STUN – Simple Traversal of UDP Through NATs

Márcio Leal de Melo Dahia

Roteiro Introdução - NAT Tipos de NAT Problemas STUN

Principios básicos Tipos de Mensagens Cenário

STUN no mercado Conclusões Bibliografia

Introdução - NAT NAT (Network Adress Translator)

Contornar limitação da quantidade de endereços IP

Endereços IP “não roteáveis” usados na rede privada Intervalo 1: Classe A - 10.0.0.0 a 10.255.255.255 Intervalo 2: Classe B - 172.16.0.0 a 172.31.255.255 Intervalo 3: Classe C - 192.168.0.0 a 192.168.255.255

IPs “roteáveis”, compartilhados por várias máquinas de acordo com a necessidade

NAT é o dispositivo capaz de fazer a tradução bidirecional entre endereços privados e públicos

Funcionamento de um NAT

Tipos de NAT(1/3) Full Cone

Requisições de um determinado endereço interno são mapeados para o mesmo endereço externos

Acesso de fora para dentro via endereço externo

Tipos de NAT (2/3) Restricted Cone

Semelhante ao Full Cone, porém Acesso externo apenas para máquinas para

respostas a requisições feitas previamente

Port Restricted Cone Semelhante ao Restricted Cone, porém

Acesso restrito a porta de requisição

Tipos de NAT (3/3) Symmetric

O endereço e porta a serem recebidos dependem do endereço externo a ser acessado

Como o Port Restricted, o acesso externo é permitido apenas para resposta

Problemas (1/5)

Necessidade crescente de acesso bidirecional nas bordas da rede Aplicações como:

Voz sobre IP – receber ligação Instant Messengers – ser contatado por

amigos Compartilhamento de arquivos – permitir

upload Etc. etc. etc.

Problemas (2/5) Grande parte soluções necessitam

modificações na middlebox... Port-forwarding

Problemas (3/5)

Universal Plug-and-Play (UPnP) Cisco, Microsoft, Nokia Hardware upnp-habilitado pode ser

configurado pela aplicação

Problemas (4/5)

Aplication Layer Gateway (ALG) Camada de software no NAT que permite a

“passagem” de protocolos previamente definidos

Problemas (5/5) ...Ou são muito pesadas (Uso de Relays)

Servidor intermediando a comunicação entre os pontos

STUN (1/2)

RFC 3489 – Março de 2003 Permite que entidades atrás de NAT

Descubram a presença de NAT Descubram o tipo de NAT Descubram seu endereço público

Quantidade arbitrária de NATs Não atravessa Symmetric NATs

STUN (2/2) Principio básico

Servidor conectado diretamente à rede 2 IPs e 2 portas

Um dispositivo na rede pública conhece o endereço externo do dispositivo atrás do NAT

Características do protocolo UDP Magro e simples Servidor não precisa manter sessões com o

cliente Ideal para altas demandas de pouco conteúdo

STUN – Configuração de Análise

STUN – Tipos de mensagem Protocolo tipo cliente-servidor

Shared Secret (Request, Response e Error)

Requisita login/senha para as próximas mensagens

TCP (TLS) Expira (entre 10 e 30 min.)

Binding (Request, Response e Error) Protocolo propriamente Dito (UDP) Diversos parâmetros

STUN – Binding

Request RESPONSE-ADDRESS

Indica para que endereço a resposta deve ser enviada

CHANGE-REQUEST Indica que o servidor deve enviar a

resposta com IP OU porta diferentes

STUN – Binding Response

MAPPED-ADDRESS Indica qual o endereço público do cliente

SOURCE-ADDRESS Indica IP do servidor

CHANGED-ADDRESS Indica IP e porta para onde a resposta foi enviada

REFLECTED-FROM IP e porta do cliente que fez o request

STUN – Binding Ambos

USERNAME/PASSWORD Definidos pelo Shared Secret

MESSAGE-INTEGRITY HMAC (Keyed-Hashing for Message

Authentication ) Error

ERROR-CODE UNKNOWN-ATTRIBUTES

STUN - Cenário

Suponha uma aplicação multimídia que necessite saber se Está na Internet diretamente Tem um Firewall que bloqueia UDP Tem um Firewall que permite UDP de

saída Qual o tipo de NAT

STUN - Cenário

Sim

Sim

Não

Não

Não Sim

Não

SimSim

Não

Teste 1

Resp?

UDP bloqueadoIP público

Firewall de UDP simétrico

Mesmo IP?

Resp?

Teste 2

NAT Full Cone

NATSymmetric

NATRestricted

NATPort Restricted

Teste 2

Resp?

Teste 3

Teste 1

Resp?

Binding request simples (sem mudanças de IP)

Binding request. Mudança de IP e porta (CHANGE-ADDRESS)

Binding request. Apenas mudança de porta (CHANGE-ADDRESS)

Sim

Não

Binding request simples usando o endereço e porta secundários do servidor

Mesmo IP?

STUN no mercado

Implementação Open Source disponível http://sourceforge.net/projects/stun/

STUN no mercado

VoIP (OpenPhone) http://sourceforge.net/projects/

openphone/

STUN no mercado

XTunnels Solução OpenSource de conectividade

Usa STUN, mas não exclusivamente http://xtunnels.org:3455/1/Home

Conclusão

Deve ser visto como um Co-protocolo

Não funciona com Symmetric NAT Máquina intermediária (Relay)

Não faz milagres Servidor é um ponto de falha na

rede Segurança, Tolerância a falha

Bibliografia IETF 2003. RFC 3489. STUN - Simple Traversal of User

Datagram Protocol (UDP) Through Network Address Translators (NATs). http://www.ietf.org/rfc/rfc3489.txt

IETF 1996. RFC1918. Address Allocation for Private Internets. http://www.ietf.org/rfc/rfc1918.txt

Jeff Tyson. How Network Address Translation Works. http://computer.howstuffworks.com/nat.htm

Newport Networks. White paper: Solving the Firewall and NAT Traversal Issues for Multimedia over IP Services. http://www.newport-networks.com/whitepapers/nat-traversal.html

UPnP Forum. http://www.upnp.org Implentaçao STUN. http://sourceforge.net/projects/stun/ OpenVoIP. http://sourceforge.net/projects/openphone Xtunnels. http://xtunnels.org:3455/1/Home