HACETTEPE ÜNİVERSİTESİ BİLGİSAYAR MÜHENDİSLİĞİ BÖLÜMÜ BİLGİSAYAR AĞLARI LABORATUVARI DENEY 8. Ağ Adresi Dönüştürme (NAT-Network Address Translation)

Transkript

1 HACETTEPE ÜNİVERSİTESİ BİLGİSAYAR MÜHENDİSLİĞİ BÖLÜMÜ BİLGİSAYAR AĞLARI LABORATUVARI DENEY 8 Ağ Adresi Dönüştürme (NAT-Network Address Translation) Bu deneyde, Laboratuvar görünümü, Çizim 8.1 de gösterilen biçimde olacaktır. Deneyde kullanılan yönlendiricilerin herbirinin üzerinde, 2 adet ardıl ve 2 adet de Ethernet bağlantı kapısı bulunmaktadır. Ardıl bağlantı kapıları serial0/0/0- serial0/0/1, Ethernet bağlantı kapıları ise (FastEthernet) FA0/0-FA0/1 biçiminde numaralanmaktadır. Numaralardan ilki, arabirimin takıldığı yuvayı, ikincisi arabirimi, sonuncu ise arabirim üzerinde yer alan kapı numarasını göstermektedir. Serial0/0/1 numaralı kapı, 0 ıncı yuvaya takılı 0 ıncı ardıl arabirimin 1 inci bağlantı kapısı anlamına gelmektedir. FA0/0 ise 0 ıncı arabirimin 0 ıncı kapısı anlamınadır. Çizim 8.1 deki görünüm, yönlendiricilerin, ardıl bağlantı kapıları üzerinden halka biçiminde bağlandığı bir görünümdür. Her yönlendiriciye bir anahtar üzerinden 2 öğrenci bilgisayarı (B i1, B i2 ) bağlıdır. Anahtar ve 2 bilgisayar sisteminden oluşan yerel ağlar, yönlenidiriciler aracılığıyla, geniş ağ biçiminde bütünleşmektedir. Bağlantıların kapı numaraları ile ağ adresleri Çizelge 8.1 ve Çizim 8.1 üstünde verilmiştir. Çizelge 8.1. Deney Ağı Bağlantı Tanımları Kaynak Birim Kaynak Kapı # Ağ Adresi Yönlendirici 1 Serial0/0/0 Bağlı değil Yönlendirici 1 Serial0/0/ Yönlendirici 10 Serial0/0/ Yönlendirici 10 Serial0/0/1 Bağlı değil Yönlendirici i (2 i 9) Serial0/0/ (i-1).2 Yönlendirici i (2 i 9) Serial0/0/ i.1 Yönlendirici i (2 i 9) FA0/ i.1 B i1 (1 i 10) ethernet i.2 B i2 (1 i 10) ethernet i.3 Prof.Dr. Ali SAATÇİ (Mart 2010) 1

2 Serial0/0/0 Çizim 8.1. Deneysel Ağın Görünümü Prof.Dr. Ali SAATÇİ (Mart 2010) 2

3 ÖN BİLGİ Bir kurum ağı içinde yer alan sistemlerin IP numaraları (adresleri), eğer kurum ağı Internet e bağlı değilse, Internet te yer alan bilgisayarların IP adreslerinden bağımsız olarak, istenen biçimde özgürce belirlenebilir. Bu biçimde verilen adreslere kayıtsız (unregistered) IP adresleri denir. Ancak kurum ağları, gerektiğinde Internet e de bağlanabilmelidir. Bu durumda, kurum ağında yer alan her IP adresinin, Internet içinde biricik olma zorunluluğu bulunur ve kurum içinde IP adreslerini özgürce belirleme olanağı ortadan kalkar. IP adreslernin, Internet içinde biricik olma zorunluluğu, bunların merkezi bir otoriteden alınmasını gerektirir. Merkezi otorite tarafından sağlanan biricik nitelikli IP adresleri kayıtlı (registered) adresler olarak anılır. Merkezi otorite, kayıtlı adresleri (ya da adres öbeğini) belirli bir bedel karşılığı sağlar. Bu nedenle kurumdaki her bilgisayara kayıtlı bir adres verme pahalı bir çözüm olabilir. Internet e bağlı olsa bile kurum ağı içindeki bilgisayarlara özgürce adres verebilme esnekliğinden yararlanmak ve kurum bilgisayarlarını, Internet ortamında az sayıda kayıtlı adres ile temsil edebilmek amacıyla Ağ Adresi Dönüştürme (Network Address Translation-NAT) yöntemi (yazılımı) kullanılır. Bu yöntem, güvenliğe katkı veren bir yöntem olarak da ortaya çıkar; zira kurum dışından, kurum içi bilgisayarların kayıtlı IP adresleri bilinemez. Adres dönüştürme yazılımı, kurumu Internet e bağlayan yönlendirici üzerinde çalışır. Kurum içi sistemler, gönderecekleri paketlerde, kaynak adres olarak, kurumca belirlenmiş kayıtsız IP adresleri kullanırlar. Bu paketler çıkış yönlendiricisine geldiğinde, kaynak adres, adres dönüştürme yazılımınca, kullanılan yöntemin türüne göre değişikliğe uğrar: Durgun Adres Dönüştürme (Static NAT) Durgun Adres Dönüştürme (Static NAT) yönteminde, giden paketteki kayıtsız kaynak adres, kurumun elindeki kayıtlı bir IP adresi ile değiştirilir. Kayıtsız her IP adresi için, birebir, kayıtlı bir adres bulunur. Gelen paketlerde de, ters yönde değişiklik gerçekleştirilir. Devingen Adres Dönüştürme (Dynamic NAT) Devingen Adres Dönüştürme (Dynamic NAT) yönteminde, giden paketteki kayıtsız kaynak adres, kurumun elindeki kayıtlı IP adres kümesinden, o an kullanılmayan bir tane ile değiştirilir. Yönlendirici, oturum tabanlı olarak, hangi kayıtsız IP adresine karşı, hangi kayıtlı adresi kullandığı bilgisini, bu amaçla yarattığı başvuru Prof.Dr. Ali SAATÇİ (Mart 2010) 3

4 çizelgesinde (Lookup Table) tutar. Gelen paketlerdeki sözkonusu kayıtlı adresi hedef adres olarak gördüğünde de, bu adresi ilgili kayıtsız adresle değiştirerek kurum ağına yönlendirir. Çizim 8.2. Devingen Adres Dönüştürme Aynı kayıtlı adres, başka bir oturumda, farklı bir kayıtsız adrese karşı kullanılır. Bu yolla, kurumun tüm kayıtsız adreslerini, Internet ortamında, kısıtlı sayıda kayıtlı adres ile temsil etme olanağı bulunur (Çizim 8.2). Devingen adres dönüştürmede hangi kayıtsız adresin hangi kayıtlı adrese dönüştüğü kullanıcılar tarafından bilinemez. Çizim 8.3. Overloading Adres Dönüştürme Overloading Devingen adres dönüştürme yönteminin overloading olarak bilinen bir türevi de bulunur. Bu yöntemle, kurum ağında üretilen paketler Internet e yönlendirilirken kayıtsız adreslerin tümü tek bir kayıtlı adrese (yönlendiricinin IP adresine) Prof.Dr. Ali SAATÇİ (Mart 2010) 4

5 dönüştürülür. Ancak bilgisayarlar arası ayrımı gözetebilmek ve gelen paketlerin hangi sisteme yönelik olduğunu belirleyebilmek amacıyla, paketin taşıdığı TCP/UDP datagramlarındaki kapı (port) numaralarına başvurulur. Bu bağlamda, her kayıtsız adres için, oturum tabanlı olarak, bir kapı numarası belirlenir. Giden paketteki (paket başlığındaki) kaynak IP adresi, yönlendiricinin IP adresiyle, TCP/UDP datagram başlığındaki kaynak kapı numarası da belirlenen bu numara ile değiştirilir. Bu kapı numarası, ilgili olduğu kayıtsız adresle birlikte bir çizelgede saklanır (Çizim 8.3). Gelen paket, içerdiği datagram başlığında yer alan hedef kapı numarasına göre, hedef adres alt kesimi ile hedef kapı numarası, çizelgeden elde edilen kayıtsız adres ve orijinal kapı numarası ile günlenerek kurum ağına yönlendirilir. Durgun Overloading Overloading yönteminin durgun adres dönüştürme bağlamında kullanılan, Durgun Overloading diye bilinen bir türevi de vardır. Burada, kapı numaraları devingen olarak belirlenmek yerine, durgun ve oturumdan oturuma değişmez bir biçimde belirlenir. Prof.Dr. Ali SAATÇİ (Mart 2010) 5

6 DENEY ÇALIŞMALARI Bir yönlendirici eğer adres dönüştürmeyi destekliyorsa (adres dönüştürme yazılımına sahipse) öncelikle adres dönüştürmenin uygulanacağı bağlantı kapılarının belirlenmesi ve iç (inside) ya da dış (outside) olarak tanımlanması gerekir. Bunun için alt yapılandırma modunda iken ip nat [inside outside] komutu kullanılır. Örnek: router_1(config)# interface fastethernet 0/0 router_1(config-if)# ip nat inside router_1(config-if)# exit router_1(config)# interface serial0/0/0 router_1(config-if)# ip nat outside router_1(config-if)# exit router_1(config)# Bu durumda fastethernet0/0 bağlantısı ile serial 0/0/0 bağlantısı arasında gelen/giden paketlere adres dönüştürme uygulanacağı anlaşılır. Durgun Adres Dönüştürme Yönlendiricinin herhangi bir bağlantı kapısında (örneğin fastethernet 0/0 için) durgun adres dönüştürme kullanılmak istenirse: router_1(config)# interface fastethernet 0/0 router_1(config-if)# ip nat inside source static <kayıtsız> <kayıtlı> komutları kullanılır. Bu son komut işletildikten sonra, kaynak IP adresi olarak kayıtsız bir adres taşıyan bir paket, Internet e, kaynak adresi kayıtlı adrese çevrilerek gönderilir. Aynı biçimde, Internet ten kayıtlı IP adresine gelen bir paket, hedef adresi kayıtsız adres ile değiştirilerek ethernet bağlantısına (kurum ağına) yönlendirilir. Kendi grubunuza ait bilgisayarların i.1,2 olan kayıtsız adreslerini, durgun adres dönüştürme yöntemiyle, C sınıfı kayıtlı i.1,2 adres değerleri ile eşleştirecek yapılandırma işlemlerini gerçekleştirin. Daha sonra başka gruplara ait yönlendiricilere telnet ile bağlanıp show users komutunu kullanarak dökümlerde, adres dönüştürme ile ilgili gözlemlenenleri irdeleyip yorumlayın. Durgun adres dönüştürme yönteminin tercih edilme nedenlerini araştırın. Prof.Dr. Ali SAATÇİ (Mart 2010) 6

7 Devingen Adres Dönüştürme Devingen adres dönüştürmeyi kullanabilmek için, öncelikle, kayıtsız adreslere karşılık kullanılacak kayıtlı adres kümesi ni yönlendiriciye tanıtmak gerekmektedir. Bu, alt yapılandırma modunda: ip nat pool <küme adı> <başlangıç> <bitiş> netmask <maske> komutu ile gerçekleştirilmektedir. Bu aşamadan sonra, tanımlanan kayıtlı adreslerin, dönüştürmede, hangi kayıtsız adresler için kullanılacağının belirlenmesi gerekmektedir. Bu: access-list <liste no> permit <ağ ya da altağ adresi> <ACL maskesi> komutu ile gerçekleştirilmektedir. Bu iki ön aşamadan sonra: ip nat inside source list <liste no> pool <küme adı> komutu ile, yönlendiricinin ilgili arabirimi için dönüştürme işlemleri başlatılır. Kendi grubunuza ait bilgisayarların i.1,2 olan kayıtsız adreslerini, devingen adres dönüştürme yöntemiyle, C sınıfı, kayıtlı i.1-2 adres kümesi ile eşleştirecek yapılandırma işlemlerini gerçekleştirin. Daha sonra başka gruplara ait yönlendiricilere telnet ile bağlanıp show users komutunu kullanarak dökümlerde, adres dönüştürme ile ilgili gözlemlenenleri irdeleyip yorumlayın. Ayrıca show ip nat translation komutunu kullanarak NAT biriminin ne tür veriler tuttuğunu inceleyin. Devingen adres dönüştürme yönteminin tercih edilme nedenlerini araştırın. Overloading Adres Dönüştürme Bu yöntemi kullanmak için, sırasıyla: ip nat pool <küme adı> <başlangıç IP> <bitiş IP> netmask <maske> access-list <liste no> permit <ağ ya da alt ağ adresi> <ACL maske> ip nat inside source list <liste no> pool <küme adı> overload komutları kullanılır. Kendi grubunuza ait bilgisayarların i.1,2 gibi olan kayıtsız adresilerini, overloading adres dönüştürme yöntemiyle, yönlendiricinizin IP adresi ile eşleştirecek yapılandırma işlemlerini gerçekleştirin. Daha sonra başka gruplara ait yönlendiricilere telnet ile bağlanıp show users komutunu kullanarak dökümlerde, adres dönüştürme ile ilgili gözlemlenenleri irdeleyip yorumlayın. Prof.Dr. Ali SAATÇİ (Mart 2010) 7

8 Ayrıca show ip nat translation komutunu kullanarak NAT modülünün, bu bağlamda ne tür veriler tuttuğunu inceleyin. Overloading adres dönüştürme yönteminin tercih edilme nedenlerini araştırın. Durgun Adres Dönüştürmede Uygulama Kapı Numaralarının Kullanımı Overloading yönteminde kullanılan kapı numaralarının, durgun adres dönüştürme bağlamında da kullanılabileceği daha önce belirtilmişti (Durgun overloading). Bu amaçla, TCP için: ip nat inside source static tcp <kayıtsız IP> <kayıtsız kapı no> <kayıtlı IP> <kayıtlı kapı no> komutu kullanılır. Grubunuzun i.2 adresli bilgisayarında, (HTTP, FTP, SSH, TELNET gibi) bir sunucu program çalıştırın. Yönlendiriciniz üzerinde, durgun overloading adres dönüştürme yöntemiyle, sözkonusu bilgisayarın kayıtsız IP adresi ve (HTTP, FTP, SSH, TELNET) sunucu kapı numarası ile yönlendiricinizin IP adresi ve kullanılmayan bir kapı numarasını eşleştirecek yapılandırma işlemlerini gerçekleştirin. Tüm gruplar anılan işlemleri tamamladıktan sonra, yönlendiricilerin IP adreslerini ve belirlenen yeni kapı numaralarını kullanarak sunuculara erişmeye çalışın. Sonuçları yorumlayın. Deney boyunca yaptığınız tüm işlem, gözlem ve yorumlara raporunuzda yer verin. Kaynaklar Prof.Dr. Ali SAATÇİ (Mart 2010) 8