IPv4 başlığı, parçalama, NAT ve IPv6

Bir önceki sayfada adresleri hesapladık. Şimdi o adresleri taşıyan paketin, yani datagramın içine bakıyoruz. Ağ katmanının veri düzlemi (data plane) dediği iş tam burası: başlık okunur, TTL azaltılır, gerekirse parçalanır, iletilir. Sınavda üç tip soru gelir: başlık alanı sorusu, parçalama hesabı ve IPv6 farkları. Altın kurallar:

1. Seçeneksiz IPv4 başlığı 20 bayttır.
2. Offset 8 bayt birimiyle yazılır. Parça verisi 8’in katı olmak zorunda (son parça hariç).
3. Parçaları sadece hedef host birleştirir. Ara router’lar birleştirmez.
4. NAT kaynak adresi ve portu değiştirir, eşlemeyi tabloda tutar.
5. IPv6 başlığı sabit 40 bayttır, router’lar parçalamaz.

IPv4 datagram başlığı

Bir TCP segmenti IPv4 üzerinde taşınıyorsa en az 20 bayt IP + 20 bayt TCP başlığı vardır, yani yük başına 40 bayt ek yük (overhead).

TUZAK · TTL saniye değil. Adı “time to live” olsa da pratikte bir hop sayacıdır. TTL = 5 olan paketi 5. router atar.

ICMP (Internet Control Message Protocol) bu katmanın hata ve kontrol mesajlarını taşır: echo request/reply (ping), destination unreachable, time exceeded. ICMP mesajları IP datagramının içinde taşınır (protocol = 1).

Parçalama (fragmentation)

Her bağlantının taşıyabileceği en büyük çerçeve yükü farklıdır: MTU (Maximum Transmission Unit). Ethernet için 1500 bayt. Büyük bir datagram küçük MTU’lu bir bağlantıya gelirse IPv4 router’ı onu parçalara böler. Her parça kendi IP başlığını taşır; aynı Identification değeri, kendi offset’i ve MF bayrağıyla.

Hesap şablonu:

$\text{parça verisi}_{\max} = \left\lfloor \frac{\text{MTU} - 20}{8} \right\rfloor \times 8 \qquad \text{offset} = \frac{\text{verideki bayt konumu}}{8}$

Örnek: 5200 baytlık datagram (20 bayt başlık), MTU = 1420.

veri            = 5200 - 20 = 5180 bayt
parça başı veri = (1420 - 20) = 1400 → 1400/8 = 175, tam 8'in katı

parça  veri   toplam uzunluk  offset            MF
1      1400   1420            0                 1
2      1400   1420            1400/8 = 175      1
3      1400   1420            2800/8 = 350      1
4       980   1000            4200/8 = 525      0
kontrol: 1400*3 + 980 = 5180

MTU - 20 sekizin katı değilse aşağı yuvarla. Örneğin MTU 1000 ise 980 değil 976 bayt veri koyabilirsin, çünkü bir sonraki parçanın offset’i 8’e bölünebilmeli.

TUZAK · başlığı iki kez saymak ya da hiç saymamak. Parçalanan şey veridir. Önce orijinal başlığı çıkar, veriyi böl, sonra her parçaya yeniden 20 bayt ekle. Parçaların toplam uzunluğu orijinalden büyüktür (ekstra başlıklar yüzünden).

Geriye doğru soru da çıkar: son parçanın offset’i ve uzunluğu verilir, orijinal boyu sorulur. Formül: $\text{offset} \times 8 + (\text{son parça uzunluğu} - 20) + 20$.

son parça: offset = 250, toplam uzunluk = 620, MF = 0
verinin başı   250 * 8 = 2000. bayt
son parça veri 620 - 20 = 600 bayt
orijinal veri  2000 + 600 = 2600 bayt
orijinal boy   2600 + 20 = 2620 bayt

Bu sorularda MF = 0 bilgisi kritik: sadece son parça orijinalin sonunu gösterir. MF = 1 olan bir parçadan orijinal boy bulunamaz.

DF bayrağı 1 ise router parçalayamaz; datagramı atar ve ICMP “fragmentation needed” yollar. Bir parça kaybolursa hedef bütün datagramı çöpe atar. Parçalama bu yüzden pahalıdır ve güvenlik açısından da sorunludur: üst üste binen parçalarla yapılan saldırılar (overlapping fragment attacks) güvenlik duvarlarını atlatmaya çalışır.

NAT (Network Address Translation)

IPv4 adresleri tükendi. Ev ağındaki onlarca cihaz İnternete tek bir genel adresle çıkar. Ev router’ı NAT yapar: giden her paketin kaynak IP’sini kendi genel adresiyle, kaynak portunu da kendi seçtiği bir portla değiştirir, eşlemeyi NAT çeviri tablosuna yazar.

Özel ağ: 192.168.1.0/24     NAT router genel adresi: 203.0.113.9

GİDEN   192.168.1.20:41000 → 198.51.100.80:443
NAT     kaynak değişir → 203.0.113.9:6012 → 198.51.100.80:443
tablo   203.0.113.9:6012  ↔  192.168.1.20:41000

DÖNEN   198.51.100.80:443 → 203.0.113.9:6012
NAT     tabloya bak     → 198.51.100.80:443 → 192.168.1.20:41000

Port alanı 16 bit olduğu için tek genel adres teoride 65536 eşzamanlı eşlemeye kadar destekler.

NAT’ın eleştirileri: router’ların port numarasıyla oynaması katman ilkesine aykırıdır; dışarıdan içeri bağlantı başlatmak zorlaşır (P2P, sunucu barındırma), bunun için port forwarding ya da NAT traversal gerekir. Güvenlik tarafında NAT bir güvenlik duvarı değildir, ama istenmeyen içeri bağlantıları dolaylı olarak engeller.

IPv6

32 bitlik IPv4 uzayı ($2^{32} \approx 4.3$ milyar) yetmedi. IPv6 adresi 128 bittir, $2^{128}$ adres. Tek bir /64 alt ağında bile $2^{64} = 18446744073709551616$ adres var.

Yazım kuralları. Sekiz tane 16 bitlik grup, onaltılık, iki nokta ile ayrılır. Her gruptaki baştaki sıfırlar atılır. Arka arkaya sıfır grupları bir kez :: ile kısaltılır.

2001:0db8:0000:0000:0000:ff00:0042:8329  →  2001:db8::ff00:42:8329
fe80:0000:0000:0000:0204:61ff:fe9d:f156  →  fe80::204:61ff:fe9d:f156
2001:0db8:0000:0001:0000:0000:0000:0001  →  2001:db8:0:1::1
0000:0000:0000:0000:0000:0000:0000:0001  →  ::1   (loopback)

Üçüncü örnekte iki sıfır bölgesi var: tek grup (0) ve üç grup. :: daha uzun olana verilir, tek sıfır 0 diye yazılır.

IPv4’ten IPv6’ya geçiş. Bütün router’lar bir gecede değiştirilemez. İki yöntem:

• Dual stack: cihaz hem IPv4 hem IPv6 konuşur.
• Tunneling: IPv6 datagramı, IPv4 datagramının veri kısmına konur ve araya giren IPv4-only router’lardan geçirilir. Tünelin öbür ucundaki router onu çıkarıp IPv6 olarak devam ettirir (IPv4 protocol alanı 41).

İPUCU · neden checksum kaldırıldı? TCP/UDP ve Ethernet zaten hata kontrolü yapıyor. Her hopta yeniden hesaplanan bir alanı atmak router’ı hızlandırır. Aynı mantıkla parçalama da kaynağa bırakıldı.

Güvenlik notu: IP başlığına güvenme

IP başlığındaki hiçbir alan doğrulanmaz. Kaynak adresi gönderen kendisi yazar; sahte kaynak adresli paket göndermeye IP spoofing denir. Bu, 10. haftadaki DDoS yansıtma (reflection) saldırılarının temelidir. Parçalama da kötüye kullanılabilir: çakışan offset’li parçalar ya da hiç tamamlanmayan parça dizileri, hedefin yeniden birleştirme (reassembly) tamponunu doldurabilir veya bir güvenlik duvarının denetimini atlatabilir. Bu yüzden ISP’ler kendi ağlarından çıkan sahte kaynaklı paketleri filtreler (ingress filtering), güvenlik duvarları da parçaları denetlemeden önce birleştirir. Kimlik ve bütünlük gerekiyorsa üst katmanda kriptografi (IPsec, TLS) kullanılır.

Sık yapılan hatalar