Chương 1: Thực hiện với hệ mã hóa thay thế(Substitution Cipher) mã hóa và giải mã với bảng rõ sau: “ khoacongnghethongtin” “sinhviencongnghethongtin” Chương 2: Thực hiện với hệ Mã hoá hoán vị (Permutation Cipher) mã hóa và giải mã với bảng rõ sau: “ khoacongnghethongtin” “sinhviencongnghethongtin” CHƯƠNG 3: NAT ( Network Address Translation) Ma Chương: MHQTM 22.3 19 Giới thiệu Lúc đầu, khi NAT được phát minh ra nó chỉ để giải quyết cho vấn đề thiếu IP. Vào lúc ấy không ai nghĩ rằng NAT có nhiều hữu ích và có lẽ nhiều ứng dụng trong những vấn đề khác của NAT vẫn chưa được tìm thấy. Trong ngữ cảnh đó nhiều người đã cố gắng tìm hiểu vai trò của NAT và lợi ích của nó trong tương lai. Khi mà IPv6 được hiện thực thì nó không chỉ giải quyết cho vấn đề thiếu IP.
Qua nhiều cuộc thử nghiệm họ đã chỉ ra rằng viêc chuyển hoàn toàn qua IPv6 thì không có vấn đề gì và mau lẹ nhưng để giải quyết những vấn đề liên qua giữa IPv6 và IPv4 là khó khăn. Bởi vậy có khả năng IPv4 sẽ là giao thức chủ yếu cho Internet và Intranet. lâu dài hơn những gì họ mong muốn Mục tiêu: - Trình bày được quá trình NAT của một hệ thống mạng; - Trình bày được NAT tĩnh và NAT động; - Thiết lập cấu hình NAT trên Windows server; - Thực hiện các thao tác an toàn với hệ thống mạng. Nội dung chính: 1.
Giới thiệu: Trước khi giải thích vai trò của NAT ngày nay và trong tương lai, những người này muốn chỉ ra sự khác nhau về phạm vi của NAT được sủ dụng vào ngày đó. Sự giải thích sẽ đưa ra một cái nhìn tổng quan và họ không khuyên rằng làm thế nào và nên dùng loại NAT nào. Sau đây chỉ là giới thiệu và phân loại các NAT phần chi tiết sẽ được thảo luận và đề cập trong chương sau khi hiện thực NAT là một layd out. Phần trình bày được chia làm 2 phần : - Phần đầu được đặt tên là CLASSIC NAT nó là các kỹ thuật NAT vào những thời kỳ sơ khai (đầu những năm 90) được trình bày chi tiết trong RFC 1931.
Ứng dụng của nó chủ yếu giải quyết cho Chương toán thiếu IP trên Internet. - Phần hai trình bày những kỹ thuật NAT được tìm ra gần đây và ứng dụng trong nhiều mục đích khác. Các kỹ thuật NAT cổ điển: Nói về NAT chúng ta phải biết rằng có 2 cách là tĩnh và động. Trong trường hợp đầu thì sự phân chia IP là rõ ràng còn trường hợp sau thì ngược lại.
Với NAT tĩnh thì một IP nguồn luôn được chuyển thành chỉ một IP đích mà thôi trong bất kỳ thời gian nào. Trong khi đó NAT động thì IP này là thay đổi trong các thời gian và trong các kết nối khác nhau. Trong phần này chúng ta định nghĩa : m: số IP cần được chuyển đổi (IP nguồn) n: số IP sẵn có cho việc chuyển đổi (IP NATs hay gọi là IP đích) 2. NATtĩnh Yêu cầu m, n >= 1; m = n (m, n là số tự nhiên) Với cơ chế IP tĩnh chúng ta có thể chuyển đổi cùng một số lượng các IP nguồn và đích.
Trường hợp đặc biệt là khi cả 2 chỉ chứa duy nhất một IP ví dụ netmask là 255. Cách thức hiện thực NAT tĩnh thì dễ dàng vì toàn bộ cơ chế dịch địa chỉ được thực hiện bởi một công thức đơn giản: Địa chỉ đích = Địa chỉ mạng mới OR ( địa chỉ nguồn AND ( NOT netmask)) Không có thông tin về trạng thái kết nối. Nó chỉ cần tìm các IP đích thích hợp là đủ. Các kết nối từ bên ngoài hệ thống vào bên trong hệ thống thì chỉ khác nhau về IP vì thế cơ chế NAT tĩnh thì hầu như hoàn toàn trong suốt.
Ví dụ một rule cho NAT tĩnh: Dịch toàn bộ IP trong mạng 138.0 đến mạng có địa chỉ là 94.0 cho cả hai mạng. Dưới đây là mô tả việc dịch từ địa chỉ có IP là 138.27, các cái khác tương tự. NATđộng Yêu cầu m >= 1 và m >= n NAT động được sử dụng khi số IP nguồn không bằng số IP đích. Số host chia sẻ nói chung bị giới hạn bởi số IP đích có sẵn.
NAT động phức tạp hơn NAT tĩnh vì thế chúng phải lưu giữ lại thông tin kết nối và thậm chí tìm thông tin của TCP trong packet. Như đã đề cập ở trên NAT động cũng có thể sử dụng như một NAT tĩnh khi m = n. Một số người dùng nó thay cho NAT tĩnh vì mục đích bảo mật. Những kẻ từ bên ngoài không thể tìm được IP nào kết nối với host chỉ định vì tại thời điểm tiếp theo host này có thể nhận một IP hoàn toàn khác.
Trong trường hợp đặc biệt thậm chí có nhiều địa chỉ đích hơn địa chỉ nguồn (m< n) Những kết nối từ bên ngoài thì chỉ có thể khi những host này vẫn còn nắm giữ một IP trong bảng NAT động. Nơi mà NAT router lưu giữ những thông tin về IP bên trong (IP nguồn) được liên kết với NAT-IP(IP đích). Cho một ví dụ trong một session của FPT non-passive. Nơi mà server cố gắng thiết lập một kênh truyền dữ liệu, vì thế khi server cố gắng gửi một IP packet đến FTP client thì phải có một entry cho client trong bảng NAT.
Nó vẫn phải còn liên kết một IP client với cùng một NAT-IPs khi client bắt đầu một kênh truyền control trừ khi FTP session rỗi sau một thời gian timeout. Giao thức FTP có 2 cơ chế là passive và non- passive. Giao thức FTP luôn dùng 2 port (control và data). Với cơ chế passive (thụ động ) host kết nối sẽ nhận thông tin về data port từ server và ngược lại non-passive thì host kết nối sẽ chỉ định data port yêu cầu server lắng nghe kết nối tới.
Tham khảo thêm về FTP protocol trong RFC 959. Bất cứ khi nào nếu một kẻ từ bên ngoài muốn kết nối vào một host chỉ định ở bên trong mạng tại một thời điểm chỉ có 2 trường hợp : + Host bên trong không có một entry trong bảng NAT khi đó sẽ nhận được thông tin “host unreachable” hoặc có một entry nhưng NAT-IPs là không biết. + Biết được IP của một kết nối bởi vì có một kết nối từ host bên trong ra ngoài mạng. Tuy nhiên đó chỉ là NAT-IPs và không phải là IP thật của host.
Và thông tin này sẽ bị mất sau một thời gian timeout của entry này trong bảng NAT router. Ví dụ về một rule cho NAT động: Dịch toàn bộ những IP trong class B, địa chỉ mạng 138.0 đến IP trong class B 178. Mỗi kết nối mới từ bên trong sẽ được liên kết với tập IP của class B khi mà IP đó không được sử dụng. Vd: xem quá trình NAT trong trường hợp sau: + Client cục bộ 10.170/ 1074 + NAT server IPI : 10.5 / PortE 1563 + Web server : 203 .20 /80 Minh hoạ: 21 Hình 5: Mô tả quá trình NAT tĩnh Quá trình NAT: Khi Client gởi yêu cầu đến webserver, Header sẽ báo tin gói tin bắt đầu tại: 10.170/1074 và đích gói tin này là cổng 80 trên Webserver có địa chỉ là 203.20 gói tin này được chặn tại cổng 80 của NAT Server, 10.1, NAT Server sẽ gắn header của gói tin này trước khi chuyển tiếp nó đến đích Webserver.
Header mới của gói tin cho biết gói tin xuất phát từ 203.5 / 1563 khi đến đích vẫn không thay đổi. - Webserver nhận yêu cầu tại cổng 80 của nó và đáp ứng yêu cầu trở lại cho NAT server. - Header của gói tin cho biết gói tin được gởi lại từ Webserver và đích của nó là cổng 1563 trên 203.5 + NAT là một cách để giấu địa chỉ IP của các Server bên trong mạng nội bộ, tiết kiệm địa chỉ IP công cộng, NAT bảo mật sự tấn công trực tiếp từ bên ngoài vào các server dịch vụ bên trong, vì bên ngoài không nhìn thấy địa chỉ IP của các server này. Như vậy NAT là một trong những công cụ bảo mật mạng LAN.
NAT hoạt động trên một route giữa mạng nội bộ bên trong với bên ngoài, nó giúp chuyển đổi các địa chỉ IP. Nó thường được sử dụng cho các mạng có địa chỉ của lớp A,B,C. - Hoạt động NAT bao gồm các bước sau: + Địa chỉ IP trong header IP được thay đổi bằng một địa chỉ mới bên trong hoặc bên ngoài, số hiệu cổng trong header TCP cũng được thay thế thành số hiệu cổng mới. + Tổng kiểm tra các gói IP và tính toán lại sao cho dữ liệu được đảm bảo tính toàn vẹn.
(Đảm bảo kết quả trả về đúng nơi mà nó yêu cầu) + Header TCP/IP checksum cũng phải được tính toán lại sao cho phù hợp với địa chỉ TCP/IP mới cả bên trong và bên ngoài lẫn cổng dịch vụ. + Có hai loại NAT: Nat tĩnh và Nat động, tương ứng với hai kỹ thuật cấp phát địa chỉ IP (địa chỉ IP tỉnh và địa chỉ IP động DHCP) Minh hoạ: 22 Hình 6: Mô tả quá trình NAT động Chú Ý: NAT có thể chuyển đổi địa chỉ theo: + Một - Một + Nhiều - Một => Một địa chỉ bên trong có thể chuyển thành một địa chỉ hợp lệ bên ngoài hoặc ngược lại. NAT Pool: Cho phép chuyển đổi địa chỉ nội bộ thành một dãy đia chỉ Public. NAT trong Window server.
Mục tiêu: - Trình bày được khái niệm và các thành phần Nat trong Windows server - Thiết lập cấu hình NAT trên Windows server 3. Win 2003 cung cấp khái niệm NAT NAT liên quan đến việc kết nối các LAN vào Internet, NAT cho phép các mạng nhỏ kết nối vào Internet như trong trường hợp của IPSec. Do đó chỉ cần một địa chỉ IP công cộng là có thể kết nối một lượng lớn để tuy cập vào Internet. - NAT server cũng cần địa chỉ của một LAN bên trong, Người sử dụng bên ngoài không thể nhìn thấy địa chỉ của các server bên trong nhờ đó mà bảo vệ được các loại tấn công từ Internet.
- NAT của Win 2003 bao gồm các thành phần sau: + TRANSLATION: Là một máy tính chạy Win 2003 có chức năng Nat được, nó đóng vai trò của bộ chuyển đổi địa chỉ IP và số hiệu cổng của LAN bên trong thành các máy chủ bên ngoài Intranet. + ADDRESS: Là một máy tính đóng vai trò bộ chuyển đổi địa chỉ mạng nó cung cấp các thông tin địa chỉ IP của các Máy tính + mạng được xem như một DHCP server cung cấp thông tin về địa chỉ IP/ Subnet Mask/ Default Gateway/ DNS Server. Trong trường hợp này tất cả máy tính bên trong LAN phải được cấu hình DHCP client.