Protocols, estructura i adreçament: TCP/IP v4 i MPLS

58 preguntas de exámenes anteriores · 31 min · 13 hermanas, de otra categoría

Alcance decidido por nosotros: el enunciado oficial no acota la materia

Enunciat oficial. Protocols, estructura i adreçament: TCP/IP v4 i MPLS.

1. L'estructura: la pila TCP/IP

TCP/IP (Transmission Control Protocol / Internet Protocol) és la família de protocols d'Internet, organitzada en 4 capes; el model OSI (Open Systems Interconnection) en té 7.

1.1 L'encapsulament

Cada capa afegeix la seva capçalera a les dades que rep de la de sobre i el receptor les retira en ordre invers: una mateixa dada viatja dins d'un segment, dins d'un paquet i dins d'una trama. La targeta de xarxa (NIC, Network Interface Card) és el component d'un ordinador que fa aquest encapsulament als extrems, tant a nivell 2 (Ethernet) com a nivell 3 (IP).

1.2 La trama Ethernet

• Adreça MAC (Media Access Control): 48 bits en hexadecimal; els 24 primers són l'OUI (Organizationally Unique Identifier) del fabricant, i FF:FF:FF:FF:FF:FF és la difusió.
• La trama porta MAC de destinació, MAC d'origen, EtherType (identifica el protocol de la capa 3 que transporta), les dades i el FCS (Frame Check Sequence).
• MTU (Maximum Transmission Unit): la mida màxima que admet l'enllaç. Un paquet més gran es fragmenta a nivell IP; cada capçalera afegida (VLAN, etiqueta MPLS) en resta marge.

2. Adreçament IPv4

Adreça IPv4: 32 bits, escrits en quatre octets decimals separats per punts. Es divideix en part de xarxa i part de host, delimitades per la màscara de subxarxa.

2.1 Classes (històric, però encara es pregunta)

Altres rangs especials: 127.0.0.0/8 loopback · 169.254.0.0/16 enllaç local (APIPA, Automatic Private IP Addressing) · 100.64.0.0/10 CGNAT (Carrier-Grade NAT).

Tot el que no cau en un rang privat és públic, i el públic s'assigna: baixa del RIPE (Réseaux IP Européens) NCC (Network Coordination Centre), el registre regional europeu, amb quota anual —la cadena sencera és a arquitectura d'Internet—. El de l'Ajuntament de Barcelona és 212.15.224.0 – 212.15.255.255, i per això l'adreça 212.15.224.5 és pública mentre que 10.x, 172.16-31.x i 192.168.x no ho són mai.

2.2 CIDR i subnetting

CIDR (Classless Inter-Domain Routing) abandona les classes: la màscara s'expressa amb el nombre de bits a 1 (/24).

Fórmula: hosts útils = 2^(32−prefix) − 2 (es resten l'adreça de xarxa i l'adreça de difusió).

Per dimensionar es va al revés: el prefix més llarg que encara doni prou hosts. Per a 300 màquines un /24 no arriba i un /23 sí; per a 50, un /26.

Quantes xarxes petites hi caben: un /n conté 2^(m−n) subxarxes /m. Un /19 són 32 xarxes /24 —és a dir, 32 «xarxes de classe C», que és com encara ho pregunta el tribunal—, i una classe C sencera té 256 adreces (254 útils). El mateix compte serveix per llegir un rang: de 212.15.224.0 a 212.15.255.255 el tercer octet pren 32 valors, i cada valor és un /24.

VLSM (Variable Length Subnet Mask): màscares de longitud variable, per assignar a cada subxarxa la mida que necessita.

2.3 Sumarització: com es calcula

Sumarització (supernetting o agregació): substituir diverses xarxes contigües per un únic anunci i reduir la taula d'encaminament. El prefix del resum és el nombre de bits inicials que totes comparteixen.

Exemple amb 10.1.1.0/24, 10.1.2.0/24, 10.1.3.0/24 i 10.1.4.0/24: els dos primers octets són idèntics (16 bits) i el tercer val 1, 2, 3 i 4, que en binari només comparteixen els 5 bits de l'esquerra. La ruta sumaritzada més petita que les inclou totes és 10.1.0.0/21, de 10.1.0.0 a 10.1.7.255.

De l'exemple surt el que es pregunta: la ruta sumaritzada inclou adreces que no són nostres —també queden incloses i anunciades 10.1.5.0/24, 10.1.6.0/24 i 10.1.7.0/24, si l'enunciat ho permet— i per tant és sempre igual o més gran que la suma de les xarxes. Només surt bé amb un pla jeràrquic, amb les xarxes d'una seu contigües i alineades.

Quan l'enunciat prohibeix incloure subxarxes no llistades, un únic resum ampli no val i cal el prefix més llarg vàlid per a cada grup alineat: 10.22.12.0/23, 10.22.14.0/23, 10.22.16.0/23 i 10.22.18.0/23 no resumeixen en un sol /21 —no comença en un múltiple de 8 al tercer octet—, sinó en dos /22: 10.22.12.0/22 i 10.22.16.0/22.

Encavalcament: dues subxarxes s'encavalquen quan els rangs es toquen (10.1.0.0/16 i 10.1.5.0/24), i l'encaminament es torna imprevisible. La solució no és una ruta: és renumerar una de les dues o, en una fusió d'empreses, aïllar-les amb NAT als dos costats —origen en un tallafocs, destí a l'altre, perquè el problema és simètric.

2.4 La màscara wildcard

Màscara wildcard (o màscara comodí): la inversa bit a bit de la màscara de subxarxa, utilitzada a les llistes de control d'accés (ACL, Access Control List) —a Cisco, access-list ... permit <IP> <wildcard>— i a la configuració d'OSPF (Open Shortest Path First) i EIGRP (Enhanced Interior Gateway Routing Protocol). Un 0 vol dir «aquest bit ha de coincidir exactament» i un 1, «aquest bit és indiferent»: si l'adreça a comprovar coincideix en tots els bits fixats, hi ha match. Càlcul: wildcard = 255.255.255.255 − màscara. Canviar la wildcard sense canviar l'adreça eixampla o redueix el bloc que fa match, encara que l'IP de la sentència sigui la mateixa.

2.5 NAT

NAT (Network Address Translation): el procés que permet que els equips amb adreçament privat surtin a Internet amb una adreça IP pública, traduint les adreces d'origen (i, en el cas de PAT, també els ports) a la sortida i desfent la traducció a l'entrada.

• NAT estàtic: correspondència un a un fixa, per publicar un servidor intern. NAT dinàmic: una bossa d'adreces públiques. NAT de destinació o redirecció de ports: per publicar serveis.
• PAT (Port Address Translation) o NAT overload: moltes adreces privades comparteixen una sola adreça pública distingint-se pel port d'origen. És el mecanisme habitual de sortida a Internet.
• NAT-Client a un balancejador de càrrega: reescriu la IP origen del client per la del propi balancejador, perquè la resposta del servidor torni sempre per ell i no directament al client, cosa que trencaria la sessió.

Quan els dos extrems que s'han d'interconnectar tenen rangs privats que se solapen, cap dels dos pot encaminar cap a l'altre sense ambigüitat i no n'hi ha prou de traduir en un costat: cada organització fa NAT de les seves adreces d'origen al seu propi tallafoc, de manera que l'altra les vegi dins d'un rang que no col·lisiona amb el seu. Traduir el destí no resol el solapament de l'origen.

NAT no és un mecanisme de seguretat, encara que dificulti les connexions entrants no sol·licitades.

2.6 IPv6

128 bits, notació hexadecimal en vuit grups. No té NAT ni difusió (usa multicast i anycast). Autoconfiguració SLAAC (StateLess Address AutoConfiguration), i NDP (Neighbor Discovery Protocol) sobre ICMPv6 en lloc d'ARP. Adreces: globals unicast (2000::/3), enllaç local (fe80::/10), úniques locals (fc00::/7) i loopback (::1). Transició: doble pila.

El subnetting en IPv6 no es fa per estalviar adreces, sinó per organitzar, i les mides són fixes: /64 per a tota subxarxa amb hosts —els 64 bits de la dreta són l'identificador d'interfície, i és el que SLAAC necessita—, /48 per a una organització i /56 per a un client domèstic. Un /48 dona 65.536 subxarxes /64, i un /32 d'operador dona 65.536 /48, que es reparteixen pels bits del mig: 2a00:c140:0::/48, 2a00:c140:1::/48…

3. Els protocols de transport

3.1 TCP

TCP (Transmission Control Protocol): orientat a connexió i fiable. Numera els bytes, confirma el que arriba, retransmet el que es perd i els lliura en ordre.

L'establiment de la connexió és el three-way handshake, i és el primer que passa abans de qualsevol dada:

El tancament ordenat en són 4 (FIN, ACK, FIN, ACK) i RST l'avorta de cop. Aporta a més finestra lliscant (control de flux), finestra de congestió amb slow start i suma de comprovació.

3.2 UDP

UDP (User Datagram Protocol): sense connexió i no fiable. Capçalera de 8 bytes —ports, longitud i suma de comprovació— i res més: ni handshake, ni confirmacions, ni ordre. És el que volen la veu i el vídeo en temps real, on retransmetre arriba tard, i les consultes breus (DNS, DHCP, SNMP).

3.3 Els ports

Port: 16 bits que identifiquen l'aplicació dins de la màquina; el parell adreça IP + port és un socket. Els 0-1023 són els ben coneguts (22 SSH (Secure Shell), 53 DNS, 80 HTTP, 443 HTTPS, HTTP Secure), els 1024-49151 els registrats i els 49152-65535 els efímers que tria el client com a port d'origen.

3.4 Protocols auxiliars

• ICMP (Internet Control Message Protocol): missatges de control i error. És el que fan servir ping (echo request/reply) i traceroute (missatge TTL (Time To Live) exceeded). No té ports.
• ARP (Address Resolution Protocol): resol una IP a una MAC dins del mateix segment, preguntant per difusió. Amenaça: ARP spoofing; mitigació amb DAI (Dynamic ARP Inspection) i DHCP snooping.
• DHCP (Dynamic Host Configuration Protocol): assigna IP, màscara, passarel·la i DNS amb l'intercanvi DORA (Discover, Offer, Request, Acknowledge). Com que va per difusió, servir una VLAN des d'un servidor central demana un agent de retransmissió (ip helper-address).
• DNS (Domain Name System): resol noms a adreces → tema 25.

4. Commutació de nivell 2

Una LAN commutada es munta amb tants commutadors com calgui als armaris de planta i un sol encaminador de sortida a l'exterior: posar-hi concentradors la deixa d'estar commutada, i un encaminador per armari és sobredimensionar el nivell 3. Si els llocs de treball porten telèfons IP o punts d'accés, el commutador ha de ser PoE (Power over Ethernet), que els alimenta pel mateix cable de xarxa; comptar elements decideix les preguntes d'aquest tipus, perquè un commutador PoE de 24 ports és un aparell i un de normal amb 24 injectors en són 25.

4.1 Com aprèn un commutador

Un commutador aprèn sol, i això explica què fa un equip acabat de treure de la caixa:

1. Apunta la MAC d'origen de cada trama a la taula MAC (o taula CAM, Content Addressable Memory) amb el port per on ha arribat; l'entrada caduca si no es torna a veure.
2. Per reenviar mira la MAC de destinació: si la té a la taula, l'envia només per aquell port.
3. Si no la té —o si és difusió o multidifusió—, inunda la trama per tots els ports menys el d'entrada. És el unknown unicast flooding: un commutador nou, que encara no ha après res, ho reenvia tot a tot arreu.

D'aquí surten els dos dominis: el de col·lisió és cada port del commutador —un concentrador (hub) en té un de sol, i per això hi funciona el sniffer sense més—, i el de difusió és tot el commutador, o cada VLAN si n'hi ha. Només un encaminador, o un dispositiu de capa 3, trenca el de difusió.

A cada salt d'un router es reescriu la trama, no el paquet: com que un router no fa bridging entre les seves interfícies, les MAC d'origen i destinació canvien a cada interfície de sortida per les del nou salt, mentre que les IP d'origen i destinació es mantenen de cap a cap (llevat que hi hagi NAT). Un sniffer connectat entre dos routers només veu, per tant, les MAC d'aquell tram concret, encara que l'IP no hagi canviat.

4.2 VLAN

VLAN (Virtual Local Area Network, 802.1Q): segmentació lògica en dominis de difusió independents, amb trunk etiquetat entre commutadors. Comunicar dues VLAN demana encaminament.

4.3 STP i les seves variants

STP (Spanning Tree Protocol, 802.1D) evita els bucles a les topologies redundants bloquejant lògicament els enllaços sobrers i reactivant-los si cau el camí principal. En una arquitectura en anell de nivell 2 —típica en connectar els elements d'accés d'una seu— l'STP és el que impedeix la tempesta de difusió i el bucle infinit, a costa de tenir enllaços inactius. El va dissenyar Radia Perlman, autora de Interconnections: Bridges and Routers.

La tria surt de les dues últimes columnes: RSTP si el que importa és recuperar-se de pressa, PVST+ si el que importa és repartir el trànsit entre VLAN, i RPVST+ quan es volen les dues coses —la variant recomanada als commutadors d'accés d'una seu amb diverses VLAN—.

Si malgrat tot es produeix un bucle de nivell 2, la possibilitat és desconnectar manualment un dels cables LAN (Local Area Network) de coure (RJ45, Registered Jack) redundants que es connecten a l'encaminador —mai el de WAN (Wide Area Network), que no forma part d'aquest domini de difusió— i deixar l'altre per no perdre la connectivitat.

4.4 Agregació d'enllaços

Agregació d'enllaços: diversos enllaços físics es presenten com un de sol, sumant ample de banda i aportant redundància.

• LACP (Link Aggregation Control Protocol, 802.3ad) és l'estàndard, i per tant l'única opció entre fabricants diferents. PAgP (Port Aggregation Protocol) és propietari de Cisco i no interopera; EtherChannel és el nom comercial de Cisco, no un protocol.
• Els enllaços han de coincidir en velocitat, dúplex i VLAN; si no, l'agregació no es forma.

Alternatives modernes a l'STP en CPD (Centre de Processament de Dades): stacking, MLAG (Multi-Chassis Link Aggregation Group, o vPC) i teixits de capa 3 amb EVPN (Ethernet VPN) /VXLAN (Virtual eXtensible LAN). Seguretat de port, 802.1X i NAC (Network Access Control) → temes 61 i 64.

5. Encaminament

5.1 Estàtic, dinàmic i distància administrativa

Encaminament estàtic: rutes escrites a mà. La ruta per defecte (0.0.0.0/0, la default gateway) és el cas més habitual i funciona entre fabricants diferents sense negociar res.

L'encaminador tria per prefix més llarg (10.1.1.0/24 guanya 10.0.0.0/8); a igualtat de prefix decideix la distància administrativa, i com més baixa, més fiable.

L'ordre importa i és el parany habitual: l'especificitat es mira abans que el tipus de ruta i que la distància administrativa. Si un equip està dins de 10.1.0.0/16 i un altre dins de 10.1.30.0/24, un ping a 10.1.30.34 va sempre pel /24, encara que el /16 s'hagi après per un camí que semblaria millor. Els codis de la taula d'OSPF només ordenen entre rutes del mateix prefix: O intra-àrea, O IA inter-àrea, i O E1 i O E2 per a les rutes redistribuïdes des de fora del domini OSPF.

Redistribució: injectar les rutes d'un protocol dins d'un altre, cosa habitual quan es fusionen dues xarxes amb protocols diferents. Els dos riscos que es pregunten són els bucles d'encaminament —una ruta surt i torna a entrar pel mateix punt— i les rutes subòptimes, perquè les mètriques no es tradueixen entre protocols i cal assignar-ne una de nova. Es filtren amb llistes de prefixos i etiquetes (route tags).

5.2 Els protocols

OSPF — el camí que forma per defecte: construeix la topologia completa de l'àrea i calcula amb Dijkstra el camí de cost mínim acumulat, on el cost de cada enllaç és inversament proporcional al seu ample de banda. És a dir, el camí més ràpid en ample de banda, no el de menys salts: aquesta és la diferència essencial amb RIP.

5.3 BGP: atributs i selecció de la millor ruta

BGP (Border Gateway Protocol) és el protocol entre sistemes autònoms. Un AS (Autonomous System) és un conjunt de xarxes amb política d'encaminament única, identificat per un número; eBGP és entre AS diferents i iBGP, dins del mateix. BGP no tria per velocitat: tria per política, i els atributs decideixen en aquest ordre:

Les dues conclusions que cauen: per triar per quin proveïdor SURT el nostre trànsit s'apuja el LOCAL_PREF de les rutes apreses d'aquell proveïdor —és un atribut intern, es propaga per iBGP i no surt de l'AS—, i per influir per on Entra només es pot suggerir, amb MED o allargant l'AS_PATH (prepending), perquè la decisió final és de l'altre.

BGP també és la defensa contra un DDoS volumètric (Distributed Denial of Service): un atac d'aquesta modalitat satura l'enllaç amb l'operador, de manera que qualsevol tallafoc, IPS (Intrusion Prevention System) o gestor d'ample de banda instal·lat a casa arriba tard, perquè el tub ja és ple abans. L'única solució que no consumeix l'ample de banda de sortida és que l'operador atregui el trànsit amb un anunci BGP específic i el netegi aigües amunt abans de lliurar-lo.

A la sortida de show ip bgp, * marca les rutes vàlides i > la millor, l'única que s'instal·la a la taula i s'anuncia als veïns. Una ruta amb el NEXT_HOP inaccessible no és vàlida i no es tria, encara que els atributs siguin millors: és l'error clàssic amb iBGP sense next-hop-self.

5.4 Redundància de la passarel·la

Si la passarel·la per defecte cau, la xarxa queda incomunicada encara que hi hagi un segon encaminador. La solució és que dos encaminadors comparteixin una IP virtual i els equips apuntin a aquesta:

• VRRP (Virtual Router Redundancy Protocol): estàndard, i per tant el que serveix entre fabricants diferents. Un mestre i un o més de reserva.
• HSRP (Hot Standby Router Protocol) i GLBP (Gateway Load Balancing Protocol) són propietaris de Cisco.

5.5 Multicast

Multidifusió (multicast): un origen envia una sola còpia i la xarxa la duplica només on cal, construint un arbre de distribució cap als receptors. És el que fa falta per a televisió IP, videovigilància —una càmera que envia imatges als ordinadors d'una guàrdia urbana que en vigila els carrers— i difusió de vídeo: amb unidifusió l'origen enviaria una còpia per espectador i saturaria l'enllaç; amb difusió arribaria a qui no l'ha demanada. El grup és una adreça de classe D (224.0.0.0/4).

PIM (Protocol Independent Multicast) és com els encaminadors construeixen l'arbre. IGMP (Internet Group Management Protocol) n'és l'altra meitat: PIM construeix l'arbre entre encaminadors, però qui demana rebre un grup és el receptor, i ho fa amb IGMP contra l'encaminador de la seva xarxa. Sense aquesta senyalització l'arbre no sap fins on ha d'arribar. PIM-SM (Sparse Mode) parteix d'un arbre compartit amb arrel al RP (Rendezvous Point) i pot passar a l'arbre de camí més curt.

5.6 Convergència

Convergència: quan es produeix un tall entre encaminadors, els protocols triguen un temps a convergir —detectar la pèrdua, propagar el canvi, recalcular i instal·lar les rutes noves—, i en aquest interval hi ha pèrdua de trànsit o bucles temporals. Es redueix amb temporitzadors agressius i BFD (Bidirectional Forwarding Detection, fallides en mil·lisegons).

6. MPLS

MPLS (Multiprotocol Label Switching): els paquets es commuten segons una etiqueta de longitud fixa afegida a l'entrada de la xarxa, en lloc de consultar l'adreça IP de destinació a cada salt.

6.1 Conceptes

• Etiqueta (label): identificador de longitud fixa inserit entre la capçalera d'enllaç i la de xarxa —per això MPLS es diu «capa 2,5»— que determina el camí del paquet dins de la xarxa MPLS. No conté l'adreça de destinació: només diu al següent encaminador com tractar el paquet. Es pot apilar més d'una etiqueta (label stack), i això és el que permet les VPN.
• LER (Label Edge Router) o PE (Provider Edge): a la vora; imposa l'etiqueta a l'entrada i la retira a la sortida.
• LSR (Label Switch Router) o P (Provider): al nucli; commuta etiquetes.
• LSP (Label Switched Path): el camí unidireccional que segueix el paquet etiquetat.
• FEC (Forwarding Equivalence Class): conjunt de paquets que reben el mateix tractament.
• LDP (Label Distribution Protocol) i RSVP (Resource ReSerVation Protocol)-TE (Traffic Engineering): protocols de distribució d'etiquetes; RSVP-TE afegeix enginyeria de trànsit amb reserva de recursos.

6.2 Avantatges

Enginyeria de trànsit —dirigir el trànsit per camins concrets, cosa que l'encaminament IP pur no permet—, QoS, VPN de nivell 3 i 2, convergència ràpida i independència del protocol transportat, d'aquí «multiprotocol».

6.3 MPLS L3VPN i MP-BGP

Els operadors combinen MPLS amb MP-BGP per oferir VPN de nivell 3 (L3VPN, Layer 3 VPN) que mantenen separat i aïllat el trànsit i l'adreçament de cada client sobre una infraestructura compartida. El mecanisme:

• Cada client té una VRF (Virtual Routing and Forwarding) al PE: una taula d'encaminament independent, de manera que dos clients poden usar el mateix adreçament privat sense col·lisionar.
• MP-BGP (BGP multiprotocol) transporta entre PE les rutes de cada client, marcades amb un RD (Route Distinguisher) que les fa úniques i amb RT (Route Targets) que controlen quines VRF les importen.
• MPLS aporta el transport etiquetat pel nucli, que no necessita conèixer les rutes dels clients: l'estat de client viu només a la vora, i això fa el model escalable.

L2VPN (Layer 2 VPN) sobre MPLS, per transportar trames de nivell 2 en lloc de paquets IP: VPLS (Virtual Private LAN Service) emula un commutador multipunt i fa que diverses seus semblin al mateix segment LAN.

Alternativa actual: SD-WAN, o SD (Software-Defined) WAN, gestiona per programari diversos accessos (MPLS, internet, 5G) amb polítiques per aplicació, i sovint conviu amb MPLS en lloc de substituir-lo.

SR (Segment Routing): evolució del pla de control de MPLS que substitueix LDP i RSVP-TE per etiquetes distribuïdes pel propi protocol d'encaminament, sense estat per flux als nodes intermedis. Simplifica MPLS i facilita el pas cap a un entorn SDN (Software-Defined Networking), amb un controlador centralitzat que programa els camins.

7. Mitjans de transmissió i accessos WAN

7.1 Els mitjans

La fibra òptica és la resposta quan calen gran ample de banda i distància, i la monomode amb multiplexació arriba als valors més alts.

7.2 Xarxa pròpia o servei contractat

• Fibra fosca pròpia: ample de banda il·limitat i cap quota per Mbit, però el desplegament en àmbit urbà és l'opció de cost inicial més alt, perquè implica obra civil, canalitzacions i permisos carrer per carrer.
• Servei de l'operador (MPLS, Ethernet metropolitana, Internet dedicat): cost inicial baix, quota mensual per capacitat i SLA (Service Level Agreement, acord de nivell de servei).
• Accés de respatller: una seu secundària que perd la línia principal només es restableix ràpidament amb un accés per un altre mitjà físic, i el cas típic és un encaminador 4G/5G, que entra en servei el mateix dia sense obra ni provisió. Una VPN sobre Internet és barata, però no és contingència si el que ha caigut és precisament l'accés, perquè hi circula per sobre; i desplegar fibra pròpia o contractar un servei nou triga setmanes. El que restableix el servei és tenir l'alternativa configurada abans.

7.3 El càlcul que cau

Es barregen bits i bytes a propòsit: les línies es mesuren en bits per segon i els fitxers en bytes. 1 byte = 8 bits, i temps (s) = bits del fitxer / bits per segon.

I es barregen també els múltiples, que van de mil en mil: kbit/s → Mbit/s → Gbit/s → Tbit/s. Per comparar capacitats es passa tot a la mateixa unitat abans de mirar les xifres: 10.000 kbit/s són només 10 Mbit/s, menys que 100 Mbit/s; i 1.000 Tbit/s és un milió de vegades 1 Gbit/s.

Un fitxer de 7 MB (Megabyte) per una línia de 56 kbit/s: 7 · 8 = 56 Mbit, i 56.000.000 / 56.000 = 1.000 s, uns 17 minuts. Dividir «7 entre 56» i respondre 0,125 s és l'error que busca la pregunta. Per a veu sobre IP es multiplica: un canal amb el còdec G.711 gasta prop de 90 kbit/s amb capçaleres, i 10 trucades simultànies demanen prop d'1 Mbit/s garantit.

8. VPN IPsec

IPsec (Internet Protocol Security) xifra i autentica el trànsit IP, i és la resposta quan es demana confidencialitat i autenticació obligatòries entre seus o en una videoconferència entre organitzacions.

L'alternativa quan l'enllaç entre seus és de nivell 2 —fibra fosca o Ethernet metropolitana— és xifrar-lo a la mateixa capa 2 amb MACsec (802.1AE), que protegeix la trama sencera salt a salt; IPsec xifra el paquet IP i per això travessa qualsevol xarxa encaminada. Com s'aprofiten com a mesura de seguretat és a arquitectures de seguretat on premise; aquí són el transport.

• Modes: túnel —xifra el paquet sencer i n'afegeix un de nou; el de les VPN entre seus— i transport, que només xifra les dades. Protocols: ESP (Encapsulating Security Payload) xifra i autentica; AH (Authentication Header) només autentica.
• La negociació té dues fases, i això és el que es pregunta. La duu IKE (Internet Key Exchange, avui IKEv2), sobre UDP 500. A la fase 1 (ISAKMP, Internet Security Association and Key Management Protocol) els extrems s'autentiquen —clau precompartida o certificat— i obren un canal segur de gestió, negociant xifrat, resum i grup Diffie-Hellman; a la fase 2, dins d'aquell canal, es negocien les SA (Security Association) que protegiran les dades.

9. QoS

Una xarxa suporta telefonia IP quan compleix dues condicions alhora, no una: ample de banda suficient perquè no es congestioni, i QoS (Quality of Service) perquè, quan es congestioni igualment, la veu passi davant. Ni redundar-la ni acostar les seus hi afegeix res: la redundància dona disponibilitat, no qualitat de la trucada.

• Classificació i marcatge: DSCP (Differentiated Services Code Point, 6 bits del camp DS (Differentiated Services) de la capçalera IP) i CoS (Class of Service, 802.1p a nivell 2, 3 bits dins de l'etiqueta de VLAN).
• Els valors que cauen: EF (Expedited Forwarding, DSCP 46, equivalent a CoS 5) és la marca de la veu i la més prioritària que fa servir un telèfon IP; BE (Best Effort, 0) és la resta del trànsit, sense prioritat.
• Requisits de la veu sobre IP: latència < 150 ms un sentit, fluctuació (jitter) < 30 ms i pèrdua < 1 %.

10. Anàlisi i diagnòstic

Analitzador de protocols o sniffer: l'aparell o programari que captura els paquets que circulen per la xarxa i en permet l'anàlisi, descodificant els protocols capa per capa. És l'instrument adequat quan cal estudiar els paquets que es transmeten.

Què veu segons on es connecta: en un concentrador, tot, perquè hi ha un sol domini de col·lisió; en un port normal d'un commutador, només el seu propi trànsit, la difusió, la multidifusió i la unidifusió desconeguda, perquè la resta s'entrega només al port de destinació.

Altres eines: ping i traceroute (ICMP), nmap (ports), SNMP (Simple Network Management Protocol) → tema 21.

11. Disseny d'una xarxa corporativa

• Topologia: en estrella cada seu penja d'un node central, i en malla completa (full mesh) totes s'uneixen amb totes. La malla dona el camí més curt entre qualsevol parell, però el nombre d'enllaços creix amb el quadrat dels punts: n · (n − 1) / 2, que amb 216 punts són 23.220 enllaços. Per això les xarxes grans es fan jeràrquiques i la malla completa es reserva al nucli.
• Model jeràrquic: nucli (core) → distribució → accés; o spine-leaf als CPD. Redundància a tots els nivells, sense punts únics de fallida, i segmentació per VLAN i per zones amb tallafocs entre elles.
• Adreçament planificat i jeràrquic, que permeti la sumarització i deixi marge de creixement. Quan s'instal·la una seu municipal nova no n'hi ha prou d'assignar una adreça: cal un rang dins del pla corporatiu, amb les seves VLAN, l'encaminament, les polítiques de seguretat i el DNS i el DHCP configurats.
• IPAM (IP Address Management): eina que gestiona de manera centralitzada el pla d'adreçament i sol integrar DNS i DHCP —d'aquí que una de les seves pestanyes sigui el servidor DNS—.
• Documentació i etiquetatge del cablatge → tema 55.

Claus d'examen

• Aquest tema cau sobretot a la prova pràctica, sobre un supòsit amb plànol i taules. Val més saber calcular —un resum, uns hosts, un temps de transmissió— que recitar definicions. De teoria pura només n'ha caigut una, i de cultura: Radia Perlman i el spanning tree (TS-TIC 2021 pràctica, p. 26).
• El parany de bits i bytes surt sempre que hi ha una línia i un fitxer (TS-TIC 2018, p. 14; TM-TIC 2021-OP pràctica, p. 10). Passa-ho tot a bits abans de dividir.
• Quan la pregunta diu «de fabricants diferents», la resposta és l'estàndard: LACP i no PAgP (TS-TIC 2021 pràctica, p. 30), VRRP i no HSRP, i una ruta estàtica per defecte quan no volen que negociïn res (TS-TIC 2021 pràctica, p. 29).
• BGP: LOCAL_PREF per a la SORTIDA, MED per suggerir l'ENTRADA. Ha caigut amb la captura de show ip bgp al davant (TS-TIC 2021 pràctica, p. 6, p. 8 i p. 9): mira el > i si el NEXT_HOP és accessible.
• 172.32.x.x no és privada: el rang de classe B acaba a .31. També 172.15.x.x és pública, 192.168.x.x és privada però de classe C i 10.x.x.x, de classe A.
• El parany del sniffer entre routers: la IP no canvia mai de cap a cap, la MAC es reescriu a cada salt (TS-TIC 2021 pràctica, p. 15; TS-TIC 2023 pràctica, p. 26).

Per recordar

• Privades: 10.0.0.0/8 (A), 172.16.0.0/12 (B: 172.16 a 172.31), 192.168.0.0/16 (C).
• Hosts útils = 2^(32−prefix) − 2: un /30 dona 2; per a 300 màquines cal un /23. Wildcard = inversa de la màscara (0 ha de coincidir, 1 és indiferent): /24 → 0.0.0.255.
• El resum es calcula amb els bits comuns i sempre és igual o més gran que la suma de les xarxes: de 10.1.1.0/24 a 10.1.4.0/24 resumeixen a 10.1.0.0/21.
• PAT permet que moltes IP privades surtin amb una sola pública, distingides pel port.
• TCP obre amb 3 missatges (SYN, SYN+ACK, ACK) i tanca amb 4. UDP no obre res: per això el fa servir la veu.
• Un commutador inunda el que no té a la taula MAC; cada port és un domini de col·lisió i només un encaminador trenca el de difusió.
• RPVST+ quan es vol convergència ràpida i un arbre per VLAN; MSTP quan hi ha massa VLAN per a això.
• OSPF forma el camí de cost mínim acumulat, inversament proporcional a l'ample de banda —no el de menys salts—. Distància administrativa 110; l'estàtica, 1.
• BGP: LOCAL_PREF alt mana la sortida, AS_PATH curt mana el camí i MED baix només suggereix l'entrada.
• Etiqueta MPLS: 20 bits de longitud fixa entre la capa 2 i la 3; no conté l'adreça de destinació. MPLS + MP-BGP = L3VPN, amb VRF per client, RD per fer úniques les rutes i RT per importar-les.
• IPsec negocia en dues fases: la 1 autentica els extrems, la 2 protegeix les dades. 1 byte = 8 bits, i temps = bits del fitxer / bits per segon.
• DSCP EF (46) = CoS 5 per a la veu; latència < 150 ms, jitter < 30 ms, pèrdua < 1 %. La IP no canvia mai de cap a cap; la MAC es reescriu a cada salt —per això, en un port de commutador, el sniffer només veu el seu propi trànsit, la difusió i la unidifusió desconeguda.

Practicar este tema