TCP/IP a internet
Čo je to IP a TCP
IP (Internet Protocol) zabezpečuje správne doručovanie dát (paketov dát) jednotlivým PC v sieti (pre PC tvoriaci súčasť siete sa často používa označenie host). Ak sa nachádza počítač, na ktorý je užívateľ napojený, v inej sieti, IP protokol smeruje pakety cez počítače, ktoré siete vzájomne prepojujú (tzv. brány).
S protokolom IP úzko spolupracujú aj iné protokoly, napr. protokol ARP (Address Resolution Protocol) slúži k mapovaniu IP adries, niekedy označovaných ako logické adresy, na adresy fyzické (hardvérové adresy sieťových adaptérov). Musíme si uvedomiť, že ak zadávame adresu PC, zadávame jeho logickú adresu v sieti (IP adresu). Na úrovni hardvéru, kedy sa paket pohybuje po vedení vo forme elektrických signálov, sú však vyhodnocované fyzické adresy adaptérov, ktoré sú napr. v prípade Ethernetu pevne nastavené už výrobcom adaptéru. ARP protokol potom určí podľa nás zadanej IP adresy fyzickú adresu adaptéra.
TCP (Transmission Control Protocol) realizuje spojenie medzi počítačmi v sieti.
IP adresa
Ak chceme v rámci siete nadviazať spojenie s niektorým z počítačov, musíme poznať identifikátor, ktorý ho jednoznačne odlišuje od ostatných.
Počítače v internete sú identifikované pomocou čísla nazvaného IP adresa. Táto identifikácia je jednoznačná, to znamená, že v rámci internetu neexistujú dva počítače s rovnakou IP adresou. Keď máme byť presnejší, IP adresa sa nevzťahuje k počítaču, ale k jeho sieťovému adaptéru. V internete totiž existujú počítače, ktoré obsahujú viac sieťových adaptérov, z ktorých každý má svoju IP adresu. Viacej adaptérov obsahujú aj brány (gateways) – sú to špeciálne počítače ktoré prepájajú spolu lokálne siete a zabezpečujú správne smerovanie dát medzi jednotlivými sieťami.
IP adresa sa skladá zo 4 bytov. Najčastejšie sa zapisuje takzvanou bodkovou notáciou keď je každý byte adresy vyjadrený desiatkovým číslom a tieto čísla sú oddelené bodkami. Adresa potom môže vypadať napríklad takto:
192.168.30.15
Ak vytvárame vlastnú sieť a neplánujeme jej prepojenie s ďalšími sieťami, definujeme IP adresy sami. Dbáme pritom na to, aby sa v rámci siete neopakovali. Počítame však s prepojením na už existujúcu sieť, napríklad Internet, musíme o pridelenie IP adresy požiadať autoritu poverenú správou celej tejto siete. Jedine ona má totiž prehľad o už pridelených a tím pádom aj o doposiaľ voľných IP adresách.
Pretože sú počítače nachádzajúce sa v internete pripojené do vzájomne prepojených lokálnych sietí, je problém prenosu dát medzi PC problémom prenosu dát medzi sieťami. Brány, smerujúce dáta medzi sieťami, pracujú s takzvanými sieťovými adresami. Sieťová adresa nie je nič iného, než určitá časť IP adresy. Ostávajúca časť IP adresy je potom adresa PC v rámci tejto siete.
192 . 168 . 30 . 15
adresa siete (sieťová časť adresy) adresa PC v danej sieti
Vidíme teda, že IP adresa sa delí na časť reprezentujúcu adresu siete a časť reprezentujúcu adresu PC v tejto sieti. Podľa toho, ako sú jednotlivé siete rozsiahle (koľko PC obsahujú), sú IP adresy rozdelené do troch hlavných tried. Triedy sa líšia počtom bitov vyhradených pre sieťovú a PC časť adresy.
Z počtov bitov vyhradených pre každú časť IP adresy možno ľahko určiť koľko celkom môže existovať sietí napríklad typu B a koľko môže každá táto sieť obsahovať počítačov.
Existuje niekoľko adries, ktoré je zakázané používať ako adresy počítačov v sieti:
1) 127.0.0.0 alebo 127.0.0.1 takzvané loopback adresy. Tieto adresy používa sieťový software k testovacím účelom. Ak pošleme dáta na túto adresu, tak nebudú vysielané cez žiadny zo sieťových adaptérov PC do siete. Môžeme tak určiť, či je náš software funkčný nezávisle na tom, či funguje sieťový hardware;
2) Sieťové adresy, tj. adresy, ktorých počítačová časť obsahuje samé nuly. Tieto adresy sú využívané IP protokolom k správnemu smerovaniu paketov medzi sieťami;
3) Broadcast adresy, ktorých časť obsahuje samé jednotky. Používajú sa k hromadnému rozosielaniu paketov. Ak pošleme paket na broadcast adresu, tak ho dostanú všetky PC v danej sieti.
Maska siete je číslo dlhé 4 byty, ktoré určuje, aká časť IP adresy je vyhradená pre adresu siete. Pozície, ktoré obsahujú binárnu jednotku určujú sieťovú časť adresy a pozície obsahujúce binárne nuly určujú počítačovú časť adresy. V prípade siete typu C zadáme teda masku s hodnotou 255.255.255.0.
Symbolické mená
V predchádzajúcej časti sme sa oboznámili s IP adresami. Vidíme, že predstavujú 32 bitové čísla. Pretože je manipulácia s dlhšími číslami pre človeka nezáživná a nepraktická, bol vytvorený mechanizmus umožňujúci užívateľom zadávať miesto IP adries počítačov ich symbolické mená. Obslužný software potom prevádza mapovanie symbolických mien na IP adresy automaticky.
Ak nestanovíme inak, mapujú sa symbolické mená na IP adresy v súlade so súborom hosts. Tento súbor obsahuje IP adresy a symbolické mená v nasledujúcom formáte:
IP_adresameno_počítača
V každom prípade by mal obsahovať loopback adresu a adresu počítača, na ktorom sa nachádza. Ďalej samozrejme IP adresy a symbolické mená počítačov, s ktorými chceme komunikovať. Súbor hosts potom môže vypadať takto:
127.0.0.1 loopback
192.168.30.15 localhost
192.168.30.1 lucy xxx903 f
192.168.5.1 mirec sipok m
IP adresy sú od symbolických mien oddelené medzerou. Localhost je lokálny počítač, na ktorom sa nachádzame, a lucy a mirec sú mená počítačov v internete s ktorými komunikujeme. Všimnime si ďalších symbolických mien uvedených na riadku a oddelených medzerami. Sú to tzv. aliasy, ktorých môže byť pre jeden počítač uvedených niekoľko. Všetky môžeme používať v procese nadväzovania spojenia.
Je jasné, že v súbore hosts musia byť uvedené symbolické mená a IP adresy všetkých PC, ku ktorým chceme mať prístup prostredníctvom mena. V malých sieťach to nie je problém zabezpečiť. Predstavme si však sieť ako je Internet obsahujúci niekoľko miliónov PC. Ak chceme mať prístup ku všetkým týmto PC, musíme mať na svojom počítači v súbore hosts niekoľko miliónov riadkov. Veľkosť tohoto súboru však nie je jediným problémom. Je zrejmé, že sieť takéhoto rozsahu sa dynamicky mení, neustále pribúdajú nové uzly (servery) a niektoré sú zrušené. Ako potom zaistiť zodpovedajúce doplňovanie súboru hosts na našom (a nielen na našom) PC? Z tohto dôvodu bol v sieťach na báze TCP/IP realizovaný systém tzv. doménových mien a systém umožňujúci získavať z týchto doménových mien IP adresy.
Všetky uzly Internetu sú potom rozčlenené to tzv. domén, tvoriacich hierarchickú štruktúru.
Na vrchole štruktúry je hlavný uzol root, potom nasledujú domény označujúce jednotlivé štáty, účastníkov Internetu. Napr. meno domény sk je vyhradené pre Slovenskú republiku, cz pre Českú republiku, at Rakúsko, de Nemecko, uk Veľkú Britániu atď. V USA, mieste zrodu Internetu, sa na rovnakej úrovni ako domény jednotlivých štátov sveta používajú domény odrážajúce typ uzlov do nich združených (edu pre vzdelávacie organizácie, com komerčné organizácie, gov štátna správa, mil armáda a org ostatné nekomerčné organizácie). Ďalej pokračuje štruktúra doménami druhej úrovne, na ktoré nadväzujú ďalšie úrovne, ktoré už väčšinou predstavujú lokálne siete daných organizácii.
Zmysel tohto hierarchického členenia je v tom, že za správnosť a aktuálnosť informácií o doménových menách a IP adresách nezodpovedá jeden centrálny uzol, ale tieto informácie sú rozložené do jednotlivých domén a informácie o IP adresách poskytujú uzly v doménach, vyhradené pre túto činnosť. Táto služba (mapovanie doménových mien na IP adresy) sa označuje ako DNS a uzly, ktoré ju zabezpečujú sa nazývajú nameservery. Pre každú doménu teda existuje nameserver (v skutočnosti by mali byť z dôvodu spoľahlivosti celého systému aspoň dva), ktorý pozná všetky mená a IP adresy počítačov vo svojej doméne, plus adresu nameserveru v nadriadenej doméne. Použijeme potom na našom PC doménové meno, tak je automaticky posielaný dotaz na jeho rozriešenie (mapovanie na zodpovedajúcu IP adresu) najbližšiemu nadriadenému nameserveru. Ak nemôže tento nameserver meno rozriešiť, to nastane vtedy ak sa nenachádza v jeho doméne, pošle dotaz nadriadenému nameserveru, ktorý sa pokúsi o rozriešenie. Ak sa to nepodarí ani jemu, tak je dotaz posielaný ďalej do ďalších nadriadených alebo podriadených domén. V praxi sa uchovávajú rozriešené mená po určitú dobu v cache pamätiach nameserverov, ktoré sú potom schopné ďalší dotaz na uložené meno zodpovedať ihneď, bez toho aby museli odkazovať na iné nameservery.
E-mail
Už každý sa asi stretol s týmto pojmom a vie si predstaviť aké výhody elektronická pošta, označovaná tiež ako e-mail, má. V prvom rade je to rýchlosť, s akou sú naše dopisy doručované. Ak sme zapojený do siete Internet, je doba doručenia dopisu, napr. do zámoria, oproti klasickej pošte zanedbateľná. Aj náklady na odoslanie jedného dopisu sú menšie. Proces samotného odoslania a prijatia dopisu je omnoho jednoduchší ako u klasickej pošty, o úspore papieru a miesta ani nehovorím. Niekedy je e-mail výhodnejší ako telefón. Nemusíme sa rozčuľovať v prípade, že nemôžeme volaného celý deň zastihnúť a jednoducho mu naše požiadavky alebo dotazy pošleme e-mailom. Ten si daná osoba prečíta ihneď po príchode na svoje pracovisko. Nie je tiež problém poslať jeden dopis viacerým adresátom na jeden krát. Nemusíme robiť kópie dopisu na kopírovacom stroji, ale zadáme len príkaz k odoslaniu dopisu viacerým osobám a o ostatné sa už postará systém sám.
E-mail však nie je obmedzený len na odosielanie a prijímanie dopisov. Široko sa používa v tzv. konferenciách (diskusných skupinách), prostredníctvom ktorých sa môže hocikto zúčastniť diskusie na tému práve v konferencií preberanú. Dopis zasielaný e-mailom nemusí obsahovať len text správy, ale tiež ľubovoľný súbor, takže môžeme zasielať i programy, obrázky, zvukové súbory atď.
E-mail má ďalej tú výhodu, že jeho dosah nie je obmedzený len na sieť, ku ktorej sme priamo pripojený, ale môžeme posielať dopisy i do iných sietí, ak sú tieto prepojené s našou sieťou prostredníctvom brán.
Ak chceme posielať poštu vzdialeným užívateľom (napr. do Internetu) musíme uviesť plnú e-mailovú adresu užívateľa. Takáto adresa sa skladá z mena užívateľa a doménového mena počítača na ktorom užívateľ pracuje. Meno je od doménového mena počítača oddelené znakom @. Napr.: [email protected]
Smerovanie v TCP/IP sieťach
Teraz si povieme niečo o základnom pojme internetu, a to o smerovaní paketov v sieti. Znalosť tejto problematiky nám pomôže lepšie prekonávať prípadné problémy vznikajúce pri komunikácii v sieti.
Smerovanie (routing) je proces vyhľadávania cesty, ktorou sa musia pakety posielať, aby dorazili k cieľovému uzlu siete. Počítač, ktorý rozhoduje o smere zasielania paketov sa nazýva brána (gateway), alebo tiež smerovač (router).
Rozlišujeme dva typy smerovania, a to priame a nepriame smerovanie.
Priame smerovanie– pakety sú zo zdrojového PC prenášané priamo na cieľový počítač prostredníctvom prenosového média. Ide tu o prípad, kedy sa oba PC nachádzajú na tom istom „kábli“ siete.
Nepriame smerovanie– pakety sú prenášané do siete, ktorá nie je bezprostredne pripojená k danému počítaču. Doručovanie paketov obstarávajú brány. Nastáva vtedy ak máme viac navzájom prepojených sietí (internet).
Tu sú jednotlivé kroky v procese priameho smerovania:
1) Z IP adresy cieľového počítača je zistená jeho fyzická adresa,
2) Paket je odoslaný prostredníctvom prenosového média na zistenú fyzickú adresu cieľového PC.
Tu zas je opísaný proces nepriameho smerovania, ktorý prebehne keď nemožno paket poslať priamo cieľovému počítaču:
1) Paket je priamo zaslaný najbližšej bráne,
2) Ak brána neleží v sieti, kam smeruje náš paket, vyberie smerovací softvér brány ďalšie priamo dosažiteľné bránou ležiacou na ceste k cieľu,
3) Nakoniec paket dosiahne bránu, ktorá ho dokáže zaslať priamo počítaču, pre ktorý je určený.
Aby mohla brána správne prenášať pakety, musí poznať topológiu siete. To znamená, že musí vedieť, cez ktorú najbližšiu bránu má paket poslať aby dorazil do cieľovej siete.
Popíšme si algoritmus, ktorý používa brána pri rozhodovaní, kam poslať doručovaný paket:
1) zisti si z paketu IP adresu cieľového počítača,
2) z IP adresy určí adresu siete, do ktorej paket smeruje (sieťová časť adresy),
3) ak sieťová adresa zodpovedá niektorej priamo k bráne pripojených sietí, zistí si fyzickú adresu PC,
4) ak sieťová adresa nie je adresa priamo pripojenej siete, ale nachádza sa v smerovacej tabuľke, tak odošle paket podľa informácie uvedenej v smerovacej tabuľke,
5) ale ak sieťová adresa nie je ani adresa priamo pripojenej siete, ani adresa uvedená v smerovacej tabuľke, signalizuje chybu smerovania.
Vidíme, že softvér brány používa pri smerovaní paketov do nepriamo pripojených sietí takzvanú smerovaciu tabuľku (routing table). Ukážeme si jej formát:
SIEŤOVÁ ADRESA ADRESA BRÁNY
IP adresa siete X priame doručenie
IP adresa siete Y IP adresa brány A
DEFAULT IP adresa brány B
Ľavú časť tabuľky porovnáva softvér brány so sieťovou časťou IP adresy získanej z paketu. Ak sa adresa siete z paketu zhoduje s adresou siete z tabuľky, je paket zaslaný na IP adresu brány z pravej časti tabuľky (prípadne je priamo doručený). Všimnime si položky DEFAULT na mieste sieťovej adresy. Ak je v smerovacej tabuľke uvedený riadok s touto položkou, tak sú všetky pakety, pre ktoré nebola v tabuľke nájdená zodpovedajúca adresa siete, odoslané bráne uvedenej za DEFAULT. V našom prípade teda bráne B.
Vyššie opísaný mechanizmus musí byť realizovaný nielen v bránach, ale čiastočne aj vo všetkých počítačoch v sieti, ktoré majú komunikovať s počítačmi v iných sieťach. Ak používame napr. pracovnú stanicu a chceme sa s ňou, s pomocou programu Telnet, pripojiť na počítač z inej siete, musí softvér stanice vedieť, cez akú bránu má pakety Telnetu posielať. Musí teda obsahovať vyššie uvedenú smerovaciu tabuľku.
Ako sa pripojiť?
Teraz si objasníme pripojenie do siete, založenej na súboroch protokolu TCP/IP. Najprv si urobíme zoznam položiek, ktoré nám pripojenie do siete umožnia, a potom sa zastavíme u každej z nich.
1) Sieťový hardvér
2) Softvér realizujúci na našom počítači súbor protokolov TCP/IP
3) Adresa nášho počítača v sieti
4) Adresy počítačov, s ktorými budeme komunikovať
Sieťový hardvér.
Výber správneho sieťového hardvéru, ktorý si zabudujeme do svojho PC, závisí na prípojnom bode, cez ktorý budeme do siete zapojený. V prípade TCP/IP sa budeme pripájať prostredníctvom sieťového adaptéru.
Sieťový adaptér použijeme k pripojeniu do lokálnej siete komunikujúcej prostredníctvom protokolu TCP/IP. V závislosti od typu sieťového média zvolíme zodpovedajúci typ adaptéru. Môžeme potom potrebovať adaptér pre Ethernet, Token Ring, krútenú dvojlinku (Twisted pair), optický kábel, atď. Sieťový adaptér môže byť realizovaný vo forme rozširujúcej karty, ktorú zasunieme do volného slotu PC, alebo vo forme vonkajšieho zariadenia pripojiteľného na USB port, prípadne ako PCMCIA adaptér.
Softvér realizujúci TCP/IP.
Implementácia TCP/IP je v súčasnosti dostupná pre všetky významné operačné systémy. Užívateľ akéhokoľvek počítača má tak možnosť využívať služby protokolu TCP/IP.
Už pri výbere sieťového adaptéru musíme myslieť aj na príslušné ovládacie programy pre tento adaptér, ktoré bude podporovať aj príslušný operačný systém. Po ich nainštalovaní treba ešte nastaviť systém na používanie našej siete, vypísať našu sieťovú adresu a masku podsiete, sprístupniť niektoré zariadenia, a pod.
Adresa počítača v sieti.
Každý PC musí mať v sieti svoju IP adresu. Ak chceme byť pripojený do niektorej z medzinárodných sietí, musíme požiadať o pridelenie sieťovej adresy.
Pridelená sieťová časť IP adresy je pre nás záväzná (nesmieme ju meniť). Počítačovú časť IP adresy každého sieťového rozhrania definujeme sami. Musíme ale dbať na jedinečnosť takto vzniknutej IP adresy (vzhľadom k nedostatku adries typu A a B v Internete, je v poslednej dobe záujemcom budujúcim rozsiahle siete prideľovaných niekoľko adries typu C).
Ak budujeme vlastnú, izolovanú sieť, môžeme sieťovú i počítačovú časť IP adresy definovať sami. Sieťovú časť adresy definujeme podľa predpokladaného rozsahu našej siete. V závislosti na počte počítačov v sieti a na počte sietí v našom internete určíme typ siete (A, B alebo C) -obrázok č. 1.
Sieť typu A môže obsahovať viac než 16 miliónov (216) počítačov a týchto sietí môže byť v internete vybudovaných 128 (27). V 16 384 (214) sieťach typu B môže byť 65 536 (216) počítačov a sietí typu C môže byť vytvorených cez 2 milióny a každá môže obsahovať 256 (28) počítačov. Od vyššie uvedených hodnôt nesmieme zabudnúť odpočítať rezervované adresy.
Ak máme definovaný typ siete, určíme ho podľa vlastného uváženia číselnou hodnotou sieťovej časti IP adresy (pozor na prvé bity určujúce typ siete) potom ďalej definujeme počítačové časti adresy pre jednotlivé PC v sieti.
Adresy počítačov s ktorými budeme komunikovať.
Ak nepoužívame systém doménových mien (DNS), musíme na počítačoch definovať súbory hosts, ktoré obsahujú mapovanie používaných symbolických mien na IP adresy. Zodpovedajúce IP adresy získame od správcov sietí, s ktorými chceme komunikovať.
Čo je to FIREWALL
Firewall je špeciálny počítač, ktorý je jediným spojovacím článkom medzi vonkajším svetom (Internetom) a našou sieťou, ktorú chceme ochrániť pred vonkajšími vplyvmi. Tento PC neposkytuje vonkajšiemu svetu informácie o smerovaní (routovaní) v našej sieti a spôsobuje tak, že je naša sieť pre vonkajší svet neviditeľná. Ak chceme zkonfigurovať firewall, musíme si pamätať nasledujúce:
1) firewall nepropaguje (neposkytuje) smerovacie informácie. To znamená, že ak sa chce niekto z našej siete pripojiť na počítač ktorý je vo vonkajšej sieti, musí sa najprv prihlásiť na firewall a až z neho na akýkoľvek ďalší počítač vo vonkajšej sieti. Rovnako ak chce niekto z vonkajšej siete naviazať spojenie s počítačom z našej vnútornej siete, musí sa prihlásiť na firewall (musí tam mať konto) a až z neho môže pokračovať na konkrétny stroj vnútornej siete;
2) akákoľvek elektronická pošta odosielaná užívateľom vnútornej siete do vonkajšej siete musí byť smerovaná na firewall. Firewall musí tiež prijímať všetku poštu došlú z vonkajšej siete a rozosielať ju užívateľom vnútornej siete. Toto môže byť zaistené napr. nadefinovaním aliasu pre každého užívateľa;
3) firewall nesmie v žiadnom prípade prepojovať súborové systémy prostredníctvom NFS, ani nesmie žiadne súbory a adresáre poskytovať;
4) na firewalle musí byť zavedená maximálna disciplína v údržbe prístupových hesiel;
Je samozrejmé, ži firewall musí byť pod neustálou a starostlivou kontrolou. Prostredníctvom príslušných programov musíme sledovať všetku jeho aktivitu a v prípade nebezpečia okamžite zasiahnuť. Ak totiž dôjde k neoprávnenému preniknutiu na firewall, je cesta do našej vnútornej siete otvorená. V súčasnej dobe existuje veľké množstvo programov, ktoré môžu toto zabezpečenie firewallu uľahčiť, vrátane množstva rôznych pascí, slúžiacich k odhaleniu a následnému zneškodneniu nepozvaného votrelca. Obrázok č. 2.
