Internet i els seus components

Abast decidit per nosaltres: l'enunciat oficial no acota la matèria

Enunciat oficial. Internet i els seus components: arquitectura, protocols, dominis i DNS.

1. Arquitectura d'Internet

Internet és una xarxa de xarxes: xarxes autònomes interconnectades que fan servir la família de protocols TCP (Transmission Control Protocol) / IP.

El model client-servidor és el patró sobre el qual està construït tot el que ve després: un client —el navegador, el client de correu, el resolutor DNS— inicia la conversa, i un servidor, permanentment a l'escolta en un port conegut, la processa i respon. Per això el servidor necessita adreça estable i publicada al DNS i el client no. L'alternativa és el model d'igual a igual (peer-to-peer), on cada node fa de client i de servidor alhora i no hi ha punt central. Tots els protocols d'aquest tema són client-servidor, i el que canvia és qui fa de client i quan: un servidor de correu és servidor davant del seu usuari i client davant del següent servidor.

Sistema autònom (AS, Autonomous System): conjunt de xarxes sota una mateixa administració i política d'encaminament, identificat per un ASN (Autonomous System Number).

Operadors i punts d'intercanvi: un ISP (Internet Service Provider, proveïdor de serveis d'Internet) és l'empresa que ven connectivitat —accés a l'usuari final, o trànsit cap a la resta de la xarxa—. S'ordenen en Tier 1 (arriben a tot Internet sense pagar trànsit a ningú), Tier 2 (fan peering, però compren trànsit a un Tier 1) i Tier 3 (només accés final). Els punts neutres d'intercanvi (IXP, Internet eXchange Point) —a Catalunya el CATNIX (CATalunya Neutral Internet eXchange); a Espanya ESPANIX— són la instal·lació neutra on operadors i sistemes autònoms s'intercanvien trànsit directament, reduint costos i latència. ISP i IXP no són el mateix, i el tribunal ho explota: l'ISP et ven el servei; l'IXP és el lloc on els ISP s'interconnecten, i no ven trànsit a ningú. Un acord de peering és, doncs, dues organitzacions que actuen com a ISP i AS intercanviant-se el trànsit típicament sense cost en un IXP —no una cessió d'adreces d'un altre ISP, ni un limitador de cabal, ni un servei de monitoratge—; s'oposa al trànsit (transit), que es paga i dona accés a tot Internet.

Governança: ICANN (Internet Corporation for Assigned Names and Numbers) coordina noms i números; IANA (Internet Assigned Numbers Authority) en fa l'assignació; els RIR (Regional Internet Registry) la reparteixen per continents —RIPE (Réseaux IP Européens) NCC (Network Coordination Centre) a Europa, APNIC (Asia Pacific Network Information Centre) a Àsia-Pacífic, i els seus homòlegs a Amèrica i l'Àfrica—; l'IETF (Internet Engineering Task Force) publica els estàndards com a RFC (Request For Comments).

Adreçament: les adreces IP públiques baixen per la cadena IANA → RIR → LIR/operador → usuari final. L'Ajuntament de Barcelona té adreçament públic sol·licitat al RIPE NCC, amb quota anual de manteniment (assignació PI (Provider Independent)). Per obtenir un rang estable i independent del proveïdor d'accés cal l'estatus de LIR (Local Internet Registry) i després el de sistema autònom (AS): així s'encamina directament amb altres AS per punts neutres com el CATNIX, en lloc de dependre d'un únic operador.

Adreces IPv4 i IPv6: una adreça IPv4 té 32 bits en quatre octets decimals (192.168.1.1); l'espai és d'uns 4.300 milions d'adreces, esgotat a la pràctica per IANA el 2011. IPv6 és la resposta: 128 bits en vuit grups hexadecimals (2001:db8::1), espai pràcticament inesgotable i sense necessitat de NAT (Network Address Translation). Les adreces privades (RFC 1918: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) no s'encaminen per Internet i necessiten NAT per sortir-hi; les públiques són úniques al món. Les dues versions conviuen en doble pila (dual stack), que és la migració recomanada. El detall —classes, CIDR (Classless Inter-Domain Routing), subnetting i pla d'adreçament— és a TCP/IP v4 i MPLS.

Encaminament bàsic: un encaminador tria la sortida de cada paquet amb la seva taula d'encaminament, on cada entrada lliga un prefix de destinació amb el següent salt; guanya el prefix més específic, i si cap no encaixa s'aplica la ruta per defecte cap al proveïdor. Dins d'un AS omplen la taula els protocols interiors (IGP, Interior Gateway Protocol: OSPF, Open Shortest Path First; RIP, Routing Information Protocol), que trien pel camí més curt o més ràpid. Entre AS, l'únic protocol exterior (EGP, Exterior Gateway Protocol) d'Internet: BGP (Border Gateway Protocol, RFC 4271), de vector de camí, que anuncia cada prefix amb la llista d'AS travessats —així descarta bucles— i no tria pel camí més ràpid, sinó per política. Els atributs i la millor ruta són a TCP/IP v4 i MPLS.

Intranet: xarxa privada d'una organització que fa servir les mateixes tecnologies que Internet (TCP/IP, HTTP) però amb accés restringit als seus membres. En ser una infraestructura controlada per l'organització —a diferència d'Internet, pública i compartida entre milers d'operadors—, ofereix més predictibilitat de rendiment i funcionament. Es pot estendre entre seus amb túnels IP (VPN, Virtual Private Network) sense deixar de ser privada, i el seu adreçament ha de seguir estant planificat i sense duplicitats.

2. El model de capes

La correlació correcta: les capes 5, 6 i 7 d'OSI (sessió, presentació i aplicació) es corresponen amb la capa d'aplicació de TCP/IP; les capes 1 i 2 (física i enllaç), amb la d'accés a la xarxa; i les capes 3 i 4, una a una amb Internet i transport. Aquesta és la pregunta literal.

TCP vs UDP: TCP és orientat a connexió (encaixada de tres vies SYN, SYN-ACK, ACK), garanteix el lliurament i l'ordre amb confirmacions i retransmissions, i hi afegeix control de flux i de congestió — al preu de més sobrecàrrega. UDP és sense connexió i no garanteix res, però és mínim: per això se l'emporten el DNS, el DHCP (Dynamic Host Configuration Protocol), l'SNMP (Simple Network Management Protocol) i la veu i el vídeo en temps real, on retransmetre arriba tard. QUIC (RFC 9000) és transport xifrat sobre UDP: la base de HTTP/3.

3. Protocols d'aplicació

Mètodes HTTP: GET, POST, PUT, DELETE, PATCH, HEAD, OPTIONS, TRACE, CONNECT. La llista és tancada, i la trampa recurrent és un verb plausible que no hi és: UPDATE i DOWNLOAD no existeixen. Codis d'estat: 1xx informatiu, 2xx èxit, 3xx redirecció, 4xx error del client (404 no trobat, 403 prohibit, 401 no autenticat) i 5xx error del servidor (500).

SIP (Session Initiation Protocol, RFC 3261): estàndard de l'IETF per establir, gestionar i alliberar sessions, usat en la majoria d'implementacions de ToIP (Telephony over IP). No és un protocol compacte: es defineix per capes —sintaxi, transport, transacció i usuari de transacció— i incorpora serveis de seguretat (autenticació, integritat, xifratge). RTP transporta la veu un cop establerta la sessió. Un desplegament de ToIP combina telèfons IP i softphones, gateways (o mediagateways) cap a la xarxa telefònica tradicional, call servers (centraleta IP), compressors de veu (còdecs) i encriptadors.

Quan la infraestructura IP no arriba. La telefonia IP dona per fet un cablatge estructurat en bon estat, amb PoE (Power over Ethernet) i QoS per prioritzar la veu. Si un edifici no reuneix aquests mínims —típicament els soterranis, on tampoc hi ha cobertura mòbil—, l'alternativa no és renunciar-hi, ni desplegar-hi igualment terminals IP, ni enllaçar per 4G/LTE (Long-Term Evolution): és reaprofitar el cablatge telefònic existent, desplegar-hi telefonia analògica i connectar-la a un mediagateway, que la converteix a IP i la integra a la mateixa centraleta (TS-TIC 2018 pràctica, p. 7 i 27).

Arquitectura del correu electrònic: el MUA (Mail User Agent, el client) lliura el missatge al seu MTA (Mail Transfer Agent) per SMTP; els MTA se'l reenvien entre si, també per SMTP i per tantes xarxes com calgui, fins al domini de destinació, on el MDA (Mail Delivery Agent) el diposita a la bústia. El destinatari hi accedeix al final i ja no amb SMTP, sinó amb POP3 o IMAP. Per això la funció pròpia de SMTP és transportar i reenviar: no xifra enllaços, ni filtra correu maliciós, ni gestiona agendes. La defensa bàsica contra la suplantació del domini són tres registres DNS: SPF (Sender Policy Framework) (RFC 7208: quins servidors poden enviar en nom del domini), DKIM (DomainKeys Identified Mail) (signatura criptogràfica del missatge) i DMARC (Domain-based Message Authentication, Reporting and Conformance) (política i informes que uneixen els dos anteriors).

DHCP (Dynamic Host Configuration Protocol, RFC 2131) evita configurar a mà cada equip: el servidor li cedeix (lease) una adreça per un temps limitat i li lliura també la màscara, la passarel·la per defecte i els servidors DNS —per això una avaria de DHCP es manifesta com «no hi ha Internet» encara que la xarxa funcioni—. La cessió es renova abans de caducar, i a un servidor, una impressora o un telèfon IP se'ls fa una reserva. L'intercanvi DORA (Discover, Offer, Request, Acknowledge) i l'agent de retransmissió per servir diverses VLAN (Virtual Local Area Network) són a TCP/IP v4 i MPLS.

4. El sistema de noms de domini (DNS)

Tradueix noms de domini llegibles per les persones en adreces IP i publica altres metadades del domini.

És una base de dades jeràrquica, distribuïda i replicada, amb delegació d'autoritat i memòria cau a tots els nivells.

4.1 Jerarquia

Nou gTLD: .barcelona és un gTLD de ciutat gestionat per l'Ajuntament, i .cat, el domini de la comunitat lingüística catalana, gestionat per la Fundació puntCAT —el primer TLD (Top-Level Domain) concedit a una comunitat cultural.

Qui gestiona un domini: tres papers que no s'han de barrejar. El registre (registry) opera el TLD i en manté la base de dades autoritativa —la Fundació puntCAT per al .cat, Red.es per al .es, l'Ajuntament per al .barcelona—; el registrador (registrar), acreditat, és l'empresa que ven el domini al públic; i el registrant és el titular. Com que la cadena és pública, la titularitat es pot consultar (§4.4): és la primera comprovació davant d'un web que imita l'estètica corporativa sense ser de l'organització.

4.2 Components

• Resolutor (stub resolver): la peça del sistema operatiu que consulta en nom de l'aplicació; no resol res, ho delega.
• Servidor recursiu: fa tota la feina per al client —pregunta a l'arrel, al TLD i a l'autoritatiu— i desa el resultat a la memòria cau. No té cap dada pròpia.
• Servidor autoritatiu: té la zona i respon amb dades pròpies, no de memòria cau. La distinció que es pregunta és aquesta: l'autoritatiu és l'origen de la dada; el recursiu és qui la va a buscar i la guarda. Cada zona té un primari (on s'edita) i uns quants secundaris, que en reben còpia.
• Servidors arrel: 13 identitats (a…m.root-servers.net) replicades arreu del món; no saben cap adreça final, només deleguen cap als TLD.
• Recursiva vs iterativa: en la recursiva qui pregunta fa una sola pregunta i rep la resposta definitiva; en la iterativa cada servidor contesta «jo no ho sé, pregunta a aquest altre». Un recursiu parla recursivament amb el seu client i iterativament amb la resta de servidors.

Pas a pas: es demana www.barcelona.cat → el resolutor pregunta al recursiu → si no ho té a la cau, aquest pregunta a un arrel, que el remet al .cat, que el remet als autoritatius de barcelona.cat, que retornen el registre A → el recursiu el desa mentre duri el TTL. Per això abaixar el TTL abans d'una migració fa que el canvi es propagui de seguida.

4.3 Tipus de registre

TTL (Time To Live): temps que un registre es pot conservar a la memòria cau.

Transferència de zona: la rèplica de la zona del primari cap als secundaris. AXFR (RFC 5936) en porta la còpia completa; IXFR (RFC 1995) només els canvis posteriors al número de sèrie que el secundari ja té —per a això serveix el número de sèrie del SOA, que s'incrementa cada cop que s'edita la zona—. Les dues s'han de restringir als secundaris autoritzats: una AXFR oberta regala l'inventari sencer de noms interns. (AXFR i IXFR no són inicials de res: són els noms que els RFC donen a aquests tipus de consulta, i per això no s'obren lletra per lletra.)

4.4 Seguretat del DNS

• DNSSEC (RFC 4033-4035): signa criptogràficament els registres per garantir-ne l'autenticitat i la integritat i evitar l'enverinament de la memòria cau (cache poisoning). No xifra res: el DNS continua sent públic.
• DoT (DNS over TLS, port 853) i DoH (DNS over HTTPS, 443) xifren la consulta: complementen DNSSEC, no el substitueixen.
• Amenaces: enverinament de memòria cau, segrest de domini i amplificació DNS per a atacs de denegació de servei. S'hi respon separant el DNS intern del públic (vista dividida), restringint la recursivitat, limitant les transferències de zona i bloquejant dominis maliciosos.

Whois / RDAP (Registration Data Access Protocol) publiquen les dades de registre d'un domini —titular, registrador, dates d'alta i caducitat, servidors de noms—; RDAP és el successor del whois, amb respostes estructurades. La informació és pública i la pot consultar qualsevol: no cal ser registrador ni anar al whois del TLD concret —el del .cat és el de la Fundació puntCAT, però qualsevol servei whois genèric hi arriba igual—. És l'eina per esbrinar qui hi ha al darrere d'un web que aparenta ser de l'organització sense ser-ho (TS-TIC 2021 pràctica, p. 22).

5. Altres components d'Internet

5.1 CDN (Content Delivery Network)

Xarxa de lliurament de contingut: infraestructura distribuïda de servidors que serveix el contingut des del punt més proper a l'usuari.

Punts de presència (PoP): les ubicacions distribuïdes geogràficament on la CDN allotja els seus servidors de vora (edge). La seva funció és emmagatzemar el contingut en memòria cau i servir-lo des del punt més proper a l'usuari final, cosa que redueix la latència, estalvia ample de banda a l'origen i millora la disponibilitat davant pics de demanda. Aquesta —i no «fer còpies de seguretat», ni «crear contingut», ni «fer de tallafocs»— és la resposta que es demana.

Funcions afegides: terminació TLS, compressió, WAF (Web Application Firewall) i protecció anti-DDoS.

5.2 Proxy i proxy invers

El proxy directe (forward proxy) se situa davant dels clients i controla la seva sortida a Internet; el proxy invers (reverse proxy) se situa davant dels servidors i rep les peticions externes i les reenvia als servidors interns, amagant-ne la topologia → arquitectures de seguretat on premise.

5.3 IoT

Internet de les coses: objectes físics amb sensors —que mesuren una magnitud: temperatura, soroll, CO₂, ocupació— i actuadors —que actuen sobre el món físic— connectats a la mateixa xarxa que la resta de serveis. Hi aporta connectivitat i protocols que no són els d'un navegador: LPWAN (Low-Power Wide-Area Network) de llarg abast i baix consum (LoRaWAN, NB (Narrowband)-IoT) o, per a curt abast, Bluetooth LE (Low Energy); i, per als missatges, MQTT (Message Queuing Telemetry Transport)*, l'estàndard de facto, de publicació-subscripció i molt lleuger. L'edge computing*** processa a prop de l'origen per reduir latència i volum cap al núvol.

La ingesta d'aquestes dades a la plataforma municipal —Sentilo— és a arquitectura de dades; la seva publicació, a dades obertes i reutilització.

Claus d'examen

• SIP no és «compacte i sense nivells»: es defineix per capes (sintaxi, transport, transacció, usuari de transacció) i inclou seguretat (TS-TIC 2018 pràctica, p. 9).
• Adreçament públic propi: cal l'estatus de LIR i després el de sistema autònom (AS) per encaminar-se directament via un IXP com el CATNIX; no basten la banda ampla, ni la categoria d'operador davant la CNMC (Comisión Nacional de los Mercados y la Competencia, que regula però no assigna adreces), ni un Tier 2, que compra trànsit. I el RIR de Catalunya és RIPE NCC, no APNIC (p. 23 i 24).
• ISP no és IXP: el peering és intercanvi de trànsit típicament sense cost entre organitzacions que actuen com a ISP i AS, fet en un IXP; no és cedir adreces d'un altre ISP, ni limitar el cabal contractat, ni monitorar (p. 25).
• La intranet, en ser privada i controlada, té més predictibilitat de rendiment i funcionament que Internet: la trampa és pensar-ho al revés (p. 30).
• ToIP: el desplegament el formen telèfons IP, softphones, gateways/mediagateways, call servers, compressors de veu i encriptadors —no directori actiu, ni IPS (Intrusion Prevention System), ni SAI (Sistema d'Alimentació Ininterrompuda)—; i si la infraestructura IP de l'edifici no dona el mínim, l'alternativa és cablatge telefònic + telefonia analògica contra un mediagateway, no el 4G ni renunciar-hi (p. 7 i 27). (Les quatre anteriors, TS-TIC 2018 pràctica.)
• El whois es pot consultar amb qualsevol servei whois, no només amb el del .cat, i no està reservat als registradors ni és informació privada (TS-TIC 2021 pràctica, p. 22).

Per recordar

• OSI 5+6+7 → aplicació de TCP/IP; OSI 1+2 → accés a la xarxa; 3 i 4 es corresponen una a una.
• TCP = orientat a connexió i fiable; UDP = sense connexió i ràpid, per a DNS, veu i vídeo.
• MUA → MTA → (SMTP) → MTA → MDA: SMTP envia i reenvia; POP3 descarrega (i esborra); IMAP sincronitza. UPDATE i DOWNLOAD no són mètodes HTTP.
• El DNS és jeràrquic, distribuït i amb memòria cau; registres A, AAAA, CNAME, MX, NS, SOA, PTR, TXT, SRV, CAA. Autoritatiu = origen de la dada; recursiu = qui la va a buscar i la guarda durant el TTL; AXFR copia la zona sencera i IXFR només els canvis.
• DNSSEC autentica i garanteix la integritat; NO xifra — DoT/DoH sí; i SPF, DKIM i DMARC són registres DNS contra la suplantació del correu.
• Els PoP d'una CDN guarden en memòria cau i serveixen el contingut des del punt més proper a l'usuari, reduint la latència.
• Les adreces públiques venen de IANA → RIR (RIPE NCC a Europa) → operador, amb quota anual; ser LIR i sistema autònom (AS) dona adreçament estable i peering directe via IXP.
• Un ISP ven accés o trànsit; un IXP és la instal·lació neutra on s'interconnecten: el peering és sense cost i el trànsit es paga. BGP tria per política, no pel camí més ràpid.
• La intranet és més predictible que Internet perquè és privada i controlada.
• SIP (RFC 3261) és per capes i inclou seguretat; ToIP vol telèfons/softphones, gateways, call servers i compressors de veu — i si l'edifici no té infraestructura IP mínima, cablatge telefònic + analògics contra un mediagateway.