Embed Size (px)
Citation preview
1
SUBNETTING UND VARIABLE LENGTH OF SUBNETTING (VLSM) Inhalt
1. AUFBAUSTRUKTUR VON NETZEN ................................................................ 3
2. KONFIGURATION VON IP-NETZWERKEN .................................................... 3
2.1. Wachstumsprobleme des Internet ............................................................ 3
2.1.1. Klassenweise IP-Adressierung ................................................... 4
2.1.2. Primäre Adressklassen ................................................................ 5
2.1.3. Klasse-A Netzwerke (/8 Präfixe) ................................................. 5
2.1.4. Klasse-B Netzwerke (/16 Präfixe)............................................... 6
2.1.5. Klasse-C Netzwerke (/24 Präfixe) .............................................. 6
2.1.6. Andere Klassen ............................................................................. 6
2.1.7. Dezimalpunkt-Schreibweise ........................................................ 6
2.1.8. Probleme der klassenorientierten Adressierung ...................... 7
2.2. Verwendung von priv. Adressen und NAT, PAT, IP-Masquerading .. 7
2.2.1. Private IP-Hostadressen .............................................................. 7
2.2.2. Network Address Translation ...................................................... 8
2.2.2.1 Network Address Translation (NAT) ............................. 8
2.2.2.2 IP-Masquerading / PAT................................................... 9
2.3. Subnetting................................................................................................... 11
2.3.1. Aufteilung in Subnetze................................................................ 13
2.3.2. Vorteile von Subnetting .............................................................. 16
2.3.3. Bemerkungen zur Subnetzplanung .......................................... 17
2.4. Variable Length of Subnetting (VLSM) .................................................. 18
2.4.1. Effektive Nutzung des IP-Adressraums ................................... 19
2.4.2. Zusammenfassen von Routen (Route Aggregation) ............. 20
2.4.3. VLSM Planungsempfehlungen.................................................. 21
2.4.4. Anforderungen für die Umsetzung von VLSM ........................ 21
2.4.4.1 Senden des erweiterten Netzwerkpräfixes ................ 22
2.4.4.2 Weiterleitungsalgorithmus ............................................ 22
2.4.4.3 Topologieabhängige Adresszuweisungen ................. 23
2.4.5. VLSM Entwurfsbeispiel 1 ........................................................... 23
2.5. Classless Interdomain Routing (CIDR) .................................................. 27
2.5.1. CIDR für die effiziente Nutzung des IPv4 Adressraumes ..... 29
2.5.2. Rechneranforderungen für die CIDR-Adressierung .............. 30
2.5.3. Effiziente Adresszuweisung....................................................... 31
2
2.5.4. Beispiel für CIDR Adresszuweisung ........................................ 31
2.5.5. CIDR ist VLSM ähnlich ............................................................... 32
2.5.6. Kontrollieren des Wachstums der Internet-Routingtabellen . 33
2.5.7. Routing in einer klassenlosen Umgebung............................... 34
2.6. Erweiterte Nutzung des IPv6- Adressraumes....................................... 35
2.6.1. Die Internet Protokoll Version 6 ................................................ 35
2.6.1.1 Die Merkmale von IPv6 ................................................. 36
2.6.1.2 Aufbau des IPv6-Basis-Headers ................................. 37
2.6.1.3 Authentication Options Header (AH) .......................... 40
2.6.1.4 Encapsulating Security Payload (ESP) ...................... 40
2.7. Übungsaufgabe zu VLSM (siehe Praktikumsversuch) ........................ 41
Document History
Version, Date Author(s) email address Changes and other notes 27.10.2006 [email protected]
3
1. AUFBAUSTRUKTUR VON NETZEN
2. KONFIGURATION VON IP-NETZWERKEN Das seit den 80er Jahren aufgebaute Internet stellt heute das größte öffentliche Datennetz der Welt dar. Durch die große Popularität des World Wide Web (WWW) und die vielfältigen Möglichkeiten im Geschäftsbereich (B2B, B2C etc.) verdoppelt sich die Anzahl der Zugänge zum Internet derzeit alle 9 Monate. Mit der Anzahl der am Internet angeschlossenen Institutionen wächst ebenso der „Wert“ des Internets, da die Institution immer mehr Benutzer bzw. Kunden über diesen Anschluss erreichen kann.
2.1. Wachstumsprobleme des Internet In letzter Zeit traten durch das kontinuierliche Wachstum des Internets zwei Probleme auf, nämlich • der unzureichende Adressraum von IPv4 und • die Fähigkeit, das Datenaufkommen zwischen den Netzen zu routen.
Das erste Problem hängt mit dem zur Neige gehenden IP-Adressraum zusammen. In der aktuellen Version IP Version 4 (IPv4) wird die Adresse eines Internetteilnehmers durch eine 32-Bit-Adresse repräsentiert. Theoretisch sind hiermit 232 = 4.294.967.296 IP-Adressen möglich. Das Problem der unzureichenden Anzahl von Adressen ergibt sich jedoch durch ineffiziente Verteilung der Adressen selbst, da durch die traditionelle klassenorientierte Nutzung der Adressraum nicht optimal genutzt wird.
706050403020100
Net
wor
ks (i
n th
ousa
nds)
1983
1985
1987
1989
1991
1993
1995
Class A
Class B
Class C
Bild: Zugewiesene Netzwerknummern Die Arbeitsgruppe Address Lifetime Expectancy (ALE) der IETF hat zum Ausdruck gebracht, dass bei der aktuellen Adressvergabepolitik kurz bis mittelfristig alle Adressen aufgebraucht sein werden. Falls das Problem des Adressraums nicht gelöst wird, könnten so in Zukunft keine weiteren Benutzer mehr an das Internet angeschlossen werden.
Das zweite Problem wird durch das schnelle Wachstum der Routingtabellen in den Routern des Internet verursacht. Die Backbone-Router müssen vollständige Routing-Informationen über das Internet besitzen. Mit dem Anschluss vieler Unternehmen und Institutionen in den letzten Jahren sind die Routingtabellen in den Routern exponentiell gewachsen. Im Dezember 1990 gab es beispielsweise ca. 2190
4
Router, im Dezember 1992 ca. 8500 und im Dezember 1995 bereits mehr als 30000 Router.
05101520
253035
Rou
ting
Tabl
e E
ntrie
s( i
n th
ousa
nds
)
1990
1991
1992
1993
1994
1995
Bild: Wachstum der Internet-Routingtabellen Das Routing-Problem kann letztlich nicht mehr dadurch gelöst werden, dass mehr Speicher in den Routern installiert wird, um so beispielsweise immer größere Routingtabellen aufnehmen zu können. Ein anderer Faktoren betrifft die notwendige CPU-Leistung, um Änderungen der Tabellen und der Topologie nachzuvollziehen. Falls die Routingtabellen in den zentralen Routern beliebig wachsen, werden die Router irgendwann gezwungen sein, Routen zu vergessen (discarded routes). Damit wären Teile des Internet zunächst nicht mehr erreichbar. Die langfristige Lösung dieser Probleme ist in der allgemeinen Verwendung von IP Next Generation (IPng oder IPv6) zu sehen. Bis die Software zur Verarbeitung der IPv6 Pakete in den Kommunkationsstacks und den Netzwerkkomponenten überall verfügbar ist, muss mittels spezieller Methoden versucht werden den IPv4-Adressraum effizient zu nutzen, um so eine weitergehende Konnektivität des Internets sicherzustellen.
2.1.1. Klassenweise IP-Adressierung Als IP 1981 standardisiert wurde, forderte die Spezifikation, dass jedem System, das an das Internet angeschlossen ist, eine eindeutige 32-Bit Internetadresse zugewiesen wird. Einige Systeme mit Routerfunktionalität, die Schnittstellen zu mehreren Netzwerken haben, benötigen für jede Netzwerkschnittstelle eine IP-Adresse. Der erste Teil der Internetadresse gibt das Netzwerk an, in dem der Rechner steht. Der zweite Teil gibt den Rechner innerhalb des Netzwerkes an. Dies erzeugt eine zweistufige Adresshierarchie, die in Bild 3 dargestellt ist.
Bild 3: Zweistufige Internet-Adresshierarchie
Das Feld mit der Netzwerknummer wird auch als "Netzwerk-Präfix" bezeichnet, da die Netzwerknummer bzw. Netzwerkadresse einer IP-Adressangabe immer vorne steht. Alle Rechner innerhalb eines Netzwerkes müssen die gleiche Netzwerkadresse, aber eine eindeutige Hostadresse (Hostadresse) haben. Analog können zwei Rechner in
5
verschiedenen Netzen unterschiedliche Netzwerk-Präfixe haben, jedoch aber gleiche Hostadressen aufweisen.
2.1.2. Primäre Adressklassen Um unterschiedlich große Netze zu unterstützen, wurde der IP-Adressraum in drei Klassen aufgeteilt, wie das Bild 4 zeigt. Dies wird als klassenweise Adressierung be-zeichnet, da der Adressraum in drei vordefinierte Klassen bzw. Kategorien aufgeteilt wird. Eine der grundlegenden Eigenschaften der klassenorientierten IP-Adressierung ist, dass jede Adresse implizit angibt, welcher Teil der Adresse Netzwerk-Präfix ist und welcher Teil Hostadresse. Beginnen z. B. die ersten beiden Bits einer Adresse mit 10, dann sind die ersten 16 Bit Netzwerk-Präfix und die zweiten 16-Bit sind die Hostadresse.
Bild 4: Formate der klassenweisen IP-Adressierung Dies vereinfachte das Routing-System in den ersten Jahren, da die Routing-Protokolle keine Netzmaske benötigten, die mit jeder Route angegeben werden, um die Länge des Netzwerk-Präfixes festzulegen.
2.1.3. Klasse-A Netzwerke (/8 Präfixe) Jedes Klasse-A Netzwerk hat ein Netzwerk-Präfix von 8 Bit, bei dem das erste Bit 0 und die restlichen sieben Bit die Netzwerknummer angeben. Dem folgt dann eine Hostadresse von 24-Bit Länge. Klasse-A-Netzwerke werden heute als "/8" (ausge-sprochen “Schrägstrich acht“ oder “Präfix 8“ oder einfach "achter") Netzwerke bezeichnet, da das Netzwerk-Präfix 8 Bit beträgt. Es können maximal 126 (27 - 2) /8 Netzwerke definiert werden. Bei der Berechnung der Anzahl müssen zwei abgezogen werden, da das Netzwerk 0.0.0.0/8 als Standard-Route und das Netzwerk 127.0.0.0/8 für die "loopback"-Funktion reserviert ist. Jedes /8-Netzwerk unterstützt maximal 16.777.214 (= 224 - 2) Rechner im Netz. Bei dieser Berechnung müssen wieder zwei abgezogen werden, da Hostadressen, die nur Nullen enthalten ("Netzwerkadresse"), und Hostadressen, die nur Einsen enthalten ("broadcast" = Rundruf) nicht einem einzelnen Rechner zugewiesen werden können.
6
Da der /8-Adressblock 231 (=2,147,483,648) individuelle Adressen und der IPv4 Adressraum maximal 232 (=4,294,967,296) umfasst, belegt der /8-Adressraum 50% des IPv4 Adressraumes.
2.1.4. Klasse-B Netzwerke (/16 Präfixe) Jedes Klasse-B-Netzwerk hat ein Netzwerk-Präfix von 16 Bit, das mit den beiden Bits 10 beginnt und weitere 14 Bit als Netzwerkadresse enthält. Dem folgt schließlich eine Hostadresse von 16 Bit Länge. Klasse-B Netzwerke werden als /16-Netzwerke bezeichnet, da das Netzwerk-Präfix 16 Bit lang ist. Es können maximal 16,384 (=214) /16-Netzwerke mit bis zu 65,534 (=216-2) Rechnern pro Netzwerk angegeben werden. Der /16-Adressblock enthält 230 (=1.073.741.824) Adressen. Dies entspricht 25% des IPv4-Adressraumes.
2.1.5. Klasse-C Netzwerke (/24 Präfixe) Jedes Klasse-C Netzwerk hat ein Netzwerk-Präfix von 24 Bit, die Netzwerkadresse beginnt mit den Bits 110, die restlichen 21 Bit geben die Netzwerknummer an. Dem folgt eine Hostadresse von 8 Bit Länge. Klasse-C Netzwerke werden als /24-Netz-werke bezeichnet, da das Netzwerk-Präfix 24 Bit lang ist. Es können maximal 2,097,152 (=221) /24-Netzwerke mit bis zu 254 (=28-2) Rechnern pro Netzwerk angegeben werden. Der /24-Adressblock enthält 229 (=536,870,912) Adressen. Dies entspricht 12,5% des IPv4-Adressraumes.
2.1.6. Andere Klassen Zusätzlich zu den drei bekannten Klassen gibt es die beiden Klassen D und E. Bei der Klasse D sind die obersten vier Bit auf 1110 gesetzt. Die Adressen der Klasse D werden für IP-Multicast verwendet. Bei Klasse-E-Adressen sind die obersten vier Bit auf 1111 gesetzt. Dieser Adressraum ist für experimentelle Anwendungen reserviert.
2.1.7. Dezimalpunkt-Schreibweise Aufgrund der besseren Lesbarkeit werden die Adressen häufig in der "Dezimalpunkt-Schreibweise" als vier Dezimalzahlen, die durch Punkte voneinander getrennt sind, angegeben. Die Dezimalpunkt-Schreibweise teilt die 32-Bit Internet-Adresse in vier 8 Bit Felder (sog. Oktetts). Das Beispiel in Bild 5 zeigt eine /16 Adresse in Dezimalpunkt-Schreibweise.
Bild 5: Dezimalpunkt-Schreibweise
Das Bild 6 gibt die Bereiche der drei Adressklassen in Dezimalpunkt-Schreibweise an, "xxx" bezeichnet hier die Hostadresse, die von dem Netzadministrator zugewiesen wird.
Address Class Dotted-Decimal Notation Ranges
A (/8 prefixes) 1.xxx.xxx.xxx through 126.xxx.xxx.xxx
7
B (/16 prefixes) 128.0.xxx.xxx through 191.255.xxx.xxx
C (/24 prefixes) 192.0.0.xxx through 223.255.255.xxx
Bild 6: Adressbereich jeder Klasse in dezimaler Punkt Schreibweise
2.1.8. Probleme der klassenorientierten Adressierung Die klassenorientierte Adressierung weist u. a. folgende Beschränkungen auf
• In den frühen Tagen des Internets wurde Organisationen aus dem scheinbar unerschöpflichen Adressraum des Internet, Adressen entsprechend den Anforderungen und nicht entsprechend dem tatsächlichen Bedarf zugewiesen.
• Die Einteilung in die Klassen A, B und C mit ihren Beschränkungen war einfach zu implementieren, man benötigte keine Subnetzmasken. Dies war aber für eine effiziente Belegung des Adressraumes nicht sinnvoll.
• Es fehlt insbesondere eine Netzwerkklasse für z. B. mittelgroße Organisationen. Ein /24-Netz ist mit 254 Rechner zu klein, während ein /16-Netz mit 65534 Rechnern zu groß ist. In der Vergangenheit wurden Organisationen mit mehreren hundert Rechnern ein /16-Netz anstatt mehrerer /24-Netze zugewiesen. Das Ergebnis war, dass die /16-Adressen schnell knapp wurden. Die einzigen noch verfügbaren Adressen sind die /24-Netze, die den negativen Effekt haben, dass die globalen Routingtabellen schnell wachsen.
Konzepte zum ressourcenschonendem Umgang des IPv4-Adressraums sind: • die Verwendung von privaten Adressen • der Einsatz von NAT und PAT • der Einsatz von Subnetting und Variable Length of Subnetting (VLSM) • Erweiterte Nutzung des IPv6- Adressraumes • Classless Interdomain Routing (CIDR)
2.2. Verwendung von priv. Adressen und NAT, PAT, IP-Masquerading
2.2.1. Private IP-Hostadressen Jeder Rechner benötigt zur Kommunikation im Internet unter Intranet eine IP-Adresse. Ist die IP-Adresse aus den Bereichen 10.0.0.0 - 10.255.255.255 (10/8 prefix) 172.16.0.0 - 172.31.255.255 (172.16/12 prefix) 192.168.0.0 - 192.168.255.255 (192.168/16 prefix) so wird diese als “privat“ bezeichnet. Siehe hierzu auch das RFC 1918 - Address Allocation for Private Internets (ftp://ftp.rfc-editor.org/in-notes/rfc1918.txt)
8
Datenpakete von privaten IP-Adressen werden im Internet nicht weitergeleitet d. h. geroutet Hat ein Rechner eine private IP-Adresse, so kann kein Paket aus dem Internet diesen direkt erreichen. Rechner mit privaten Adressen sind damit automatisch gegen „Hacker“-Angriffe aus dem Internet geschützt. Allerdings kann immer noch ein Angriff von einem anderen Rechner innerhalb des Intranets erfolgen, wie dies bei den sog. Internet-Würmern der Fall ist. Ebenso kann zunächst kein Datenpaket mit einer privaten IP-Adresse das Intranet verlassen. Für die Nutzung der wichtigen Internetdienste E-Mail, WWW, FTP, Streaming Video, Internettelefonie (H.323) etc müssen daher sog. Proxy-Server verwenden werden. Anm.: In der entsprechenden Software (z. B. Browser) müssen diese Proxies konfiguriert werden. Für Serversysteme, die selbst weltweit Dienste anbieten, kommen dagegen private Adressen nicht in Frage. Zur Erhöhung der Sicherheit sollten im Intranet möglichst private IP-Adressen verwendet werden.
2.2.2. Network Address Translation Die begrenzte Verfügbarkeit von IP-Adressen hat dazu geführt, dass man sich Gedanken über verschiedene Möglichkeiten machen musste, wie man mit den exis-tierenden Adressen ein größeres Umfeld abdecken kann. Eine Möglichkeit, um private Netze mit mehr als einem PC unter Verwendung möglichst weniger öffentlicher Adressen an das Internet anzukoppeln stellen NAT, PAT und IP-Masquerading dar. Alle Verfahren bilden private Adressen gemäss RFC 1918 oder einen proprietären (= nicht registrierten) Adressraum eines Netzes auf öffentliche registrierte IP-Adressen ab.
2.2.2.1 Network Address Translation (NAT) Beim NAT (Network Address Translation) werden die Addressen eines privaten Netzes über Tabellen öffentlich registrierten IP-Adressen zugeordnet. Dieses hat den Vorteil, dass Rechner, die innerhalb eines privaten Netzes miteinander kommunizieren müssen keine öffentlichen IP-Adressen benötigt werden. IP-Adressen interner Rechner, die eine Kommunikation mit Zielen im Internet aufbauen müssen, erhalten in dem Router, der zwischen dem Internet Service Provider (ISP) und dem privaten Netzwerk steht, einen Tabelleneintrag. Durch diese „1-zu-1“-Zuordnung, sind diese Rechner nicht nur in der Lage, eine Verbindung zu Zielen im Internet aufzubauen, sondern sie sind auch aus dem Internet erreichbar. Die interne Struktur des Firmennetzwerkes bleibt jedoch nach außen verborgen.
INTERNET I INTRANET öffentliche Adressen I private Adressen
9
Bild: Zuordnungstabelle beim NAT
2.2.2.2 IP-Masquerading / PAT Beim IP-Masquerading, das manchmal auch als „Port and Address Translation“ (PAT), Network and Port Address Translation (NPAT) oder 1-to-n-NAT bezeichnet wird, werden alle Adressen eines privaten Netzwerkes auf eine einzelne öffentliche IP-Adresse abgebildet. Diese öffentliche IP-Adresse wird oft als dynamische IP-Adresse von einem Internet Service Provider (ISP) zugewiesen. Möglich wird dies dadurch, dass bei einer existierenden Verbindung zusätzlich zu den Adressen auch die Portnummern ausgetauscht werden. Auf diese Weise benötigt ein gesamtes privates Netz minimal nur eine einzige registrierte öffentliche IP-Adresse.
Bild: Aufbau des IPv4-Frames
10
Bild: Aufbau des TCP-Frames
Senderport (Source Port), Empängerport (Destination Port) Der Sender adressiert den Partner über IP-Adresse des Zielrechners und eine 16-Bit lange Portnummer. Um den Empfänger adressieren zu können, muss der Sender dessen Portnummer kennen. Der Sender wiederum kann (meist) eine beliebige freie Portnummer wählen, da er seine eigene Nummer dem Kommunikationspartner mitteilt. Für die Standarddienste stehen die Portnummern in der Datei /etc/services. UDP ver-wendet einen eigenen Adressraum, so dass gleiche Portnummern sich somit nicht überschneiden.
Sequenznummer (Sequence Number) Dieser 32-Bit Wert kennzeichnet eindeutig die Stellung eines Pakets innerhalb des Datenstroms in Senderichtung. Die initiale Sequenznummer wird zu Beginn des Verbindungsaufbaus von jedem Kommunikationspartner festgelegt, wobei gilt, dass sie für die maximal mögliche Lebensdauer des Pakets (TimetoLive des Internet Protokolls) bzgl. der verbundenen Rechner eindeutig ist. Die Sequenznummer eines folgenden Pakets berechnet sich aus der initialen Sequenznummer und der Anzahl bisher gesendeter Bytes. Somit ist es möglich, bei Verlust oder Beschädigung eines Pakets gezielt dieses wiederholt zu senden. Nachteil des IP-Masquerading: Die Rechner im privaten Netzwerk können nicht aus dem Internet angewählt werden. Diese Methode eignet sich daher hervorragend dazu, zwei und mehr Rechner eines privaten Anschlusses per DFÜ-Netzwerk an das Internet zukoppeln.
INTERNET I INTRANET öffentliche Adressen I private Adressen
11
Bild: Zuordnungstabelle beim IP- Masquerading / PAT Anmerkungen:
• Sollen im privaten Netz befindliche Rechner (z. B. ein Web-Server) auch von dem Internet erreichbar sein, muss der diesem Service zugeordnete TCP-Port, hier Port 80, für den eingehenden Verkehr statisch einem bestimmten Rechner (hier dem Web-Server) zugeordnet werden. Dies funktioniert jedoch nur mit einem Server pro Service-Port!
• IP-Masquerading wird ebenso von den LINUX-Kernels unterstützt.
• Empfohlen wird an dieser Stelle die Verwendung von IP-Adressen aus dem privaten Bereich (RFC 1918) für interne Verbindungen und die Verwendung eines Network Address Translators (NAT), um externen Zugriff auf das Internet zu ermöglichen.
2.3. Subnetting Eine gute Hilfe zur Berechnung von Subnetzen, Subnetzmasken und Anzahl der Hosts bietet der IP Subnet Calculator. (siehe http://www.wildpackets.com/support/downloads) 1985 definierte der RFC 950 einen Weg um ein Klasse-A-, B- oder C-Netzwerk in kleinere Netze aufzuteilen. Subnetze wurden eingeführt, um einen Teil der Probleme zu beseitigen, die sich aus der zweistufigen Adressierungsart ergeben hatten, nämlich das
• Anwachsen der Routingtabellen in den Routern des Internets.
• Lokale Systemverwalter mussten ein neues Netzwerk vom Internet anfordern, um ein weiteres Netz installieren zu können.
Man versuchte die Probleme durch Einführung von Subnetzen zu lösen und spricht hier von einer durch Subnetze realisierte dreistufigen Hierarchie. Das nachfolgende
12
Bild zeigt die Hostadresse, die in eine Subnetzadresse und eine Hostadresse innerhalb dieses Subnetzes aufgeteilt wird.
Bild: Adresshierarchie beim Subnetting
Die Bildung von Subnetzen dient dazu, ein bestehendes Netz in weitere, kleinere Netze zu unterteilen. Weitere Eigenschaften und Ziele des sog. „Subnettings“ sind.
• Subnetze bieten eine weitere Strukturierungsmöglichkeit für Netze, ohne dass ein zusätzliche Klasse A, Klasse B oder Klasse C Netz benötigt wird.
• Die Standardprozedur, ein Netz in Subnetze zu unterteilen, nennt man "Subnetting".
• Die Hostadresse des A-, B- oder C-Netzes teilt sich in die Bereiche Subnetzadresse (Subnet-ID, Subnetz-ID) und Hostadresse (verbleibende, verkürzte Host-ID). Ein Teil des Hostadressbereiches wird also genutzt, um die Subnetze zu unterscheiden.
• Die Netzadresse und den Subnetzanteil des Hostadressraumes bezeichnet man als erweiterte Netzadresse (extended network prefix).
• Die interne Subnetz-Struktur von A-, B- oder C-Netzen ist nach außen hin unsichtbar.
• Damit Router in der Lage sind, Datagramme in das richtige Netz zuzustellen, müssen sie bei der IP-Adresse den Netz- und Hostanteil unterscheiden können. Dies geschieht traditionell durch die Netzmaske bzw. Subnetzmaske (subnet mask).
Die Subnetzmaske dient dem Rechner dazu, die Zuordnung von Netzwerk-Teil und Host-Teil vorzunehmen. Sie hat denselben Aufbau wie eine IP-Adresse (32 Bit bzw. 4 Byte). Per Definition sind alle Bit des "Netzwerk-Teils" auf 1 zu setzen, alle Bit des "Host-Teils" auf 0. Für die o.a. Adressklassen hat die Subnetzmaske demnach folgendes Aussehen:
Netzklasse Subnetzmaske (binär) Subnetzmaske (dezimal)
Class A 11111111.00000000.00000000.00000000 255.0.0.0
Class B 11111111.11111111.00000000.00000000 255.255.0.0
Class C 11111111.11111111.11111111.00000000 255.255.255.0
13
Bild: Subnetzmasken der Standard Netzklassen A, B und C Diese Subnetzmaske (auch "Default Subnetzmaske" genannt) kann manuell über-schrieben werden.
2.3.1. Aufteilung in Subnetze
Netzwerk- anteil in Bit
Hostanteil in Bit
Subnetz-anzahl *)
Hostanzahl **) Subnetzmaske
8 24 1 16777216 255.0.0.0 Klasse A
9 23 2 128*65536 255.128.0.0
10 22 4 64*65536 255.192.0.0
11 21 8 32*65536 255.224.0.0
12 20 16 16*65536 255.240.0.0
13 19 32 8*65536 255.248.0.0
14 18 64 4*65536 255.252.0.0
15 17 128 2*65536 255.254.0.0
16 16 1 65536 255.255.0.0 Klasse B
17 15 2 128*256 255.255.128.0
18 14 4 64*256 255.255.192.0
19 13 8 32*256 255.255.224.0
20 12 16 16*256 255.255.240.0
21 11 32 8*256 255.255.248.0
22 10 64 4*256 255.255.252.0
23 9 128 2*256 255.255.254.0
24 8 1 256 255.255.255.0 Klasse C
25 7 2 128 255.255.255.128
26 6 4 64 255.255.255.192
27 5 8 32 255.255.255.224
28 4 16 16 255.255.255.240
29 3 32 8 255.255.255.248
30 2 64 4 255.255.255.252
Bild: Aufteilung in Subnetze
14
Anmerkungen: *) Die erste und letzte bei der Unterteilung entstehenden Adressen dürfen nicht
verwendet werden (Verwechslung mit Netz- und Broadcast-Adresse des übergeordneten Netzes). Die Anzahl der Subnetze verringert sich somit jeweils um zwei: Ist der Netzwerkanteil der IP-Adresse n Bits, dann erhält man (2n) - 2 Subnetze.
**) Die Rechneranzahl verringert sich ebenfalls um zwei wegen Subnetz-Adresse (alle Rechnerbits auf 0) und Broadcast-Adresse (alle Rechnerbits auf 1): Ist der Hostanteil der IP-Adresse m Bits, dann erhält man (2m) - 2 Hosts pro Subnetz.
Beispiel 1: Ein Unternehmen besitzt z.B. ein Netz der Klasse C und möchte dieses in zwei Seg-mente unterteilen, die voneinander getrennt sind. Der Broadcastverkehr des ersten Segments kann so das andere nicht beeinträchtigen. In diesem Fall kommt die Sub-netz-Maske zum Einsatz, welche die Hostadressen in zwei Bereiche gliedert. Sollen die Rechner in vier gleich große Subnetze mit je 64 Knoten eingeteilt werden, lautet die Subnetz-Maske 255.255.255.192. Es gilt die folgende Formel für die Subnetzmaske:
Bytewert = 256 - (Anzahl der Knoten im Segment) Als das Subnetting erstmals standardisiert wurde, war es zunächst verboten, die Subnetze zu nutzen, in denen alle Subnetzbits den Wert 0 oder 1 hatten. Damit ergeben sich im Beispiel nur zwei Subnetze mit je 62 Hosts. Inzwischen beherrschen nahezu alle Netzwerkkomponenten korrektes "classless rou-ting“; diese Option muss bei vielen Netzwerkkomponenten explizit konfiguriert werden.
Beispiel 2: Aufteilung in 4 Subnetze Ein Netz der Klasse C soll in vier gleich große Subnetze für die Rechner des Vertriebs, des Einkaufs, der Entwicklung und die Rechner für das Entwicklungsnetz aufgeteilt werden. Die Netzadresse beträgt 192.168.98.0. Dabei soll „classless routing“ vorausgesetzt werden können. Lösung: Der Administrator wählt zur Unterteilung die Subnetz-Maske 255.255.255.192. Die vier Rechner mit den IP-Adressen 192.168.98.3, 192.168.98.73, 192.168.98.156 und 192.168.98.197 befinden sich daher in vier Subnetzen zwischen denen geroutet werden muss. Broadcasts in Subnetz 1 werden nicht in die anderen Subnetze übertragen, Störungen in einzelnen Subnetzen bleiben lokal auch auf diese beschränkt.
15
Bild: Aufteilung des C-Netzes in vier gleich große Subnetze
Subnetze eines C-Netzes In Klammern die reduzierte Anzahl der Subnetze (Anzahl - 2). Die rot unterlegten Möglichkeiten sind dann in der Praxis nicht einsetzbar.
Subnetzbits
Hostbits
mögliche Subnetze
Hostadressen Subnetzmaske
1 7 2 (0) 126 (0) 255.255.255.128
2 6 4 (2) 62 255.255.255.192
3 5 8 (6) 30 255.255.255.224
4 4 16 (14) 14 255.255.255.240
5 3 32 (30) 6 255.255.255.248
6 2 64 (62) 2 255.255.255.252
7 1 128 0 255.255.255.254
Bild: Anzahl Subnetze in Abhängigkeit der Anzahl Subnetzbits Von den acht variabel verwendbaren Bits werden die drei höchstwertigen Bits für das Subnetz und die fünf letzten Bits für die Hostadresse benutzt. Die erste Adresse jedes Subnetz ist die Adresse in der alle Hostbits den Wert 0 haben.
Subnetz Subnetzbits Hostbits dezimal
Dezimale Wertigkeit des Bit 128 64 32 16 8 4 2 1
erstes Subnetz 0 0 0 0 0 0 0 0 0
zweites Subnetz 0 0 1 0 0 0 0 0 32
drittes Subnetz 0 1 0 0 0 0 0 0 64
16
viertes Subnetz 0 1 1 0 0 0 0 0 96
fünftes Subnetz 1 0 0 0 0 0 0 0 128
sechstes Subnetz 1 0 1 0 0 0 0 0 160
siebtes Subnetz 1 1 0 0 0 0 0 0 192
achtes Subnetz 1 1 1 0 0 0 0 0 224
Bild: Aufteilung in 8 Subnetze Damit ergeben sich die acht zur Verfügung stehenden Subnetze wir folgt:
192.168.0.0/27 192.168.0.32/27 192.168.0.64/27 192.168.0.96/27 192.168.0.128/27 192.168.0.160/27 192.168.0.192/27 192.168.0.224/27
2.3.2. Vorteile von Subnetting Subnetze reduzieren die Routeranforderungen im Internet In Bild wird ein /16-Adresse (Klasse B) in mehrere logische Subnetze aufgeteilt. Der Router akzeptiert den gesamten IP-Verkehr, der an das /16-Netz 130.5.0.0 gerichtet ist, und verteilt diesen intern aufgrund des dritten Oktetts in der Adresse.
Bild: Subnetze reduzieren die Routeranforderungen im Internet
Die Verwendung von Subnetzen innerhalb eines privaten Netzwerkes hat mehrere Vorteile: • Die Größe der globalen Internet-Routingtabellen wächst nicht, da der System-
verwalter keine neuen Netzwerkadressen für die neue Netzwerke benötigt. Die Routing-Information für alle Subnetze kann in einem einzelnen Eintrag zusammengefasst werden.
• Der Systemverwalter hat die Freiheit, neue Subnetze einzuführen, ohne neue öffentliche Netzwerkadressen anfordern zu müssen.
17
• "Routenflattern" (d. h. häufiges Ändern der Routen) innerhalb eines lokalen Netzes betrifft nicht die Routingtabellen des Internet, da das Internet nicht bezüglich der Subnetzadresse routet, sondern bezüglich des Netzwerk-Präfixes. Internet-Router benutzen nur das Netzwerk-Präfix der Zieladresse, um den Datenverkehr in eine Umgebung mit Subnetzen weiterzuleiten. Router innerhalb des Subnetzes (z. B. im Intranet) benutzen das erweiterte Netzwerk-Präfix, um den Verkehr zwischen den Subnetzen zu routen. Das erweiterte Netzwerk-Präfix besteht aus dem Netzwerk-Präfix der Netzklasse und der Subnetzadresse.
2.3.3. Bemerkungen zur Subnetzplanung Die Erstellung eines Adressplanes erfordert eine sorgfältige Planung des Netzwerkes durch den Netzwerkadministrator. Vier zentrale Fragen müssen beantwortet werden, bevor mit der Planung begonnen werden kann:
1) Wieviele Subnetze benötigt die Organisation heute? 2) Wieviele Subnetze wird die Organisation in der Zukunft benötigt? 3) Wieviele Rechner sind heute in dem größten Subnetz enthalten? 4) Wieviele Rechner werden jemals in dem größten Subnetz voraussichtlich
enthalten sein ? Im ersten Planungsschritt muss die Anzahl der benötigten Subnetze festgestellt werden und auf die nächste Zweierpotenz aufgerundet werden. Wenn eine Organisation 9 Subnetze benötigt, dann muss auf 2 hoch 4 (16) aufgerundet werden. Dabei müssen zukünftige Erweiterungen berücksichtigt werden. Wenn heute z. B. 14 Subnetze gebraucht werden, so sollten nicht 16 (2 hoch 4) sondern besser 32 (2 hoch 5) Subnetze eingerichtet werden, um Raum für Erweiterungen zu lassen. Im zweiten Schritt muss sichergestellt werden, dass im größten Subnetz der Organi-sation genügend Hostadressen verfügbar sind. Wenn z. B. im größten Netz 50 Hostadressen benötigt werden, muss auf 2 hoch 6 (64) aufgerundet werden. Im letzten Schritt ist festzustellen, ob der Adressbereich der Organisation aus-reichend ist, um die oben festgestellten Anforderungen zu erfüllen. Hat die Organisa-tion z. B. ein einziges /16-Netz, so können problemlos 4 Bit für die Subnetznummer und 6 Bit für die Hostnummer geplant werden. Hat die Organisation aber mehrere /24-Netze und sollen weitere 9 Subnetze gebildet werden, so muss jedes der /24-Netze in vier Subnetze (mittels 2 Bit) aufgeteilt werden. Aus drei in dieser Art aufgeteilten /24-Netzen kann dann das Netz der Organisation gebildet werden. Eine Alternative wäre die Verwendung von Adressen aus dem privaten Bereich (RFC 1918) für interne Verbindungen und die Verwendung eines Network Adress Translators (NAT), um externen Internet Zugriff zu ermöglichen.
Übung 1: Einer Organisation wurde die Netzwerknummer 193.1.1.0/24 zugewiesen, und es müssen sechs Subnetze angelegt werden. Im größten Subnetz werden 25 Hostadressen benötigt. Aufgaben: 1.) Definieren der Subnetzmaske / der erweiterten Präfixlänge 2.) Im nächsten Schritt muss die Subnetzmaske und die erweiterte Netzwerkpräfix
festgelegt werden
18
3.) Alle Subnetze bestimmen 4.) Definieren der Hostadressen für jedes Subnetz 5.) Definieren der Broadcast-Adresse für jedes Subnetz
Übung 2: Einer Organisation wurde die Netzwerknummer 140.25.0.0/16 zugewiesen. Es soll eine maximale Anzahl von Subnetzen gebildet werden. Die einzelnen Subnetze können bis zu 60 Rechner umfassen. 1.) Definieren der Subnetzmaske / des erweiterten Netzwerkpräfixes 2.) Im nächsten Schritt muss die Subnetzmaske und die erweiterte Netzwerkpräfix
festgelegt werden 3.) Definieren der Subnetzmaske 4.) Definieren der Hostadressen für jedes Subnetz 5.) Definieren der Broadcast-Adresse für jedes Subnetz
2.4. Variable Length of Subnetting (VLSM) Im Jahr 1987 wurde durch RFC 1009 die Variable Length Subnet Masks (variabel lange Subnetzmasken) eingeführt. Dieses neue Verfahren behob den Missstand, dass innerhalb eines Netzes nur eine Subnetzmaske verwendet werden konnte und ermöglichte die weitergehende individuelle Aufteilung von zugeteilten Netzen.
Bild: Beispiel für die Variable Length Subnet Masks VLSM bezieht sich hierbei wiederum nur auf die unternehmensinterne Verwaltung; im globalen Routing spielen diese verfeinerten Subnetzaufteilungen keine Rolle. VLSM erleichtert und verbessert die Nutzung des zugeteilten Adressbereichs innerhalb des Unternehmens, da Subnetze effizienter gestaltet werden konnten und darüber hinaus Routing-Informationen unternehmensintern auf Subnetze delegiert werden können. VLSM verbessert die Ausnutzung zugeteilter Subnetze enorm. Die RFC 1009 erläutert, wie in einem Subnetz mehr als eine Subnetzmaske zugewie-sen werden können. Wird einem IP-Netz mehr als eine Subnetzmaske zugewiesen,
19
so ist dies ein IP-Netz mit einer "variabel langen Subnetzmaske", da die erweiterten Netzwerkpräfixe unterschiedliche Längen haben. Mehrere Subnetzmasken erlauben die effizientere Nutzung des IP-Adressraumes, der einer Organisation zugewiesen wurde. Mehrere Subnetzmasken erlauben ebenso das Zusammenfassen von Routen. Damit kann in dem Bereich einer Organisation die Routinginformation für den Backbone deutlich reduziert werden.
2.4.1. Effektive Nutzung des IP-Adressraums VLSM unterstützt die effektivere Nutzung des einer Organisation zugewiesenen IP-Adressraums. Eines der Hauptprobleme bei der Beschränkung auf eine Subnetzmaske pro Netzwerk war, dass nach der Festlegung der Subnetzmaske die Organisation auf eine feste Anzahl von in der Größe fest definierten Subnetzen festgelegt war. Nehmen wir an, ein Netzwerkverwalter konfiguriert das Netzwerk 103.5.0.0/16 mit einem /22-Netzwerkpräfix.
Bild: Netzwerk 130.5.0.0/16 mit einem /22 erweiterten Netzwerkpräfix Das obige Bild zeigt ein /16-Netzwerk, bei dem mit einem erweiterten /22-Netzwerkpräfix 64 (26 ) Subnetze erzeugt werden, wobei jedes maximal 1022 (210 -2) Rechner im Subnetz unterstützt. Wenn neben einem großen Subnetz weitere Subnetze mit nur ca. 20 - 30 Rechnern benötigt werden, muss der Netzwerkadministrator trotzdem ein Netz mit einem /22-Präfix zuweisen. Durch diese Zuweisung an dieses kleine Subnetz werden ca. 1000 IP-Adressen verschwendet. Die Beschränkung auf eine einzige Netzmaske fördert daher nicht die effiziente Nutzung des zugewiesenen Adressraumes einer Organi-sation.
Bild: Netzwerk 130.5.0.0/16 mit einem /26 Netzwerkpräfix Die Verwendung mehrerer Subnetzmasken wäre eine Lösung für dieses Problem. Der Netzwerkadministrator würde auch in dem 130.5.0.0/16 Netzwerk zusätzlich ein Netzwerk mit einem /26-Netzwerkpräfix konfigurieren, wie das obige Bild zeigt. Ein /16-Netzwerk mit einem /26-Präfix erlaubt 1024 (210) Subnetze, von denen jedes maximal 62 (26 -2) Rechner haben kann. Ein /26-Subnetz wäre ideal für ein Subnetz mit weniger als 60 Rechnern, während ein /22-Subnetz passend für ein Subnetz mit bis zu 1000 Rechnern ist.
20
2.4.2. Zusammenfassen von Routen (Route Aggregation) VLSM erlaubt auch die rekursive Aufteilung des Adressraumes einer Organisation, so dass er wieder zusammengefasst werden kann, damit die Menge an Routinginformation auf der obersten Ebene reduziert werden kann. Zuerst wird ein Netzwerk in Subnetze geteilt. Dann wird ein Teil des Subnetzes wieder geteilt und davon wieder ein Teil. Damit kann die detaillierte Routinginformation über ein Subnetz vor den Routern eines anderen Subnetzes verborgen werden. 11.0.0.0./8 11.1.0.0/16 11.2.0.0/16 11.3.0.0/16 : 11.252.0.0/16 11.253.0.0/16 11.254.0.0/16 11.1.1.0/24 11.1.2.0/24 11.1.253.0/24 11.1.254.0/24 11.253.32.0/19 11.253.64.0/19 11.253.96.0/19 : 11.253.128.0/19 11.253.160.0/19 11.253.192.0/19 11.1.253.32/27 11.1.253.64/27 : 11.1.253.160/27 11.1.253.192/27
Bild: VLSM erlaubt die rekursive Aufteilung eines Netzwerkbereiches
21
In obigem Bild wird das 11.0.0.0/8-Netzwerk zuerst mit einem /16-Netzwerkpräfix konfiguriert. Das Subnetz 11.1.0.0/16 wird dann mit einem /24-Netzwerkpräfix konfiguriert. Genauso wird dann das Subnetz 11.253.0.0/16 mit eine /19-Netzwerkpräfix konfiguriert. Wichtig bei diesem Prozess ist, dass auf gleicher Rekursionsebene nicht unbedingt das gleiche Netzwerkpräfix benutzt werden muss. Die Unterteilung des Adressraumes kann solange wie notwendig vom Netzwerkadministrator vorgenommen werden.
2.4.3. VLSM Planungsempfehlungen Wenn man ein Netzwerk mit VLSM plant, muss sich der Netzwerkplaner immer wieder die gleichen Fragen stellen wie bei der Planung eines traditionellen Subnetzes. Dieselben Planungsentscheidungen müssen auf jeder Ebene der Hierarchie getroffen werden: 1) Wie viele Subnetze werden heute auf dieser Ebene gebraucht? 2) Wie viele Subnetze werden in Zukunft auf dieser Ebene gebraucht? 3) Wie viele Rechner sind im größten Subnetz dieser Ebene heute? 4) Wieviele Rechner werden im größten Subnetz dieser Ebene in der Zukunft sein? Auf jeder Ebene muss das Planungsteam sicherstellen, dass genügend Reserve an Subnetzen und Rechnern in den Subnetzen für die Zukunft vorhanden ist. Nehmen wir an, dass ein Netzwerk auf mehrere Standorte verteilt ist. Wenn eine Organisation heute drei Standorte hat, wird sie für die Subnetze drei Bits (2 hoch 3 = 8) benötigen, damit noch weitere Standorte hinzugefügt werden können. An jedem Standort wiederum wird es wahrscheinlich wieder eine Aufteilung in Subnetze für jedes Gebäude geben. Schließlich kann es innerhalb eines Gebäudes eine dritte Ebene von Subnetzen geben, wobei jeder Arbeitsgruppe ein Subnetz zugeordnet wird. Bei dieser Hierarchie wird die oberste Ebene durch die Anzahl der Standorte bestimmt, die zweite Ebene durch maximale Anzahl der Gebäude an den Standorten und die dritte Ebene wird durch die maximale Anzahl Subnetze pro Gebäude und der maximalen Anzahl Benutzer in einem Subnetz bestimmt. Die Planung einer hierarchischen Anordnung der Subnetze muss sehr sorgfältig erfolgen. Es ist wichtig, dass der Netzwerkplaner die Subnetze rekursiv absteigend bis zur untersten Ebene plant. Wenn er an der untersten Ebene angekommen ist, muss er sicher sein, dass die entstandenen Subnetze genügend Adressen haben, um alle Rechner anschließen zu können. Wenn dieser Adressplan dann umgesetzt wird, können die Adressen der Subnetze zu einzelnen Adressblöcken zusammengefasst werden, so dass die Routing-Tabellen des Backbone klein bleiben.
2.4.4. Anforderungen für die Umsetzung von VLSM Für eine erfolgreiche Umsetzung von VLSM gibt es drei Voraussetzungen:
• Das Routing-Protokoll muss die erweiterten Netzwerkpräfixe bei jeder Routen-bekanntgabe mitschicken.
• Alle Router müssen einen Weiterleitungsalgorithmus implementieren, der auf dem längsten möglichen Vergleich basiert.
22
• Damit Routen zusammengefasst werden können, müssen die Adressen entsprechend der Topologie vergeben werden.
2.4.4.1 Senden des erweiterten Netzwerkpräfixes Moderne Routing-Protokolle wie OSPF und I-IS-IS erlauben den Einsatz von VLSM, indem sie das erweiterte Netzwerkpräfix oder die entsprechende Netzwerkmaske mit jeder Route mitschicken. Damit kann jedes Subnetz mit seinem Netzwerkpräfix oder Netzwerkmaske bekannt gemacht werden. Falls das Routing-Protokoll kein Netzwerkpräfix mittransportiert, muss der Router entweder annehmen, dass das lokal definierte Netzwerkpräfix verwendet werden soll, oder er sieht in einer Tabelle nach, in der die Maske stehen muss. Bei der ersten Möglichkeit kann nicht sicher gestellt werden, dass das korrekte Netzwerkpräfix verwendet wird. Die zweite Möglichkeit mit statischen Tabellen ist nicht sinnvoll, da sie schwer zu warten sind und der Mensch u.U. falsche Informationen eingibt. Die Konsequenz daraus ist, dass beim Einsatz von VLSM in einer komplexen Umge-bung OSPF oder I-IS-IS als das Interior Gateway Protocol (IGP) anstatt von RIP-1 verwendet werden muss! Es sollte bemerkt werden, dass RIP-2, definiert im RFC 1388, das RIP-Protokoll durch den Transport des Netzwerkpräfix verbessert. RIP-2 unterstützt daher VLSM.
2.4.4.2 Weiterleitungsalgorithmus Alle Router müssen einen Weiterleitungsalgorithmus benutzen, der auf dem längsten möglichen Vergleich basiert. Der Einsatz von VLSM bedeutet, dass es eine Menge von Netzwerken mit Netzwerkpräfix gibt, die eine Teilmengenbeziehung haben.
Eine Route mit einem längeren Netzwerkpräfix beschreibt eine kleinere Menge von Zieladressen als eine Route mit einem kürzeren Netzwerkpräfix.
Eine Route mit einem längeren Netzwerkpräfix ist daher spezifischer als eine Route mit einem kürzeren Netzwerkpräfix. Wenn Router Pakete weiterleiten, müssen sie die spezifischte Route (d. h. mit dem längsten Netzwerkpräfix) benutzen. Wenn z. B. die Zieladresse eines IP-Paketes 11.1.2.5 lautet und es in der Routingta-belle drei Netzwerkpräfixe gibt (11.1.2.0/24, 11.1.0.0/16, und 11.0.0.0/8), wählt der Router die Route 11.1.2.0/24. Die Route 11.1.2.0/24 wird ausgewählt, da sie größt-möglich mit der Zieladresse des IP-Paketes übereinstimmt. Dies wird im nächsten Bild dargestellt.
Bild: Beste Übereinstimmung der Route mit dem längsten Netzwerkpräfix (höcht spezifische Route) Da die Zieladresse mit allen drei Routen übereinstimmt, muss sie einem Rechner zu-gewiesen werden, der im 11.1.2.0/24-Subnetz angeschlossen ist. Falls die Adresse einem Rechner zugewiesen werden würde, der in dem 11.1.0.0/16- oder dem 11.0.0.0/8-Subnetz angeschlossen ist, würde der Router niemals den Datenverkehr an den Rechner weiterleiten, da der Algorithmus, der auf dem längsten möglichen Vergleich basiert, annimmt, dass der Rechner im Subnetz 11.1.2.0/24 angeschlossen ist.
23
2.4.4.3 Topologieabhängige Adresszuweisungen Da OSPF und RIPv2 die erweiterte Netzwerkpräfixinformation mit jeder Route weiter verbreiten, können VLSM-Subnetze willkürlich in der Topologie einer Organisation verteilt sein. Um aber ein hierarchisches Routing zu unterstützen und die Größe der Routingtabellen klein zu halten, sollten die Adressen so zugewiesen werden, dass dabei die Topologie berücksichtigt wird. Hierarchisches Routing erfordert, dass bei der Zuweisung von Adressen die aktuelle Netzwerktopologie berücksichtigt wird. Indem ein Bereich von mehreren Adressgruppen zusammengefasst und einer Region in der Topologie zugewiesen wird, kann dieser Bereich zu einer einzigen Routinginformation zusammengefasst werden. Hierarchisches Routing erlaubt dann die rekursive Anwendung dieses Verfahrens an verschiedenen Punkten innerhalb der Routingtopologie. Wenn die Adressen nicht unter Berücksichtigung der Topologie zugewiesen wurden, kann die Zusammenfassung von Adressbereichen nicht vorgenommen werden und die Routingtabellen können nicht verkleinert werden.
2.4.5. VLSM Entwurfsbeispiel 1 Einer Organisation wurde die Netzwerkadresse 140.25.0.0/16 zugewiesen und sie plant die Verwendung von VLSM. Das nachfolgende Bild zeigt bildlich den VLSM-Entwurf für die Organisation.
Bild 20: Addressverteilung für das VLSM-Beispiel Im ersten Schritt wird die Netzwerkadresse in 16 gleich große Adressblöcke aufgeteilt. Das Subnetz Nummer eins wird dann in 32 gleich große Blöcke aufgeteilt, während das Subnetz Nummer 14 in 16 gleich große Blöcke aufgeteilt wird. Zum Schluss wird das Subnetz Nummer 14->14 in acht gleich große Blöcke zerlegt.
Definieren der 16 Subnetze von 140.25.0.0/16 Im ersten Schritt wird, wie das nachfolgende Bild demonstriert, die Basisnetzwerkad-resse in 16 gleich große Adressblöcke geteilt.
24
Bild: Definieren der 16 Subnetze für 140.25.0.0/16 Es reichen vier Bits, um jedes der 16 Subnetz eindeutig zu identifizieren; es wird somit ein Netzwerkpräfix /20 gebraucht, um die 16 Subnetze innerhalb des Netzes 140.25.0.0/16 zu definieren. Jedes dieser Subnetze hat einen fortlaufenden Block von 212 (= 4096) Netzwerkadressen. Die 16 Subnetze des Netzes 140.25.0.0/16 sind nachstehend angegeben. Die Sub-netze werden von 0 bis 15 durch nummeriert. Basisnetzwerk: 10001100.00011001.00000000.00000000 = 140.25.0.0/16 Subnetz #0: 10001100.00011001.00000000.00000000 = 140.25.0.0/20 Subnetz #1: 10001100.00011001.00010000.00000000 = 140.25.16.0/20 Subnetz #2: 10001100.00011001.00100000.00000000 = 140.25.32.0/20 Subnetz #3: 10001100.00011001.00110000.00000000 = 140.25.48.0/20 Subnetz #4: 10001100.00011001.01000000.00000000 = 140.25.64.0/20 : Subnetz #13: 10001100.00011001.11010000.00000000 = 140.25.208.0/20 Subnetz #14: 10001100.00011001.11100000.00000000 = 140.25.224.0/20 Subnetz #15: 10001100.00011001.11110000.00000000 = 140.25.240.0/20
Definieren der Hostadressen für das Subnetz Nummer drei (140.25.48.0/20) Festlegen der Hostadressen, die in Subnetz Nummer drei zugewiesen werden können (140.25.48.0/20).
Bild: Definieren der Hostadressen für Subnetz drei (140.25.48.0/20) Da das Hostadressenfeld des Subnetzes #3 insgesamt 12 Bit aufweist, gibt es 4094 (=212 - 2) Hostadressen in dem Adressblock; die gültigen Hostadressen für das Subnetz #3 werden unten angegeben. Subnetz #3: 10001100.00011001.00110000.00000000 = 140.25.48.0/20 Rechner #1: 10001100.00011001.00110000.00000001 = 140.25.48.1/20 Rechner #2: 10001100.00011001.00110000.00000010 = 140.25.48.2/20 : Rechner #4093: 10001100.00011001.00111111.11111101 = 140.25.63.253/20 Rechner #4094: 10001100.00011001.00111111.11111110 = 140.25.63.254/20 Bei der Broadcast-Adresse des Subnetzes #3 sind alle Bits der Hostadresse auf eins gesetzt: 10001100.00011001.00111111.11111111 = 140.25.63.255 Die Broadcast-Adresse des Subnetzes drei ist genau um eins kleiner als die Basisad-resse des Subnetzes vier: (140.25.64.0).
Definieren der Subnetze für Subnetz Nummer 14 (140.25.224.0/20)
25
Nachdem das Basisnetzwerk in 16 Subnetze unterteilt wurde, wird das Subnetz #14 wiederum in 16 Subnetze unterteilt.
Bild: Definieren der Subnetze des Subnetzes 14 (140.25.224.0/20) Es werden vier weitere Bits benötigt, um die erforderlichen Subnetze zu adressieren; ein Netzwerkpräfix /24 wird hierfür verwendet. Die 16 Subnetze des Adressblockes 140.25.224.0/20 sind unten angegeben. Die Subnetze werden von 0 bis 15 durchnummeriert. Subnetz #14: 10001100.00011001.11100000.00000000 = 140.25.224.0/20 Subnetz #14-0: 10001100.00011001.11100000.00000000 = 140.25.224.0/24 Subnetz #14-1: 10001100.00011001.11100001.00000000 = 140.25.225.0/24 Subnetz #14-2: 10001100.00011001.11100010.00000000 = 140.25.226.0/24 Subnetz #14-3: 10001100.00011001.11100011.00000000 = 140.25.227.0/24 Subnetz #14-4: 10001100.00011001.11100100.00000000 = 140.25.228.0/24 : Subnetz #14-14: 10001100.00011001.11101110.00000000 = 140.25.238.0/24 Subnetz #14-15: 10001100.00011001.11101111.00000000 = 140.25.239.0/24
Definieren der Hostadressen für Subnetz 14->3 (140.25.227.0/24) Festlegen der Hostadressen, die in Subnetz Nummer 14->3 zugewiesen werden kön-nen (140.25.227.0/24).
Bild: Definieren der Hostadressen für Subnetz 14-3 (140.25.227.0/24) Jedes der Subnetze des Subnetzes 14->3 hat acht Bits für die Hostadressen. Damit hat jedes Subnetz einen Block von 254 (=28-2) gültigen Hostadressen. Die Rechner werden von eins bis 254 durchnumeriert. Die gültigen Hostadressen ergeben sich so zu: Subnetz #14-3: 10001100.00011001.11100011.00000000 = 140.25.227.0/24 Rechner #1 10001100.00011001.11100011.00000001 = 140.25.227.1/24 Rechner #2 10001100.00011001.11100011.00000010 = 140.25.227.2/24 Rechner #3 10001100.00011001.11100011.00000011 = 140.25.227.3/24 Rechner #4 10001100.00011001.11100011.00000100 = 140.25.227.4/24
26
Rechner #5 10001100.00011001.11100011.00000101 = 140.25.227.5/24 . Rechner #253 10001100.00011001.11100011.11111101 = 140.25.227.253/24 Rechner #254 10001100.00011001.11100011.11111110 = 140.25.227.254/24 Bei der Broadcast-Adresse des Subnetzes 14->3 sind alle Bits der Hostadresse auf eins gesetzt: 10001100.00011001.11100011.11111111 = 140.25.227.255 Die Bradcastadresse des Subnetzes 14->3 ist genau um eins kleiner als die Basisad-resse des Subnetzes 14->4 (140.25.228.0).
Definieren der Subnetze des Subnetzes 14->14 (140.25.238.0/24) Nachdem das Subnetz 14 in 16 Subnetze unterteilt wurde, wird das Subnetz 14->14 nochmals in acht gleich große Adressblöcke unterteilt.
Bild: Definieren der Subnetze des Subnetzes 14-14 (140.25.238.0/24) Es werden drei weitere Bits gebraucht, um die acht Subnetze zu adressieren; es muss daher ein Netzwerkpräfix /27 verwendet werden. Die acht Subnetze des Adressblocks 140.25.238.0/24 ergeben sich damit wie folgt: Subnetz #14-14: 10001100.00011001.11101110.00000000 = 140.25.238.0/24 Subnetz#14-14-0: 10001100.00011001.11101110.00000000 = 140.25.238.0/27 Subnetz#14-14-1: 10001100.00011001.11101110.00100000 = 140.25.238.32/27 Subnetz#14-14-2: 10001100.00011001.11101110.01000000 = 140.25.238.64/27 Subnetz#14-14-3: 10001100.00011001.11101110.01100000 = 140.25.238.96/27 Subnetz#14-14-4: 10001100.00011001.11101110.10000000 = 140.25.238.128/27 Subnetz#14-14-5: 10001100.00011001.11101110.10100000 = 140.25.238.160/27 Subnetz#14-14-6: 10001100.00011001.11101110.11000000 = 140.25.238.192/27 Subnetz#14-14-7: 10001100.00011001.11101110.11100000 = 140.25.238.224/27
Definieren der Hostadressen für das Subnetz 14->14->2 (140.25.238.64/27) Festlegen der Hostadressen die in Subnetz Nummer 14->14->2 zugewiesen werden können (140.25.238.64/27).
27
Bild: Definieren der Hostadressen für Subnetz 14-14-2 (140.25.238.64/27) Jedes der Subnetze 14->14 hat fünf Bits in dem Feld für Hostadressen. Dies bedeutet, dass jedes Subnetz einen Block von 30 gültigen Adressen (25 -2) hat. Die Rechner werden von 1 bis 30 durchnumeriert. Die gültigen Rechneradressen für das Subnetz 14-14-2 sind unten angegeben. Subnetz#14-14-2: 10001100.00011001.11101110.01000000 = 140.25.238.64/27 Rechner #1 10001100.00011001.11101110.01000001 = 140.25.238.65/27 Rechner #2 10001100.00011001.11101110.01000010 = 140.25.238.66/27 Rechner #3 10001100.00011001.11101110.01000011 = 140.25.238.67/27 Rechner #4 10001100.00011001.11101110.01000100 = 140.25.238.68/27 Rechner #5 10001100.00011001.11101110.01000101 = 140.25.238.69/27 . Rechner #29 10001100.00011001.11101110.01011101 = 140.25.238.93/27 Rechner #30 10001100.00011001.11101110.01011110 = 140.25.238.94/27 Bei der Broadcast-Adresse des Subnetzes 14->14->2 sind alle Bits der Hostadresse auf eins gesetzt:
10001100.00011001.11011100.01011111 = 140.25.238.95
2.5. Classless Interdomain Routing (CIDR)
Allgemeine Informationen über die CIDR Deployment (CIDRD) Arbeitsgruppe innerhalb der IETF und ihren Auftrag: http://www.ietf.cnri.reston.va.us/html.charters/cidrd-charter.html
Um 1992 hat das exponentielle Wachstum des Internets unter den Mitgliedern der IETF ernsthafte Bedenken ausgelöst, ob das Routingsystem des Internet mit dem abzusehenden Wachstum Schritt halten kann. Folgende Probleme waren absehbar:
• Die absehbare vollständige Belegung des Klasse-B-Adressraumes • Das schnelle Wachsen der globalen Routingtabellen des Internets • Die unter Umständen vollständige Belegung des 32-Bit IPv4 Adressraumes
CIDR wurde offiziell im September 1993 in den RFC 1517, 1518, 1519 und 1520 dokumentiert. CIDR unterstützt zwei wichtige Eigenschaften, mit denen das globale Routing-System des Internet unterstützt wird:
• CIDR eliminiert das traditionelle Konzept der Klasse-A-, B- und C-Adressen. Mit CIDR können nun auch bisherige Class-A-Netzwerke auch innerhalb des Internets und außerhalb von Organisationen in kleinere Subnetze aufgeteilt
28
werden. Damit kann der IPv4-Adressraum effizienter vergeben werden und das Internet wachsen, bis IPv6 umfassend zur Verfügung steht.
• CIDR unterstützt das Zusammenfassen von unter Umständen Tausenden von Klassenrouten zu einem einzigen Eintrag in der Routingtabelle. Damit kann durch einen einzigen Routingeintrag der Verkehr zu vielen verschiedenen Netzen angegeben werden. Durch die Zusammenfassung von Routen kann die Menge an Routen in den Hauptroutern des Internet besser kontrolliert werden. Das Routenflattern (häufiges Ändern der Verfügbarkeit einzelner Routen) wird reduziert und die Administration der Router wird vereinfacht. Ohne die schnelle Verfügbarkeit des CIDR hätten die Routingtabellen mehr als 70000 statt heute 30000 Einträge.
Die Abschaffung des Klassenschemas sprengte buchstäblich die Ketten, die die IP-Adressierung bis dato fesselten. Bisher reservierte Class-A-Netzwerke können nun von den Regional Internet Registries effizient zur Vergabe von Subnetzen an Provider genutzt werden, die dann diese Subnetze ohne Einschränkungen in verschieden große Subnetze aufteilen konnten. Z.B. können Provider einen /20-Adressblock von einer Regional Internet Registries erhalten. Der Provider kann diesen Block je nach Bedarf frei "portionieren" und z.B. dem Kunden A daraus ein /24-Adressblock, Kunde B ein /29-Block etc. zugewiesen werden, ohne dass es zu Über- oder Unterschneidungen im Adressblock kommt. Die Verwaltung des IP-Adressraums wurde somit für alle Beteiligten erheblich übersichtlicher und transparenter, obwohl nun bei jedem Subnetz die Angabe der entsprechenden Subnetzmaske Pflicht wurde, um so die Größe des jeweiligen Subnetzes definieren zu können. Die frappierende Ähnlichkeit von CIDR und VLSM ist übrigens nicht zufällig, sondern durchaus eine gewollte Weiterentwicklung einer bewährten Idee. Während die flexiblen Subnetzaufteilungen von VLSM nur innerhalb einer Organisation bekannt waren und das Internet weiterhin nur das gesamte, der Organisation zugeteilte Subnetz kannte, ermöglicht CIDR auch die Bekanntgabe der organisationsinternen Subnetze nach außen zum Internet hin. Um diese neue Flexibilität nicht mit völlig aus den Fugen geratenden Routing Tabellen zu bezahlen, die so groß sein würden, dass das Internet schlicht nicht mehr funktionieren würde, bezog sich das zweite Konzept von CIDR auch auf das Zusammenfassen von Routen zu autonomen Netzwerken. Vereinfacht gesagt bedeutet dies, dass Organisationen, die einen IP-Adressblock zugewiesen bekommen haben, diesen autonom verwalten und aufteilen können, nach außen jedoch nur den gesamten IP-Adressblock propagieren.
29
Bild: CIDR erlaubt die Zusammenfassung von Routen und reduziert damit die
Routingtabellen Das obige Bild zeigt, wie die durchdachte Nutzung von CIDR die Größe der Routingtabellen reduziert. Router D kann durch die Angabe einer Route (11.1.253.0/24) sechs Subnetze zusammenfassen. Genauso können der Router B alle dahinterliegenden Subnetz und der Router C alle sechs Subnetz zu einer Route (11.253.0.0/16) zusammenfassen. Schließlich, da die Subnetzstruktur nicht außerhalb der Organisation bekannt ist, gibt der Router A dem globalen Internet nur eine Route bekannt (11.0.0.0/8 oder 11/8). Schematisch ähnlich verläuft das Routing mit dem Routing-Tabellenschema, wie es mit CIDR eingeführt wurde. Der zentrale Router einer Organisation mit einem autonomen IP-Adressblock propagieren ihren gesamten Adressblock im Idealfall mit einem einzigen Routing-Eintrag und geben damit allen anderen zentralen Router aller Organisationen mit eigenen, autonomen IP-Adressblöcken genug Informationen, wohin der Datenverkehr zu einer bestimmten IP-Adresse zur Weitergabe gesendet werden muss.
2.5.1. CIDR für die effiziente Nutzung des IPv4 Adressraumes CIDR eliminiert das traditionelle Konzept der Klasse-A-, B- und C- Netwerkadressen und ersetzt es durch das allgemeine Konzept eines Netzwerkpräfixes. Router benutzen ein Netzwerkpräfix anstatt der ersten drei Bits einer IP-Adresse, um festzustellen, welcher Teil der Adresse die Netzwerknummer und welcher Teil die Hostadresse ist. CIDR erlaubt damit die Vergabe von Netzwerken einer beliebigen Größe, anstatt der 8-, 16- oder 24-Bit Netzwerknummer, die durch die Klassen vorgegeben werden. Eine Adresse, die beispielweise eine 20 Bit Netzwerkadresse und eine 12 Bit Hostad-resse hat, wird mit einer Präfixlänge von 20 (/20) angegeben. Das Geschickte ist, dass eine /20-Adresse eine frühere Klasse-A-, B- oder C-Adresse sein kann. Router, die CIDR unterstützen, interpretieren nicht die ersten drei Bit der Adresse, sondern benutzen ausschließlich das mit der Route mitgelieferte Längenpräfix. In der klassenlosen Umgebung geben Präfixe homogene Adressblöcke des IP-Adressraumes an. Beispielsweise geben alle Präfixe mit einem /20-Präfix die gleichen Adressräume an (212 oder 4096 Hostadressen). Ein /20-Präfix kann einer Klasse-A-, B- oder C-Adresse zugewiesen werden.
30
Bild: /20 homogene Adressblöcke Die nachstehende Tabelle gibt die am meisten verwendeten CIDR-Adressblöcke an. Aus der Tabelle ist ersichtlich, dass eine /15-Adresse auch in der traditionellen Punkt-Notation 255.254.0.0 angegeben werden kann. Ein /15-Bereich ist ein linearer Block von 128k (exakt 131072) Adressen. In der klassenweisen Notation entspräche dies zwei Klasse-B-Netzwerke oder 512 Klasse-C-Netzwerke.
Tabelle: CIDR Adressblöcke
2.5.2. Rechneranforderungen für die CIDR-Adressierung Es ist wichtig zu bemerken, dass bei der Verwendung von CIDR-Adressen es einige Anforderungen an die Rechner gibt. Da viele Rechner klassenweise arbeiten, können sie nicht mit einer Maske konfiguriert werden, die kürzer ist als die der entsprechenden Klasse. Beispielweise können Probleme auftreten, wenn man die Adresse 200.25.16.0 als /20 verwenden will, um 4094 (2 hoch 12 - 2) Rechner im Netzwerk zu unterstützen. Die Software auf jeder Station erlaubt es unter Umständen nicht, dass man eine klassische Klasse-C-Adresse (200.25.16.0) mit einer 20-Bit-Maske konfiguriert, da die natürliche Maske für eine solche Adresse ein 24-Bit-Maske ist. Falls die Rechner-Software CIDR unterstützt, können auch kürzere Masken definiert werden Es wird aber keine Probleme mit den Rechnern geben, wenn man einen Adressblock 200.25.16.0/20 (eine klassische Klasse-C-Adresse) als einen Block von 16 /24-Adressen benutzen will, da die Rechner ihre lokale /24-Adresse als eine Klasse-C-Adresse behandeln. Genauso kann der Adressblock 130.14.0.0/16 (eine klassische Klasse-B-Adresse) als 255 /24 benutzt werden, da die Rechner die /24-Adresse als Subnetze des /16 interpretieren werden. Falls die Netzwerksoftware es erlaubt, kürzere als die erwarteten Masken zu verwenden, ist der Netzwerkverwalter sehr flexibel bezüglich des Netzwerkdesigns und der Adresszuweisung.
31
2.5.3. Effiziente Adresszuweisung In einer klassenorientierten Umgebung kann ein Internet Service Provider (ISP) nur /8-, /16- oder /24-Adressbereiche belegen. In einer CIDR-Umgebung kann er genau die Adressbereiche belegen, die der Kunde benötigt. Damit wird eine knappe Ressource nicht verschwendet. Nehmen wir an, ein ISP hat den Adressblock 206.0.64.0/18 zugewiesen bekommen. Dieser Block beinhaltet 16384 (214) IP-Adressen oder auch 64 /24-Adressblöcke. Falls ein Kunde 800 Adressen benötigt, kann er vom ISP anstelle einer Klasse-B-Adresse (ca. 64700 Adressen würden verschwendet) oder vier verschiedenen Klasse-C-Adressen (wobei vier Routen in den internationalen Routingtabellen eingetragen werden müssten) der Block 206.0.68.0/22 zugewiesen werden. Dieser Block von 1024 Adressen besteht aus vier aufeinanderfolgenden /24-Adressblöcken. Die Effizienz dieser Zuweisung wird nachstehend dargestellt.
Bild: CIDR unterstützt effiziente Adresszuweisung
2.5.4. Beispiel für CIDR Adresszuweisung In diesem Beispiel nehmen wir an, dass der ISP den Adressblock 200.25.0.0/16 zugewiesen bekommen hat. Dieser Block enthält 65536 (216) IP-Adressen (oder 256 /24). Aus dem 200.25.0.0/16-Block soll der 200.25.16.0/20-Block zugewiesen werden. Dieser kleinere Block umfasst 4096 (212) Adressen (oder 16 /24) dar. Adressblock 11001000.00011001.00010000.00000000 200.25.16.0/20 In einer klassenweisen Adressierung ist der ISP gezwungen, diesen /20-Block als 16 individuelle /24-Blöcke zu behandeln.
Bild: Aufteilen der Adressen - Klassenweise Umgebung
32
In einer klassenlosen Umgebung kann der ISP den Adressraum nach Belieben aufteilen. Er kann den Adressraum halbieren und den einen Teil der Organisation A zuweisen. Den Rest kann er ebenso halbieren und einen Teil der Organisation B zuweisen. Das restliche Viertel kann wiederum in zwei Teile geteilt werden und zwei Organisationen C und D zugewiesen werden. Jede der Organisationen kann den zugewiesenen Adressbereich innerhalb ihres "Intranet" nach Bedarf zuweisen. Dies wird nachfolgend grafisch dargestellt.
Bild: Aufteilen der Adressen - Klassenlose Umgebung
1. Schritt: Aufteilen des Adressblocks 200.25.16.0/20 in zwei gleich große Teile. Jeder der Blöcke stellt die Hälfte des Adressraumes oder 2048 IP-Adressen dar. ISP's Block 11001000.00011001.00010000.00000000 200.25.16.0/20 Organisation A: 11001000.00011001.00010000.00000000 200.25.16.0/21 Reserviert: 11001000.00011001.00011000.00000000 200.25.24.0/21
2. Schritt: Teilen des reservierten Blockes (200.25.24.0/21) in zwei gleich große Teile. Jeder der Blöcke stellt ein Viertel des Adressraumes oder 1024 IP-Adressen dar. Reserviert: 11001000.00011001.00011000.00000000 200.25.24.0/21 Organisation B: 11001000.00011001.00011000.00000000 200.25.24.0/22 Reserviert: 11001000.00011001.00011100.00000000 200.25.28.0/22
3. Schritt: Teilen des reservierten Blockes (200.25.28.0/20) in zwei gleich große Teile. Jeder der Blöcke stellt ein Achtel des Adressraumes oder 512 IP-Adressen dar. Reserviert: 11001000.00011001.00011100.00000000 200.25.28.0/22 Organisation C: 11001000.00011001.00011100.00000000 200.25.28.0/23 Organisation D: 11001000.00011001.00011110.00000000 200.25.30.0/23
2.5.5. CIDR ist VLSM ähnlich Wenn Sie sagen, das CIDR dem VLSM ähnlich ist, dann haben Sie recht. CIDR und VLSM sind im Grunde das Gleiche, da sie es beide ermöglichen, dass ein IP-Adressbereich beliebig in kleinere Teile aufgeteilt werden kann. VLSM unterscheidet sich dadurch, dass die Aufteilung nur in dem einer Organisation zugeteilten Adressbereich erfolgt und damit für das globale Internet nicht sichtbar ist. Bei CIDR kann die rekursive Aufteilung eines Adressblocks von der Internet-Registrierung über
33
einen großen ISP, von dort über einen mittleren und kleinen ISP bis zum Netzwerk einer privaten Organisation erfolgen. Genauso wie VLSM ist die erfolgreiche Verwendung von CIDR an drei Voraussetzun-gen geknüpft:
• Die Routing-Protokolle müssen die Netzwerkpräfixinformation mit jeder Routinginformation mitschicken.
• Alle Router müssen einen konsistenten Weiterleitungsalgorithmus basierend auf "der längsten Übereinstimmung" verwenden.
• Damit die Zusammenfassung von Routen erfolgen kann, müssen die Adressen entsprechend der Netzwerktopologie verteilt werden.
2.5.6. Kontrollieren des Wachstums der Internet-Routingtabellen Ein anderer wichtiger Vorteil des CIDR ist, dass es eine entscheidende Rolle bei der Kontrolle des Wachstums der Internet-Routingtabellen spielt. Um die Routing-Informationsmenge zu reduzieren, ist es notwendig, dass das Internet in Adressierungs-Domains aufgeteilt wird. Innerhalb einer Domain gibt es detaillierte Informationen über die Netze, die in der Domain sind. Außerhalb der Domain ist nur das Netzwerkpräfix der Domain bekannt. Damit kann mit Hilfe eines einzigen Eintrages in der Routingtabelle ein Weg zu vielen Netzwerkadressen erreicht werden.
Bild: CIDR reduziert die Größe der Internet Routing Tabellen. Das obige Bild zeigt, wie mit Hilfe des vorher beschriebenen CIDR-Beispiels die Größe der Internet-Routingtabellen reduziert werden kann. Nehmen Sie an, dass ein Teil des Adressblocks des ISP (200.25.16.0/20) entsprechend dem obigen Beispiel zugewiesen wurde. Die 8 /24-Adressbereiche der Organisation A können dann zu einer einzigen Route (200.25.16.0/21) zusammengefasst werden. Die vier /24-Bereiche der Organisation B können dann zu (200.25.24.0/22), die zwei /24-Adressbereiche der Organisation C zu (200.25.28.0/23) und die zwei /24-Adressbereiche der Organsation D zu (200.25.30.0/23) zusammengefasst werden.
34
Schließlich kann der ISP alle 256 /24-Adressbereiche mit einer einzigen Route (200.25.0.0/16) im Internet bekannt geben. Anm.: Die Zusammenfassung muss explizit in jedem Router programmiert. Durch den Einsatz von CIDR ist es möglich, dass die Anzahl der individuellen Netze im Internet wächst, während die Anzahl Routen in den Internet-Routingtabellen minimiert wird.
2.5.7. Routing in einer klassenlosen Umgebung Das unten stehende Bild zeigt die notwendigen Routen für die Organisation A aus dem vorhergehenden Beispiel.
Bild: Routinginformationen für Organisation A Da alle Routen der Organisation A Teil des ersten Adressblocks des ISP sind, sind sie damit automatisch auch Teil der Routinginformation des ISP im Internet. Mit anderen Worten gesagt, die acht Netzwerke, die der Organisation A zugewiesen wurden, sind Teil der einen Route, die aus dem Internet zum ISP führt. Mit Hilfe des Weiterleitungsalgorithmus "der längsten Übereinstimmung" wird der Verkehr für den Rechner mit der Nummer 200.25.17.25 aus dem Internet zum ISP weitergeleitet, der wiederum leitet ihn an die Organisation A weiter. Nehmen wir nun an, dass die Organisation A aus beliebigen Gründen zum ISP 2 wechselt. Dies wird nachstehend illustriert.
Bild: Organisation A wechselt zum Netzwerkprovider ISP 2
Das Beste für die Größe der Internet-Routingtabellen wäre, wenn die Organisation A einen neuen Adressblock von dem ISP 2 bekommt und umkonfiguriert. Damit wären die acht Netzwerke der Organisation A Bestandteil der gesamten Routinginformation des ISP 2. Nun ist die Neukonfiguration eines solchen Netzwerkes eine arbeitsintensive, schwierige, eventuell sogar undurchführbare Arbeit für die Organisation A. Am Günstigsten für die Organisation A wäre, wenn sie ihren Adressbereich behält und ISP 2 eine zusätzliche Routinginformation im Internet bekannt gibt. Durch diese zusätzliche Routinginformation wird mit Ausnahme des Verkehrs für 200.25.16.0/21 der gesamte Verkehr für die Adresse 200.25.0.0/16 an den ISP 1 geschickt. Dies
35
wird erreicht, indem der ISP 2 zusätzlich zu seinem Block 199.30.0.0/16 eine zweite Route für den Block 200.25.16.0/21 bekannt gibt, wie nachstehendes Bild veranschaulicht.
Entsprechend dem Weiterleitungsalgorithmus "der längsten Übereinstimmung" werden die Internet-Router den Verkehr für den Rechner 200.25.17.25 an ISP 2 weiterleiten, der ihn wiederum an die Organisation A weiterleitet. Eine große Anzahl solcher Ausnahmerouten kann die Effektivität von CIDR erheblich reduzieren und zu größeren Routingtabellen führen.
2.6. Erweiterte Nutzung des IPv6- Adressraumes
2.6.1. Die Internet Protokoll Version 6 Internet Protokoll Version 6 = IPv6 = IP Next Generation = IPng Der vorrangige Grund für die Erweiterung des IP-Protokolls ist auf den begrenzten Adressraum und das Anwachsen der Routing-Tabellen zurückzuführen. CIDR schafft hier zwar wieder etwas Luft, dennoch ist klar absehbar, dass auch diese Maßnahme nicht ausreicht, um die Verknappung der Adressen für eine längere Zeit in den Griff zu bekommen. Weitere Gründe für eine Änderung des IP-Protokolls sind die neuen Anforderungen an das Internet, denen IPv4 nicht gewachsen ist. Streaming-Verfahren wie Real-Audio oder Video-on-Demand erfordern das Festlegen eines Mindestdurchsatzes, der nicht unterschritten werden darf. Bei IPv4 kann so ein "Quality of Service" jedoch nicht definiert - und damit auch nicht sichergestellt - werden. Die IETF (Internet Engineering Task Force) begann deshalb 1990 mit der Arbeit an einer neuen Version von IP. Die wesentlichen Ziele des Projekts waren: • Unterstützung von Milliarden von Hosts, auch bei ineffizienter Nutzung des
Adressraumes • Reduzierung des Umfangs der Routing-Tabellen • Vereinfachung des Protokolls, damit die Router - Pakete schneller verarbeitet
werden können • Höhere Sicherheit (Authentifikation und Datenschutz) als das heutige IPv4 • Mehr Gewicht auf Dienstarten, insbesondere für Echtzeitanwendungen • Unterstützung von Multicasting durch die Möglichkeit, den Umfang zu definieren • Möglichkeit für Hosts, ohne Adressänderung auf Reise zu gehen (Laptop) • Möglichkeit für das Protokoll, sich zukünftig weiterzuentwickeln • Unterstützung der alten und neuen Protokolle in Koexistenz für Jahre
36
Im Dezember 1993 forderte die IETF mit RFC 1550 die Internet-Gemeinde dazu auf, Vorschläge für ein neues Internet Protokoll zu machen. Auf die Anfrage wurde eine Vielzahl von Vorschlägen eingereicht. Diese reichten von nur geringfügigen Änderungen am bestehenden IPv4 bis zur vollständigen Ablösung durch ein neues Protokoll. Aus diesen Vorschlägen wurde von der IETF das Simple Internet Protocol Plus (SIPP) als Grundlage für die neue IP-Version ausgewählt. Als die Entwickler mit den Arbeiten an der neuen Version des Internet Protokolls be-gannen, wurde ein Name für das Projekt bzw. das neue Protokoll benötigt. Angeregt durch die Fernsehserie "Star Trek - Next Generation" wurde als Arbeitsname IP - Next Generation (IPng) gewählt. Schließlich bekam das neue IP eine offizielle Versionsnummer zugewiesen: IP Version 6 oder kurz IPv6. Die Protokollnummer 5 (IPv5) wurde bereits für ein experimentelles Protokoll verwendet.
2.6.1.1 Die Merkmale von IPv6 Viele der Merkmale von IPv4 bleiben in IPv6 erhalten. Trotzdem ist IPv6 im Allgemeinen nicht mit IPv4 kompatibel, wohl aber zu den darüberliegenden Internet-Protokollen, insbesondere den Protokollen der Transportschicht (TCP, UDP). Die wesentlichen Merkmale von IPv6 sind: • Adressgröße: Statt bisher 32 Bit stehen nun 128 Bit für die Adressen bereit.
Theoretisch lassen sich damit 2128 = 3.4*1038 Adressen vergeben. • Header-Format: Der IPv6-Header wurde vollständig geändert. Der Header
enthält nur sieben statt bisher 13 Felder. Diese Änderung ermöglicht eine schnellere Verarbeitung der Pakete im Router. Im Gegensatz zu IPv4 gibt es bei IPv6 nicht mehr nur einen Header, sondern mehrere Header. Ein Datengramm besteht aus einem Basis-Header, sowie einem oder mehreren Zusatz-Headern, gefolgt von den Nutzdaten.
Bild: Aufbau des IPv6-Datengramms
• Erweiterte Unterstützung von Optionen und Erweiterungen: Die Erweiterung der Optionen ist notwendig geworden, da einige der bei IPv4 notwendige Felder nun optional sind. Darüber hinaus unterscheidet sich auch die Art, wie die Optionen dargestellt werden. Für Router wird es damit einfacher, Optionen, die nicht für sie bestimmt sind, zu überspringen.
• Dienstarten: IPv6 legt mehr Gewicht auf die Unterstützung von Dienstarten. Damit kommt IPv6 den Forderungen nach einer verbesserten Unterstützung der Übertragung von Video- und Audiodaten entgegen, z. B. durch eine Option zur Echtzeitübertragung.
• Sicherheit: IPv6 beinhaltet nun im Protokoll selbst Mechanismen zur sicheren Datenübertragung. Wichtige neue Merkmale von IPv6 sind hier Authentifikation, Datenintegrität und Datenverlässlichkeit.
• Erweiterbarkeit: IPv6 ist ein erweiterbares Protokoll. Bei der Spezifikation des Protokolls wurde nicht versucht, alle möglichen Einsatzfelder für das Protokoll in die Spezifikation zu integrieren. Über Erweiterungs-Header kann das Protokoll erweitert werden.
37
2.6.1.2 Aufbau des IPv6-Basis-Headers Im IPv6 wird im Vergleich zum IPv4 auf eine Checksumme verzichtet, um den Routern die aufwendige Überprüfung und damit Rechenzeit zu ersparen. Ein Übertragungsfehler muss deshalb in den höheren Schichten erkannt werden.
Bild: Aufbau des IPv4-Frames im Vergleich
Bild: Aufbau des IPv6-Frames
Version
Mit dem Feld Version können Router überprüfen, um welche Version des Proto-kolls es sich handelt. Für ein IPv6-Datengramm ist dieses Feld immer 6 und für ein IPv4-Datengramm dementsprechend immer 4. Mit diesem Feld ist es möglich für eine lange Zeit die unterschiedlichen Protokollversionen IPv4 und IPv6 nebeneinander zu verwenden. Über die Prüfung des Feldes Version können die Daten an das jeweils richtige "Verarbeitungsprogramm" weitergeleitet werden.
Priority Durch das Feld Priority (oder Traffic Class) kann angegeben werden, ob ein Paket bevorzugt behandelt werden muss. Dies ist für die Anpassung des Protokolls an die neuen Real Time Anwendungen nötig geworden. Damit können zum Beispiel Videodaten den E-Maildaten vorgezogen werden. Bei einem Router unter Last besteht damit die Möglichkeit der Flusskontrolle.
38
Pakete mit kleinerer Priorität werden verworfen und müssen wiederholt werden. Mit den vier Bit lassen sich 16 Prioritäten angeben, wovon 1 bis 7 für "Non Real Time"- und 8 bis 15 für "Real Time" - Anwendungen reserviert sind. Die Zahl Null gibt an, dass die Priorität des Verkehrs nicht charakterisiert ist.
Flow Label Mit Hilfe des Feldes Flow Label können Eigenschaften des Datenflusses zwischen Sender und Empfänger definiert werden. Das Flow Label selbst ist nur eine Zufallszahl. Die Eigenschaften müssen durch spezielle Protokolle oder durch den Hop-by-Hop-Header in den Routern eingestellt werden. Eine Anwendung ist zum Beispiel, dass die Pakete eines Flusses immer den gleichen Weg im Netz nehmen. Durch Speichern der Informationen für das jeweilige Flow-Label, muss der Router bestimmte Berechnungen nur für das erste Paket ausführen, und kann danach für alle Folgepakete die Resultate verwenden. Erst die Einführung des Flow Labels ermöglicht die Einführung von Quality-of-Service-Parametern im IP-Verkehr.
Payload Length Das Feld Payload Length (Nutzdatenlänge) gibt an, wie viele Bytes dem IPv6-Basis-Header folgen, der IPv6-Basis-Header ist ausgeschlossen. Die Erwei-terungs-Header werden bei der Berechnung der Nutzdatenlänge mit einbezogen. Das entsprechende Feld wird in der Protokollversion 4 mit Total Length bezeichnet. Allerdings bezieht IPv4 den 20 Byte großen Header auch in die Berechnung ein, wodurch die Bezeichnung "total length" gerechtfertigt ist.
Next Header Das Feld Next Header gibt an, welcher Erweiterungs-Header dem IPv6-Basis-Header folgt. Jeder folgende Erweiterungs-Header beinhaltet ebenfalls ein Feld Next Header, das auf den nachfolgenden Header verweist. Beim letzten IPv6-Header, gibt das Feld an, welches Transportprotokoll (z.B. TCP oder UDP) folgt.
Hop Limit Im Feld Hop Limit wird festgelegt, wie lange ein Paket überleben darf. Der Wert des Feldes wird von jedem Router vermindert. Ein Datengramm wird verworfen, wenn das Feld den Wert Null hat. IPv4 verwendete hierzu das Feld Time to Live. Die Bezeichnung bringt mehr Klarheit, da schon in IPv4 die Anzahl Hops gezählt und nicht die Zeit gemessen wurde.
Source Address, Destination Address Die beiden Felder für Quell- und Zieladresse dienen zur Identifizierung des Sen-ders und Empfängers eines IP-Datengramms. Bei IPv6 sind die Adressen vier mal so groß wie IPv4: 128 Bit statt 32 Bit.
Das Feld Length (Internet Header Length - IHL) von IPv4 ist nicht mehr vorhanden, da der IPv6-Basis-Header eine feste Länge von 40 Byte hat. Das Feld Protocol wird durch das Feld Next Header ersetzt. Alle Felder die bisher zur Fragmentierung eines IP-Datengramms benötigt wurden (Identification, Flags, Fragment Offset), sind im IPv6-Basis-Header nicht mehr vorhanden, da die Fragmentierung in IPv6 gegenüber IPv4 anders gehandhabt wird. Alle IPv6-kompatiblen Hosts und Router müssen Pakete mit einer Größe von 1280 Byte unterstützen. Empfängt ein Router ein zu großes Paket, so führt er keine Fragmentierung mehr durch, sondern sendet eine Nachricht an den Absender des Pakets zurück, in der er den sendenden Host anweist, alle weiteren Pakete zu diesem Ziel aufzuteilen. Es wird also vom Hosts erwartet, dass er von vornherein eine passende Paketgröße wählt. Die Steuerung der Fragmentierung erfolgt bei IPv6 über den Fragment Header. Das Feld Checksum ist nicht mehr vorhanden.
39
Erweiterungs-Header im IPv6 Bei IPv6 muss nicht mehr der ganze optionale Teil des Headers von allen Routern verarbeitet werden, womit wiederum Rechenzeit eingespart werden kann. Diese optionalen Header werden miteinander verkettet. Jeder optionale Header beinhaltet die Identifikation des folgenden Headers. Es besteht auch die Möglichkeit selber Optionen zu definieren. Derzeit sind sechs Erweiterungs-Header definiert. Alle Erweiterungs-Header sind optional. Werden mehrere Erweiterungs-Header verwendet, so ist es erforderlich, so sind diese in einer festen Reihenfolge anzugeben.
Header Beschreibung
IPv6-Basis-Header Zwingend erforderlicher IPv6-Basis-Header
Optionen für Teilstrecken (Hop-by-Hop Options Hea-der)
Dies ist der einzige optionale Header, der von jedem Router bearbeitet werden muss. Bis jetzt ist nur die "Jumbo Payload Option" definiert, in der die Länge eines Paketes angegeben werden kann, das länger als 64 KByte ist.
Optionen für Ziele (Destination Options Hea-der)
Zusätzliche Informationen für das Ziel
Routing (Routing Header)
Definition einer vollständigen oder teilweisen Route. Er wird für das Source-Routing in IPv6 verwendet.
Fragmentierung (Fragment Header)
In IPv6 wird, wie oben beschrieben, die Fragmentierung nur noch End to End gemacht. Die Fragmentierinformationen werden in diesem optionalen Header abgelegt.
Authentifikation (Authentication Header)
Er dient der digitalen Signatur von Paketen, um die Quelle eindeutig feststellen zu können.
Verschlüsselte Sicherheits-daten (Encapsulating Security Payload Header)
Informationen über den verschlüsselten Inhalt.
Optionen für Ziele (Destination Options Hea-der)
Zusätzliche Informationen für das Ziel (für Optionen, die nur vom endgültigen Ziel des Paketes verarbeitet werden müs-sen).
Header der höheren Schichten (Upper Layer Header)
Header der höheren Protokollschichten (TCP, UDP, ...)
Bild: Mögliche Header-Extensions im IPv6-Frame Während Sicherheitsaspekte bei der Definition von IPv4 weitgehend keine Rolle ge-spielt haben, wurde diese Problematik bei IPv6 ausgiebig diskutiert. Dies geschah parallel zu den IPsec Erweiterungen von IPv4, so dass beide Protokolle in diesem Punkt große Ähnlichkeiten aufweisen. Sicherheit bleibt damit nicht allein den Anwen-dungsprogrammen überlassen. IPv6 bietet auf der IP-Ebene Möglichkeiten zur Verschlüsselung und Authentifikation.
40
2.6.1.3 Authentication Options Header (AH) Der Authentication Options Header hat den in Bild 30 beschriebenen Aufbau.
Bild: Aufbau des Authentication Options Header (AH)^
Next Header und Hdr Ext Len geben wie üblich den Typ des nachfolgenden Extension-Headers bzw die Länge des AH in 32 Bit Einheiten an, wobei die ersten 8 Byte nicht gezählt werden. Bei dem Security Parameters Index (SPI) handelt es sich um einen 32-Bit Wert, der zusammen mit der Zieladresse des Paketes das gewünschte Verfahren zur Authentisierung festlegt. Für den SPI sind die Werte 1 bis 255 für eine spätere Verwendung durch die IANA reserviert. Der Wert 0 zeigt an, dass keine Authentisierung vorhanden ist und sollte im Normalfall nicht verwendet werden. Die Sequenznummer enthält einen monotonen Zähler, welcher vom Sender bei jedem Paket um eins erhöht werden muss. Der Empfänger verwendet dieses Feld zur Anti-Replay Protection. Beherrscht er diese Funktion nicht, wird das Feld ignoriert. Falls über eine Verbindung mehr als 232 Pakete laufen, ist ein Überlauf der Sequenznummer nicht vorgesehen. Statt dessen ist eine Initialisierung der Verbindung mit einem Austausch neuer Schlüssel vorgeschrieben. Das Datenfeld enthält die eigentliche Checksumme, Integrity Check Value (ICV). Dieses Feld muss als Länge ein Vielfaches von 64-Bit haben. Die genaue Verwendung der ICV hängt von dem gewählten Verfahren ab. Bei der Anwendung der Authentisierung wird, wie später auch bei der Verschlüsselung, zwischen zwei Verfahren unterschieden, dem Transportmodus und dem Tunnelmodus.
2.6.1.4 Encapsulating Security Payload (ESP) Encapsulating Security Payload (ESP) wird verwendet, um vertrauliche Daten zu ver-schlüsseln und ihre Unversehrtheit zu garantieren. Außerdem bietet ESP einen wirk-samen Schutz vor Data-Replay Attacken.
Bild: Aufbau des ESP Headers
Wie schon beim AH erwähnt, unterscheidet man bei der Anwendung der Ver-schlüsselung zwischen dem Transportmodus und dem Tunnelmodus. Die erste Variante wird bei der Kommunikation zwischen zwei Rechnern verwendet. Im
41
Normalfall geht man hier davon aus, dass sich die Rechner nicht kennen bzw. keine gültigen Keys für eine Verbindung besitzen. Es muss daher von einem Trust-Center von beiden Rechnern ein One-Session-Key angefordert werden, welcher für eine begrenzte Zeit Gültigkeit besitzt.
2.7. Übungsaufgabe zu VLSM (siehe Praktikumsversuch)
