Shoeisha Technology Media

CodeZine(コードジン)

記事種別から探す

仮想ネットワーク実装でTCP/IPを学ぼう(6)
― セキュリティの基礎と仮想ネットワークの仕様

仮想ネットワーク実装でTCP/IPを学ぼう(6)

  • LINEで送る
  • このエントリーをはてなブックマークに追加
2010/05/13 14:00

 この連載では仮想的なLANを実装することにより、目に見えないTCP/IPプロトコル群を、手を動かして目で実際に確認しながら習得することを目的としています。今回からはこれまでの連載のまとめとして、仮想的なネットワークの実装方法について、3回にわたり解説します。

目次

はじめに

 この連載では仮想的なLANを実装することにより、目に見えないTCP/IPプロトコル群を、手を動かして目で実際に確認しながら習得することを目的としています。ただし、TCP/IPのすべてを解説するのは分量上不可能ですし、余計に読者を混乱させてしまいますので、筆者が重要と考えている部分だけ解説します。またサンプルコードや本記事に出てくるIPアドレスとMACアドレスについては架空のものであり、実際にそのIPアドレスを取得した組織などを意識したものではありません。あらかじめご了承ください。

 全4階層のTCP/IPの解説を終えたので、そのまとめとして、仮想的なネットワークの実装をします。前編に当たる今回は、まずは複数の層にまたがる技術に関する事柄を解説します。その後、仮想ネットワーク、およびオリジナルのアプリケーション層のプロトコルの仕様を定義します。

質問/指摘についての注意

 本記事の対象を超えるもの、記述箇所を特定しないもの、読者固有環境に起因するもの、読者の主義思想に関するもの、読者の誤解によるもの、社会人としてのマナーを欠いたものなどは質問/指摘を頂いてもお答えできません。あらかじめご了承ください。

グローバルアドレスとNAT

 インターネット上で有効なIPアドレスをグローバルアドレスと呼びます。前回解説したルートサーバに割り当てられているIPアドレスがこれに該当します。IPアドレスを、インターネット上で一意に定めることにより、その機器へ接続できます。

 しかし、世界中にあるすべての機器に一意なIPアドレスを割り振ると、IPアドレスの数が足りなくなります。そこで、いろいろな対策法が考えだされました。そのうちの1つがNAT(Network Address Translator:ネットワーク・アドレス変換機能)です。

 世界中にはたくさんの機器がありますが、すべての機器がグローバルアドレスを必要としているわけではありません。そこで、ローカルネットワーク内でのみ使用するIPアドレスを設定し、外部と通信する時だけグローバルアドレスを割り当てる方法が考えだされました。それがNATです。なお、ローカルネットワーク内でのみ使用するIPアドレスをプライベートアドレスと呼びます。

 NATは、プライベートアドレスとグローバルアドレスの対応を記憶し、外部にデータを送る際に、ソースアドレスを対するグローバルアドレスに変換します。こうすることにより、実在する機器の数よりも少ないアドレスで済みます。

 プライベートアドレスとグローバルアドレスは、何でも良いというわけではなく、プライベートアドレスはRFC1918で使用できる範囲が定められており、グローバルアドレスはCIDR(Classless Inter-Domain Routing)という方式に従います。

 CIDR(サイダーと読む)とは、IPアドレスをクラス分けせずに、可変長のマスク値を設定することにより、ネットワークアドレスとホストアドレスを決める形式のIPアドレスです。ネットワークアドレスに割り振るビット数を指定し、残りのビット数をホストアドレスに使用します。自由にネットワークアドレスに使用するビット数を指定できるところ以外は、サブネット形式のIPアドレスとほぼ同じです。これから、NATを使用した通信を、サンプルプロジェクト「NatTest」を用いて解説します。記事に添付されているサンプルコードをダウンロードして、実行してみてください(C#版とVB.NET版を用意しています)。

 このサンプルプロジェクトでは、同じローカルネットワーク内に属するサーバと、他のローカルネットワークに属するホストへ向けてデータを送信しています。サンプルプロジェクトを実行し、最後の送信元で端末AのIPアドレスが「200.200.200.200/28」に変化している点に注目してください。このアドレスがサンプルプログラムで設定しているグローバルアドレスです。

 NAT機能を持つルータを通してデータを送信すると、宛先は送信元のプライベートアドレスではなく、グローバルアドレスから送られてきたと判別することになります。これは、クラッカーの身元を隠すことも意味するので、あまり好ましくないと考える専門家もいます。

 また、FTPにおけるテキスト形式のアドレス変換において、処理が複雑になるという副作用もあります。NATでグローバルアドレスに変換し、それをテキスト形式にすると、データの長さは変わります。その際に送信するパケット数が変化することになります。変化すると、送信順序番号も変更しなくてはなりません。したがって、このサンプルでは行っていませんが、NAT機能を持つルータは、送信元IPアドレス/ポート、送信順序、使用時間などの要素も管理せねばなりません。

 このようにNATにも短所がありますが、IPアドレスの数を少なくする効果と、グローバル・ネットワークに接続するルータ以外は何も変更する必要がないという大きな利点があります。

 NAT機能を実装するためにサンプルコードのRouterクラスを変更しました。注目するべき所を抜粋して掲載します。

NAT機能を表すコード(C#)
//Routerクラスからの抜粋
public class Router 
{
  public void SendToOtherLAN ( Frame data )
  {
    //データを用意
    MacFrame mac = data as MacFrame;
    if (data == null) return;
    IPv4 packet = data.Data as IPv4;
    if ( packet == null ) return;

    //送るべきルータのアドレスを決定
    IPv4Address ruterAddress = null;
    try {
      ruterAddress = this.m_table.Find (
        delegate ( RoutingElement element ) {
          if ( element.Destination == packet.DestinationAddress )
            return true;
          else
            return false;
        }
      ).Gateway;

      //プライベートアドレスをグローバルアドレスに変換する
      foreach ( IpAddressPair pair in this.ipList ) {
        if ( pair.PrivateAddress == packet.SourceAddress )
        packet.SourceAddress = pair.GlobalAddress;
      }

    } catch ( NullReferenceException ) {
      //指定されたホストに到達できない事を知らせる
      this.icmp.SendDestinationUnreachableMessage ( mac );
    }

    //送信する
    this.Send ( ruterAddress, data );
  }
}
NAT機能を表すコード(VB.NET)
'Routerクラスからの抜粋
Public Class Router
  Public Sub SendToOtherLAN(ByVal data As Frame)

      'データを用意
      If TypeOf data Is MacFrame = False Then
          Return
      End If
      Dim mac As MacFrame = CType(data, MacFrame)
      If TypeOf mac.UsertData Is IPv4 = False Then
          Return
      End If
      Dim packet As IPv4 = CType(mac.UsertData, IPv4)

      '送るべきルータのアドレスを決定
      Dim ruterAddress As IPv4Address = Nothing
      ruterAddress = Me.SearchRoute(packet.DestinationAddress)
      If ruterAddress Is Nothing Then
          '指定されたホストに到達できない事を知らせる
          Me.icmp.SendDestinationUnreachableMessage(mac)
      Else
          'プライベートアドレスをグローバルアドレスに変換する
          For Each pair As IpAddressPair In Me.ipList
              If pair.PrivateAddress = packet.SourceAddress Then
                  packet.SourceAddress = pair.GlobalAddress
              End If
          Next
          'データを送る
          Me.Send(ruterAddress, data)
      End If
      
  End Sub
End Class

 察しの良い方は気づいたと思いますが、このNATの動作は、同時にグローバルアドレス数のホストしか通信できないことを意味します。そのため、現在ではNATではなく、ポート番号も要素として使用するNAPT(Network Address Port Translation)が主に使用されています。NAPTは、IPマスカレードとも呼ばれています。

 以上で、NATの解説は終わりです。これまでの解説でセキュリティについての基礎を理解する下地ができていると思いますので、次ページからはファイアウォールの基礎を解説します。


  • LINEで送る
  • このエントリーをはてなブックマークに追加

著者プロフィール

  • インドリ(インドリ)

    分析・設計・実装なんでもありのフリーエンジニア。 ブログ「無差別に技術をついばむ鳥(http://indori.blog32.fc2.com/)」の作者です。 アドバイザーをしたり、システム開発したり、情報処理技術を研究したりと色々しています。 座右の銘は温故知新で、新旧関係なく必要だと考えた...

バックナンバー

連載:仮想ネットワークの実装で学ぶTCP/IP

おすすめ記事

All contents copyright © 2006-2017 Shoeisha Co., Ltd. All rights reserved. ver.1.5