5. Mobile IP

IP-reititys IP-osoitteen perusteella

koneen osoite riippuu verkosta, jossa kone sijaitsee

kun kone siirtyy toiseen verkkoon tilapäisesti, osoite ei ole enää voimassa

koneelle uusi osoite tässä verkossa?

Tieto uudesta osoitteesta muille?

TCP-yhteys katkeaa!

saumaton siirtyminen tuntumattomasti ei ole mahdollinen

Kaikille koneille verkosta riippumaton osoite?

Reititys koneen osoitteen perusteella!!

Reitittimet välittävät reititystiedon mukana (RIP, BGP?) reitin koneeseen

Skaalautuvuus, tiedon leviämisen hitaus,

Liikkuvien isäntäkoneiden reititys

liikkuva kone (mobile host)

kotiosoite (home address, home location)

kotiagentti (home agent)

tietää, missä omat liikkuvat ovat

kun ilmaantuu vieraalle alueelle, se rekisteröityy

vierasagentti (foreign agent)

hoitaa alueelle tulleet vieraat liikkuvat

Liikkuvien isäntäkoneiden reititys (jatk.)

liikkuvalla koneella on

kotiosoite

pysyvä osoite omassa verkossa,

aina tavoitettavissa tällä osoitteella

vierasosoite (care-of address)

Osoite vierasverkossa; eri verkoissa eri osoite

kotiagentti (home agent)

tietää, missä omat liikkuvat ovat

jos ei liikkuva kone ei ole kotiverkossa, kotiagentti osaa ohjata sille tulevat sanomat liikkuvan uuteen osoitteeseen

kun liikkuva kone ilmaantuu vieraalle alueelle, se rekisteröityy alueen

vierasagentille (foreign agent)

joka hoitaa alueelle tulleet vieraat liikkuvat

antaa niille osoitteen (care of address)

tämän verkon osoite

tarkistaa vieraan tiedot sen kotiagentilta

ilmoittaa kotiagentille koneen uuden osoitteen

näin kotiagentti tietää uuden sijainnin

Uudelle alueelle rekisteröinti

Vieras-agentti

Koti-agentti

Rekisteröinti-pyyntö

Pyynnön välitys

Sallii tai kieltää

vastaus

Vastaus koneelle

Käsittelee pyynnön ja vastauksen

Rekisteröintipyyntö sisältää:

sanoman tyypin (1)

lippuja, mm. haluttu tunnelointitapa

rekisteröinnin keston

koneen kotiosoitteen, kotiagentin osoitteen ja koneen vierasverkon osoitteen

rekisteröintipyynnön tunnisteen

Jotta osataan yhdistää vastaus tähän

laajennuksia, mm. autentikointilaajennus

jolla voidaan todentaa osapuolet

Rekisteröintivastauksessa:

Sanoman tyyppi (3)

hyväksyttiinkö vai hylättiinkö rekisteröintipyyntö, kuka hylkäsi kotiagentti vai vierasgentti

hyväksytty rekisteröinnin kesto

pyynnön tunniste

liittää vastauksen pyyntöön

laajennusosia mm. autentikointi

FA

HA

MN

COA:79.129.13.2

COA:79.129.13.2 HA: 128.119.40.7 MN:128.119.40.189 Lifetime: 9999 Identification:714

COA:79.129.13.2 HA: 128.119.40.7 MN:128.119.40.189 Lifetime: 9999 Identification:714

COA:79.129.13.2 HA: 128.119.40.7 MN:128.119.40.189 Lifetime: 9999 Identification:714 encapsulation format

Rekisteröintipyyntö

Rekisteröintipyyntö

HA: 128.119.40.7 MN:128.119.40.189 Lifetime: 4999 Identification:714 .....

HA: 128.119.40.7 MN:128.119.40.189 Lifetime: 4999 Identification:714 encapsulation format ....

Rekisteröintivastaus

Rekisteröintivastaus

Rekisteröinnissä ongelma on turvallisuus

Tekeytyminen vierasagentiksi

haluaa kaapata koneen liikenteen

tehokas autentikointi estää

autentikoinnin laajennusosa

MN -->FA, MN --> HA, FA --> HA

vanhojen rekisteröintipyyntöjen lähettäminen kotiagentille

kotiagentille väärä osoite => konetta ei tavoiteta kotiosoitteella

pyyntöihin aikaleimat

Agentin löytäminen verkosta (agent discovery)

Agentit ilmoittelevat itsestään säännöllisin välein

Ilmoituksissa (agent advertisement) = ICMP-sanoma

reitittimen IP-osoite

rekisteröinnin kesto

joukko lippuja: toimiiko vieras- ja/tai kotiagenttina, onko kiireinen, millaista kapselointia IP-to-IP:n lisäksi kykenee käyttämään, onko rekisteröinti pakollista

vierasosoitteita, vähintään yksi

ilmoitusten avulla kone havaitsee siirtyneensä toiseen verkkoon

agentin osoite vaihtuu => uudelleenrekisteröinti

kotiverkossa, kun saa ilmoituksia omalta kotiagentiltaan

peruutettava rekisteröinti

Agentin löytäminen verkosta (jatkuu)

Liikkuva kone kysyy itse agenttia (agent solicitation)

huomaa liikkuneensa toiseen verkkoon, kun alkaa saada sanomia toisella taajuudella

Ei odottele agentin ilmoitusta, vaan lähettää verkkoon kyselypyynnön, johon agentti vastaa ilmoituksella suoraan kyselevälle koneelle.

Sanoman reititys vieraassa verkossa olevalle koneelle

Vieras-verkko

FA

MN

HA

Kotiverkko

CN

Normaali IP-reititys

tunnelointi

Vastaus suoraan

FA vierasagentti HA kotiagentti MN liikkuva kone CN kommunikoiva kone

EPÄSUORA REITITYS (indirect routing)

Kotiagentti välittäjänä

Kun paketti lähetetään liikkuvalle,

se ohjautuu IP-osoitteen perusteella kotiverkkoon.

Kotiagentti ottaa paketin itselleen. Se tietää vastaanottajan nykyisen sijainnin ja ohjaa paketin sinne.

Käytetään IP-tunnelointia

uusi vierasosoite (COA) on usein FA:n valvoma osoite

Uusi IP-otsake alkuperäinen IP-paketti

TCP-otsake + data

Lähde = CD, Kohde =MN Protocol = TCP

Lähde=HA, Kohde= COA, protocol= IP in IP (4)

Toiminta eetteriverkossa

CN

R

HA

MN

CN

R

HA

MN

Normaali reititys

Kotiagentti tunneloi sanoman MN:lle

Kun joku lähettää liikkuvalle paketin

se tulee ensin reitittimelle

reititin kysyy vastaanottajan LAN-osoitetta ARP:illa

jos liikkuva on kotiverkossaan, se vastaa ja ilmoittaa oman koneosoitteensa

muuten kotiagentti vastaa omalla osoitteellaan ja saa paketin

kotiagentti lähettää tunneloinnilla vierasosoitteeseen (usein vierasagentin oma osoite)

vierasagentti kysyy ARP:lla vierailijan LAN-osoitetta (‘koneosoitetta’)

Ja lähettää sanoman vierailevalle koneelle.

Ongelma:

CN

R

HA

MN

??

??

On vasta siirtymässä uuteen paikkaan eikä ole vielä ehtinyt ilmoittaa uutta osoitettaan

Vastaanottajaa ei ole enää tässä verkossa => paketit katoavat

FA

Entä jos vierasverkossa ei ole FA:ta?

MN saa tilapäisen IP-osoitteen verkkoon esim. DHCP-protokollalla

käyttäen tätä osoitetta COA-osoitteena se voi itse toimia omana FA:na

Ongelmia:

tunnelointi lisää yleisarasitetta (ylim. IP-otsake) ja viimeinen linkki on hidas radiolinkki

liikkuvat tarvitsevat paljon tilapäisiä IP-osoitteita => osoitteet voivat loppua

poistuva kone ei aina ilmoita lähdöstään

kun kone poistuu, FA katoaa ja matkalla olevat paketit varmasti katoavat

Monilähetys vierasverkossa olevalle koneelle

HA ohjaa yksitellen kaikki lähetykset

tehotonta, voi aiheuttaa turhaa kuormitusta

voi aiheuttaa turhaa monilähetystä

tai sitten sanomaa ei toimiteta MN:lle

FA

MN

HA

Yleislähetys kotiverkossa

tunnelointi

Yleislähetys vierasverkossa

Monilähetys vierasverkossa olevalle koneelle

Jos käytössä verkon FA:aa, niin käytetään kaksoiskapselointia:

HA tietää rekisteröintitiedoista, käyttääkö MN FA:ta vai toimiiko itse oman FA:naan

Source=HA, Dest=COA, Protocol= encaps

Source=HA, Dest=MN, Protocol= encaps

Source=CN, Dest =broadcast, Protocol=UDP

UDP header + data

Uusi IP-otsake kaksoiskapselointi alkuperäinen monilähetys

Järkevämpää tosin olisi rekisteröityä monilähetysryhmään

uudelleen vierasverkossa!!

Mobile IPv6

Osoitteita riittää

vierailijat tarvitsevat IP-osoitteita vierailunsa aikana

Ei tarvita erityistä vierasagenttia

MN toimii yleensä itse omana vierasagenttinaan

neighbor discovery

stateless address autoconfiguration

Paremmat turvallisuuspiirteet

mm. estämään väärennetyt osoitemuutokset ja toistohyökkäykset (replay attack)

Reitin optimointi

Kolmioreititystä ei tarvitse enää käyttää turvattomuuden takia

Turvalaajennuksen ansiosta MN voi ilmoittaa uuden osoitteensa suoraan lähettäjälle

Kun MN saa 1. paketin, se ilmoittaa lähettäjälle uuden vierasverkko-osoitteensa

Myös HA voi ilmoittaa pakettia vierasverkkoon siirtyneelle koneelle lähettävälle CN:lle koneen vierasverkko-osoitteen

Binding updates/ack/requests

Lisää parannuksia:

Tehokkaampi tapa kotiagentin löytämiseen

Dynamic Home Agent Discovery

Lähetetään Binding Update -sanoms kotiagentille anycast-osoitteeseen, jolloin vain yksi ehkä useasta kotiagentista vastaa

Kotiagentin osote on voinut muuttua poissaolon aikana

Tehokas kapselointi lähdereititysotsakkeen avulla

Two-hop source route

Filteroivien palomuurien läpäisy:

Mobile IP:n oletus: reititetään vain kohdeosoitteen perusteella

palomuurit yleensä varmistavat, että lähettäjäosoite on oikeasta verkosta

Jos alkuosa ilmoittaa väärän verkon, niin pakettia ei lähetetä!

Ongelma: MN ei voi lähettää pakettia vierasverkosta omalla pysyvällä IP-osoitteellaan.

Ei edes sitä ensimmäistä, jolla voisi ilmoittaa lähettäjälle osoitteensa muuttuneen!

Käänteinen tunnelointi (Reverse tunneling)

Tunneloidaan paketti takaisin kotiagentille, joka sitten ohjaa sen lähettäjälle

Valitaan vierasagentti, joka kykynee käänteiseen tunnelointiin

Agentti-ilmoituksessa yksi bitti lisää

Samoin rekisteröinti-ilmoitukseen

Vierasagentti tunneloi (esim. IP-to-IP) ja kotiagentti osaa purkaa tunnelin ja lähettää paketin 'oikeasta' verkosta vastaanottajalle.

Mobiilireititys

Mobile IP: IP/TCP-verkossa

GSM-verkossa hyvin samalainen ratkaisu

GSM-verkkoja käsitellään hieman myöhemmin

4.3 Mobile IP

2004-10-04T09:17:23