Training for students

1. 1
Internet Governance
Як нам облаштувати Інтернет?
Управління Інтернет
Форум з управління Інтернетом
Internet Governance Forum - IGF

2. 2
Три рівня цифрового управління (за схемою ICANN)
Жодна людина, уряд, організація не керує цифровою інфраструктурою, економікою або суспільством. Цифрове
управління досягається за допомогою співпраці з експертами багатьох зацікавлених сторін, що діють через
поліцентричні спільноти, установи, платформи, що діють на національному, регіональному та міжнародному рівнях

3. 3
Логічний рівень цифрового управління (за схемою ICANN)
Мета - забезпечення управління єдиного Інтернет за рахунок унікальних ідентифікаторів (адрес, доменних імен,
номерів). ICANN координує управління цим рівнем у партнерстві з іншими професійними і технічними спільнотами,
наприклад, ITU, GSMA, 3GPP, для забезпечення безпеки, стабільності, відмовостійкості і цілісності при роботі
процедур цього критично важливого рівня.
ТЕХНІЧНІ ОПЕРАЦІЇ
Технічне спільнота складається з декількох незалежних субʼєктів,
обʼєднаних спільними принципами і взаємними зобовʼязаннями, які
забезпечують безпеку і стабільність інфраструктури інтернету. Спільнота
кожного з цих субʼєктів виробляє політики і стандарти з використанням
відкритого, всебічного і заснованого на консенсусі підходу.
СПІЛЬНОТА ЗАЦІКАВЛЕНИХ СТОРІН
Наукове співтовариство
Вищі навчальні заклади
Лідери академічної думки
Викладачі та студенти
Неурядові організації
Некомерційні організації
Дослідницькі центри
Бізнес
Приватні компанії з різних галузей
Промислові і торговельні асоціації
Громадянське суспільство
Міжнародні організації
Уряд
Національні уряди
Окремі економіки, визнані на міжнародній арені
Міжнародні урядові та договірні організації
Міжурядові організації
Державні органи
(З безпосереднім інтересом в міжнародному управлінні інтернетом)
Користувачі інтернету
Окремі громадяни, зацікавлені в регіональному або міжнародному
управлінні інтернетом
Технічне спільнота
Інтернет-інженери
Компʼютерні інженери
Розробники програмного забезпечення
Мережеві оператори
DNS IPv4/v6

4. 4
Internet Governance. Domain Industry Example.
Government
bodies
ITU

5. 5
Internet Ecosystem. Naming and Addressing
LIR
Small IR
Subscriber
User
Користувач
RIRs
(RIPE NCC)
ICANN
ccTLDs
Registry
Реєстр
National
Registry
Національний
Реєстр
Registrar
Реєстратор
Registrant
Реєстрант
IANA
PTI
gTLDs
DNS
IPv4/IPv6

6. 6
Модель Internet Governance

7. 7
Архітектура системи довіри на доменному ринку України
ОП УМІЦ
Admi Role
ТОВ
«Хостмайстер»
Admi + Techical
Operator Roles
ТОВ «ТЦІ»
Techical Role
Державний
орган
ICANN
RIR (RIPE NCC,
ARIN тощо)
Реєстратори
Локальні
реєстри .UA
Реєстри
gTLD/ccTLD
Оператори,
провайдери
Адвокати
Судді
Центр
компетенції
УЦПНА
Хостинги
Реєстратори
Реестры
gTLD/ccTLD
Реєстранти
Holders Domai ames
Реєстранти Holders
Domai ames
Користувачі
Хостери

8. 8
Архітектура системи багатосторонньої довіри. Ідеальна схема
Реєстр
ccTLD
ICANN
Держорган
RIR (RIPE NCC,
ARIN тощо)
Реєстратори
Адвокати
СУД
Центр
компетенції
Хостинги
Реєстри
gTLD/ccTLD
Реєстранти
Користувачі
Хостери
Оператори,
провайдери

9. 9
Центр Компетенції. Виникнення поняття TRUST.
Internet
Governance
Управління
доменними
іменами (DNS)
Управління
адресами (IP)
Управління
Інтернет-
сервісами (web,
email, msg и т.д.)
Побудова системи
довіри (trust)
Admin
Центр
Компетенції
Tech MSH
Trust?
?
Центр Компетенції обʼєднує функціональність адміністрування та управління як адміністративними, організаційними і
юридичними аспектами ринку, так і технічними і технологічними, а також вирішувати завдання формування трастового
середовища для всіх сторін, що залучені і беруть участь в процесах прийняття рішень.

10. 10
Запитання для самоконтролю:
1) Які цілі переслідує управління Інтернет?
2) Опишіть мету та принципи Internet Governance.
3) Які рівні цифрового управління Internet ви можете вказати?
4) Назвіть ключових субʼєктів керування Інтернетом.
5) Які мети логічного рівня цифрового управління Internet?
6) Які обʼєкти управління розглядаються на інфраструктурному рівні?
7) Який принцип є основою реалізації політик Internet Governance?
8) Опишіть поняття «траст» у Internet Governance?
9) Які цілі для розвитку та підтримки роботи Інтернет виконує ICANN?
10) Які цілі для розвитку підтримки роботи Інтернет виконує ISOC?
11) Опишіть принципи організації екосистеми Інтернету.
12) Що таке multistakeholderism і хто може бути учасником?

11. 11
Запитання для самоконтролю:
13) Опишіть систему керування доменними іменами в Інтернеті.
14) Опишіть систему керування адресним простором в Інтернеті.
15) Які функції має виконувати Центр компетенції в процесах управління
Інтернет?
16) Опишіть архітектуру системи багатосторонньої довіри.
17) Назвіть акторів ринку доменних імен.
18) Назвіть акторів ринку IP-адрес.

12. 12
Доменні імена та IP-адреси

13. court fss zona lada centr
court.gov.ua centr.kh.ua
vikna
vikna.ua
суд
суд.укр
gov net org kiev kh
kiev.ua
org.ua
net.ua
gov.ua kh.ua
com net wine ua сс arpa
укр
.com .ua
.укр
pl
13
Що таке доменні імена?
. ICANN/
IANA
gTLD ccTLD
Регистрант
Регистрант
Реестр/
Регистр
Регистратор

14. 14
Ключові характеристики DNS
DNS (англ. Domain Name System) - система доменних імен, здатна за запитом, що містить доменне імʼя
хоста (компʼютера або іншого мережного пристрою), повідомити IP адресу або (залежно від запиту) іншу
інформацію. DNS може зберігати та обробляти і зворотні запити, визначення імені хоста за його IP адресою:
IP адреса за певним правилом перетворюється на доменне імʼя, і надсилається запит на інформацію типу
"PTR".
DNS має такі характеристики:
 Розподіл зберігання інформації. Кожен вузол мережі в обовʼязковому порядку повинен зберігати ті
дані, які входять до його зони відповідальності і (можливо) адреси кореневих DNS-серверів.
 Кешування інформації. Вузол може зберігати деяку кількість даних не зі своєї зони відповідальності
зменшення навантаження на мережу.
 Ієрархічна структура, в якій всі вузли обʼєднані в дерево, і кожен вузол може або самостійно
визначати роботу вузлів нижчестоящих, або делегувати (передавати) їх іншим вузлам.
 Резервування. За зберігання та обслуговування своїх вузлів (зон) відповідають (зазвичай) кілька
серверів, розділені як фізично, так і логічно, що забезпечує збереження даних та продовження
роботи навіть у разі збою одного з вузлів.

15. 15
Система доменних імен – DNS. Поняття.
Домен верхнього рівня – логічний вузол у дереві імен. Право адмініструвати зону може бути
передано третім особам, рахунок чого забезпечується розподіленість бази даних.
Доменне імʼя — це унікальна назва, що ідентифікує домен та складається з символьного
позначення, що використовується в адресному просторі мережі Інтернет, виділеної будь-якій
юридичної, або физичної особі, або для інших цілей. Структура доменного імені відбиває
порядок проходження домену в ієрархічному вигляді.
Піддомен - імʼя підлеглого доменного імені. Такий поділ може досягати глибини 127 рівнів, а
кожна мітка може містити до 63 символів, доки загальна довжина разом з точками не досягне
254 символів.
DNS-сервер — спеціалізоване програмне забезпечення для обслуговування DNS. DNS-сервер
може бути авторитативним (репрезентативним) за деякі зони та/або може перенаправляти
запити вищим серверам.
DNS-клієнт – спеціалізована для роботи з DNS. У ряді випадків DNS-сервер виступає у ролі
DNS-клієнта.

16. 16
Система доменних імен – DNS. Поняття.
DNS-запит — запит від клієнта (або сервера) до сервера. Запит може бути рекурсивним чи
нерекурсивним. Нерекурсивний запит або повертає дані про зону, яка знаходиться в зоні
відповідальності DNS-сервера (який отримав запит) або повертає адреси кореневих серверів.
У разі рекурсивного запиту сервер опитує сервера (у порядку зменшення рівня зон в імені),
поки не знайде відповідь.
Авторитативність (Репрезентативність) – ознака розміщення зони на DNS-сервері. Відповіді
DNS-сервера можуть бути двох типів: авторитативні (репрезентативні) (сервер сам відповідає
за зону) та не авторитативні (нерепрезентативні), коли сервер обробляє запит, та повертає
відповідь інших серверів.
Субдомен – додаткове доменне імʼя n-го рівня в основному домені. Може вказувати як
документи кореневого каталогу, і будь-який підкаталог основного сервера.
Ресурсні записи DNS — це записи про відповідність імені та службової інформації в системі
доменних імен, наприклад, відповідність імені домену та IP-адреси. Редагування ресурсних
записів для доменного імені здійснюється на стороні власника NS-серверів (наприклад,
хостинг-провайдера, на NS-сервери якого делеговано доменне імʼя).

17. 17
Ресурсні записи DNS
DNS (система доменних імен) – це “телефонна книга” Інтернету. Як номер телефону в ній
виступає IP-адреса, а як найменування контактів - домени. У таку книгу можна внести не лише
«телефонний номер», а й додаткову інформацію про контакт (е-mail, місце роботи тощо).
Інформація про домен зберігається на серверах DNS. Щоб внести їх у систему DNS, потрібно
прописати ресурсні записи. За допомогою їх сервери діляться відомостями про домени з
іншими серверами. Поки не прописані ресурсні записи для домену, його немає у «телефонній
книзі» Інтернету. Отже, робота сайту чи пошти на ньому неможлива. Перш ніж братися до
вказівки ресурсних записів, потрібно зареэструвати та делегувати домен, тобто прописати
йому DNS-серверы.
Типи найбільш вживаних ресурсних записів:
Запис A (address) — один із ключових ресурсних записів Інтернету. Вона потрібна для звʼязку
домену з IP-адресою сервера. Поки не прописано А-запис, ваш сайт не працюватиме. Коли ви
вводите назву сайту в адресний рядок браузера, саме за записом DNS визначає, з якого
сервера потрібно відкривати ваш сайт.
MX-запис - запис, який відповідає за сервер, через який буде працювати пошта. Записи MX є
критично важливими для роботи пошти. Завдяки їм сторона, що відправляє, «розуміє», на який
сервер потрібно відправляти пошту для вашого домену.

18. 18
Ресурсні записи DNS
CNAME (Canonical name) — запис, який відповідає за привʼязку піддоменів (наприклад,
www.site.ua) до канонічного імені домену (site.ua) або іншого домену. Основна функція CNAME
– дублювання ресурсних записів домену (A, MX, TXT) для різних піддоменів.
Якщо ви пропишете CNAME для піддомену www.site.ua та вкажете значення site.ua, сайт
відкриватиметься з тієї ж IP-адреси, що й site.ua. Якщо ви пропишете CNAME для mail.site.ru та
вкажете значення webmail.hosting.registrar.ua, то на mail.site.ua будуть розповсюджуватись ті ж
ресурсні записи, що для webmail.hosting.registrar.ua.
TXT (Text string) — запис, який містить будь-яку текстову інформацію про домен. Записи TXT
використовуються для різних цілей: підтвердження права власності на домен, забезпечення
безпеки електронної пошти, а також підтвердження сертифіката SSL.
NS-запис (Authoritative name server) вказує на DNS-сервери, які відповідають збереження
інших ресурсних записів домену. Кількість NS записів повинна суворо відповідати кількості всіх
серверів, що його обслуговують. Критично важливою для роботи служби DNS.
PTR — зворотний запис DNS, який звʼязує IP-адресу сервера з його канонічним імʼям
(доменом). PTR-запис використовується для фільтрації пошти. Для всіх серверів віртуального
хостингу REG.RU зворотні записи DNS прописуються автоматично.
SOA (Start of Authority) - початковий запис зони, яка вказує на якому сервері зберігається
еталонна інформація про доменне імʼя. Критично важливою для роботи служби DNS.

19. 19
Як відбувається реєстрація доменного імені?
Регистрант
Регистратор
Реестр/
Регистр
1.2
4.1
Реселер
Дані про особу
Реєстранта
ccTLD/gTLD
.ua open/hidden open/hidden
.укр open open/hidden
.cc hidden hidden
.com open/hidden open/hidden
.eu
open
(exactly ad
strictly)
open/hidden
Запис до Реєстру про
доменне імʼя
Персональні дані

20. 20
Що таке IP-адреси?
ICANN
IANA
RIPE NCC
ARIN
APNIC
LACNIC
AfriNIC
Діапазони IP
зовнішніх /
публічних адрес,
що розподілені по
регіонах світу
LIR
ISP
Діапазони IP зовнішніх /
публічних адрес, що
розподілені по
операторам в регіоні
Користувачі
IP зовнішні / публічні
+
IP внутрішні / «сірі»
Всесвітній
план IP

21. 21
4. Управління доменними іменами

22. 22
Як відбувається управління доменним імʼям?
Регистрант Регистратор
1
4
Обліковий запис
IP-адреса, що зіставляється
певного сервісу, повʼязаного з
доменним імʼям
IP-адреса, що зіставляється web-
сервісу, повʼязаного з доменним
імʼям

23. 23
Навіщо потрібні доменні імена?
Запит клієнта
(браузер):
який IP-адреса у
ресурсу
formula.org?
Неавторитативний DNS-
сервер Інтернет-
провайдера
DNS
root-сервери
DNS-сервер
зони .org
Авторитативний
DNS-сервер для
formula.org
WEB-сервер
з сайтом formula.org
за IP-адресою:
69.172.201.153
1: IP для formula.org?
2 3
6
7: IP=69.172.201.153
8: IP=69.172.201.153
9
1
0
a) How does a DNS server work?

24. 24
Іноді може статися несподіване …
Запит клієнта
(браузер):
який IP-адреса у
ресурсу
formula.org?
Неавторитативний
DNS-сервер Інтернет-
провайдера
(DNS-cache)
DNS-сервери
хостинг-
провайдера
WEB-сервер
з фейковим сайтом
formula.org
з IP-адресою:
212.187.255.8
1: IP для formula.org?
4: IP=212.187.255.8
2: IP=212.187.255.8
3 4
Хакер, для якого
метою є DNS-cache
DNS
спуфинг

25. 25
Неможливість встановлення належного відповідача.
Хостинг.
C:WindowsSystem32>tracert 185.104.45.60
Трасування маршруту до web398.default-host.net [185.104.45.60]
з максимальним числом стрибків 30:
1 <1 ms <1 ms <1 ms 192.168.1.1
2 1 ms <1 ms 1 ms 46.164.143.169
3 <1 ms 1 ms <1 ms 13-249-179-213.ip.ukrtel.net [213.179.249.13]
4 * * * Перевищено інтервал очікування для запиту.
5 30 ms 30 ms 30 ms 126-129-132-95.pool.ukrtel.net [95.132.129.126]
6 1 ms 1 ms 1 ms core-gw.delta-x.ua [195.64.185.2]
7 1 ms 1 ms 1 ms web398.default-host.net [185.104.45.60]
Трасування завершено.
RIPE Database Query: 185.104.45.60
role: Inhosted LP administrative contacts
address: Suite 2, 5 St.Vincent str UK EH3 6SW Edinburgh
e-mail: contact@inhosted.com
nic-hdl: IN2015-RIPE
mnt-by: ED0118-MNT
created: 2015-06-19T10:46:36Z
last-modified: 2015-08-03T16:33:29Z
source: RIPE
abuse-mailbox: contact@inhosted.com
RIPE Database Query: 195.64.185.2
organisation: ORG-LA230-RIPE
org-type: OTHER
address: Ukriane, Kyiv
address: PO Box 65, 03065
e-mail: abuse@delta-x.ua
admin-c: DX2008-RIPE
mnt-ref: DELTAXUA-MNT
mnt-by: DELTAXUA-MNT
abuse-c: DX2008-RIPE
created: 2009-07-03T12:49:58Z
last-modified: 2017-07-26T13:58:27Z
C:WindowsSystem32>tracert 185.104.45.60
Трасування маршруту до web398.default-host.net [185.104.45.60]
з максимальним числом стрибків 30:
1 <1 ms <1 ms <1ms 192.168.1.1
2 1 ms <1 ms 1 ms 46.164.143.169
3 <1 ms 1 ms <1 ms 13-249-179-213.ip.ukrtel.net [213.179.249.13]
4 * * * Перевищено інтервал очікування для запиту.
5 30 ms 30 ms 30 ms 126-129-132-95.pool.ukrtel.net [95.132.129.126]
6 1 ms 1 ms 1 ms core-gw.delta-x.ua [195.64.185.2]
7
1 ms ???
195.64.185.2
185.104.45.60
2302 км

26. 26
Блокування.
Запит клієнта
(браузер):
який IP-адреса у
ресурсу
formula.org?
DNS-cache
Інтернет-провайдера
Реєстр заборонених сайтів
1. URL + IP
• HTTP
• HTTPS: як домен
2. Домен + IP
• HTTP
• HTTPS: SNI / IP / DNS
3. Домен за маскою + IP
4. Одиничний IP або блок-IP
WEB-сервер
з сайтом formula.org
за IP-адресою:
69.172.201.153
1: IP для formula.org?
2 3
4: IP=69.172.201.153
5 6
Сайт
yandex.ru
за IP-адресою:
77.88.55.60
4: IP=77.88.55.60

27. 27
Блокування. Не працюють…
Запит клієнта
(браузер):
який IP-адреса у
ресурсу
yandex.ru?
DNS-cache
Інтернет-
провайдера
Реєстр заборонених сайтів
1. URL + IP
• HTTP
• HTTPS: як домен
2. Домен + IP
• HTTP
• HTTPS: SNI / IP / DNS
3. Домен за маскою + IP
4. Одиничний IP або блок-IP
Proxy-сервер
3
2
Сайт
yandex.ru
за IP-адресою:
77.88.55.60
4:
IP=77.88.55.60
1:
IP
для
yandex.ru?
DNS-сервер
стороннього
оператора
6
5
Іноді або завжди?
VPN-сервер
Public Resolver
8.8.8.8 7.7.7.7
і багато різних
способів …

28. 28
Протокол DNS і безпека
Найбільш поширені типи атак DNS:
• DoS (Denial of Service)
• Cash poising
• False authoritative servers
• Modifying zone data
• DNS-tunneling
Принцип DNSSEC полягає в тому, що є два асиметричні криптографічні ключі:
• закритим підписуються хости в доменній зоні і він зберігається в недоступному для компрометації місці, запис
проводиться за рахунок механізму хеш-функції
• відкритий ключ доступний усім і його власник може розшифрувати хеш, яким підписано хост, до якого звертається
користувач
DNSSEC використовується для підпису даних про записи доменної зони.
DNSSEC – що це таке і чому ця технологія така важлива? - ICANN
 Умисне спотворення фактів
 Фішинг
 Крадіжка персональних даних
 Незаконне набуття прав на чужу власність
 Махінації з інтернет-гаманцями
 Відмова в обслуговуванні
 Передача довільного паразитного трафіку
 …

29. 29
Запитання для самоконтролю:
19) Опишіть систему керування доменними іменами в Інтернеті.
20) Опишіть систему керування адресним простором в Інтернеті.
21) Які функції має виконувати доменне імʼя?
22) Опишіть процес реєстрації доменних імен.
23) Назвіть акторів процесу реєстрації доменних імен.
24) Опишіть базовий процес резолвінгу доменних імен.

30. 30
IPv4 адреси
IP-адрес - це унікальний числовий ідентифікатор пристрою в компʼютерній мережі, що працює за
протоколами TCP/IP або UDP/IP
У мережі Інтернет потрібна глобальна унікальність адреси; у разі роботи в локальній мережі потрібна
унікальність адреси в межах мережі. Існують дві версії протоколу для IP-адрес :
1) IPv4 адреса має довжину 4 байта і записується у вигляді чотирьох десяткових чисел, розділених крапками
<decimal1>.<decimal2>.<decimal3>.<decimal4>,
кожне з яких може набувати значення від 0 до 255, наприклад,
186.3.12.54
o Максимальна кількість IPv4 обчислюється виходячи з формули 2(4*8).
o Особливості.
 Адреси IP, що використовуються в локальних мережах, відносять до адрес Intranet: 10.0.0.0/8,
172.16.0.0/12, 192.168.0.0/16
 Адреси IP, що використовуються для комунікацій усередині хоста (localhost): 127.0.0.0/8 -
використовується (див. localhost)
 Адреси IP, що використовуються для автоматичного налаштування мережного інтерфейсу у разі
відсутності DHCP: блок з 169.254.1.0 до 169.254.254.255, тобто підмережа 169.254.0.0/16 за
винятком підмереж 169.254.0.0/24 и 169.254.255.0/24
a) What is an IP address?

31. 31
IPv6 адреси
2) IPv6 адреса має довжину 16 байт і записується у вигляді восьми чотиризначних шістнадцяткових чисел
(еквівалентні восьми 16-бітним числам), розділених двокрапками
<hex1>:<hex2>:<hex3>:<hex4>:<hex5>:<hex6>:<hex7>:<hex8>
кожен розряд якого може набувати значення від 0 до F, наприклад,
2001:0db8:85a3:0000:0000:8a2e:0c70:7f34
o Максимальна кількість IPv6 обчислюється виходячи з формули 2(8*16).
o Типи адрес IPv6:
 одноадресні (Unicast), призначені для односпрямованої передачі даних, що має на увазі під собою
передачу пакетів єдиному адресату, коли адреса належить в мережі лише одному єдиному кінцевому
пристрою.
 групові (Anycast), призначені для розсилки пакетів, дозволяють пристрої посилати дані найближчому
з групи одержувачів, при цьому при отриманні анонсу маршрутів з двох і більше точок, буде обраний
найкоротший, який не обовʼязково буде до найближчої географічної точки.
 багатоадресні (Multicast), призначені передачі потокового відео, коли необхідно доставити відео-
контент необмеженому числу абонентів, не перевантажуючи мережу. Це тип передачі даних, що
найчастіше використовується в IPTV мережах, коли одну і ту ж програму дивляться велика кількість
абонентів.
a) IPv6 Addresses Explained

32. 32
Типи IPv6 адрес
Моделі доставки контенту
один к одному один к найближчему одному один к багатьом
один до всіх
Типы IPv6 адресов
U
M
M
M
A
A
A
Anycast адреси - це адреси, які можуть бути більш
ніж одного інтерфейсу, тобто. різним пристроям, і
кілька пристроїв можуть мати ту саму довільну
адресу.
Пакет, надісланий на довільну адресу, направляється
на «найближчий» інтерфейс, що має цю адресу,
відповідно до таблиці маршрутизації маршрутизатора.
Unicast Anycast Multicast Broadcast
Unicast Anycast Multicast
IPv6 Address Types

33. Для зʼєднання мережевих пристроїв (маршрутизатор, комутатор і т.д.) в
Інтернеті використовується набір комунікаційних протоколів.
IP-адреса, маска підмережі та стандартний шлюз є необхідними елементами
конфігурації комунікаційних протоколів.
IP-мережі адресуються та діляться на мережі та підмережі.
IP-адреса - це логічна числова адреса, що присвоюється кожному компʼютеру,
принтеру, маршрутизатору або будь-якому іншому пристрої в IP-мережі,
причому кожна з них має унікальну IP-адресу. IP-адреси налаштовуються або
вручну (статична IP-адреса), або DHCP-сервером. IP-адреса складається з 4
байт даних. Байт складається з 8 біт (біт-це одна цифра, і це може бути тільки
1 або 0), тому у нас є в цілому 32 біти для кожної IP-адреси. Це приклад IP-
адреси у двійковому форматі: 10101100. 00010000. 11111110.00000001. Щоб
спростити справу, десяткове уявлення зазвичай використовується для
створення IP-адреси таким чином: 172. 16. 254. 1
IP-адреси поділяються на публічні та приватні.
Для приватних адрес зарезервовано три блоки IP-адрес:
10.0.0.0 – 10.255.255.255/8 (16777216 хостів)
172.16.0.0 – 172.31.255.255/12 (1048576 хостів)
192.168.0.0 – 192.168.255.255/16 (65536 хостів)
Приватні IP-адреси, також звані внутрішніми, внутрішньомережевими,
локальними або сірими, будь-яка організація має право використовувати на
свій розсуд без будь-якої реєстрації у будь-якої організації.
33
Мережі і IP-адреси

34. Підсітка та маска підмережі
Щоб працювати в Інтернет потрібна публічна IP-адреса, яка «маскуватиме» 1
або кілька приватних IP-адрес.Таким чином, вся приватна мережа може
підключатися до Інтернету через одну публічну IP-адресу (або пул адрес),
надану провайдером. В результаті ресурс глобальних адрес витрачається
набагато економніше.
Підсіти-це процес поділу більшої мережі на дрібніші підмережі. Ми завжди
резервуємо IP-адресу для ідентифікації підмережі та ще одну для
ідентифікації широкомовної адреси всередині підмережі. Підмережі
розбивають великі мережі на дрібні частини, що є більш ефективним та
дозволить зберегти велику кількість адрес. Тому менші мережі створювали
меншу широкомовну передачу, яка генерувала менший широкомовний
трафік. Крім того, підсіть також спрощує усунення несправностей, ізолюючи
мережеві проблеми аж до їхнього конкретного існування.
Маска підмережі – це 32- або 128-розрядне число, яке сегментує існуючу IP-
адресу в мережі TCP/IP. Він використовується протоколом TCP/IP для
визначення того, чи знаходиться хост у локальній підмережі або у віддаленій
мережі. Маска підмережі ділить IP-адресу на мережеву адресу та адресу
хоста, таким чином, щоб визначити, яка частина IP-адреси зарезервована
для мережі та яка частина доступна для використання хостом. Після того, як
задана IP-адреса та її маска підмережі, можна визначити мережну адресу
(підмережа) хоста. Зазвичай калькулятори підмереж легко доступні в
інтернеті, які допомагають розділити IP-мережу на підмережі..
34
Мережі і IP-адреси
CIDR
Остання IP-адреса в
підмережі
Маска підмережі
Кількість адрес в
підмережі
Кількість хостів в
підмережі
Клас підмережі
a.b.c.d/32 0.0.0.0 255.255.255.255 1 1* 1/256 C
a.b.c.d/31 0.0.0.1 255.255.255.254 2 2* 1/128 C
a.b.c.d/30 0.0.0.3 255.255.255.252 4 2 1/64 C
a.b.c.d/29 0.0.0.7 255.255.255.248 8 6 1/32 C
a.b.c.d/28 0.0.0.15 255.255.255.240 16 14 1/16 C
a.b.c.d/27 0.0.0.31 255.255.255.224 32 30 1/8 C
a.b.c.d/26 0.0.0.63 255.255.255.192 64 62 1/4 C
a.b.c.d/25 0.0.0.127 255.255.255.128 128 126 1/2 C
a.b.c.0/24 0.0.0.255 255.255.255.000 256 254 1 C
a.b.c.0/23 0.0.1.255 255.255.254.000 512 510 2 C
a.b.c.0/22 0.0.3.255 255.255.252.000 1024 1022 4 C
a.b.c.0/21 0.0.7.255 255.255.248.000 2048 2046 8 C
a.b.c.0/20 0.0.15.255 255.255.240.000 4096 4094 16 C
a.b.c.0/19 0.0.31.255 255.255.224.000 8192 8190 32 C
a.b.c.0/18 0.0.63.255 255.255.192.000 16 384 16 382 64 C
a.b.c.0/17 0.0.127.255 255.255.128.000 32 768 32 766 128 C
a.b.0.0/16 0.0.255.255 255.255.000.000 65 536 65 534 256 C = 1 B
a.b.0.0/15 0.1.255.255 255.254.000.000 131 072 131 070 2 B
a.b.0.0/14 0.3.255.255 255.252.000.000 262 144 262 142 4 B
a.b.0.0/13 0.7.255.255 255.248.000.000 524 288 524 286 8 B
a.b.0.0/12 0.15.255.255 255.240.000.000 1 048 576 1 048 574 16 B
a.b.0.0/11 0.31.255.255 255.224.000.000 2 097 152 2 097 150 32 B
a.b.0.0/10 0.63.255.255 255.192.000.000 4 194 304 4 194 302 64 B
a.b.0.0/9 0.127.255.255 255.128.000.000 8 388 608 8 388 606 128 B
a.0.0.0/8 0.255.255.255 255.000.000.000 16 777 216 16 777 214 256 B = 1 A
a.0.0.0/7 1.255.255.255 254.000.000.000 33 554 432 33 554 430 2 A
a.0.0.0/6 3.255.255.255 252.000.000.000 67 108 864 67 108 862 4 A
a.0.0.0/5 7.255.255.255 248.000.000.000 134 217 728 134 217 726 8 A
a.0.0.0/4 15.255.255.255 240.000.000.000 268 435 456 268 435 454 16 A
a.0.0.0/3 31.255.255.255 224.000.000.000 536 870 912 536 870 910 32 A
a.0.0.0/2 63.255.255.255 192.000.000.000 1 073 741 824 1 073 741 822 64 A
a.0.0.0/1 127.255.255.255 128.000.000.000 2 147 483 648 2 147 483 646 128 A
0.0.0.0/0 255.255.255.255 000.000.000.000 4 294 967 296 4 294 967 294 256 A

35. У конфігурації IP-мережі ми не можемо визначити, чи використовується частина IP-адреси як мережна або хост-адреса, якщо не
отримаємо додаткову інформацію з таблиці масок підмережі. Якщо приклад маски підмережі дорівнює 255.255.255.0, а оскільки
255 у двійковій системі числення дорівнює 11111111, то маска підмережі дорівнює:
11111111.11111111.11111111.0000000.
Вибудовуючи IP-адресу та маску підмережі разом, мережна та хост-частини адреси можуть бути розділені:
11000000.10101000.01111011.10000100 - IP-адреса (192.168.123.132)
11111111.11111111.11111111.00000000 - Маска підмережі (255.255.255.0)
Перші 24 біти ідентифікуються як мережна адреса, а останні 8 біт (що залишилися нулі в масці підмережі) ідентифікуються як
адреса хоста. Це дає вам таке:
11000000.10101000.01111011.00000000 - Мережева адреса (192.168.123.0)
00000000.00000000.00000000.10000100 - Адреса хоста (000.000.000.132)
З використанням маски підмережі 255.255.255.0 мережна адреса дорівнює 192.168.123.0, а адреса хоста дорівнює 0.0.0.132. Коли
пакет надходить до мережі 192.168.123.0 і має адресу призначення 192.168.123.132, ваш компʼютер отримує його з мережі та
обробляє.
35
Мережі і IP-адреси

36. Швидке рішення для усунення нестачі адрес IPv4 при отриманні.…
A. Переваг:
1) NAT зберігає зареєстровану схему адресації, дозволяючи приватизацію мереж Інтранет. Внутрішні хости можуть спільно
використовувати одну загальнодоступну IPv4-адресу для всіх зовнішніх комунікацій. В цьому випадку потрібно мало зовнішніх
адрес для підтримки багатьох внутрішніх хостів;
2) NAT підвищує гнучкість зʼєднань із загальнодоступною мережею;
3) NAT забезпечує узгодженість для внутрішніх схем адресації мережі. Це означає, що організація-клієнт може змінювати
провайдерів, і їй не потрібно змінювати конфігурацію своєї внутрішньої мережі;
4) NAT забезпечує безпеку мережі. Інтранет мережі не анонсують назовні свої адреси або внутрішню топологію, вони
залишаються достатньо надійними при використанні у поєднанні з NAT для отримання зовнішнього доступу, що контролюється.
Важливо – NAT не замінює фаєрволи (брандмауери).
B. Недоліків:
1) NAT збільшує затримки перемикання, тому що переклад кожної IPv4 адреси в заголовках пакетів вимагає часу. Тому
продуктивність мережі падає, що може зашкодити працездатності протоколів реального часу;
2) Втрата наскрізної адресації, яку вимагають деякі інтернет-протоколи та додатки, які використовують фізичні адреси, а не Fully
Qualified Domain Name (певне імʼя домену);
3) Втрата наскрізного трасування пакетів, які зазнають численних змін адрес пакетів протягом декількох NAT-переходів, що
ускладнює пошук та усунення неполадок;
4) Використання NAT ускладнює використання протоколів тунелювання, такі як IPsec, оскільки NAT змінює значення в заголовках,
які заважають перевіркам цілісності, що виконуються IPsec та іншими протоколами тунелювання;
5) Служби, що вимагають ініціювання TCP-зʼєднань із зовнішньої мережі, або stateless протоколи, наприклад, що використовують
UDP, можуть бути порушені. Якщо маршрутизатор NAT не налаштований для підтримки таких протоколів, вхідні пакети не
можуть досягти свого адресата.
How does NAT work?
36
Network Address Translation (NAT)

37. 37
Network Address Translation (NAT)
Внутрішня адреса (Inside Local address) - адреса пристрою, який транслюється NAT;
Зовнішня адреса (Outside Local address) - адреса пристрою призначення;
Локальна адреса (Inside Global address) - це будь-яка адреса, яка відображається у внутрішній частині мережі;
Глобальна адреса (Outside Global address) - це будь-яка адреса, яка відображається в зовнішній частині мережі;
a) Types of NAT

38. 38
Запитання для самоконтролю:
25) Опишіть найбільш поширені типи атак DNS.
26) Опишіть принцип роботи DNSSEC.
27) Опишіть властивості IPv4 адрес.
28) Опишіть властивості IPv6 адрес.
29) Наведіть основні відмінності між системами адресації IPv4 та IPv6.
30) Наведіть та опишіть моделі доставки контенту.
31) Навіщо необхідно застосування технології NAT?
32) Опишіть принципи роботи NAT.
33) Що таке модель OSI? Навіщо вона необхідна?
34) Опишіть властивості протоколів TCP і UDP.

39. Мережева модель OSI (The Open Systems
Interconnection model) — мережева модель стеку
(магазину) мережевих протоколів OSI/ISO. За
допомогою цієї моделі різні мережні пристрої можуть
взаємодіяти один з одним. Модель визначає різні рівні
взаємодії систем. Кожен рівень виконує певні функції
за такої взаємодії.
a) What is OSI Model?
b) Network Protocols
c) TCP/UDP and their place in the OSI
39
Модель OSI та навіщо вона потрібна?
S
E
N
D
I
N
G
R
E
C
E
I
V
I
N
G
TRANSFERING

40. 40
Протоколи TCP і UDP
Транспортний рівень мережевої моделі OSI призначений для доставки даних. При цьому не має значення, які дані
передаються, звідки й куди. Блоки даних поділяються на фрагменти, розміри яких залежить від використовуваного
протоколу. Протоколи цього рівня призначені взаємодії типу точка-точка.
Існує безліч класів протоколів транспортного рівня, починаючи від протоколів, що надають лише основні транспортні
функції, наприклад, функції передачі даних без підтвердження прийому, і закінчуючи протоколами, які гарантують
доставку до п ункту призначення декількох пакетів даних у належній послідовності, мультиплексують кілька потоків
даних, забезпечують механізм управління потоками даних та гарантують достовірність прийнятих даних.
Два основні протоколи: TCP (RFC 9293) і UDP (RFC 768) .
Пояснення моделі TCP IP
Протоколи або навіщо потрібна IP адресація?
SMTP Telnet FTP DNS HTTP
UDP TCP
IP
Fiber
Channel
Ethernet IEEE 802.11
Прикладний
рівень
Транспортний
рівень
Мережевий рівень
SMNP Telnet FTP DNS HTTP
UDP TCP
IP
Fiber
Channel
Ethernet IEEE 802.11
Канальний
рівень
Port 161 Port 23 Port 21 Port 53 Port 80
Структура заголовку UDP Структура заголовку TCP

41. 41
Структура IP-пакета.
На мережному рівні моделі TCP/IP або моделі OSI 7 пристрої обмінюються
одиницями даних, які називаються пакетами. Якщо ми говоримо про протокол
IP, то IP-пакетами в 99 випадках зі 100 буде на увазі IP-пакет (у версії IPv4),
який складається з двох великих частин Заголовок (Header)
Зміст (Payload)
IPV4 Packet Structure (detailed header)

42. 42
Протоколи TCP і UDP. Порти.
Мережеві порти (https://iana.org) дають інформацію про програми, які
звертаються до мережних пристроїв. Знаючи програми, які
використовують мережу, та відповідні мережеві порти, можна скласти
точні правила для брандмауера, і налаштувати хости таким чином, щоб
вони пропускали лише корисний трафік.
У протоколах TCP і UDP порт — ідентифікований номером системний
ресурс, що виділяється додатку, що виконується на деякому мережевому
хості, для звʼязку з додатками, що виконуються на інших мережевих
хостах (а також з іншими додатками на цьому ж хості).
Основні правила необхідні розуміння роботи порту:
1) Порт може бути зайнятий лише однією програмою і в цей момент не
може використовуватись іншою.
2) Всі програми для звʼязку між собою за допомогою мережі
використовують порти.
Для кожного з протоколів TCP та UDP стандарт визначає можливість
одночасного виділення на хості до 65536 унікальних портів з номерами
від 0 до 65535. При передачі по мережі номер порту в заголовку пакета
використовується (разом з IP-адресою хоста) для адресації конкретної
програми (і конкретного мережного зʼєднання, що йому належить).
443: HTTP Secure (HTTPS)
21: File Transfer Protocol (FTP)
22: Secure Shell (SSH)
25: Простой протокол передачи почты (SMTP)
53: Система доменных имен (DNS)
80: Протокол передачи гипертекста (HTTP)
110: Post Office Protocol Version 3 (POP3)
123: Протокол сетевого времени (NTP)
143: Internet Message Access Protocol (IMAP)
161: Простой протокол управления сетью (SNMP)1
94: Internet Relay Chat (IRC)
5060: Session Initiation Protocol (SIP)
5061: Session Initiation Protocol (SIP)
Приклади портів:

43. 43
Протоколи TCP і UDP. Порти.
Порт - це умовне число від 0 до 65535, що дозволяють різним програмам, виконуваним одному хості,
отримувати дані незалежно друг від друга (надають так звані мережеві сервіси). Кожна програма обробляє дані,
що надходять на певний порт (іноді говорять, що програма слухає цей номер порту).Зазвичай за деякими
поширеними мережевими протоколами закріплені стандартні номери портів (наприклад, веб-сервери зазвичай
приймають дані протоколу TCP-порт 80), хоча у більшості випадків програма може використовувати будь-який
порт. Порт - це умовне число від 0 до 65535, що дозволяють різним програмам, виконуваним одному хості,
отримувати дані незалежно друг від друга (надають звані мережеві сервіси). Кожна програма обробляє дані, що
надходять на певний порт (іноді говорять, що програма слухає цей номер порту).Зазвичай за деякими
поширеними мережевими протоколами закріплені стандартні номери портів (наприклад, веб-сервери зазвичай
приймають дані протоколу TCP-порт 80), хоча у більшості випадків програма може використовувати будь-який
порт.
TCP- або UDP-пакети завжди містять два поля номера порту: відправника та одержувача.
Тип обслуговуючої програми визначається портом одержувача запитів, що надходять, і цей же номер є портом
відправника відповідей. «Зворотний» порт (порт відправника запитів, він порт одержувача відповідей) при
підключенні по TCP визначається клієнтом довільно (хоча номери менше 1024 і вже зайнятих портів не
призначаються), і користувача інтересу не представляє. Використання зворотних номерів портів UDP залежить
від реалізації.
Номери портів

44. 44
Запитання для самоконтролю:
35) Опишіть принципи архітектури OSI. Рівні, логіку взаємодії.
36) Опишіть функції які виконують мережеві протоколи.
37) Опишіть функції які виконують транспортні протоколи.
38) Яку функцію виконують протоколи прикладного рівня?
39) Опишіть властивості протоколів транспортного рівня TCP та UDP.
40) Опишіть структуру IP-пакету.
41) Навіщо необхідно застосування портів?

45. 45
Протокол BGP
BGP (Border Gateway Protocol) – основной протокол динамической маршрутизации с целью обеспечения межсетевого
взаимодействия в сети Интернет. BGP имеет механизмы, которые позволяют управлять трафиком согласно политик
оператора, которому принадлежит определённая сеть или сети.
RFC 4271, протокол пограничного шлюза версии 4 (BGP-4)
IP IP
IP IP
IP IP
IP IP
IP
Что такое BGP (протокол пограничного шлюза)? Введение

46. 46
Протокол BGP
BGP предназначен для обмена информацией о маршрутизации и доступности между автономными системами (AS) в
Интернете. Передача данных – используется протокол TCP, порт 179
1. Внешняя маршрутизация
2. Построение маршрута не между отдельными сетями,
а между автономными системами.
3. Можно выбирать AS и как их анонсировать
ISP
ISP
ISP
ISP
ISP
AS600
AS100
AS300
AS400
AS500
Граничный
маршрутизатор
•адрес сети или узла назначения, либо указание,
что маршрут является маршрутом по умолчанию
•маска сети назначения (для IPv4-сетей
маска /32 (255.255.255.255) позволяет указать
единичный узел сети)
•шлюз, обозначающий адрес маршрутизатора в
сети, на который необходимо отправить пакет,
следующий до указанного адреса назначения
•интерфейс, через который доступен шлюз;
интерфейс может быть отличен от шлюза, если
шлюз доступен через дополнительное сетевое
устройство, например, сетевую карту
•метрика — числовой показатель, задающий
предпочтительность маршрута. Чем меньше
число, тем более предпочтителен маршрут
(интуитивно представляется как расстояние).
Network Destination
Как работает BGP ?

47. 47
First steps ARPANET LOGICAL MAP, MARCH, 1977
First packet network
October 29, 1969
UCLA
SRI
LOGIN
LO
IMP
IMP
~ 400 miles
50 Kbps

48. 48
First steps ARPANET LOGICAL MAP, MARCH, 1977
First packet network
October 29, 1969
UCLA
SRI
IMP
IMP
~ 400 miles
50 Kbps

49. 49
Global Internet Map 2012

50. 50

51. 51

52. 52
Global Internet Backbone

53. 53
Опорна мережа Інтернету (англ. Internet backbone) — головні магістралі передачі між величезними,
стратегічно взаємоповʼязаними мережами і основними маршрутизаторами в Інтернеті.
Ці магістралі передачі даних контролюються комерційними, державними, науковими та іншими
високопродуктивними центрами, точками обміну трафіком та точками доступу до мережі, які обмінюються
інтернет-трафіком між країнами та континентами. Інтернет-провайдери (часто Tier-1-оператори) беруть
участь в обміні трафіком опорної мережі Інтернету за допомогою приватно укладених угод про зʼєднання
мереж, головним чином за принципом пірингу.
Магістральна мережа звʼязку – транспортна телекомунікаційна інфраструктура для надання послуг
звʼязку. Як правило, магістральна мережа звʼязку шикується на власних або орендованих волоконно-
оптичних лініях з використанням високошвидкісного або низькошвидкісного канального обладнання
звʼязку.
Internet Backbone
Levels of Internet Infrastructure
What is the Internet backbone?

54. 54
Рівні технічно інфраструктури Інтернет
Опорні інфраструктури
Backbone
Системи обміну трафіком
Internet eXchange Points (IX)
Оператори доступу до мережі Інтернет
Internet Service Providers (ISP)
Розподільчі мережі доступу
Local Loop
Internet Distribution Networks
Користувачі
Users, Customers

55. 55
Рівні технічно інфраструктури Інтернет
Опорні інфраструктури
Backbone
Системи обміну трафіком
Internet eXchange Points (IX)
Оператори доступу до мережі Інтернет
Internet Service Providers (ISP)
Розподільчі мережі доступу
Local Loop
Internet Distribution Networks
Користувачі
Users, Customers

56. 56
Network architecture of different levels on the Internet
ISPs Tier1, Tier2 and Tier3

57. 57
Рівні операторів Інтернет мереж
Tier-1 - оператор, який має доступ до мережі Інтернет виключно через безплатні пірингові зʼєднання;
Tier-2 - оператор, який має доступ до частини мережі Інтернет через пірингові зʼєднання, але купує транзит IP-
трафіку для доступу до решти Інтернету;
Tier-3 - оператор, який для доступу до мережі Інтернет використовує виключно канали, які купує в інших
операторів.
Відносини між різними рівнями інтернет-провайдерів
Мережа рівня 1 — це мережа Інтернет, яка може підключатися до будь-якої іншої Інтернету виключно через
міжзʼєднання без розрахунків. Це називається піринг без розрахунків. Мережі рівня 1 можуть обмінюватися трафіком з
іншими мережами рівня 1 без сплати будь-яких комісій за обмін трафіком у будь-якому напрямку. Мережі рівня 2 і всі
мережі 3 повинні платити за передачу трафіку в інші мережі.
Немає органу, визначального рівні мереж, що у Інтернеті. Найбільш поширене та загальноприйняте визначення мережі
рівня 1 – це мережа, яка може підключатися до будь-якої іншої мережі в Інтернеті без покупки IP-транзиту або оплати
пірингу.
Відповідно до цього визначення, мережа рівня 1 повинна бути мережею без купівлі послуг транзиту, яка безкоштовно
взаємодіє з будь-якою іншою мережею рівня 1 і може підключатися до всіх основних мереж в Інтернеті. Не всі мережі
без транзиту є мережами рівня 1, оскільки можна стати вільним від транзиту, заплативши за піринг, а також можна
обійтися без транзиту без доступу до всіх основних мереж в Інтернеті.
Спільнота пірінгу в Інтернеті — це набір координаторів пірінгу, присутніх у точках обміну даними в Інтернеті більш ніж
на одному континенті.
Загальні визначення мереж рівня 2 та рівня 3:
Мережа рівня 2: Мережа, яка безкоштовно звʼязується з деякими мережами, але при цьому купує IP-транзит або
платить за піринг, щоб отримати доступ до якоїсь частини Інтернету.
Мережа рівня 3: Мережа, яка купує транзит/піринг виключно в інших мережах для участі в Інтернеті.

58. 58
Пиринг
Піринг (peering — сусідство) — угода інтернет-операторів про обмін трафіком між своїми мережами, а також технічну
взаємодію, що реалізує цю угоду: зʼєднання мереж та обмін інформацією про мережеві маршрути за протоколом BGP,
що містить три елементи:
• фізичне зʼєднання мереж;
• технічна взаємодія між мережами, обмін маршрутами;
• комерційні та договірні пірингові угоди.
Піринг передбачає обʼєднання двох мереж для вільного обміну
трафіком один з одним для взаємної вигоди. Ця «взаємна
вигода» найчастіше є мотивацією пірингу, яка часто описується
виключно як «зниження витрат за послуги транзиту». Інші менш
відчутні мотиви можуть включати:
підвищену надмірність (за рахунок зниження залежності від
одного або кількох транзитних провайдерів),
підвищену пропускну здатність для надзвичайно великих обсягів
трафіку (розподіл трафіку по безлічі мереж),
підвищений контроль маршрутизації трафіку,
підвищену продуктивність (спроба обійти потенційні вузькі місця
за допомогою прямого шляху),
покращення сприйняття своєї мережі (можливість претендувати
на «вищий рівень»),
Легкість поводження за невідкладною допомогою (від дружніх
AS).
How Network Peering Works?

59. 59
Internet Exchange Points (IXP)

60. 60
Ukranian Internet Backbone