A camada de rede: plano de dados

A camada de rede transporta datagramas entre hospedeiros por um caminho de roteadores. O hospedeiro remetente coloca um segmento de transporte dentro de um datagrama. Cada roteador lê o cabeçalho da camada de rede e encaminha o datagrama em direção ao destino. No hospedeiro receptor, a camada de rede entrega o segmento ao TCP, UDP ou outro protocolo da camada superior.

Uma decisão local e um plano para toda a rede

O encaminhamento move um pacote que chega de um enlace de entrada para um enlace de saída em um roteador. Ele também pode descartar um pacote ou enviar cópias a vários enlaces. A decisão ocorre para cada pacote, geralmente em hardware e em uma escala de tempo de nanossegundos.

O roteamento determina caminhos pela rede. O software de roteamento troca informações e calcula rotas, normalmente em escalas de tempo muito maiores, como segundos. Planejar uma viagem de carro se assemelha ao roteamento; tomar a saída escolhida em um entroncamento se assemelha ao encaminhamento. O roteador não executa novamente seu algoritmo de roteamento para cada pacote que chega.

Suponha que uma entrada de encaminhamento associe 10.20.0.0/16 à interface 2. Quando um datagrama para 10.20.7.1 chega, a consulta seleciona a interface 2. A operação por pacote aplica uma decisão existente. Uma falha de enlace pode fazer posteriormente o processo de roteamento substituir a entrada.

Os dois planos e suas tabelas

O plano de dados executa essas operações locais sobre os pacotes. O plano de controle decide as rotas e fornece as tabelas. Roteadores tradicionais executam, cada um, um componente de roteamento, trocam mensagens de roteamento e calculam suas próprias tabelas. Em redes definidas por software, um controlador logicamente centralizado instala entradas remotamente; os comutadores continuam tratando os pacotes localmente.

A base de informações de roteamento (RIB) armazena rotas aprendidas pelo plano de controle. A base de informações de encaminhamento (FIB) é a estrutura de consulta derivada dessas rotas para o plano de dados. Comandos às vezes chamam qualquer uma das estruturas de “tabela de roteamento”, então sua função importa mais que o nome informal.

Um roteador é um tipo de comutador de pacotes, um dispositivo que move pacotes de acordo com campos do cabeçalho. Um comutador da camada de enlace normalmente seleciona pelo endereço MAC de destino. Um roteador normalmente seleciona pelo endereço IP de destino. O processamento da camada de rede existe tanto em hospedeiros quanto em roteadores; a comunicação de aplicação e transporte ocorre entre os hospedeiros finais.

O que o IP promete

O modelo de serviço de uma rede estabelece suas garantias de entrega. Entre as possíveis garantias estão entrega dentro de um prazo, chegada em ordem, largura de banda mínima ou entrega confiável. O IP da internet oferece serviço de melhor esforço: nenhuma dessas garantias e nenhuma garantia de segurança incorporada. Um datagrama pode ser perdido, atrasado, duplicado ou chegar fora de ordem. O IP não o retransmite.

O IP também não é orientado a conexão. Cada datagrama carrega as informações usadas para encaminhá-lo; a camada de rede não estabelece primeiro uma conexão fim a fim. Pacotes de uma mesma conversa podem seguir caminhos diferentes.

Aplicações úteis ainda funcionam porque outras partes do sistema fornecem o que elas precisam. O TCP detecta perdas e restaura a ordem dos bytes nas extremidades. O controle de congestionamento ajusta as taxas de envio, as operadoras acrescentam capacidade e servidores de conteúdo próximos encurtam os caminhos. Portanto, uma transferência TCP bem-sucedida não significa que o próprio IP garantiu a entrega.

O caminho de dados de um roteador tem um lado de entrada, uma conexão interna e um lado de saída. Seu software de controle fornece as informações que esses componentes aplicam.

As quatro partes

Uma porta de entrada recebe bits, remove o enquadramento da camada de enlace de entrada e consulta a porta de saída. A estrutura de comutação transfere o pacote internamente. Uma porta de saída armazena pacotes em buffer, monta o quadro de saída e o transmite. O processador de roteamento executa software do plano de controle e de gerenciamento ou se comunica com um controlador SDN. As funções de entrada e saída de um enlace bidirecional geralmente compartilham uma placa de linha.

A 10 Gb/s, um pacote de 64 bytes contém 512 bits e ocupa 51,2 ns, resultando em cerca de 19,5 milhões de chegadas de pacotes por segundo. A 100 Gb/s, o intervalo correspondente é de 5,12 ns. Esses cálculos, que consideram apenas os pacotes, explicam a necessidade de consultas em hardware. Uma cópia da tabela de encaminhamento em cada placa de linha permite que as portas funcionem sem consultar um processador central para cada pacote.

Correspondência pelo prefixo mais longo

Uma tabela IP agrupa destinos em prefixos. Um destino pode corresponder a várias entradas; a correspondência pelo prefixo mais longo seleciona a entrada correspondente com o maior comprimento de prefixo.

10.20.30.77 corresponde às quatro entradas, então /24 seleciona a interface 2. Para 10.20.31.5, /16 vence e seleciona a interface 1. Para 10.99.1.1, /8 seleciona a interface 0. Apenas a rota padrão /0 corresponde a 172.16.0.1, resultando na interface 3. A ordem da tabela não determina o resultado.

Prefixos podem terminar dentro de um octeto. 192.168.8.0/21 abrange os valores de 8 a 15 no terceiro octeto; 192.168.12.0/22 abrange de 12 a 15. Assim, 192.168.12.9 usa /22, enquanto 192.168.9.200 usa /21. Compare os bits do prefixo, não o número de grupos pontuados correspondentes. A sobreposição permite uma rota agregada ampla junto de uma exceção com prefixo mais específico.

Uma memória ternária endereçável por conteúdo (TCAM) compara entradas em paralelo, incluindo bits curinga, e pode retornar uma correspondência em cerca de um ciclo de clock dentro de sua capacidade de hardware. O processamento de entrada também verifica a versão do IP, a soma de verificação IPv4 e o TTL, atualiza o TTL e a soma de verificação e registra contadores.

Três maneiras de mover o pacote

A comutação por memória copia um pacote para a memória compartilhada e depois o retira. Cada pacote consome duas transferências de memória, então um sistema de memória que suporta B transferências por segundo tem um limite de B/2 pacotes por segundo antes de outros custos.

A comutação por barramento envia o pacote por um barramento compartilhado com um rótulo de saída. Um pacote atravessa por vez; a largura de banda do barramento limita a vazão agregada.

Uma rede de interconexão, como uma matriz de comutação, pode mover pacotes para saídas diferentes simultaneamente. Uma matriz para N entradas e N saídas usa 2N barramentos. Dois pacotes que disputam a mesma saída ainda precisam de arbitragem. Roteadores grandes combinam estágios, células de tamanho fixo e planos paralelos da estrutura de comutação; uma taxa da estrutura de N vezes a taxa de linha é a capacidade agregada ideal para N entradas.

Uma decisão correta de encaminhamento não garante transmissão imediata. Um pacote pode esperar pela estrutura de comutação ou por seu enlace de saída, e buffers finitos podem ficar sem espaço.

Onde a fila se forma

A formação de filas de entrada ocorre quando a estrutura de comutação não consegue aceitar pacotes na mesma velocidade em que as entradas os fornecem. Com uma fila FIFO por entrada, o bloqueio de início de fila (HOL) prende um pacote atrás de outro anterior que espera por uma saída ocupada, mesmo quando a saída do pacote posterior está livre. Para comutadores grandes com tráfego aleatório uniforme, essa organização tem um limite de vazão próximo de 58,6% da taxa de linha. Filas virtuais de saída separadas em cada entrada eliminam esse bloqueio específico.

A formação de filas de saída ocorre quando as chegadas para uma saída superam sua taxa de linha. Se três pacotes iguais chegam a uma saída no tempo de transmissão de um pacote, um pode sair e dois esperam. Uma estrutura de comutação rápida não torna o enlace de saída mais rápido.

Qual deve ser o tamanho do buffer?

A regra clássica de dimensionamento é $B=\text{RTT}\times C$, com RTT em segundos e capacidade C em bits por segundo. Um RTT de 250 ms e um enlace de 10 Gb/s resultam em 2,5 Gb, ou 312,5 MB. Com N fluxos TCP de longa duração e não sincronizados, a regra alternativa $B=\frac{\text{RTT}\times C}{\sqrt{N}}$ resulta em 25 Mb, ou 3,125 MB, para 10.000 fluxos. São regras de dimensionamento para condições de tráfego diferentes, não garantias intercambiáveis para qualquer fila.

Buffers grandes podem causar atraso excessivo por acúmulo em buffers. Quase 1 MB na fila à frente de um pacote admitido em um enlace de 10 Mb/s leva cerca de 0,8 s para ser transmitido: converta os bytes em 8.000.000 bits e depois divida pela taxa. Com descarte na cauda, um novo pacote que chega a um buffer completamente cheio é descartado.

Descarte e escalonamento são diferentes

O gerenciamento de buffers decide quais pacotes descartar ou marcar. O descarte na cauda rejeita novos pacotes que chegam a um buffer cheio. O descarte baseado em prioridade remove primeiro o tráfego de menor prioridade. O gerenciamento ativo de filas age antes: o RED aumenta sua probabilidade de descarte ou marcação conforme o comprimento médio da fila cresce. Com ECN, um roteador pode marcar congestionamento em um pacote IP elegível, permitindo que as extremidades reduzam a carga sem que esse pacote seja perdido.

O escalonamento escolhe o próximo pacote a transmitir:

• FIFO atende na ordem de chegada.
• Prioridade estrita atende à classe não vazia de maior prioridade, geralmente em FIFO dentro de cada classe. Um escalonador sem preempção termina o pacote que já está sendo transmitido. Se o pacote 1 de baixa prioridade está em transmissão quando chegam o 2 de alta, o 3 de baixa e o 4 de alta, a ordem de saída é 1, 2, 4, 3.
• O escalonamento circular dá a cada classe não vazia um turno de pacote e pula filas vazias. Para A contendo a1, a2, a3 e B contendo b1, a ordem de saída é a1, b1, a2, a3. Um escalonador conservativo de trabalho continua transmitindo sempre que algum pacote espera.
• O enfileiramento justo ponderado (WFQ) considera os comprimentos dos pacotes para aproximar o atendimento ponderado bit a bit. Uma classe que mantém pacotes na fila recebe aproximadamente seu peso dividido pela soma dos pesos ativos, multiplicado pela taxa do enlace. Pesos 5:3:2 em 100 Mb/s resultam em 50, 30 e 20 Mb/s quando todas estão ocupadas. Se a terceira ficar vazia, as outras recebem 62,5 e 37,5 Mb/s. Os pesos fornecem parcelas, não limites fixos; contar apenas turnos de pacotes resulta em parcelas diferentes de largura de banda quando os tamanhos dos pacotes diferem.

Esses mecanismos permitem que as operadoras priorizem, reduzam a velocidade ou bloqueiem tráfego. A possibilidade de provedores tratarem conteúdo ou aplicações lícitas de forma diferente é a questão de política pública chamada neutralidade de rede. Suas regras legais dependem do país e da data.

Um datagrama IPv4 consiste em um cabeçalho seguido de uma carga útil, geralmente um segmento de transporte. O cabeçalho usual tem 20 bytes; opções podem ampliá-lo para 60. Comprimento total é uma contagem de bytes de 16 bits, permitindo até 65.535 bytes. A Ethernet geralmente transporta pacotes IP de até 1.500 bytes.

Leia os campos na ordem de transmissão

As opções seguem esses campos quando o IHL supera 5. Como cada palavra do IHL tem quatro bytes, IHL 5 significa 20 bytes e IHL 15 significa 60. Subtraia esse tamanho de cabeçalho do Comprimento total para encontrar o tamanho da carga útil.

O DSCP permite classificar o tráfego e o ECN transporta informações de congestionamento. Cada roteador reduz o TTL em pelo menos 1. Quando ele expira, o roteador descarta o datagrama e normalmente envia uma mensagem ICMP de tempo excedido. O TTL geralmente começa em 64, 128 ou 255. Protocolo identifica TCP (6), UDP (17), ICMP (1) ou IPv6 encapsulado (41); ele não identifica uma porta de aplicação.

Decodifique um cabeçalho completo

Considere estes bytes hexadecimais:

45 00 00 34 1C 46 40 00 40 06 32 2C C0 00 02 0A C6 33 64 14

45 indica versão 4 e IHL 5. O comprimento total 0034 é 52 bytes, restando 32 bytes de carga útil. A identificação 1C46 é 7238. A palavra de indicadores e deslocamento 4000 define DF, deixa MF em zero e fornece deslocamento 0. O TTL 40 é 64, o Protocolo 06 significa TCP e a soma de verificação é 322C. Os bytes de origem resultam em 192.0.2.10 e os de destino em 198.51.100.20.

Calcule a soma de verificação do cabeçalho

Defina o campo da soma de verificação como zero e some as palavras de 16 bits usando aritmética de complemento de um. Some cada vai um acima do bit 16 de volta à extremidade menos significativa e depois inverta os bits.

Para esse cabeçalho, as palavras são 4500 0034 1C46 4000 4006 0000 C000 020A C633 6414. Sua soma comum é 0x2CDD1. Somar o vai um de volta resulta em 0xCDD1 + 0x0002 = 0xCDD3; a inversão resulta em 0x322C. A verificação inclui a soma armazenada e produz 0xFFFF quando nenhum erro é detectado. Reduzir o TTL de 64 para 63 altera 4006 para 3F06, então a soma de verificação atualizada é 0x332C.

A soma de verificação protege apenas o cabeçalho IP. O TCP verifica separadamente seu segmento e um pseudocabeçalho com endereços IP, de ponta a ponta. A soma de verificação do UDP é opcional sobre IPv4; zero significa que foi omitida. Com cabeçalhos IP e TCP de 20 bytes, um datagrama de 1.500 bytes transporta 1.460 bytes de aplicação, então a sobrecarga conjunta dos cabeçalhos é de cerca de 2,7%.

O encaminhamento normal preserva os endereços IP de origem e destino enquanto substitui o endereçamento da camada de enlace em cada enlace. O NAT é uma exceção que reescreve endereços IP. As opções IPv4, como o registro de rota, tornam o cabeçalho variável e frequentemente exigem processamento mais lento.

A unidade máxima de transmissão (MTU) de um enlace limita o tamanho do datagrama IP que ele pode transportar. Quando um pacote IPv4 é grande demais para o próximo enlace, um roteador pode fragmentá-lo se DF estiver em zero. Cada fragmento precisa de seu próprio cabeçalho IP, então nem toda a MTU está disponível para dados.

Determine os tamanhos dos fragmentos

Para um datagrama sem opções:

1. Subtraia o comprimento do cabeçalho do comprimento total original.
2. Subtraia um cabeçalho da MTU para encontrar o espaço por fragmento.
3. Arredonde esse espaço para baixo até um múltiplo de 8 em cada fragmento que não seja o último.
4. Divida a carga útil, colocando o restante no último fragmento.
5. Divida por 8 os bytes de carga útil anteriores a cada parte para obter seu deslocamento.
6. Acrescente um cabeçalho a cada parte para obter seu Comprimento total; defina MF em todas, exceto na última.

Os fragmentos compartilham um valor de Identificação. Junto com a origem, o destino e o protocolo, ele identifica o datagrama original. MF significa que há mais fragmentos na ordem da carga útil. O deslocamento mede a posição na carga útil original, nunca no cabeçalho original.

Um datagrama de 4.000 bytes

Com um cabeçalho de 20 bytes e MTU de 1.500, a carga útil tem 3.980 bytes. O espaço para dados é de 1.480 bytes, já divisível por 8.

O segundo deslocamento é 1.480 dividido por 8. O terceiro é 2.960 dividido por 8. A carga útil ainda soma 3.980 bytes, mas os três cabeçalhos fazem o total transmitido chegar a 4.040 bytes.

Para um datagrama de 2.400 bytes com cabeçalho de 20 bytes e MTU de 1.000, o espaço de 980 bytes é arredondado para baixo até 976. As partes de dados têm 976, 976 e 428 bytes. Os comprimentos totais são 996, 996 e 448; os deslocamentos são 0, 122 e 244; os valores de MF são 1, 1 e 0. Preencher cada fragmento não final até 1.000 bytes no total violaria a regra de alinhamento dos deslocamentos.

Remonte no destino

Apenas o hospedeiro de destino remonta o datagrama original. Os fragmentos podem chegar fora de ordem ou ser fragmentados novamente em um enlace menor. O destino posiciona os dados pelo deslocamento e identifica a posição final a partir do fragmento com MF 0. O fato de esse último fragmento chegar primeiro não significa que a remontagem esteja completa: todos os bytes anteriores também precisam estar presentes. Fragmentos ausentes acabam fazendo o tempo limite de remontagem expirar.

A fragmentação acrescenta cabeçalhos e torna a perda mais custosa: um fragmento ausente impede a entrega do segmento de transporte inteiro. Os números de porta aparecem no primeiro fragmento, o que complica a filtragem e o NAT para os fragmentos posteriores. Fragmentos sobrepostos também podem criar problemas de segurança.

Descubra o limite do caminho

Com o indicador de não fragmentar (DF) definido, um datagrama IPv4 grande demais é descartado. O roteador retorna uma mensagem ICMP de destino inalcançável, tipo 3 código 4, informando que a fragmentação é necessária e fornecendo a MTU do próximo enlace. A descoberta da MTU do caminho usa essa informação para reduzir o tamanho dos pacotes. Bloqueá-la pode criar um buraco negro no qual pacotes pequenos funcionam, mas os grandes desaparecem.

Para TCP sobre uma MTU de 1.500 com cabeçalhos IP e TCP de 20 bytes, o MSS de dados é de 1.460 bytes. Roteadores IPv6 nunca fragmentam: eles retornam uma mensagem ICMPv6 de pacote grande demais para que a origem possa reduzir o tamanho do pacote ou fragmentá-lo na origem.

Um hospedeiro precisa de um endereço IP, uma máscara de sub-rede ou comprimento de prefixo, um gateway padrão e endereços de servidores DNS. O Protocolo de Configuração Dinâmica de Hospedeiros (DHCP) fornece essas configurações automaticamente. Em uma rede pequena, o roteador frequentemente atua como servidor; uma rede maior pode usar um servidor dedicado para várias sub-redes.

Discover, Offer, Request, ACK

O DHCP usa UDP, com a porta 67 para o servidor e a porta 68 para o cliente. Um novo cliente ainda não tem endereço nem conhece um servidor, então a troca inicial usa entrega por difusão.

1. Discover: o cliente envia de 0.0.0.0:68 para 255.255.255.255:67. Um identificador de transação associa as respostas a essa troca, e a mensagem contém o endereço MAC do cliente.
2. Offer: um servidor propõe um endereço, a duração da concessão e as configurações. Mais de um servidor pode responder.
3. Request: o cliente envia por difusão o endereço escolhido e o identificador do servidor. Os demais servidores que fizeram ofertas podem ver que não foram selecionados.
4. ACK: o servidor selecionado confirma a concessão. O cliente pode concluir a configuração e usar o endereço.

Por exemplo, um notebook conecta-se a uma rede cujo servidor DHCP é 192.168.1.1. A oferta é 192.168.1.101 com máscara 255.255.255.0, gateway 192.168.1.1, servidor DNS 192.168.1.1 e concessão de 86.400 s. Depois que o notebook envia seu Request por difusão e recebe o ACK, ele tem uma concessão de 24 horas e as configurações para tráfego local e remoto.

Uma Offer, por si só, não conclui a atribuição. Um NAK rejeita uma solicitação que não é mais válida, como uma associada à rede errada, e o cliente precisa reiniciar a obtenção do endereço.

Mantenha ou libere o endereço

Uma concessão de endereço permite a reutilização depois que um hospedeiro sai. Com os temporizadores padrão, a renovação começa na metade da duração da concessão: o cliente envia um Request unicast ao servidor original. Se a renovação falhar, ao atingir 87,5% da duração ele envia um Request por difusão para que qualquer servidor adequado possa estender a concessão. Portanto, uma concessão de 24 horas tem tempos padrão de renovação e de revinculação de 12 e 21 horas após a obtenção.

Se a concessão expirar sem extensão, o cliente deverá parar de usar esse endereço. Um cliente pode enviar Release ao sair, enquanto Decline informa que o endereço oferecido já está em uso. O endereço atribuído em uma visita posterior pode ser diferente porque o DHCP gerencia um conjunto reutilizável, não a posse permanente.

Acesse um servidor em outra sub-rede

Os roteadores não encaminham a difusão limitada do cliente como tráfego comum. Um agente de retransmissão DHCP na sub-rede do cliente passa a mensagem a um servidor remoto configurado. Seu campo de endereço do gateway identifica a sub-rede do cliente, permitindo que o servidor escolha o conjunto correto. As respostas retornam ao cliente pelo agente de retransmissão.

O agente de retransmissão e o gateway padrão cumprem funções diferentes, mesmo quando o mesmo roteador fornece ambos. A retransmissão leva a troca de configuração a um servidor remoto; o gateway padrão transporta o tráfego do hospedeiro configurado em direção a outras redes. Da mesma forma, o servidor DNS resolve nomes e não precisa ser o servidor DHCP.

Um endereço válido com o gateway padrão incorreto ainda pode deixar um hospedeiro sem acesso a destinos fora do enlace. O IPv6 tem mecanismos de configuração próprios, incluindo SLAAC a partir de anúncios de roteador e DHCPv6.

Endereços IPv4 privados podem ser reutilizados em redes independentes. Os blocos privados são 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16. Eles não são roteados globalmente na internet pública. A tradução de endereços de rede (NAT) permite que dispositivos com endereços privados se comuniquem usando um endereço público na borda da rede.

Registre o mapeamento antes de acompanhar a resposta

Roteadores residenciais normalmente fazem tradução de endereços e portas de rede (NAPT). O roteador altera o endereço de origem e a porta de transporte de origem de um pacote de saída e registra o par privado e público. O par de destino de um pacote de retorno é traduzido de volta. Também existe NAT um para um, que mapeia endereços sem alterar portas.

Um notebook em 192.168.1.101:50123 conecta-se a 203.0.113.80:443. Seu roteador NAT tem o endereço público 198.51.100.7 e aloca a porta 40001:

A tabela contém 198.51.100.7:40001 ↔ 192.168.1.101:50123. Se um celular em 192.168.1.102 usar a mesma porta privada para contatar esse servidor, o roteador poderá alocar a porta pública 40002. A porta pública diferencia o tráfego de retorno; a porta privada, sozinha, não o diferenciaria.

Reescrever o endereço IPv4 altera a soma de verificação do cabeçalho. O TCP e o UDP com soma de verificação também cobrem endereços IP por meio de seus pseudocabeçalhos, então suas somas precisam ser ajustadas. O NAPT também reescreve uma porta de transporte. O servidor normalmente vê a origem pública traduzida, não a privada.

Mapeamentos têm tempo de vida

O tráfego de saída geralmente cria mapeamentos dinâmicos. Um pacote de entrada não solicitado sem mapeamento correspondente é descartado nessa organização básica. Para disponibilizar um serviço interno, pode-se instalar uma entrada estática de redirecionamento de portas ou um hospedeiro pode solicitar um mapeamento por UPnP ou Protocolo de Controle de Porta. O STUN ajuda um hospedeiro a descobrir seu mapeamento público; o TURN retransmite o tráfego quando não é possível estabelecer comunicação direta.

Mapeamentos inativos expiram. Os requisitos de comportamento do UDP pedem um tempo limite de pelo menos dois minutos, com recomendação de cinco ou mais. O tráfego de manutenção pode preservar um mapeamento. O campo de porta de 16 bits fornece 65.536 valores numéricos por protocolo, mas portas reservadas e o comportamento dos mapeamentos significam que esse número não é uma garantia exata de conexões simultâneas.

O que o NAT resolve e quais são seus custos

O compartilhamento de um endereço público prolongou o uso do IPv4. Provedores também podem usar NAT de operadora, frequentemente atribuindo aos clientes endereços do bloco compartilhado 100.64.0.0/10. Uma conexão residencial pode então passar tanto pelo NAT doméstico quanto por um NAT do provedor.

A tradução reduz a alcançabilidade direta fim a fim e complica protocolos que carregam endereços no corpo de suas mensagens, como SIP ou FTP em modo ativo. O NAT também altera campos de transporte. O IPv6 trata a escassez subjacente com um espaço de endereços maior.

A rejeição pelo NAT do tráfego de entrada sem correspondência não é inspeção de conteúdo. Um programa malicioso pode abrir uma conexão de saída pelo mesmo mecanismo de mapeamento usado por um cliente legítimo. A política de firewall continua sendo uma função de segurança separada.

O IPv4 tem endereços de 32 bits, aproximadamente 4,3 bilhões de valores possíveis. A IANA distribuiu seus últimos blocos IPv4 do conjunto central em fevereiro de 2011. O IPv6 amplia os endereços para 128 bits, cerca de 3,4 × 10³⁸ valores, e simplifica o processamento rotineiro do cabeçalho. A RFC 8200 especifica seu formato básico de pacote.

Um cabeçalho fixo de 40 bytes

Os campos somam 320 bits, ou 40 bytes. Limite de saltos cumpre o papel do TTL no IPv4: cada roteador que encaminha o pacote o reduz em 1 e o descarta quando ele expira. O rótulo de fluxo pode ajudar roteadores e balanceadores de carga a tratar um fluxo de forma consistente, por exemplo, selecionando um caminho estável. Ele não promete largura de banda.

O Comprimento da carga útil exclui o cabeçalho fixo, mas inclui cabeçalhos de extensão. Um segmento TCP de 1.000 bytes sem extensões resulta, portanto, em Comprimento da carga útil 1.000 e tamanho total de 1.040 bytes. Em contrapartida, o Comprimento total do IPv4 inclui seu cabeçalho.

Acompanhe a cadeia de Próximo cabeçalho

Próximo cabeçalho identifica um protocolo da camada superior ou uma extensão. Os valores incluem TCP 6, UDP 17 e ICMPv6 58; os tipos de extensão incluem Opções salto a salto 0, Roteamento 43, Fragmento 44 e Opções de destino 60. O próprio campo Próximo cabeçalho de uma extensão identifica o que vem em seguida.

Para um fragmento criado pela origem que transporta 600 bytes de um segmento TCP, um cabeçalho de Fragmento de 8 bytes faz o Comprimento da carga útil ser 608. O cabeçalho fixo indica Próximo cabeçalho 44; o cabeçalho de Fragmento indica Próximo cabeçalho 6. O tamanho total do fragmento é de 648 bytes. Ler apenas o primeiro Próximo cabeçalho levaria a confundir uma extensão com o protocolo de transporte.

O que o IPv6 elimina do encaminhamento rotineiro

O IPv6 não tem soma de verificação no cabeçalho fixo, então alterar o Limite de saltos não exige atualizar uma soma de verificação do cabeçalho de rede. As verificações de erros das camadas de enlace e transporte continuam importantes. As somas de verificação UDP normalmente são obrigatórias sobre IPv6, com uma exceção restrita para certos túneis; elas são opcionais sobre IPv4.

Roteadores IPv6 nunca fragmentam. Um pacote grande demais é descartado e aciona uma mensagem ICMPv6 de pacote grande demais; a origem então reduz o tamanho ou usa um cabeçalho de Fragmento. Todo enlace IPv6 deve suportar uma MTU IPv6 de pelo menos 1.280 bytes, com adaptação da camada inferior quando necessário. A fragmentação ainda existe na origem.

As opções passam para cabeçalhos de extensão, mantendo fixo o comprimento do cabeçalho básico. Os dois endereços ocupam 32 dos 40 bytes, ou 80%. Em um tamanho total de 1.500 bytes, o cabeçalho IPv6 de 40 bytes representa cerca de 2,7% de sobrecarga, em comparação com cerca de 1,3% para o cabeçalho IPv4 usual de 20 bytes.

Notação de endereços e operação local

Escreva os endereços como oito grupos hexadecimais. Remova os zeros iniciais de um grupo e compacte uma sequência de grupos de zeros usando “::”. Assim, 2001:0db8:0000:0000:0000:0000:0000:0001 torna-se 2001:db8::1; 2001:db8::/32 é reservado para documentação.

Hospedeiros podem usar SLAAC com anúncios de roteador ou DHCPv6. O IPv6 tem multicast em vez de difusão. O ICMPv6 transporta a descoberta de vizinhos, que substitui a função do ARP de resolução local de endereços, além de informações essenciais sobre erros. O espaço de endereços maior geralmente elimina a necessidade de NAT para compartilhamento de endereços.

Um hospedeiro que usa apenas IPv4 não pode trocar pacotes IP diretamente com um hospedeiro que usa apenas IPv6. Cada dispositivo de encaminhamento deve entender o pacote que trata, então substituir um protocolo da camada de rede exige uma mudança coordenada em uma enorme rede instalada. Consequentemente, IPv4 e IPv6 coexistem. A pequena ARPANET pôde mudar para TCP/IP em 1º de janeiro de 1983; a internet não pode repetir esse tipo de “dia de virada” universal.

Execute os dois com pilha dupla

Um hospedeiro ou roteador de pilha dupla implementa as duas versões de IP e tem endereços para ambas. O DNS pode retornar registros A para IPv4 e registros AAAA para IPv6. O cliente pode então se conectar usando uma versão compatível com as duas extremidades.

O Happy Eyeballs evita uma demora longa quando um caminho apresenta falha, sobrepondo tentativas de conexão entre os endereços e as famílias disponíveis, geralmente começando por IPv6 e permitindo que o IPv4 venha logo depois. A conexão que tem sucesso é usada. A pilha dupla não traduz pacotes; uma conexão específica usa uma versão de IP.

Transporte IPv6 por um trecho IPv4

Um túnel coloca um datagrama IPv6 completo dentro de uma carga útil IPv4. O cabeçalho IPv4 externo identifica a entrada e a saída do túnel, e Protocolo 41 identifica o IPv6 encapsulado. Roteadores que usam apenas IPv4 podem transportar o pacote usando esse cabeçalho externo sem interpretar o interno.

Suponha que o hospedeiro A, 2001:db8:1::10, envie ao hospedeiro F, 2001:db8:2::20. O roteador B, 192.0.2.1, é a entrada do túnel; o roteador E, 198.51.100.2, é a saída. Os roteadores C e D entre eles tratam apenas IPv4.

B encaminha o pacote IPv6, reduzindo seu Limite de saltos, e acrescenta o cabeçalho externo de B para E. C e D reduzem o TTL IPv4 externo ao encaminhar. E remove o cabeçalho externo, reduz o Limite de saltos interno ao encaminhar em direção a F e envia o pacote IPv6 adiante. Um Limite de saltos inicial de 64 chega a F como 62. O túnel atua como um enlace IPv6; seus roteadores IPv4 internos não consomem, cada um, um salto IPv6. A origem e o destino internos continuam sendo A e F.

O encapsulamento ocupa espaço. Com um cabeçalho IPv4 externo de 20 bytes e uma MTU subjacente de 1.500, restam no máximo 1.480 bytes para todo o datagrama IPv6 interno. O tunelamento também é usado em VPNs e redes móveis.

Faça a tradução para extremidades incompatíveis

O NAT64 converte entre cabeçalhos IPv6 e IPv4, mantendo o estado da tradução. O DNS64 pode sintetizar um destino IPv6 a partir do endereço de um servidor IPv4, frequentemente usando 64:ff9b::/96. Para 192.0.2.33, os quatro últimos bytes são C0 00 02 21 em hexadecimal, resultando em 64:ff9b::c000:221.

Um cliente que usa apenas IPv6 envia dados para esse endereço sintetizado. O NAT64 envia o pacote IPv4 correspondente ao servidor e depois traduz a resposta de volta. O DNS64 fornece o destino utilizável; o NAT64 realiza a conversão do pacote. Algumas redes de acesso móvel exclusivamente IPv6 usam essa organização.

A tradução não consegue preservar todos os recursos: o IPv4 não tem um equivalente direto para o rótulo de fluxo IPv6 nem para sua estrutura de cabeçalhos de extensão. Um túnel preserva um pacote dentro de um encapsulamento, enquanto a tradução altera sua representação de protocolo.

A implantação continua desigual entre redes e países. Um hospedeiro que passa a ter IPv6 não ganha compatibilidade direta com IPv4; ele ainda precisa de suporte a IPv4 ou de um caminho de tradução para se comunicar com um serviço exclusivamente IPv4.

O encaminhamento generalizado amplia a consulta baseada no destino para um modelo mais amplo de correspondência e ação. Um comutador compara campos do cabeçalho do pacote com entradas e executa a ação selecionada. O mesmo dispositivo pode atuar como roteador IP, comutador Ethernet, firewall, tradutor ou balanceador de carga, dependendo das regras instaladas.

Leia uma entrada

Uma entrada especifica campos de correspondência, prioridade e ações. Ela também tem contadores, como pacotes e bytes correspondentes e tempo decorrido desde a instalação. Um tempo limite de inatividade remove uma entrada após um período sem correspondências; um tempo limite absoluto a remove após um tempo fixo desde a instalação, mesmo que o tráfego continue.

O OpenFlow 1.0 fornece doze campos de correspondência: porta de entrada; MAC de origem, MAC de destino, EtherType, ID de VLAN e prioridade de VLAN; IP de origem, IP de destino, protocolo IP e bits DSCP do tipo de serviço IP; e portas de transporte de origem e destino. Eles abrangem várias camadas. O TTL não é um campo de correspondência suportado nessa versão. Versões posteriores suportam campos adicionais, incluindo campos IPv6.

Um curinga aceita qualquer valor em seu campo. Por exemplo, o destino 10.2.. representa 10.2.0.0/16. Curingas em todos os campos criam uma correspondência para qualquer pacote. Uma regra que indica a porta TCP 22 também precisa da correspondência adequada com o protocolo IP/TCP para que o campo de porta de transporte tenha o significado pretendido.

Resolva correspondências sobrepostas

Para regras com curingas sobrepostas, vence a maior prioridade explícita. A especificidade, por si só, não escolhe a vencedora. O OpenFlow 1.0 tem uma regra adicional: uma entrada totalmente exata, sem campos curinga, precede as entradas com curingas. Uma regra que indica um endereço IP exato e deixa outros campos com curingas ainda é uma entrada com curingas.

Considere duas entradas, com curingas em todos os campos não especificados:

Um pacote TCP para 10.2.0.5:22 corresponde às duas e é descartado. Um pacote TCP para 10.2.0.5:443 corresponde apenas à entrada de encaminhamento. Isso difere da correspondência pelo prefixo mais longo: a vencedora é determinada pela prioridade atribuída, não pelo comprimento do prefixo de destino.

Execute uma ação

O encaminhamento pode selecionar uma saída, várias saídas para cópia ou a entrega ao controlador. Uma lista de ações vazia descarta o pacote. Ações de modificação reescrevem campos de cabeçalho suportados, por exemplo, um endereço IP de destino e uma porta de transporte, antes de o pacote ser encaminhado.

Uma ausência de correspondência na tabela ocorre quando nenhuma entrada corresponde. No OpenFlow 1.0, o comutador envia o pacote ao controlador; projetos mais gerais de tabelas de fluxos podem configurar a ausência de correspondência para descartar o pacote ou solicitar ajuda ao controlador. O controlador pode instalar uma entrada para que pacotes posteriores permaneçam no caminho local rápido.

A correspondência de fluxos lê cabeçalhos. Examinar o interior de cargas úteis de aplicação é inspeção profunda de pacotes, uma função separada que a correspondência comum do OpenFlow não oferece. Da mesma forma, o OpenFlow é um protocolo de controle de comutadores, enquanto o SDN é a arquitetura mais ampla que separa controle de encaminhamento. Linguagens de planos de dados programáveis, como P4, podem definir quais cabeçalhos um dispositivo analisa, ampliando a programabilidade além de uma lista fixa de campos de correspondência.

Um comutador pode aplicar uma regra corretamente e, ainda assim, um pacote falhar mais adiante no caminho. As redes definidas por software (SDN) usam um controlador e aplicações de rede para coordenar o comportamento de encaminhamento de vários comutadores.

Separe as funções

O SDN combina encaminhamento baseado em fluxos, separação dos planos de dados e de controle, funções de controle fora dos comutadores e interfaces de software para programar a rede. Uma interface sul, como o OpenFlow, transporta instruções entre o controlador e os comutadores. Uma interface norte permite que aplicações de rede solicitem comportamentos ao controlador.

O controlador é logicamente centralizado: ele apresenta um sistema de controle coordenado. Sistemas em produção podem replicar esse controle em vários servidores físicos para obter escala e confiabilidade. Um pacote já coberto por uma entrada de fluxo é tratado no comutador sem uma ida e volta ao controlador.

Construa um caminho, um comutador por vez

O tráfego de 10.1.0.0/16 em s1 deve chegar a 10.3.0.0/16 por s2 e s3. Com curingas nos demais campos, as entradas relevantes para o caminho são:

• Em s1: entrada 1, origem 10.1.0.0/16, destino 10.3.0.0/16 → saída 4 em direção a s2.
• Em s2: entrada 2, origem 10.1.0.0/16, destino 10.3.0.0/16 → saída 3 em direção a s3.
• Em s3: destino 10.3.0.6 → saída 1 em direção a esse hospedeiro.

Cada saída deve levar a um enlace cujo comutador receptor tenha uma entrada compatível. Uma entrada ausente pode produzir um buraco negro; entradas incompatíveis podem enviar pacotes em um laço. Fazer correspondência com a origem e também com o destino permite que tráfego de redes de origem diferentes siga caminhos diferentes para o mesmo destino. Uma consulta simples apenas pelo destino não consegue fazer essa distinção.

Use o mesmo mecanismo para várias funções

Um firewall pode encaminhar a origem 10.3.0.0/16 com prioridade 200 e descartar todo o tráfego com prioridade 100. Acrescente um descarte para IPv4/TCP com porta de destino 22 e prioridade 300 para bloquear SSH mesmo da rede de origem permitida. Essas são regras com curingas, então suas prioridades explícitas decidem a sobreposição. Inverter essas prioridades permitiria que a permissão mais ampla anulasse o bloqueio de SSH pretendido.

Uma entrada de encaminhamento Ethernet pode corresponder ao MAC de destino 22:A7:23:11:E1:02 e à porta de saída 3 independentemente dos endereços IP. Um par de entradas de balanceamento de carga pode enviar tráfego para 10.4.0.0/16 com origem em 10.1.0.0/16 pela porta 3 e com origem em 10.2.0.0/16 pela porta 4, desde que os dois caminhos cheguem ao destino. A reescrita de endereço e porta antes do encaminhamento pode implementar o comportamento de NAT.

Separe a correção local da correção em toda a rede

Inspecionar um comutador comprova apenas a correspondência e a ação desse comutador. Para verificar um caminho, acompanhe o cabeçalho e a porta de entrada reais do pacote em cada comutador, incluindo eventuais mudanças no cabeçalho. Verifique também a direção de retorno quando a aplicação precisar de respostas: instalar um caminho de ida não instala automaticamente seu caminho inverso.

O SDN é usado em centros de dados, redes entre centros de dados, como a B4 do Google, e núcleos de redes celulares. O controle por software e os comutadores de hardware aberto comum permitem que operadoras mudem o comportamento sem depender do ciclo de recursos de um equipamento dedicado de um único fabricante. O cálculo das rotas pertence ao plano de controle; a correspondência com as entradas instaladas continua sendo trabalho do plano de dados.

Um dispositivo intermediário de rede é um dispositivo no caminho de comunicação que faz mais do que a função padronizada de encaminhamento de um roteador IP comum. A RFC 3234 inclui funções como tradução, filtragem e otimização de tráfego. Um único gateway residencial pode combinar roteamento, NAT e um firewall.

Por que operadoras colocam funções no caminho

O NAT compartilha endereços. Dispositivos de segurança, incluindo firewalls e sistemas de detecção de intrusões, bloqueiam ou sinalizam tráfego com base em cabeçalhos ou conteúdo. Dispositivos de desempenho incluem balanceadores de carga, caches, servidores de distribuição de conteúdo e otimizadores de redes de longa distância. Um pacote pode encontrar várias dessas funções em um único percurso.

Um balanceador de carga apresenta um endereço de serviço aos clientes e distribui conexões entre servidores. Para uma conexão comum com estado, os pacotes precisam chegar ao mesmo servidor de destino. Um hash da tupla de 5 elementos, endereço de origem, endereço de destino, porta de origem, porta de destino e protocolo, pode tornar essa seleção consistente. Escolher um servidor diferente para cada pacote interromperia uma conexão cujo estado existe apenas no servidor selecionado.

Essas funções antes usavam com frequência equipamentos fechados. Agora podem ser executadas em comutadores comuns, sob controle SDN, ou como virtualização de funções de rede (NFV): implementações em software de funções como NAT ou firewalls em servidores comuns. A NFV descreve como a função é implementada; o SDN descreve como o controle é organizado.

O modelo de ampulheta do IP

A internet tem muitas aplicações e protocolos de transporte acima do IP e muitas tecnologias de enlace e físicas abaixo dele. O IP forma sua cintura estreita comum. Uma nova aplicação não precisa de uma camada de rede diferente para cada tecnologia de enlace, e um novo enlace não precisa de suporte separado para cada aplicação.

A tradição arquitetural descrita na RFC 1958 coloca a conectividade no centro, usa IP como mecanismo comum e coloca grande parte da inteligência nas extremidades. Dispositivos intermediários de rede acrescentam funções dentro desse caminho comum, alargando a cintura e fazendo a comunicação depender de comportamentos além do encaminhamento IP comum.

Aplique o argumento fim a fim

O argumento fim a fim, apresentado pela primeira vez por Saltzer, Reed e Clark em 1981, pergunta onde uma função pode ser implementada de forma completa e correta. Se isso exige conhecimento da aplicação disponível apenas nas extremidades, a implementação nas extremidades continua necessária mesmo quando a rede fornece uma versão parcial.

Para uma transferência confiável de arquivo, a entrega sem erros em cada enlace é insuficiente. Um erro na memória de um roteador, um erro de software ou um problema no disco ainda pode alterar o arquivo. A aplicação receptora precisa conferir o arquivo recebido inteiro, por exemplo, com uma soma de verificação acordada, e solicitar reparo se o resultado for diferente. A retransmissão local em um enlace Wi-Fi com ruído ainda pode melhorar o desempenho ao corrigir rapidamente erros comuns. Ela não substitui a verificação do arquivo.

O custo de depender dos protocolos atuais

Dispositivos intermediários de rede podem reduzir o uso de endereços, melhorar a aplicação de políticas de segurança e acelerar a entrega. Eles também podem restringir a comunicação direta e causar ossificação: dispositivos pressupõem um formato de protocolo conhecido e rejeitam ou alteram comportamentos desconhecidos. Um novo protocolo de transporte pode falhar mesmo quando o software das extremidades o suporta.

O QUIC usa UDP para atravessar comportamentos comuns de NAT e firewall já implantados e cifra a maior parte das informações de transporte para que os dispositivos intermediários tenham menos oportunidade de depender de seus detalhes. O projeto equilibra a facilidade de implantação com espaço para evolução. A internet atual inclui comutadores programáveis, sistemas de distribuição de conteúdo e grandes centros de dados; o projeto fim a fim continua sendo um guia para decidir quais verificações nas extremidades são essenciais nessa rede mais complexa.