Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 1. GRUNDLAGEN: INTERNET-PROTOKOLLE
bereitgestellt, beispielsweise durch Angabe der Netzmaske durch den Administrator eines Hosts. Eine
Netzmaske ist ein Feld von 32 Bit, das einer IP-Adresse zugeordnet wird. Die Bits, die in der
Netzmaske auf 1 gesetzt sind, geben an, daß die Bits an der gleichen Stelle in der IP-Adresse zum
Netzanteil gehören. Die auf 0 gesetzten Bits geben an, daß diese Bits der IP-Adresse zum Hostanteil
gehören. Der Bereich der auf 1 gesetzten Bits muß zusammenhängend sein. Notwendig wurde diese
Vorgehensweise durch die Verknappung des insgesamt zur Verfügung stehenden Adreßraums, speziell
bei Adressen mit kurzem (8 oder 16 Bit) Netzanteil.
Um auch innerhalb eines zugewiesenen Adreßbereichs die Administration des Gesamtnetzes in einzelne
Teilnetze untergliedern zu können, beispielsweise innerhalb eines größeren Unternehmens, kann
der Netzanteil einer IP-Adresse verlängert werden, um so innerhalb eines zugewiesenen Bereichs Subnetze
bilden zu können. Diese Subnetze werden i.d.R. 1 : 1 auf Schicht-2 Netzwerke abgebildet. Dies
führt in der Praxis dazu, daß häufig Schicht-2 Netze mit IP-Subnetzen identifiziert werden, obwohl es
sich um verschiedene Konzepte handelt.
1.3.3 Wegewahl
Liegt der Empfänger innerhalb des gleichen Subnetzes wie der Absender, kann das IP-Paket direkt
über das entsprechende Protokoll der Sicherungsschicht an den Empfänger ausgeliefert werden. Anderenfalls
muß das IP-Paket über Zwischenstationen an den Empfänger weitergeleitet werden.
Die Auswahl der geeigneten nächsten Zwischenstation („Next-Hop“) wird als Wegewahl bezeichnet.
Dazu hat jeder Host eine sog. Wegewahl (Routing)-Tabelle, aus der zu entnehmen ist, ob die betreffende
IP-Adresse direkt erreichbar ist, oder an welche Zwischenstation das IP-Paket zu senden ist
oder ob die IP-Adresse nicht erreichbar ist. Alle Next-Hops müssen selbst direkt über angeschlossene
Schicht-2 Netze erreichbar sein.
Um die Größe der Routingtabelle zu beschränken, wird nicht jede IP-Adresse einzeln eingetragen,
sondern nur Teilnetze mit ihrem Präfix. Zusätzlich kann eine sog. „Default Route“ eingetragen werden,
die für alle nicht explizit eingetragenen Teilnetze und Adressen gilt. Eine einzelne IP-Adresse
kann hierbei als ein Sonderfall eines Teilnetzes mit einem 32-Bit langen Präfix (eine sog. Host-Route)
betrachtet werden. Treffen auf eine Empfängeradresse mehrere Präfixe zu, so wird der längste übereinstimmende
Präfix genommen, da man davon ausgeht, daß dieser den genauesten Weg zum Ziel beschreibt.
Trifft keine Route zu, wird das Paket verworfen und der Absender benachrichtigt (vgl. 1.3.5).
Die Routing-Tabelle kann entweder statisch durch den Administrator des Hosts eingetragen werden
oder auch automatisch über sog. Routing-Protokolle gebildet werden. Eine Betrachtung der einzelnen
Routing-Protokolle würde den Rahmen dieses Artikels sprengen, hier sei auf [Comer 1995] verwiesen.
Gebräuchliche Routing-Protokolle sind beispielsweise Routing Information Protocol (RIP), Open
Shortest Path First (OSPF) oder Border Gateway Protocol (BGP). Zum Transport ihrer Informationen
können Routing-Protokolle sowohl auf Transportprotokolle (z.B. RIP: UDP, BGP: TCP), als auch
direkt auf IP aufsetzen (z.B. OSPF). Die Routinginformation wird aus Sicht von IP dann wie ein weiteres
Schicht-4-Protokoll (mit entsprechendem Eintrag im Protokollfeld, z.B. für OSPF die Nr. 89)
transportiert.
Die Entscheidung, an welche Zwischenstation ein Datenpaket weitergeleitet wird, erfolgt ausschließlich
lokal im Rechner oder Router, der das IP-Paket gerade bearbeitet. Weder Absender noch Empfänger
haben einen Einfluß auf den Weg des Datenpaketes (eine Ausnahme ist die Source-Routing
Option, siehe Abschnitt 1.3.1). Die Entscheidung wird für jedes eintreffende Paket neu getroffen,
6 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen