramissione conseguenti la perdita di pacchetti, legate a congestione od altre cause. Una particolarità, è che prima di iniziare ad inviare dati su di una conessione TCP, avviene uno scambio di tre paccheti tra sorgente e destinazione, chiamato three way handshake, che ha lo scopo di riservare le risorse necessarie (buffers), e di sincronizzare le due parti.

Il TCP permette di differenziare le comunicazioni dirette ai diversi programmi/servizi presenti sull'Host, individuato su Internet da un unico indirizzo IP, mediante l'uso di numeri di porta differenti. In tal modo, lo strato TCP permette di multiplare diversi servizi, ospitati su di uno stesso Host. Mentre un server offre i propri servizi su numeri di porta ben noti, il client usa numeri di porta scelti a caso di volta in volta (e per questo detti effimeri), necessari per ricevere una risposta da parte del server.

Un modo per verificare se presso un certo computer, è in esecuzione un determinato server, è quello di tentare di aprire una connessione TCP mediante il comando telnet nome_computer porta, in cui porta è quella standard su cui dovrebbe rispondere il server di cui desideriamo verificare l'esistenza. Un diverso modo, è quello di usare il programma nmap.

^ indice

UDP

Lo User Datagram Protocol, pur classificandosi come protocollo dello strato di trasporto, non si occupa del riordino e degli errori che affliggono i pacchetti ricevuti, ma li tratta come se ognuno fosse indipendente dagli altri. Pertanto, le funzioni di riordino, gestione degli errori, e congestione, se necessarie, devono essere gestite dai processi di strato applicativo.

Anche in UDP è possibile multiplare più servizi su di uno stesso host, grazie anche qui all'uso di porte differenti, che vengono selezionate dal programma applicativo per mezzo della chiamata di sistema socket(), bind() e connect().

L'UDP è spesso usato per comunicazioni molto brevi, anche di un solo pacchetto, in modo da evitare il sovraccarico necessario per il TCP. Inoltre, è molto comodo per inviare messaggi in broadcast a tutti gli host presenti nella LAN. Per segnalare che la trasmissione è da ritenersi broadcast, si pongono tutti i bit esterni alla Network mask ad uno (es: 192.168.122.255 è l'indirizzo di broadcast IP, per la rete 192.168.122.0/24). In questo caso, il pacchetto viene generato utilizando come indirizzo MAC di destinazione, un indirizzo ethernet a sua volta broadcast, e lo switch, lo replica su tutte le porte.

Qualora si intenda estendere il broadcast all'esterno della propria LAN, il meccanismo corretto da usare è multicast, che usa uno spazio di indirizzamento riservato, e necessita della cooperazione di tutti i router coinvolti.

^ indice

DNS

Come anticipato, esiste un ulteriore strato tipo di indirizzamento, quello a livello applicativo, che probabilmente è quello più familiare a tutti, in quanto consiste di sequenze letterali, come ad es. www.libero.it.
Senza entrare in alcun dettaglio, diciamo solo che la funzione del Domain Name System (DNS) è espletata collegialmente da un elevato numero di Host in Internet, e consiste nel risolvere un nome di dominio, nell'indirizzo IP corrispondente. Ciò consente che un computer possa essere localizzato mediante un nome facile da scrivere e da ricordare, anziché con le strane sequenze numeriche relative agli indirizzi IP.

Il DNS viene tipicamente interrogato in UDP, sulla porta 53.

^ indice

Reti private, NAT, firewall

Esistono alcune sotto-reti IP, che nessun router di Internet instrada. Si tratta degli spazi di indirizzamento privato, che corrispondono a

```
192.168.0.0/16
```
```
10.0.0.0/8
```
```
127.0.0.0/8
```

Queste sottoreti possono dunque essere ri-usate da chiunque, senza pericolo di entrare in conflitto con altri ovunque nel mondo, ed in effetti vengono usate, per realizzare le cosiddette intranet, ovvero reti che usano i protocolli Internet, ma ne restano fuori. All'opposto, gli indirizzi non compresi in questi intervalli, sono detti IP pubblici, perché raggiungibili da chiunque nel mondo.

Spesso tutti i computer di una intranet possono comunque accedere a servizi posti su Internet, purché il router che opera come default gateway svolga la funzione di Source Network Address Translation (S-NAT); in pratica, il NAT utilizza un indirizzo IP privato dal lato interno, ed un IP pubblico dal lato esterno.

Quando un Host interno invia un pacchetto diretto verso una destinazione posta all'esterno, il NAT scambia l'IP (privato) di origine, con il proprio (pubblico), ed utilizza una porta effimera di uscita particolare, associata in modo univoco alla coppia di socket interno/esterno relativa al pacchetto in transito. Quando torna indietro un pacchetto destinato a quella porta effimera, il NAT utilizza la stessa corrispondenza per ri-scrivere l'indirizzo IP di destinazione, sostituendo il proprio (pubblico, del NAT) con quello (privato, associato alla porta usata in uscita) dell'Host che ha iniziato la comunicazione, e glielo invia. Ovviamente, anche la porta di destinazione viene ripristinata, e posta pari a quella usata in origine. Questa tecnica, prende il nome di Port Address Translation (PAT).

I dispositivi NAT svolgono anche una funzione di firewall, dato che gli host forniti di IP privato, anche se possono contattare i computer dotati di IP pubblico, non possono viceversa essere contattati da questi ultimi, in quanto la traduzione del NAT funziona solo per comunicazioni che iniziano nel verso uscente. In realtà, il termine firewall è più generico, perché anche si tratta sempre di un router, un firewall non deve necessariamente svolgere funzioni di NAT, ma solo impedire il transito del traffico non autorizzato, ossia diretto verso porte diverse da quelle ammesse.

^ indice

DHCP e BOOTP

Riassumendo, la corretta configurazione di rete di un computer, consta degli elementi:

Indirizzo IP
maschera di sottorete
default gateway
DNS

... e questo è già più che sufficiente, per scoraggiare le persone... meno inclini all'informatica. Ma... non esiste anche la possibilità di cliccare su ottieni automaticamente ??? e che vuol dire?

In questo caso, l'Host invoca il Dynamic Host Configuration Protocol (DHCP), ed effettua delle richieste UDP in broadcast, a cui risponde un server DHCP (se presente nella LAN). Quest'ultimo provvede quindi a fornire i dati su elencati.
Il BOOTP è una versione precedente della medesimo funzione.

^ indice

Cattura del traffico ed investigazione di rete

Cattura

Lo strumento principe di cattura del traffico in rete è wireshark, di cui altrove viene fatta una breve presentazione della principale finestra di configurazione. Un diverso strumento, è Etherape, ci fornisce una visualizzazione spaziale dell'intensità di traffico tra il nostro computer e quelli a cui è collegato. Strumenti simili, ma testuali, sono iptraf e tcpdump.

Indagine sul proprio computer

Per scoprire semplicemente le porte su cui il nostro computer è in ascolto, e le porte remote a cui è collegato come client, possiamo invocare il comando netstat, per il quale possiamo specificare le opzioni

--inet per ottenere slo i socket internet
-l per visualizzare i socket in ascolto
-n per impedire la traduzione da numero di porta a nome del servizio

Per conoscere quale sia il processo che sta impegnando una determinata porta, occorre invocare il comando (da root) fuser -n tcp -v numero_porta, in cui al posto di tcp si può specifiare udp, mentre -v provoca la visualizzazione del nome del processo, anziché il suo pid.

Indagine sui computer estranei

Per investigare quali servizi siano in ascolto presso un computer remoto, possiamo usare il comando nmap, o la sua versione grafica nmapfe. Ma il tool in assoluto più usato per verificare se la propia configurazione di rete è funzionante, è il comando ping, con cui, in sequenza:

si pinga il proprio IP, per verificare che lo stack TCP/IP faccia il proprio dovere;
si pinga il proprio default Gateway, in modo da verificare che almeno questo sia raggiungibile;
si pinga un sito esterno chiamandolo per nome, per verificare il DNS sia configurato, e risponda.

Indagine sull'instradamento

Uno strumento particolarmente valido per rendersi conto della strada intrapresa dai nostri pacchetti, e verificare se sussistono problemi di instradamento, è il comando traceroute. Presso traceroute.org è disponibile una pagina dalla quale richiedere il tracciamento a partire da innummerevoli località sparse per il pianeta; a riguardo, possiamo seguire questa esercitazione guidata. Inoltre, è disponibile questo file di capture dalla rete di libero verso l'Australia.

Valide alternative al traceroute, sono ad esempio

My Traceroute - il comando mtr genera una simpatica visualizzazione a schermo dei ritardi accumulati lungo il percorso;
tracepath - valuta anche il MTU dei diversi link;
tcptraceroute - tenta di aprire connessioni TCP anziché UDP, ed ha maggiori probabilità di successo, riuscendo ad aggirare i blocchi imposti dai firewall;
Layer Four Traceroute - il comando lft permette di specificare una serie di opzioni che attivano diverse caratteristiche interessanti, come ad esempio la richiesta whois dei sistemi autonomi attraversati.

Indagine sugli intestatari

Una volta individuato il percorso di attraversamenteo di Internet, può essere molto interessante scoprire quali fornitori di connettività siano coinvolti, dove questi si interconnettano agli altri, e quali contatti di riferimento siano resi pubblici. Tutto ciò può essere scoperto, con il comando Whois.

^ indice

Letture ulteriori

Architetture di reti locali, Ugo Monaco [local]
Trasmissione dei Segnali e Sistemi di Telecomunicazione, A.Falaschi
Core Protocols of TCP/IP, Microsoft
Guide to IP Layer Network Administration with Linux, M. A. Brown
Wireshark Wiki, GNU GPL
The TCP/IP Guide, Charles M. Kozierok

^ indice

Alessandro Falaschi - 28 Maggio 2007

Indirizzo	Traduzione
URI della forma proto://fqdn/risorsa oppure proto:user@fqdn	il protocollo proto (es HTTP, FTP) si traduce in una porta dello strato di trasporto (es 80, 21), in accordo alle corrispondenze registrate presso IANA il Fully Qualified Domain Name fqdn si traduce, mediante interrogazione al DNS, nell'indirizzo IP necessario allo strato di rete per consegnare i pacchetti alla LAN dove risiede l'host di destinazione risorsa, e user, costituiscono un sotto-indirizzamento la cui semantica è definita nel contesto dell'applicazione che gestisce proto
IP	i 4 bytes x.y.w.z dell'indirizzo IP sono utilizzati, all'interno della rete locale, dal protocollo ARP per conoscere l'indirizzo Ethernet dell'host di destinazione
Ethernet (o MAC)	i 6 byte dell'indirizzo Ethernet (o meglio, 802.3) vengono usati dallo strato di collegamento per individuare un computer fisicamente connesso alla stessa rete LAN

Indirizzo IP/maschera	192.168.121.10/22	solo i primi 22 bit identificano la LAN
in binario	11000000.10101000.01111001.00001010	tutti e 32 i bit sono l'indirizzo completo
parte sottorete	11000000.10101000.01111000.00000000	costituita dai primi 22 bit
indirizzo di sottorete	192.168.120.0/22	i bit oltre il prefisso sono posti a zero

Network Basics

Indice

Internet = la rete delle reti

IP e maschera di sottorete

Risoluzione ARP, broadcast

Bridge e switch

Strato di rete IP, gateway, router

Interfacce remote

TCP

UDP

DNS

Reti private, NAT, firewall

DHCP e BOOTP

Cattura del traffico ed investigazione di rete

Cattura

Indagine sul proprio computer

Indagine sui computer estranei

Indagine sull'instradamento

Indagine sugli intestatari

Letture ulteriori