Транспортный уровень: трансляция адресов и формирование трафика

Ещё про VirtualBox

VBoxManage:

Всё это умеют сценарии из лекций

Проброс портов из хост-системы в VirtualBox.

NAT

Network address translation — что такое и зачем нужно.

NAT без транспортного уровня

Идея замены конкретного IP другим конкретным IP (и обратно) — например, если «внутренний» IP из интернет-диапазона.

Табличная подмена IP

Проблемы:

NAT с идентификацией потока (NAPT)

Динамическая подмена IP на основании «состояния»

Примеры SNAT и DNAT

TODO Пример клиент1 → сервер DNAT → сервер

Обход NAT с помощью STUN (на примере UDP)

доделать отдельный spin-off

Проблема: клиент1 - сервер1[NAT] - [NAT]сервер2 - клиент2. Как переслать пакет клиенту2 от клиента1?

А если нет административного доступа к серверам? Очевидно, нужен ещё один сервер, к которому оба клиента могут обратиться (как минимум, для того, чтобы узнать, что до них кто-то хочет достучаться):

  1. Полная ретрансляция через координатор. Делается с помощью ssh, например, или с помощью МЭ

  2. STUN (Session Traversal Utilities for NAT).

    • Включают в себя несколько протоколов (в том числе полную ретрансляцию, Traversal_Using_Relay_NAT); остальные протоколы работают не всегда

    • Базируется на двух (необоснованных) предположениях:

      1. Если с клиента послать UDP-пакет какому-то серверу, в conntrack в течение некоторого времени находится запись, позволяющая получить UDP-«ответ» на этот пакет со стороны сервера, с порта получателя на порт отправителя

        • Так работают прикладные протоколы (например, DNS), но датаграмма не подразумевает ответ

      2. Предположим, в UDP-пакете, предназначенном координатору, указан порт отправителя A, а при выходе из NAT на сервере1 порт отправителя превратился в B, о чём была сделана запись в conntrack. Тогда если послать ещё один UDP-пакет, на этот раз серверу2, указав тот же самый порт отправителя A, то на сервере1 порт отправителя тоже не изменится и будет B.

(если успеем) Простой пример для linux

Площадка: client - nat2[NAT:10.3.0.4] - stun - [NAT:10.2.0.2]nat1 - srv

Настройка:

TCP: а что делать с seqn? А ничего, не работает TCP ☹

Syn flood атака и SYNPROXY

Введение в обработку трафика

<!> Эта тема на целый семестр! Поэтому про главную задачу — traffic shaping — только упомянем.

Задача: если сетевое устройство пересылает несколько потоков данных, надо обеспечить:

Общая идея: маршрутизируемые пакеты нельзя просто перекладывать по одному

Проблема: Bufferbloat

Дисциплина по умолчанию: tc-fq_codel:

Пример: дисциплина Network Emulator

Потестируем её с помощью «flood ping» (безудержной отправки ping-ов с максимальной скоростью)

Исходное состояние: 

# tc qdisc show 
# tc -s qdisc show
# ping -f -c1000 10.9.0.2

Медленная сеть: 

# tc qdisc add dev eth1 root netem delay 400ms
# tc qdisc show 
# ping -f -c100 10.9.0.2

Плохая сеть, в которой пакеты пропадают: 

# tc qdisc del root dev eth1
# tc qdisc add dev eth1 root netem loss 10%
# tc qdisc show 
# ping -f -c500 10.1.1.2

Очень плохая сеть, и медленная, и пакеты портятся: 

# tc qdisc del root dev eth1
# tc qdisc add dev eth1 root netem delay 400ms corrupt 5%
# tc qdisc show 
# ping -f -c500 10.1.1.2

Немного про shape:

Будем исследовать пропускную способность с помощью IPerf

Исходная ситуация (эмулятор гигаибтной сетевой карты): 

# tc qdisc del root dev eth1
# iperf3 -t5 -4c 10.1.1.2

Понизим пропускную способность до мегабита в секунду: 

# tc qdisc add dev eth1  root tbf rate 1mbit burst 32kbit latency 400ms
# tc qdisc show 
# iperf3 -t5 -4c 10.1.1.2

К сожалению, наиболее популярную дисциплину — HTB — рассмотреть не успеем. Тема большая.

Д/З

Изменения в образе:

Задание 7

  1. Суть: воспроизвести примеры из лекции, с выходным NAT-ом, пробросом порта и задержкой на интерфейсе.
  2. Площадка (сетевые адреса и маршруты настроены заранее, в отчёт не входят)

    • SNAT_DNAT_DELAY.svg

    • A — адрес delayed

    • B — адрес client

    • R — «внешний» (для доступа из srv) адрес router

  3. Отчёт:

    1. report 7 router

      • Настроить исходящий NAT на интерфейсе R, который работал бы для A и B (Например, для всей их сети)

      • Настроить проброс порта 1234 при подключении к R → на порт 1234 адреса B

      • Запустить tcpdump на «внешнем» интерфейсе, который отловит все пакеты TCP-соединения от client на srv и несколько пакетов ping-а, а затем сам остановится (ключ -c). Если сложно — просто остановите перед продолжением отчёта.

    2. report 7 srv

      • Принять одно TCP-соединение на порт 1212 (в tcpdump на router-е должно быть видно, что это соединение от R, потому что SNAT)

    3. report 7 delayed

      • Настроить (с помощью netem) задержку при отсылке пакетов в 200ms

      • Немного по ping-ать srv (чтобы запущенный там tcpdump остановился)

    4. report 7 client

      • Отправить несколько строк на порт 1212 машины srv

      • Запустить ping адреса A (в отчёте должна быть видна задержка ⩾ 200ms)

      • Принять одно TCP-соединение на порт 1234

    5. (продолжение отчёта srv)

      • Отправить несколько строк на порт 1234 адреса R (его должен принять B, потому что DNAT)

  4. Четыре отчёта (названия сохранить, должно быть: report.07.router, report.07.srv, report.07.client, report.07.delayed) переслать одним письмом в качестве приложений на uneexlectures@cs.msu.ru

    • В теме письма должно встречаться слово LinuxNetwork2025

LecturesCMC/LinuxNetwork2025/07_TransportShapeNAT (последним исправлял пользователь FrBrGeorge 2025-03-31 16:11:06)