Layer 4: 전송 계층

Layer 4: 전송 계층 개요

• Layer 4는 end-to-end 데이터 전송을 위한 논리적 통신 역할을 담당
• 연결 지향적(connection-oriented)인지 비연결 지향적인지(connectionless) 여부와 IP 및 포트 번호로 식별

Transport Layer Multiplexing

• 한 호스트 내에서 다양한 프로세스로부터 데이터를 전달하는 역할
• Multiplexing은 여러 소켓을 통해 SDU(서비스 데이터 단위)를 받아 전송
• Demultiplexing은 수신된 PDU(프로토콜 데이터 단위)를 적절한 소켓으로 전달
• Socket은 Application과 transport layer 사이의 서비스 액세스 포인트(SAP) 역할
• Transport layer에서는 포트 번호로 식별

Port Number

• Transport layer에서 소켓을 식별하는 데 사용
• 일반적으로 source 및 destination 별로 포트 번호가 존재
• Well-known port number는 표준화된 서비스에 할당

Transport Layer 종류

• Application에 따라 UDP 또는 TCP 중 하나 사용
• UDP는 비신뢰적이고 연결 없는 서비스 제공, transparent
• TCP는 신뢰적이고 연결 지향적인 서비스 제공, 혼잡 제어 기능 포함
• UDP와 TCP 모두 IP 상위 계층에서 end-to-end로 segment를 전달하는 역할
• Best-effort 및 unreliable delivery service (IP) 상에서 작동
• Application process에게 적절하게 packet 전달 (Socket to socket)

User Datagram Protocol (UDP)

• 간단한 multiplexing/demultiplexing 기능을 제공하는 프로토콜
• 헤더에 포트 번호와 checksum만 추가
• Application 계층에서 flow control 및 기타 기능을 구현
• Segment 전송 방식이 단순하며 연결 과정 없이 바로 전송 가능
• Application process에서 socket 생성 시 transport layer에서 포트 번호가 즉시 부여
• UDP segment 송수신 시 destination IP 및 port number가 필요
• 상대방 호스트의 포트가 열려있으면 항상 전송 가능하며, IP 및 port 번호를 지정하여 즉시 전달
• application-level에서의 데이터 전송 제어가 용이하고 connection establishment 과정이 불필요
• Connection state에 대한 관리 및 관련 동작 제한이 없으며 Packet header overhead가 적음

Transmission Control Protocol (TCP)

• Connection-oriented 프로토콜로, 연결 설정 과정이 필요
• Connection이 존재해야 segment 전달이 가능
• Four tuple(source IP/port number, destination IP/port number)로 식별
• Source에 대한 정보까지 대조하여 socket에 mapping
• Process 간 three-way handshake를 통해 connection establishment 수행
• 특정 포트로 connection establishment 메시지를 수신한 후 소켓과 포트 번호가 연동
• Point-to-point 연결을 지원하며 Client process에서 연결 initiation 수행
• Server process에서는 IP address/port에 대해 연결 승인
• 상대방의 존재를 알리고, optional parameter를 결정하며, transport entity resource 할당
• Sequence no.는 Byte 시작점을 나타내고, ACK no.는 다음번 수신해야 할 Byte offset을 나타냄
• Receive window는 한번에 최대로 보낼 수 있는 byte수를 나타냄
• Retransmission과 함께 flow control을 수행

Congestion Control

• UDP와 달리 TCP는 혼잡 제어를 수행
• 네트워크의 혼잡을 방지하기 위해 자체적으로 flow control 수행
• 일시적인 delay가 발생할 수 있지만, 네트워크 전체 관점에서 이득
• Window management는 일반적으로 window가 크면 혼잡을 유발할 가능성이 크므로 slow start 및 dynamic window sizing과 같은 규칙하에 관리
• Slot start & Dynamic window sizing을 통해 정상적인 전송-feedback 상황에서 window 크기를 서서히 확장
• 혼잡 상황에서는 임의로 window size를 줄임

Dynamic Host Configuration Protocol (DHCP)

• 서비스 시나리오는 다음과 같다
• 특정 호스트가 네트워크에 새로 등장
• DHCP server에 IP 주소 요청
• DHCP server로부터 IP 주소를 할당하는 response 메시지 수신

DHCP 4단계 시나리오

• DHCP server discovery: DHCP server를 찾는 메시지를 UDP port 67을 통해 broadcasting
• IP 주소는 255.255.255.255로 설정
• DHCP server offer: DHCP server가 자신의 존재를 알리는 메시지를 broadcasting
• DHCP request: IP 주소 할당 요청
• DHCP ACK: IP 주소 할당 승인

Network Address Translation (NAT)

• IPv4 주소 부족 문제를 해결하여 IPv4가 오늘날까지 생존하게 한 중요한 알고리즘
• 절대적으로 수가 부족한 IP address를 국지적으로 사용할 수 있게 해줌
• Small office, home office (SOHO) subnet에 적합
• 비슷한 개념을 확장하여 LTE에서도 활용
• 초기에는 ISP로부터 일정 IP 대역을 할당 받지만, subnet이 커지면서 연속된 IP를 받기 어려워짐
• 하나의 공인 IP 주소를 사용하여 내부 subnet의 여러 host들이 인터넷에 접속할 수 있도록 함
• Out-going IP + port 번호와 내부 IP/port를 mapping
• NAT translation table을 통해 outer->internal routing 수행
• 초기 Outgoing packet에 대해 translation table 항목을 생성하고 port번호 부여
• 외부 IP 주소 하나를 통해 여러 host들이 손쉽게 networking할 수 있으며 부족한 IP address 수에 대한 강력한 보완책
• Internal network내 host를 감추는 역할
• 외부에서는 어떤 host든 single IP로 밖에 보이지 않음

NAT 한계점

• In-going packet으로 연결이 시작되는 서비스가 불가능

Universal Plug and Play (UPnP)

• P2P file-sharing 또는 VoIP와 같이 외부에서 접속이 필요한 서비스를 NAT 환경에서 지원하기 위한 프로토콜
• Host가 주변 NAT와 사전 configuration 진행
• Private IP/port와 public IP/port를 미리 지정
• Outside node에서 해당 IP/port로 internal host에 접속 가능

Network Address Translation (NAT) Issue

• Port 번호의 용도가 잘못됨
• host를 지칭하는 것이 아닌, service를 지칭해야 함
• Layered architecture concept에 어긋남
• IP header에 대한 관리는 L3에서만 해야 함
• IP header에 대한 생성/조작은 End-to-end 단계에서만 다루어져야 함
• IPv4의 다음 기술인 IPv6이 널리 퍼지는 것을 제대로 막음
• Networking 기술이 다음 세대로 가지 못하고 있음

방화벽(Firewall)

• Internal network와 internet의 경계를 짓는 존재
• 특정 packets만 통과시키고 나머지는 차단
• Internal network와 internet 간의 대문(gateway) 역할 수행
• 네트워크 보안 측면에서 중요한 역할
• 네트워크 관리자가 외부 접속에 대한 관리를 가능하게 해줌

방화벽(Firewall) Three goals

• 모든 양방향의 traffic이 firewall을 통과하도록 구성
• 외부 internet과 관리 대상인 내부 망의 boundary 역할
• Local security policy에 의해 규정된 허용 트래픽만 통과시킴
• 유입/유출되는 traffic에 대해 관리자가 지정한 정책에 따라 흐름을 제어
• Firewall 자체는 보안에 매우 강해야 함
• Firewall이 공격당하기 쉬우면 없는 것이 더 나음
• Administrator-specific rule에 따라 gateway router에서 packet의 통과를 허용하거나 drop을 수행
• 보안적인 측면과 더불어 Internal network의 용도 및 관리자의 의도에 맞게 적절히 filter를 수동으로 설정
• IP와 port 번호를 조합해서 규칙 생성 가능
• 실제 firewall rule은 access control list를 설정해서 구현

Categories of Firewalls : Stateful Packet Filter

• Connection 별로 filtering 규칙이 적용

Categories of Firewalls : Application Gateway

• Filtering이 packet 기반(IP, port number 등)이 아닌 application 수준의 상황에 따라 이루어져야 함
• 특정 Internal user에게만 telnet service 허용