فصل 10. زیرساخت شبکه

لینوکس از میراث شبکه یونیکس پشتیبانی می‌کند و دبیان مجموعه کاملی از ابزارها را برای ایجاد و مدیریت آن فراهم می‌آورد. این فصل به بررسی این ابزار می‌پردازد.

10.1. Gateway

یک gateway رایانه‌ای است که چندین شبکه را به یکدیگر متصل می‌کند. این عبارت اغلب به “نقطه خروجی” یک شبکه محلی به تمام نشانی‌های IP ضروری حارجی اشاره دارد. gateway به هر کدام از شبکه‌هایی که پیوند می‌دهد، متصل است و به عنوان یک مسیریاب کار تبدیل بسته‌های IP را بر عهده دارد.

بازگشت به مقدمات TCP/UDP

بسیاری برنامه‌ها خود به مدیریت بسته‌ها نمی‌پردازند، با اینکه داده انتقالی آن‌‌ها از طریق IP منتقل می‌شود؛ آن‌ها اغلب از TCP یا Transmission Control Protocol استفاده می‌کنند. TCP لایه‌ای بر فراز IP است که امکان برقراری ارتباط برای جریان داده‌ای بین دو نقطه را برقرار می‌کند. برنامه‌ها تنها یک نقطه ورودی برای ارسال داده‌ها می‌دانند که ضمانت از بین نرفتن داده را دارد و به همان ترتیب که فرستاده می‌شود در نقطه خروجی نیز دریافت می‌گردد. با اینکه انواع گوناگونی از خطا در لایه‌های پایینی ممکن است اتفاق بیفتد، توسط TCP جبران می‌شوند: بسته‌های گم شده دوباره ارسال می‌گردند و بسته‌هایی که خارج از ترتیب دریافت می‌شوند (برای نمونه، اگر از مسیرهای مختلف استفاده کرده باشند) به صورت مناسبی شماره‌گذاری مجدد می‌شوند.

پروتکل دیگری که به IP وابسته است UDP یا User Datagram Protocol نام دارد. بر خلاف TCP، مبتنی بر بسته و اهداف این پروتکل متفاوت است: هدف UDP تنها انتقال یک بسته از یک برنامه به دیگری است. پروتکل نه تنها جبران بسته‌های گم شده در مسیر را نمی‌کند بلکه در رابطه با ترتیب ارسال و دریافت آن‌ها نیز کاری انجام نمی‌دهد. مزیت اصلی آن در این است که تاخیر به میزان کمی وجود دارد، از آنجا که گم شدن یک بسته منجر به تاخیر در کل فرآیند ارسال مجدد آن نمی‌گردد.

TCP و UDP هر دو شامل درگاه هستند، که در حقیقت “شماره‌های اضافی” برای برقراری ارتباط با یک برنامه روی یک رایانه هستند. این مفهوم امکان برقراری چند ارتباط هم‌زمان با یک مخاطب را فراهم می‌سازد، از آنجا که این ارتباطات از طریق شماره درگاه قابل شناسایی هستند.

Some of these port numbers — standardized by the IANA (Internet Assigned Numbers Authority) — are “well-known” for being associated with network services. For instance, TCP port 25 is generally used by the email server. The list of services associated with port numbers can be found in the /etc/services file, also explained in services(5), as well as in:

→ https://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xhtml

زمانی که یک شبکه محلی از یک بازه نشانی خصوصی (که به اینترنت مسیریابی نمی‌شوند) استفاده می‌کند، gateway نیاز به پیاده‌سازی address masquerading دارد تا رایانه‌های داخل شبکه بتوانند با دنیای خارج ارتباط برقرار کنند. عملیات ماسک‌گذاری نوعی پروکسی در شبکه به حساب می‌آیند: هر ارتباط خارجی از یک رایانه داخلی توسط نشانی gateway جایگزین می‌شود (چرا که gateway خود یک نشانی خارجی و قابل‌مسیریابی دارد)، داده‌ای که از طریق ارتباط ماسک‌گذاری شده عبور می‌کند نیز به این ارتباط ارسال می‌شود و داده‌ی بازگشتی نیز به ترتیب عکس به رایانه داخلی فرستاده می‌شود. gateway از بازه درگاه‌های اختصاصی TCP به این منظور استفاده می‌کند، معمولا با اعداد خیلی بالا (بیش از ۶۰۰۰۰). هر ارتباطی ارسالی از رایانه‌های داخلی به مانند یک ارتباط حارجی با استفاده از این درگاه‌های رزرو شده نمایش می‌یابد.

فرهنگ بازه خصوصی نشانی

RFC 1918 سه بازه اختصاصی برای نشانی‌های IPv4 تعریف می‌کند که در اینترنت قابل مسیریابی نیستند اما می‌توانند در شبکه‌های محلی استفاده شوند. اولی، 10.0.0.0/8 (نوارکناری بازگشت به مقدمات مفاهیم ضروری شبکه (Ethernet, IP address, subnet, broadcast) را مشاهده کنید) یک بازه کلاش A است (با ۲^۲۴ نشانی IP). دومی، 172.16.0.0/12 شامل ۱۶ بازه کلاس B است (172.16.0.0/16 تا 172.31.0.0/16) که هر یک شامل ۲^۱۶ نشانی IP هستند. سومی، 192.168.0.0/16 یک بازه کلاس B است (که ۲۵۶ بازه کلاس C از 192.168.0.0/24 تا 192.168.255.0/24 را گروه‌بندی می‌کند که هر کدام شامل ۲۵۶ نشانی IP هستند).

→ http://www.faqs.org/rfcs/rfc1918.html

gateway می‌تواند دو نوع NAT یا Network Address Translation اجرا کند. نوع اول، DNAT یا Destination NAT تکنیکی برای تغییر نشانی IP (و/یا درگاه TCP یا UDP) مقصد برای یک ارتباط ورودی است. مکانیزم رهگیری ارتباط نیز بسته‌های موجود را برای تضمین تداوم ارتباط تغییر می‌دهد. نوع دوم، SNAT یا Source NAT است که ماسک‌گذاری یک حالت ویژه آن به حساب می‌آید؛ SNAT تکنیکی برای تغییر نشانی IP (و/یا درگاه TCP یا UDP) مبدا برای یک ارتباط خروجی است. همانند DNAT، تمام بسته‌های موجود از طریق مکانیزم رهگیری ارتباط تغییر داده می‌شوند. نکته اینکه NAT تنها برای نشانی‌های IPv4 و فضای محدود نشانی‌دهی آن کاربرد دارد؛ در IPv6، بازه بسیار گسترده نشانی‌دهی کاربرد NAT را از بین می‌برد چرا که هر نشانی “داخلی” امکان مسیریابی روی اینترنت را دارد (این به معنای در دسترس بودن رایانه‌های داخلی نیست، چرا که فایروال‌های میانی می‌توانند ترافیک را فیلتر کنند).

بازگشت به مقدمات ارسال درگاه

یکی از کاربردهای DNAT ارسال درگاه است. ارتباطات ورودی به یک درگاه مشخص از یک رایانه به یک درگاه در رایانه دیگری ارسال می‌شوند. راهکارهای دیگری نیز برای دستیابی به این هدف وجود دارد، مانند، به خصوص در سطح برنامه‌ای با ssh یا ssh (قسمت قسمت 9.2.1.4, “ایجاد تونل‌های رمزگذاری شده با پورت فورواردینگ” را مشاهده کنید).

مباحث نظری کافی است، بیایید دست بکار شویم. تبیدل یک سیستم دبیان به یک gateway به سادگی فعال‌کردن چند گزینه در کرنل است که از طریق فایل‌سیستم مجازی /proc/ صورت می‌گیرند.

# echo 1 > /proc/sys/net/ipv4/conf/default/forwarding

This option can also be automatically enabled on boot if /etc/sysctl.conf or a configuration file in /etc/sysctl.d/ sets the net.ipv4.conf.default.forwarding option to 1.

مثال 10.1. فایل /etc/sysctl.conf

net.ipv4.conf.default.forwarding = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.tcp_syncookies = 1

این مجموعه عملیات را برای IPv6 نیز می‌توان انجام داد، تنها کافی است ipv4 را با ipv4 جایگزین کنیم یا خط net.ipv6.conf.all.forwarding را در فایل /etc/sysctl.conf قرار دهیم.

فعال‌سازی ماسک‌گذاری IPv4 عملیات کمی پیچیده‌تری است چرا که باید فایروال netfilter را پیکربندی کرد.

به طور مشابه، استفاده از NAT برای IPv4 نیازمند پیکربندی netfilter است. از آنجا که هدف اصلی این قسمت فیلترکردن بسته‌ها است، جزئیات آن در فصل 14: “امنیت” آمده است (قسمت قسمت 14.2, “فایروال یا فیلترینگ بسته” را مشاهده کنید).