Redes, Segurança e Protocolos — Glossário Essencial

Glossário de Redes, Protocolos e Segurança

Label e FEC

Label: identificador de comprimento curto e definido; identifica uma FEC. Exemplos: LER — Label Edge Router; LSR — Label Switching Router.

Forward Equivalence Class (FEC): representação de um grupo de pacotes com os mesmos requisitos de transporte; recebe o mesmo tratamento na rota até o destino. Baseada em requisitos de serviços ou em um prefixo de endereçamento.

Wireless (Redes sem fio)

Wireless: dispositivos de informática ligados em uma rede sem fio. Tipos: WPAN, WLAN e WWAN.

WPAN

WPAN: rede pessoal, sem fio e de curto alcance; usa Bluetooth por ondas de rádio omnidirecionais (o sinal se propaga em todas as direções). Quando dois ou mais dispositivos Bluetooth conectam-se, formam uma piconet (rede ponto a ponto) com no máximo 8 dispositivos. A conexão de várias piconets é uma scatternet. IRDA (infrared): comunicação bidirecional que necessita do alinhamento dos dispositivos.

WLAN

WLAN: rede local sem fio; possui duas topologias:

• Ad hoc: formada por dispositivos com placas wireless em uma rede ponto a ponto, sem dispositivo central.
• Infraestrutura: possui pontos de acesso (AP — access point), que são dispositivos centrais para comunicação entre os dispositivos da rede.

Wi‑Fi: "Wireless Fidelity", designação comum para padrões 802.11x.

WWAN

WWAN: composta por tecnologias GSM/GPRS, celulares 2G/3G, CDPD, Mobitex e CDMA/1xRTT. Inclui transmissão por satélite e telefonia celular digital para interligar redes sem fio de longas distâncias.

Enlace sem fio e componentes

Enlace sem fio: tipicamente usado para conectar hospedeiros móveis à estação-base; também pode ser usado como enlace de backbone. Protocolos de acesso múltiplo coordenam o acesso ao enlace, havendo várias taxas de dados e distâncias de transmissão.

Hospedeiros sem fio: laptop, PDA, IP phone; rodam aplicações e podem ser fixos ou móveis — sem fio nem sempre significa mobilidade.

Estação-base: tipicamente se conecta à rede cabeada; atua como relay — responsável por enviar pacotes entre a rede cabeada e os hospedeiros sem fio na sua área (ex.: torres de celular, pontos de acesso 802.11).

Handoff: processo pelo qual o hospedeiro móvel muda de uma estação-base para outra.

Características do enlace sem fio

• Potência reduzida do sinal (o sinal se atenua quando se propaga em meios distintos do metálico);
• Interferência de outras fontes;
• Propagação por múltiplos caminhos (sinal principal e refletido chegam ao destino em instantes diferentes).

Protocolos de acesso

CSMA: escuta antes de transmitir; não colide intencionalmente com transmissões em curso e não realiza detecção de colisão — é difícil sentir colisões devido ao fraco sinal recebido.

CSMA/CA: o transmissor envia um pequeno quadro chamado request-to-send (RTS) à estação base; RTSs podem colidir mas são pequenos. A estação responde com um clear to send (CTS) por broadcast; todos os nós ouvem o CTS, mas só o transmissor selecionado envia o quadro de dados.

Criptografia e Segurança

Criptografia de chaves simétricas: chaves do remetente e do destinatário são idênticas.

Criptografia de chaves públicas: cifra com chave pública e decifra com chave privada ou vice‑versa.

Códigos e hash

Código de substituição: substituição de um caractere por outro.

Código monoalfabético: substitui uma letra por outra.

Hash: resultado do cálculo pode ser igual para mensagens diferentes; não é uma função 1x1. Produz um resumo da mensagem de tamanho fixo; permite apenas validação e não recuperação de erros.

Propriedades do hash: resistência à primeira inversão (improvável encontrar a mensagem original com esforço ~2^n), resistência à segunda inversão (improvável encontrar outra mensagem que gere o mesmo hash com esforço ~2^n) e resistência a colisões (improvável encontrar duas mensagens com o mesmo resumo com esforço ~2^(n/2)).

Assinatura digital e autoridade

Assinatura digital: técnica criptográfica análoga à assinatura manual; o remetente assina digitalmente — verificável mas não forjável. Geralmente aplica-se um hash sobre o documento e, em seguida, a chave privada do remetente. Não garante sigilo, mas garante autoria e integridade.

Autoridade certificadora (CA): associa uma chave pública a uma entidade particular.

Outros termos

Chave privada: chave que apenas seu dono conhece.

Chave pública: chave que todos conhecem.

H: algoritmo de hash.

EA: algoritmo assimétrico.

C: criptograma.

Da: algoritmo de decifrar assimétrico.

Assuntos de segurança de rede

Firewall: isola a rede interna da área pública da Internet; serve para prevenir ataques de negação de serviço, acesso ilegal aos dados internos e para permitir apenas acessos autorizados ao interior da rede. Tipos: camada de aplicação (gateways de aplicação) e filtragem de pacotes.

Filtro de pacotes

Filtro de pacotes: a rede interna é conectada à Internet via roteador/firewall; a decisão de envio ou descarte de pacotes é baseada em: endereço IP de origem e destino, números das portas TCP/UDP de origem e destino, tipo de mensagem ICMP e bits TCP (SYN e ACK).

Gateway de aplicação

Gateway de aplicação: filtra pacotes em função de dados de aplicação e de campos de IP/TCP/UDP.

Limitações de firewalls e gateways

• IP spoofing: o roteador não tem como saber se a origem dos dados é realmente a fonte alegada;
• Se várias aplicações necessitam de tratamento especial, é necessário um gateway para cada uma delas;
• O software cliente deve saber como contatar o gateway;
• Filtros de UDP geralmente usam política de tudo ou nada;
• Existe sempre um compromisso de segurança na comunicação com o mundo externo.

Ameaças e contramedidas

Ameaças à segurança na Internet: mapeamento (descoberta prévia de serviços implementados na rede), uso de ping para determinar hosts com endereço de rede, varredura de portas.

Contramedidas: filtragem de pacotes para evitar inundação e busca da fonte da inundação.

E‑mail seguro, PGP e SSL

E‑mail seguro: utiliza chave simétrica (KS) para codificação da mensagem. O emissor codifica a mensagem m com KS (KS(m)) e codifica o KS com a chave pública do destinatário (KB(KS)), enviando ambos. O destinatário usa sua chave privada para decodificar KB(KS), recuperar KS e decodificar KS(m) para obter m. Para autenticação do emissor e integridade, o emissor assina a mensagem (abreta) e envia junto com a assinatura.

Pretty Good Privacy (PGP): esquema de codificação de e‑mail que usa criptografia simétrica, criptografia de chave pública, função de hash e assinatura digital. Fornece confidencialidade, autenticação do emissor e integridade.

Security Sockets Layer (SSL): opera na camada de transporte; fornece segurança a aplicações IP/SSL, usado em comércio eletrônico (HTTPS). Autentica servidor e cliente e cifra os dados. Para autenticar o servidor, o cliente inclui chaves públicas das CAs, solicita dados do servidor e usa a chave pública da CA para extrair a chave pública do servidor.

Sessão SSL criptografada: o browser gera uma chave simétrica para a sessão e a cifra com a chave pública do servidor; o servidor decifra a chave da sessão com sua chave privada; browser e servidor concordam que as futuras mensagens serão cifradas com essa chave simétrica.

Conceito geral de segurança

Segurança: capacidade de transferir dados entre duas entidades que previamente se reconheceram, de forma que a comunicação seja visível apenas pelas partes envolvidas, que a transferência ocorra sem alteração no trânsito e que nenhuma das partes possa efetuar comunicação sem autorização.

Objetivos da criptografia: autenticação, controle de acesso, confidencialidade, integridade, irrefutabilidade e disponibilidade.

Cabeamento estruturado

Subsistemas de cabeamento estruturado: área de trabalho, rede secundária, armário de telecomunicações, rede primária, sala de equipamentos, sala de entrada de telecomunicações e cabo de interligação externo.

Área de trabalho

Área de trabalho: cabeamento entre dispositivos e tomadas da parede (uma para cada 10 m²). Cada tomada deve possuir acessos de dados e voz; comprimento máximo do cabo = 5 m.

Rede secundária

Rede secundária: sistema de distribuição horizontal; centro de fios onde estão instalados os blocos de distribuição e equipamentos de rede, terminado em conector ou tomada na interface com a área de trabalho e em patch panel no lado do centro de fios. Comprimento máximo do fio = 90 m.

Rede primária

Rede primária: cabeamento vertical que conecta o setor de entrada de telecomunicações à sala de equipamentos. Uso prioritário de fibra óptica; cabos de par trançado também são utilizados e limitados a 90 m. Caso use fibra óptica, comprimento máximo de 3 000 m, com quadros intermediários a cada 500 m.

Armário de telecomunicações

Armário de telecomunicações: projetado de acordo com a norma TIA/EIA-569-A; interliga os ativos à área de trabalho. Recomenda-se uma sala para cada 1 000 m².

CROSS-CONNECTION / INTERCONNECTION

Sala de equipamentos

Sala de equipamentos: abriga equipamentos e faz a transição entre a rede secundária e a rede primária através de patch. Cabos empregados: fibra óptica monomodo e multimodo, UTP categorias 5e e 6, e cabos ScTP e FTP categorias 5e e 6. Concentração de servidores, comutadores e equipamentos de administração remota.

Setor de entrada de telecomunicações

Setor de entrada: recebe cabo de fora do prédio; faz a transição de cabos externos para a rede principal.

Cabeamento de interligação externo

Cabeamento de interligação externo: cabeamento entre edifícios; fibra óptica multimodo de degrau, gradual ou monomodo. Comprimento máximo típico: 2 000 m.

Atraso de propagação e intensidade de tráfego

Atraso de propagação: tempo de viagem do sinal no meio de propagação; não depende da velocidade de transmissão (bps). d = comprimento do link físico; s = velocidade de propagação no meio (~200 000 km/s). Atraso de propagação = d / s. Pode variar de poucos microssegundos a centenas de milissegundos.

Intensidade de tráfego: La / R, onde La = largura de banda multiplicada pelo tamanho do pacote (L), e R = taxa de transmissão. Se La / R ~ 0, atraso pequeno. Se La / R < 1, o atraso aumenta; se La / R >= 1, há mais bits do que a capacidade do link, provocando crescimento exponencial do atraso.

X.25

X.25: conjunto de protocolos das três primeiras camadas do modelo OSI. Canal físico pode conectar-se com até 4 095 circuitos virtuais; suporta protocolos de níveis superiores como TCP/IP e SNA.

Nível físico: define características mecânicas e elétricas da interface terminal-rede.

Nível de quadros (enlace): estabelece o protocolo de linhas; é responsável pela troca de dados entre terminal e rede.

Nível de pacote: define como as chamadas são estabelecidas, mantidas e terminadas; tem endereçamento independente do usado pelas camadas inferiores e pode fornecer controle de fluxo e sequenciamento.

Protocolos de acesso dedicado e comutado

Protocolos de acesso dedicado:

• X.25: acesso dedicado a terminais com interface síncrona, velocidades entre 9,6 Kbps e 2 Mbps.
• X.28: acesso dedicado a terminais com interface assíncrona; velocidade máxima de 9,6 Kbps.
• SDLC: protocolo IBM para acesso dedicado; velocidade máxima de 256 Kbps.

Protocolo de acesso comutado: X.28 — acesso discado a terminais com interface assíncrona e velocidade máxima de 9,6 Kbps.

Frame Relay

Frame Relay: pacotes chamados de quadros (frames), cada um com informações do destino; utiliza circuitos virtuais DLCI. Não há confirmação de entrega; a rede é representada por uma nuvem e pode possuir múltiplos circuitos virtuais em um link físico. Utiliza múltiplos canais lógicos numa mesma linha de acesso (ponto a multiponto). Tem custo menor que uma linha privada. Disponível em 64 Kbps, 128 Kbps, 256 Kbps, 512 Kbps, 1 024 Kbps e 2 048 Kbps.

Circuito Virtual

Circuito Virtual: conexão entre pontos distintos configurada com determinada banda; é um circuito de dados virtual bidirecional que funciona como um circuito dedicado. Existem dois tipos:

• Permanent Virtual Circuit (PVC): circuito virtual permanente configurado pelo operador da rede; rota alterada em caso de falhas e extremidades fixas.
• Switched Virtual Circuit (SVC): circuito virtual comutado, disponibilizado automaticamente conforme demanda ou regra de contingência (por exemplo, falha do acesso principal).

Termos Frame Relay

LMI: protocolo utilizado pelo roteador para comunicar-se com o primeiro switch Frame Relay na nuvem; executado entre o switch Frame Relay e o roteador; permite a criação dinâmica de circuitos virtuais.

DLCI: Data Link Connection Identifier; identifica um circuito virtual para um local remoto. Cada DLCI identifica um número de CV no enlace e não pode ser usado como endereço global, pois tem significado local para a porta de origem.

CIR: garantia de taxa mínima de transferência; quanto maior a CIR selecionada em relação à velocidade de acesso, maior a garantia de tráfego e o custo do enlace. CIR = 0 significa sem garantia de entrega de pacotes.

Protocolo do Frame Relay

Utiliza estrutura comum e simplificada: flags indicam início e fim de cada frame; cabeçalho contém informações de controle; DLCI com 10 bits é o endereço do destinatário do PVC e tem significado local para a porta de origem.

Rede Frame Relay: composta por equipamentos de usuários (estações de trabalho, servidores, mainframes), equipamentos de acesso (bridges, roteadores de acesso, FRADs) e equipamentos de rede (switches, roteadores, equipamentos de transmissão E1/T1). Informações são enviadas através de DLCI (destinatário do frame). Em caso de falhas ou congestionamento, o frame pode ser descartado — o Frame Relay não executa correção de erros, exigindo circuitos de transmissão com baixa taxa de erros.

X.25 versus Frame Relay

Ambas são tecnologias de longa distância orientadas a circuitos virtuais, com origem na telefonia. Podem ser usadas para transportar datagramas IP (inteligência está na rede).

IP versus X.25

X.25: entrega fim a fim confiável e sequencial (detecção e recuperação de erros por repetição).

IP: entrega fim a fim não confiável e não sequencial (inteligência está nos hosts).

ATM (Asynchronous Transfer Mode)

ATM: tecnologia de comunicação de dados de alta velocidade que interliga redes locais, metropolitanas e de longa distância para dados, voz, áudio e vídeo. Fornece meio para envio assíncrono através de rede de dados com divisão em células (pacotes de tamanho fixo) que carregam endereçamento para determinação do destino pelos equipamentos de rede.

Utiliza comutação de pacotes, tratando informações com diferentes requisitos de atraso, confiabilidade e funcionalidade. Representada por uma nuvem, pois não é uma simples conexão física ponto a ponto; trabalha com conexões virtuais que alocam a banda física célula a célula no momento da transmissão. Cada célula possui 48 bytes para informação e 5 bytes para o cabeçalho; cada célula contém informação de endereçamento que estabelece uma conexão virtual entre origem e destino.

Vantagens do ATM

• Gerenciamento dinâmico de banda;
• Custo de processamento fixo e baixo;
• Integra vários tipos de tráfego (dados, voz e vídeo);
• Garante alocação de banda e recursos;
• Alta disponibilidade e suporte a múltiplas classes de serviço;
• Atende aplicações sensíveis ou não a atraso e perda de pacotes;
• Aplicável a redes públicas e privadas e pode compor redes escaláveis e flexíveis;
• Possui procedimentos de recuperação automática de falhas e pode interoperar com Frame Relay, TCP/IP, DSL, Gigabit Ethernet, wireless e SDH/SONET.

Restrições do ATM

Outras tecnologias como Fast Ethernet, Gigabit Ethernet e TCP/IP têm sido amplamente aplicadas; interfaces ATM tiveram menor aceitação em estações de trabalho e servidores de alto desempenho devido ao custo e complexidade. Operadoras usam ATM no backbone de suas redes para otimizar meios de comunicação.

Conexões virtuais ATM

VPC (Virtual Path Connection): conexão de rota virtual entre dois equipamentos de usuário ou de acesso; coleção de VPs configuradas para interligar origem e destino.

VCC (Virtual Channel Connection): conexão de canal virtual entre dois equipamentos de acesso ou de usuário; coleção de VCs para integrar origem e destino.

MPLS (Multiprotocol Label Switching)

MPLS: fornece meios de mapeamento de endereços IP (feito apenas uma vez no nó da borda) em rótulos simples e de comprimento fixo utilizados por diferentes tecnologias e para chaveamento de pacotes. O encaminhamento é baseado em um label inserido no cabeçalho do pacote (o label não traz o endereço e é trocado a cada switch).

MPLS evita intenso processo de pesquisa de tabelas, capacitando os roteadores a decidir o caminho mais adequado com base nos rótulos. Vantagens: processamento mais rápido dos pacotes, possibilidade de atribuir prioridades a labels, uso de CVs para encaminhamento (base das VPNs), e suporte a diferentes níveis de criptografia e transporte de múltiplos protocolos, pois a carga útil não é examinada pelo roteador. A atribuição de um pacote a uma FEC é feita apenas uma vez no LER.

Elementos MPLS

LER: Label Edge Router — nó MPLS que conecta um domínio MPLS com um nó fora do domínio.

LSR: Label Switching Router — nó MPLS que recebe o pacote, extrai o label e o utiliza para descobrir, na tabela de roteamento, a porta de saída e o novo rótulo. Pode ter uma ou várias tabelas de encaminhamento compostas utilizando labels distribuídos por Label Distribution Protocol, RSVP ou protocolos de roteamento como BGP e OSPF.

LSP (Label Switching Path): no MPLS a transmissão ocorre em caminhos chaveados por rótulos (LSP); são estabelecidos antes da transmissão dos dados ou com a detecção de um certo fluxo de dados.

LDP (Label Distribution Protocol): conjunto de procedimentos pelo qual um LSR informa outro LSR sobre associações label/FEC.