|
Подниму тему.
Какая инфа содержится в пакетах при передвижении в сети интернет? И как вообще происходит процесс в деталях?
Например, мои предположения:
Хост с адресом 192.168.1.2 с mac-адресом xx:xx:xx:xx:xx в сети 192.168.1.0 255.255.255.0 и шлюзом+днс 192.168.1.1 стучится на сайт с доменом google.com.
1) Хост отправляет DNS-запрос на 192.168.1.1 ---> Хост запаковует IP-пакеты в Ethernet-пакеты. В Ethernet-пакете инкапсулирован IP-адрес хоста, и в заголовке указаны mac-адреса шлюза\днс (dest) и mac-адрес хоста (source).
2) Хост ждёт ответ
3) Шлюз\днс получает dns-запрос от хоста с адресом 192.168.1.2 и с mac-адресом xx:xx:xx:xx:xx
???4) Шлюз сохраняет в буфере инфу о том что нужно отправить dns-ответ адресу 192.168.1.2 с mac'ом (зачем в пакете оба параметра (ip и mac), если это избыточность для LAN?).
5) Днс-шлюз отправляет dns-запрос днс-шлюзу провайдера ---> Днс-шлюз 192.168.1.1 упаковывает свой IP-адрес и Mac-адрес(???) в Ethernet-пакеты и шлёт их на днс-шлюз провайдера.
6) Если днс-шлюз провайдера не содержит в себе записи о данном домене (или он является просто буферным), он шлёт пакет дальше - днс-шлюзу уровнем выше.
7) И так далее по цепочке...
...
8) От днс-шлюза провайдера приходит днс-ответ днс-шлюзу 192.168.1.1, в котором содержится сам днс-ответ (ip-адрес домена), ip и mac адрес отправителя, ну и соответственно ip и mac адрес получателя.
???9) Днс-шлюз 192.168.1.1 смотрит в буфер, чтобы узнать какой хост посылал данный днс-запрос, определяет его и затем ---> упаковывает днс-ответ в ethenet-пакеты. В данных пакетах содержится сам днс-ответ (данные), IP и Mac адреса получателя и отправителя
9) Хост получил ответ. Теперь хост знает что google.com - это ip y.y.y.y
???10) Хост накладывает маску на y.y.y.y, определяет что y.y.y.y принадлежит не локальной сети ---> хост составляет ip пакеты, которые упаковываются в Ethernet пакеты, которые содержат данные и ip-адрес и mac-адрес хоста, мак шлюза\днс (192.168.1.1) и ip-адрес y.y.y.y.
11) Шлюз\днс сохраняет в буфере инфу от какого хоста пришёл запрос, отбрасывает всю инфу, кроме данных и инкапсулирует их в свои пакеты и отправляет их шлюзу выше (шлюз выше получает пакеты, в которых содержатся сами данные, ip и mac адрес шлюза 192.168.1.1)
12) Дальше по цепочке, пока не достигнем цели....
13) Потом всё в обратной последовательности......
К чему я всё это написал. Интересует процесс передвижения пакетов по сетям (от локальной в глобальную) по модели OSI. Интересуют 2,3 и 4 уровни.
Данная инфа нужна для понимания кто, что и когда видит. То есть какая инфа содержится в пакете на каждом этапе его передвижения, а именно - mac'и и IP.
А вышеописанная инфа нужна для максимальной скрытости хоста в интернет. На сколько наслышен, для этих целей используют double-vpn и коннект осуществляют с VM (virtual machine - для сокрытия mac'a). Прип понимании как пакеты двигаются по сетям, можно в деталях понимать суть данной схемы, или же понимать что она избыточна, либо наоборот "несовершенна".
Моё понимание данной схемы:
1) VM используется для сокрытия mac'a хоста. Зачем? Если я правильно понимаю, то роутер в локальной сети, где находится хост общается с миром (а вернее с провайдером) от своего имени (свой ip и mac). А приходящие пакеты с мира перенаправляет хосту в локалке. То есть конкретный хост, с которого юзался интернет, который стоит за роутером никогда и никому не станет известен (за исключением физического изъятия хоста, и то при условии что хост не почищен и ведутся логи на роутере). Поэтому в этом нет никакого смысла? Единственный вариант, по которому можно видеть целесобразность данной операции - если "накрыли" шлюз, через который велась "деятельность" в интернет, пришли в гости по физическому адресу, а машины с таким mac'ом в сети нет. Но они ведь не глупые люди, VM увидят аж бегом. Снести VM? - нужно время. Если есть время, то можно и почистить логи роутера и машину. Верно???
2) Double VPN. Хост что-то "намутил" в WAN'е. Соответствующие органы вычисляют IP. Изымают сервер (2-й впн сервер). Пока они в нём копаются и находят что он в связке с другим впн-сервером, мы видим падение этого сервера Соответственно тушим 1-й сервер - чистим. Органы выходят на первый сервер, а он пуст и возможности отследить с кем он был в связке - невозможно (за исключением что не ведутся логи на роутерах компании что предоставили данный сервис).
Тут вопросы. Могут ли органы не изымать серверы, а по запросу получать к ним прямой доступ? То есть сервер не падает, мы ничего не подозреваем, а органы тем временем вышли на 2-й сервер, увидели связку с первым, вышли на первый, увидели связку с нашим провайдером, вышли на провайдера, получили физ.адрес нашего роутера, зашли к нам неожиданно в гости - изъяли компы, вычислили комп, с которого велась "деятельность"?
3) Даже если вычислили наш роутер, но мы успели почистить логи и ПК, какая ответственность лежит на компании, с чьей сети велась "деятельность", но комп "злоумышленника" неопределён и соответственно нет конкретного физ.лица, который мог быть к этому причастен?
Будьте добры, дайте развёрнутые ответы хотя бы на любые пункты, в ответах на которые вы на 100% уверены.
ЗЫ Не для криминала:)
|
10.02.2012, 10:08 