Privatni IP Adresni Prostor

7/25/2019 Privatni IP Adresni Prostor

1/4

Privatni IP adresni prostor

Sve veim koritenjem TCP/IP tehnologije irom svijeta, ukljuujui i Internet, poveao se ibroj nespojenih tvrtki koje koriste privatne adrese iskljuivo za komunikaciju unutar tvrtke,bez namjere da se spoje na Internet. Internet je prerastao svaija oekivanja, a njegovtrajni eksponencijalni rast uvodi i nove izazove. Jedan od njih je iscrpljenje globalnog

adresnog prostora. Drugi je izazov porast veliina routing tablica iznad mogunosti davateljausluga Internet pristupa. Da bi sprijeili daljnji rast routing tablica davatelji usluga dobivajublokove adresnog prostora koje dalje rasporeuju na nain da se rute prema mnogimkorisnicima mogu zdruiti (agregirati) zajedno, tako da drugi davatelji vide samo jednu rutu(RFC 1518 i 1519).

Trajno rjeenje ovih problema daje tek nova verzija IP protokola - verzija 6, dok suprivremena rjeenja CIDR (Classless Inter-Domain Routing) s agregacijom ruta isupernetiranjem, te privatno IP adresiranje sa ili bez NAT-a (network address translation).Dodjelom privatnih adresa omoguavamo potpunu mrenu povezanost izmeu svih raunalau nekoj tvrtki. Troak koritenja privatnog adresnog prostora se svodi na potencijalni troakpreadresiranja raunala i mrea na javne adrese.

IETF je odluio da unaprijeeni IPv4 mora izdrati dovoljno dugo da inenjerima ostanedovoljno vremena za kvalitetan dizajn i implementaciju potpuno novog Internet Protokola.Taj novi protokol, IPv6, rjeava adresnu krizu koritenjem 128-bitnog adresnog prostora(to je otprilike 3.4 10 38 adresa).

Nakon mnogo godina planiranja i paljivog razvoja IPv6 je danas zreo za sveobuhvatnuimplementaciju; meutim ire koritenje IPv6 morat e jo malo priekati iz nekolikorazloga. Jedan od njih je da su vatrogasne mjere za spas verzije 4 IP protokola bilo iznimnouinkovite i uspjene. Uklanjanjem pravila klasa IPv4-u je udahnut novi ivot.

Novi ivot IPv4 protokolaPostoji vie naina za spreavanje gubljenja dragocjenih javnih adresa. U posljednjih 20

godina mreni su inenjeri razvili nekoliko vanih strategija za efikasnije adresiranje meukojima su najvaniji VLSM, CIDR i privatno adresiranje.

VLSM (Variable-Length Subnet Mask) dozvoljava organizaciji koritenje vie od jedne subnetmaske unutar istog adresnog prostora. Implementacija se esto naziva i subnetiranjesubneta (podmree) i koristi se za maksimalno iskoritenje svih adresa.

Koritenje CIDR-a i VLSM-a osim tednje adresnog prostora promovira i agregiranjeodnosno sumarizaciju ruta. Bez sumarizacije (agregacije) ruta bi usmjeravanje na okosniciInterneta kolabiralo jo negdje prije 1997. Supernetiranje je praksa koritenja bit maske zagrupiranje vie itavih klasa kao jedne mrene adrese. Supernetiranje i agregacija ruta sudva imena za isti proces; meutim supernetiranje se esto odnosi na sluaj kada suagregirane mree pod zajednikom administrativnom kontrolom. Supernetiranje i agregacija

ruta su u svojoj biti inverzija subnetiranja. Razlika je u tome to supernetiranje uzimabitove iz mrenog dijela mrene maske, dok subnetiranje uzima bitove iz host dijela subnetmaske.

Podjela raunala obzirom na adresne potrebeMogue je uvesti osnovnu podjelu hostova (raunala spojenih na TCP/IP mreu) na 3kategorije:


2/4

1. raunala koja nemaju potrebu ili pravo pristupa izvan tvrtke njima dodjeljujemoprivatne IP adrese,

2. raunala koja imaju ogranienu potrebu vanjskog pristupa (npr. mail, ftp, news) u kojemsluaju se koristi pristupnik (vor mree koji slui za pristup nekoj drugoj mrei, gateway) njima takoer dodjeljujemo privatne IP adrese,

3. raunala koja imaju potrebu vanjskog pristupa njima je potrebno dodijeliti javne IPadrese.

Mnoge aplikacije zahtijevaju povezanost iskljuivo unutar jedne tvrtke i ne trebaju izvanjskupovezanost za veliku veinu raunala. U veim je tvrtkama esto lake identificirati znaajanbroj raunala koja koriste TCP/IP, a kojima ne treba povezanost na mrenom sloju izvanmatine tvrtke.

Primjeri kada nije potrebno koristiti javne adrese su suelja usmjerivaa u internoj mrei,zasloni na kolodvorima koji prikazuju dolaske i odlaske vlakova ili autobusa i internakomunikacija velikih organizacija (npr. bankomati, kase i slino). Takoer iz sigurnosnihrazloga mnoge tvrtke koriste gatewaye na aplikacijskom sloju za spajanje svoje internemree na Internet, tako da je sa Interneta vidljivo samo nekoliko gatewaya. U takvojsituaciji interna mrea moe koristiti nejedinstvene IP adrese.

IANA je rezervirala 3 bloka IP adresnog prostora za privatne mree, svima dobro poznatog idefiniranog RFC-om 1918:

10.0.0.0 - 10.255.255.255 (10/8 prefiks)172.16.0.0 - 172.31.255.255 (172.16/12 prefiks)192.168.0.0 - 192.168.255.255 (192.168/16 prefiks)

Prvi blok zovemo i 24-bitni blok, drugi blok zovemo 20-bitni blok, a trei blok zovemo 16-bitni blok adresa. Gledano kao klase prije pojave CIDR-a (Classless Inter-Domain Routing),prvi blok je jedna itava A klasa, drugi blok je skupina od 16 uzastopnih B klasa, a trei blok

je skupina od 256 uzastopnih C klasa.

Koritenje privatnog adresiranjaBudui da je IP dominantni usmjeravani protokol u svijetu, veina mrenih aplikacija ioperativnih sustava prua podrku za nj. Zato su mnogi dizajneri izgradili mree okoTCP/IP-a ak i kada im nije potrebno spajanje na Internet. Raunala na Internetuzahtijevaju globalno jedinstvene IP adrese, dok privatna raunala odvojena od Internetamogu koristiti bilo koju adresu, dok god je jedinstvena unutar vlas tite mree.

Budui da mnoge privatne mree postoje usporedo s javnim adresama, jednostavnouzimanje adresa po vlastitom izboru je izrazito destimulirano. Zato RFC 1918 ostavlja naizbor 3 bloka IP adresa. Adrese u tom rasponu nee biti usmjeravane na okosnici Interneta

jer e usmjerivai na okosnici Interneta odmah odbaciti takve pakete (tako barem zahtijevadobra praksa i tako bi trebali biti konfigurirani).

Koritenje privatnih adresa na WAN point-to-point linkovima ukljuuje jedan preutnikompromis. Naime serijska suelja usmjerivaa ne mogu biti originalni izvor ili krajnjeodredite prometa. U praksi se ovaj problem svodi na probleme kod traenja greki putemICMP-a (Internet Control Message Protocol), kod koritenja SNMP-a (Simple NetworkManagement Protocol), te kod udaljenog pristupa telnetom preko Interneta. U ovim


3/4

sluajevima se usmjeriva moe adresirati jedino preko globalno jedinstvenog LAN suelja ilidefiniranog logikog (Loopback) suelja.

Mijeanje privatnih i globalno jedinstvenih adresa moe stvoriti diskontinuirane podmree.To su podmree iz iste glavne mree razdvojene drugom glavnom mreom ili podmreom.

NAT (definiran u RFC 1631) je proces zamjene jedne adrese drugom u zaglavlju IP paketa.U praksi se NAT koristi da bi raunala s privatnim adresama mogla pristupiti Internetu.Najmonija znaajka NAT-a je koritenje translacije portova PAT (port addresstranslation), koji omoguava koritenje jedne globalne adrese za mnogo unutarnjih adresa.Ovo se ponekad zove i many-to-one NAT. Adresno pretereivanje (PAT) omoguavastotinama privatno adresiranih raunala pristup Internetu koritenjem jedne jedine javneadrese. NAT usmjeriva prati razliite konverzacije mapiranjem TCP i UDP brojeva portova.PAT moe puno uiniti za smanjenje utroka adresa, ali su mu mogunosti ograniene.Teoretski maksimum je preko 65000 unutarnjih adresa na jednu vanjsku, meutim stvarnibroj translacija je puno manji i na Cisco usmjerivaima se u praksi kree do 4000 privatnihna jednu javnu adresu.

Postupanje, prednosti i nedostaci privatnog adresiranjaPrivatni adresni prostor moe se koristiti po volji i bez konzultacija s IANA-om, to znai dae mnoge nepovezane tvrtke koristiti isti adresni prostor. Privatne IP adrese su jedinstvenesamo unutar tvrtke ili grupe tvrtki koje imaju zajedniku privatnu mreu. Tvrtke kojima jena zahtjev dodijeljen adresni prostor nikada nee biti dodijeljen raspon adresa izrezerviranog privatnog raspona.

Potrebno je razabrati raunala koja ne trebaju konekcije prema van u blioj budunosti idodijeliti im privatne adrese. Oni mogu komunicirati sa svim unutarnjim raunalima bilo daovi imaju privatne ili javne adrese, a prema van eventualno preko pristupnika. Sva ostalaraunala su raunala s javnim adresama. Javna raunala se ne mogu spajati na privatnaraunala drugih tvrtki. Promjenom statusa raunala (javno/privatno) potrebno je mijenjati iDNS zapise. Usmjerivake informacije za privatne adrese ne smiju se prosljeivati navanjske linkove. Internet davatelji usluga trebali bi voditi brigu da sprijee takvo curenje.Ako usmjeriva i primi takvu informaciju, odbacivanje ne bi trebalo tretirati kao grekuusmjerivakog protokola.

Prednosti koritenja privatnih adresa su prvenstveno tednja javnih adresa, fleksibilnimreni dizajn i skalabilnost. Tvrtke takoer imaju dobrobiti koritenjem privatnih adresa,posebno u mogunosti fleksibilnog mrenog dizajna jer im na raspolaganju stoji mnogo vieadresa nego to mogu dobiti iz globalnog prostora. Time je osigurano administrativno ioperativno bolja adresna shema i bolja skalabilnost za laki rast.

Nikako nije preporuljivo za privatne mree, nespojene na Internet, koristiti javne adresekoje im nisu slubeno dodijeljene umjesto privatnih koje su rezervirane za tu upotrebu, jerih vjerojatno netko ve koristi, a u sluaju naknadnog spajanja na Internet potencijalni

problemi su vrlo veliki (greke u usmjeravanju). Davatelji usluga bi trebali imati prevencijuprotiv ovakvih situacija u obliku filtriranja ruta, ali to nije uvijek sluaj. Zato kao siguranizbor uvijek treba koristiti rezervirani privatni IP adresni prostor.

Nedostaci koritenja privatnih adresa su ponajprije manja fleksibilnost kod spajanja naInternet, odnosno potreba preadresiranja svih (ili dijela) raunala kod naknadnog spajanja.Tu je zatim potreba preadresiranja kod spajanja tvrtki s istim privatnim adresnim prostorom(iako se to moe rijeiti kombinacijom NAT-a i DNS-a, uz zadravanje preklapajuih IP


4/4

adresa). Troak preadresiranja je puno manji ako se koristi centralizirana dodjela adresaDHCP-om.

Dizajniranje privatne i privatno-javne raunalne mreeJedna od moguih strategija je prvo dizajnirati privatni dio mree i koristiti privatni adresniprostor za sve interne linkove. Tada treba planirati ostale javne podmree na lokacijama

gdje treba i dizajnirati vanjsku povezanost mree.

Ovaj dizajn ne prejudicira nepromjenjivost. Ako grupa hostova treba promjenu statusa (izprivatnih u javne i obrnuto), kasnije se samo prenumeriraju ti hostovi i, ako treba,promijeni fizika konekcija. Ako se ovakve promjene mogu predvidjeti (npr. raunalnahala), najbolje je unaprijed konfigurirati odvojene fizike medije za privatne i javnepodmree. Da bi izbjegli velike mrene prekide najbolje je grupirati hostove sa slinimpotrebama za povezanost u vlastite podmree.

Ako je mogue, preporuuje se koritenje 24-bitnog bloka (A klasa) privatnih adresa i izradadobrog plana rasta. Ako je subnetiranje problem moe se koristiti 16-bitni blok (C klasa) ili20-bitni blok (B klasa) privatnih adresa.

Nikako se ne preporua mijeanje javnih i privatnih adresa na istom fizikom mediju (iakomogue), ne zbog privatnih adresa, nego zbog prisutnosti viestrukih subneta nazajednikoj Data Link podmrei (to ne preporua niti Cisco Systems, Inc.).

Strogo se preporua da usmjerivai koji spajaju tvrtku na vanjske mree imajuodgovarajue paketne i routing filtere na obje strane linka da bi se sprijeilo curenje paketai usmjerivakih informacija. Takoer bi trebalo filtrirati sve privatne mree iz dolaznihvanjskih usmjerivakih informacija da bi se zatitila vlastita mrea od situacija u kojima ruteprema privatnim mreama pokazuju prema mreama izvan tvrtke.

Mogue je da dvije privatne lokacije meusobno komuniciraju preko javne mreekoritenjem neke vrste enkapsulacije.

Da bi se izbjegao rizik nejedinstvenosti adresa kod spajanja dva privatna adresna prostorapreporuuje se izabrati raspon adresa sluajnim izborom iz rezerviranog adresnog prostora(ne krenuti od poetka bloka).

Ako tvrtka koristi privatne adrese ili mjeavinu javnih i privatnih adresa, DNS klijenti izvantvrtke ne smiju vidjeti te privatne adrese. Zato je potrebno imati dva servera za svaku DNSzonu koja ima javne i privatne adrese. Jedan server e biti vidljiv samo iz javnog adresnogprostora i sadravat e samo dio adresa koje se mogu dohvatiti koritenjem javnih adresa.Drugi server e biti vidljiv samo iz privatnog adresnog prostora, a sadravat e potpunepodatke, ukljuujui privatne adrese i sve javne adrese koje se mogu dohvatiti sa privatnemree. Da bi se osigurala konzistencija, oba servera bi trebala biti konfigurirana istimpodacima, od ega javna zona ima samo filtriranu verziju. Naravno, ovo zahtijeva dodatnu

kompleksnost kod konfiguriranja.Koritenjem privatnih IP adresa velikim tvrtkama trebaju relativno mali blokovi javnihadresa ime se produuje trajanje preostalih javnih IPv4 adresa. Tvrtke time dobivajupoveanu fleksibilnost adresiranja zbog velikog privatnog adresnog prostora, iako je tafleksibilnost umanjena u sluaju preadresiranja dijela ili itave mree zbog potrebe zavanjskom povezanoi.

Documents

Privatni IP Adresni Prostor