بروتوكول التحكم في المنافذ

الموسوعة الحرة

بروتوكول التحكم بالمنافذ ( PCP ) هو بروتوكول شبكات حاسوبية يسمح للأجهزة المضيفة على شبكات IPv4 أو IPv6 بالتحكم في كيفية ترجمة حزم IPv4 أو IPv6 الواردة وإعادة توجيهها بواسطة جهاز توجيه رئيسي يقوم بترجمة عناوين الشبكة (NAT) أو تصفية الحزم . وبفضل السماح للأجهزة المضيفة بإنشاء قواعد توجيه منافذ صريحة ، يُمكن تهيئة معالجة حركة مرور الشبكة بسهولة لجعل الأجهزة المضيفة الموجودة خلف جدران الحماية أو جدران NAT قابلة للوصول من بقية الإنترنت (بحيث يمكنها أيضًا العمل كخوادم شبكة )، وهو شرط أساسي للعديد من التطبيقات. [ 1 ] [ 2 ]

بالإضافة إلى ذلك، تسمح قواعد إعادة توجيه المنافذ الصريحة المتاحة عبر بروتوكول PCP للمضيفين بتقليل حجم البيانات المُولَّدة عن طريق إلغاء الحلول البديلة المتمثلة في رسائل NAT keepalive الصادرة ، واللازمة للحفاظ على الاتصالات بالخوادم ولتقنيات اختراق NAT المختلفة مثل TCP hole punching . وفي الوقت نفسه، يؤدي انخفاض حجم البيانات المُولَّدة إلى تقليل استهلاك الطاقة ، مما يُحسِّن بشكل مباشر من عمر بطارية الأجهزة المحمولة . [ 1 ]

تم توحيد بروتوكول PCP في عام 2013 كخليفة لبروتوكول NAT -PMP، حيث يتشارك معه مفاهيم بروتوكولية وتنسيقات حزم بيانات متشابهة. [ 3 ] يدعم بروتوكول PCP بروتوكول IPv6 وسيناريوهات NAT إضافية.

في البيئات التي يُستخدم فيها جهاز UPnP IGD في الشبكة المحلية، يلزم تضمين وظيفة الربط البيني بين جهاز UPnP IGD وجهاز PCP في جهاز IGD. وقد تم تحديد وظيفة الربط البيني بين جهاز UPnP IGD وجهاز PCP في RFC6970. [ 4 ]

تم تحديد خيارات بروتوكول DHCP (IPv4 و IPv6) لتكوين المضيفين باستخدام عناوين IP لخادم بروتوكول التحكم في المنافذ (PCP) في RFC7291. [ 5 ] تمت مناقشة الإجراء المتبع لاختيار خادم من بين قائمة خوادم PCP في RFC7488. [ 6 ]

في البيئات التي يتم فيها نشر NAT64، يسمح بروتوكول PCP للمضيف بمعرفة بادئة (بادئات) IPv6 التي يستخدمها جهاز NAT64 الذي يتحكم فيه PCP لإنشاء عناوين IPv6 المحولة إلى IPv4 بواسطة NAT64 (RFC7225). [ 7 ]

ملخص

تتطلب العديد من التطبيقات وعمليات نشر معدات الشبكة إمكانية الوصول إلى مواقعها الشبكية من خارج شبكاتها المحلية ، وذلك وفقًا للنموذج الأصلي للاتصال الشامل عبر بروتوكول الإنترنت (IP) عبر الإنترنت، لكي تتمكن من العمل كخوادم شبكية واستقبال الاتصالات من العملاء البعيدين . ومن أمثلة هذه المعدات كاميرا IP ، التي تتضمن خادم شبكة يوفر مراقبة عن بُعد عبر شبكات IP.

عادةً ما يتم وضع أجهزة الشبكة خلف أجهزة التوجيه أو جدران الحماية التي تقوم بعملية ترجمة عناوين الشبكة (NAT) (لتمكين مشاركة عنوان IPv4 ، على سبيل المثال) أو تصفية الحزم (لتحسين أمان الشبكة وحمايتها)، مما يؤدي في النهاية إلى قطع الاتصال من طرف إلى طرف وجعل الأجهزة والتطبيقات غير قابلة للوصول من بقية الإنترنت. [ 1 ] [ 3 ]

المشكلة

يتطلب جعل المعدات المُثبّتة متاحة، من خلال توسيع دورها كخادم خارج الشبكة المحلية، إما تكوينًا يدويًا لإعادة توجيه المنافذ عند بوابة الشبكة (والتي عادةً ما تكون جهاز CPE )، أو حلولًا بديلة على مستوى التطبيق تُنشئ اتصالات من المعدات المُثبّتة إلى خوادم وسيطة إضافية تُستخدم لدمج اتصالات "اختراق جدار الحماية" مع اتصالات العملاء الفعليين. ولكلتا الطريقتين عيوبها ؛ فالتكوين اليدوي لجهاز CPE عادةً ما يكون غير عملي أو غير ممكن، بينما يزيد استخدام خوادم وسيطة إضافية من التعقيد والتكلفة. [ 2 ] [ 3 ] 

على سبيل المثال، تتطلب لعبة كمبيوتر عبر الإنترنت (التي تعمل كعميل) التواصل مع خادم اللعبة لتبادل بيانات اللعب . ولتمكين خادم اللعبة من تزويد عملائه بالبيانات، يجب إتاحة الوصول إلى هؤلاء العملاء للخادم. عادةً، يبدأ العملاء اتصالاتهم بخادم اللعبة لفتح قنوات اتصال. مع ذلك، قد تصبح هذه الاتصالات خاملة، ويمكن لبوابات الشبكة إغلاقها لاحقًا، مما يستدعي الحفاظ عليها باستخدام رسائل إبقاء الاتصال نشطًا. [ 3 ] رسائل إبقاء الاتصال نشطًا هي رسائل صغيرة تُرسل بين العميل والخادم، وتُنشئ حركة مرور عبر قناة الاتصال، وبالتالي تمنع خوادم البوابة من إغلاقها. لذا، يتطلب الحفاظ على الاتصال نشطًا تبادلًا مستمرًا لرسائل فارغة بين العميل والخادم. هذا يزيد من ازدحام الشبكة، ويُهدر عرض النطاق الترددي للشبكة ودورات وحدة المعالجة المركزية ، ويُقلل من عمر بطارية الأجهزة.

بالإضافة إلى ذلك، تتطلب بعض تطبيقات الشبكة (مثل بروتوكول نقل الملفات FTP ) فتح اتصالات متعددة ديناميكيًا، الأمر الذي يتضمن بوابات على مستوى التطبيق (ALGs) ويزيد من التعقيد. [ 2 ] [ 3 ]

PCP كحل

تتيح بروتوكولات التحكم في الوصول (PCP) للأجهزة والتطبيقات إنشاء روابط واضحة بين عنوان IP خارجي وبروتوكول ومنفذ ، وعنوان IP داخلي وبروتوكول ومنفذ. بفضل هذه الروابط الواضحة، يمكن للاتصالات الواردة الوصول إلى الأجهزة المضيفة خلف جدار الحماية أو NAT، مما يوسع نطاق أدوارها كخوادم لتتجاوز حدود الشبكات المحلية، أو يُسهّل استخدام خدمات متنوعة بكفاءة أكبر واستهلاك أقل للموارد. تتميز هذه الروابط بدوامها لفترة زمنية محددة قابلة للتمديد، على غرار آلية عمل بروتوكول التكوين الديناميكي للمضيف (DHCP) في تأجير عناوين IP . في الوقت نفسه، يسمح بروتوكول PCP للتطبيقات بإنشاء روابط إضافية ديناميكيًا حسب الحاجة، مما يقلل أو يلغي الحاجة إلى أجهزة NAT وجدران الحماية التي تدعم ALG . [ 1 ] [ 3 ]

Created explicit mappings have a known lifetime, commonly several hours, with no need for application-level keepalive messages to be exchanged between hosts and servers for the purpose of preserving the mapping. As a result, network usage and power consumption are reduced, and application-level keepalive logic no longer needs to be implemented at client and server sides. The PCP mapping response provides the application with associated externally visible parameters (IP address, protocol and port) that can then be announced to other clients in application-specific ways so incoming connections can be established. Additionally, PCP can inform applications when the external IP address is changed while a mapping is already established.[1][3]

Various types of NAT can be handled by PCP, providing support for NAT64, NAT66, and NAT44; inclusion of PCP into IPv4 and IPv6 firewall devices is also supported. PCP is designed to be used on both large-scale aggregation points (for example, as part of carrier-grade NATs), and inside less expensive consumer-grade devices. Both long-term (for an IP camera or a temperature sensor acting as a server, for example) and short-term mappings (while playing an online computer game, for example) are supported.[1][2][3]

PCP supports transport layer protocols that use 16-bit port numbers (for example, TCP, UDP, Stream Control Transmission Protocol (SCTP) or Datagram Congestion Control Protocol (DCCP). Protocols that do not use port numbers (for example, Resource Reservation Protocol (RSVP), Encapsulating Security Payload (ESP), ICMP or ICMPv6) are supported for IPv4 firewall, IPv6 firewall and NPTv6 (IPv6 prefix translation) functions, but cannot be supported by more than one client per external IP address in the case of NAT.[3]

The PCP specification does not define a mechanism for dealing with multi-homed networks (which have multiple network gateways or default routes). It is nonetheless possible to implement PCP in such networks using a coordination mechanism such as conntrackd. However, if the different networks each have their own external IP address(es), a given PCP mapping can only use one or the other because the protocol requires one specific external IP address to be provided to the client. If that network should then become unavailable the PCP mapping would have to be updated to use an external IP address from the other network.[3]

The PCP specification does not define a mechanism for dealing with how to inform remote computers about the IP address, protocol, and port for the incoming connection. RFC6887 states, that PCP does not provide any rendezvous function and this has to been done in an application-specific manner, like using external nameservice servers.

History

PCP was standardized in 2013 as a successor to Apple's NAT Port Mapping Protocol (NAT-PMP), sharing similar protocol concepts and packet formats with it. As one of the design differences, NAT-PMP is pretty much limited to the deployment on consumer-grade devices, while PCP is designed to also support carrier-grade equipment.[3]:50,87 Since 2005, NAT-PMP has been implemented in various Apple products.[8]:1

PCP relates to the Internet Gateway Device Protocol (UPnP IGD), which was standardized in 2001 as part of the UPnP specification. While the UPnP IGD is complex and tailored toward manual configuration, PCP is designed for simplicity and automated use within software applications. The NAT-PMP specification contains a list of the problems with UPnP IGD that prompted the creation of NAT-PMP, and subsequently, its successor PCP.[8]:26–32

Use scenarios

  • Internet service providers using Carrier-grade NAT for subscriber services
    • A mode of operation has been specified for Dual-Stack Lite (IPv4 in CGNAT, IPv6 on public Internet)[9]

Implementations

Clients

  • macOS and iOS, as part of the DNS Service Discovery implementation (IPv4 only)[10]
  • C library and command-line program "libpcpnatpmp" (also implements NAT-PMP)[11]
  • مكتبة C "libplum" (تنفذ أيضًا NAT-PMP و UPnP IGD IPv4 فقط) [ 12 ]
  • صندوق الصدأ "pcp" [ 13 ]
  • عميل MeeGo وواجهة المستخدم الرسومية، تم تقديمها في مؤتمر IETF 82 في عام 2011 لمراجعة مسودة الإنترنت 13 [ 14 ]

أجهزة توجيه NAT

شركات الاتصالات التي تقدم اتصالات NAT التي تدعم بروتوكول PCP

حماية

باستثناء المهاجمين القادرين على تغيير حزم الشبكة المتبادلة أثناء إنشاء ربط صريح لبروتوكول PCP (الحزم التي تحتوي على التفاوض اللازم لإنشاء ربط صريح، والذي يتم تبادله بين المضيفين وأجهزة NAT أو جدران الحماية المُفعّلة لبروتوكول PCP)، يُعتبر بروتوكول PCP آمنًا طالما أن عمليات الربط الصريحة المُنشأة لا تتجاوز نطاق عمليات الربط الضمنية. بعبارة أخرى، يتم إنشاء عمليات الربط الضمنية نتيجةً لطريقة تعامل أجهزة NAT وجدران الحماية مع اتصالات العملاء الصادرة العادية، مما يعني أن بروتوكول PCP آمن طالما لم يتم إدخال أي احتمالات ربط جديدة من خلال آلية الربط الصريح. [ 3 ]

من وجهة نظر أمنية ، تُعدّ ميزة طلب ربط الطرف الثالث (THIRD_PARTY) من أهم ميزات بروتوكول التحكم في الوصول (PCP ). عند استخدام هذا الخيار، يُشير إلى ضرورة استخدام عنوان IP المُحدد إضافيًا كجزء من طلب الربط كعنوان داخلي للربط الصريح المُنشأ، بدلًا من اتباع السلوك الافتراضي المتمثل في استخدام عنوان IP المصدر لحزمة طلب الربط الفعلية لهذا الغرض. قد تؤدي طلبات الربط هذه إلى منح جهاز NAT أو جدار حماية مُفعّل عليه بروتوكول PCP صلاحيات ربط صريحة أعلى من تلك المسموح بها في عمليات الربط الضمنية، وذلك بسبب قواعد غير معروفة مفروضة في مكان آخر على عنوان IP المُحدد، مما يسمح للمهاجم بسرقة بعض البيانات أو شنّ هجوم حجب الخدمة (DoS). [ 3 ]

بالإضافة إلى ذلك، تتوفر آليات أمان صريحة لبروتوكول PCP كامتدادات له، حيث توفر آليات المصادقة والتحكم في الوصول باستخدام قناة إشارة داخلية موثقة ومحمية من حيث سلامة البيانات ، والتي تعتمد على بروتوكول المصادقة القابل للتوسيع (EAP) لإجراء المصادقة بين الأجهزة المشاركة في جلسة تفاوض PCP. قد تقبل أجهزة NAT أو جدران الحماية التي تدعم بروتوكول PCP طلبات الربط غير الموثقة؛ وفي الوقت نفسه، تظل جميع قيود الربط الصريحة المذكورة سابقًا سارية. [ 1 ] [ 3 ] [ 19 ]

المكونات الداخلية

يعمل بروتوكول PCP داخليًا عن طريق تبادل رسائل التحكم بين الأجهزة المضيفة وأجهزة NAT أو جدران الحماية المُفعّلة بتقنية PCP (المشار إليها بالخوادم)، باستخدام بروتوكول بيانات المستخدم (UDP) كبروتوكول أساسي. يتكون هذا الاتصال من طلبات تعيين المنافذ التي تُنشئها الأجهزة المضيفة، والتي تُؤدي إلى استجابات بمجرد إرسالها إلى الخوادم ومعالجتها. ونظرًا لطبيعة بروتوكول UDP غير الموثوقة، والتي تعني إمكانية فقدان حزم بيانات UDP أو تكرارها أو إعادة ترتيبها، فلا يوجد ضمان لتلقي أي نوع من الاستجابة بعد إرسال الطلب، ولذلك تُسمى طلبات الأجهزة المضيفة أيضًا بـ "تلميحات". بالإضافة إلى الاستجابات المباشرة، تُصدر الخوادم أيضًا إشعارات غير ضرورية - على سبيل المثال، إشعارات أحادية البث لإبلاغ الأجهزة المضيفة بالتغييرات في عنوان IP الخارجي. [ 1 ] [ 3 ] 

رموز بروتوكول التحكم في المنافذ [ 3 ]
رمز العمليةوصف
رسم خريطةيقوم بإنشاء أو تجديد عملية إعادة التوجيه الواردة، مما يسمح للمضيف بالعمل كخادم واستقبال الاتصالات الواردة.
الأقرانيقوم بإنشاء أو تجديد عملية ربط صادرة، مما يسمح للمضيف بالحفاظ على اتصاله مفتوحًا مع نظير واحد.
أعلنيعلن عن تغييرات متنوعة في المضيفين، بما في ذلك إعادة تشغيل الخادم وتغييرات في عنوان IP الخارجي.

لا تتضمن الرسائل المتبادلة أي وسيلة لتحديد المعاملة التي تنتمي إليها، أو المرحلة التي تمثلها من "الجلسة". يعتمد هذا التصميم المبسط على كون جميع الرسائل ذاتية الوصف وكاملة، دون الحاجة إلى سياق إضافي لمعالجة كل رسالة بنجاح. قد تقرر الخوادم تجاهل طلبات المضيفين بصمت، في حال عدم قدرتها على معالجتها في الوقت الحالي؛ وفي هذه الحالة، يتعين على المضيفين إعادة إرسال الطلب. كما يمكن للمضيفين، بأمان، تجاهل أي استجابات تعيين غير مرغوب فيها بصمت. [ 3 ]

لغرض إنشاء طلبات PCP، يتم تكوين عنوان IP الخاص بالخادم إما يدويًا على المضيف، أو يتم الحصول عليه كجزء من عقد إيجار DHCP الخاص بالمضيف، أو يتم تعيينه إلى البوابة الافتراضية المُكوّنة للمضيف . تُرسل رسائل طلب المضيف من أي منفذ UDP مصدر على العميل إلى منفذ UDP 5351 الخاص بالخادم الذي يستمع إليه؛ تُرسل إشعارات خادم البث المتعدد غير المطلوبة (مثل إعلانات إعادة تشغيل الخادم) من منفذ UDP 5351 الخاص بالخادم إلى منفذ UDP 5350 على المضيفين الذين يستمع إليهم. [ 3 ]

يبلغ الحد الأقصى لطول حمولة UDP لجميع رسائل PCP 1100 بايت . تتكون كل رسالة PCP من رأس طلب أو استجابة يحتوي على رمز عملية يحدد العملية المرتبطة بها، وأي معلومات خاصة برمز العملية (مثل المنافذ المراد ربطها)، وصفر أو أكثر من الخيارات (مثل خيار THIRD_PARTY المذكور أعلاه ). تُعاد رموز النتائج كجزء من استجابات الخادم؛ ولكل رمز نتيجة مدة صلاحية مرتبطة به، تُخبر المضيفين متى يمكن إعادة محاولة عمليات معينة أو متى يجب تكرارها. على سبيل المثال، يمكن أن تحدد مدة صلاحية النتائج المدة المتوقعة لاستمرار حالة الفشل، أو المدة التي سيستمر فيها الربط المُنشأ. [ 3 ]

انظر أيضاً

مراجع

  1. 1 2 3 4 5 6 7 8 دان وينغ (ديسمبر 2011). "بروتوكول التحكم في المنافذ" . مجلة بروتوكول الإنترنت . سيسكو سيستمز . تم الاطلاع عليه في 31 يناير 2014 .
  2. 1 2 3 4 "نظرة عامة على بروتوكول التحكم في المنافذ (نظام التشغيل Junos 13.3)" . جونيبر نتوركس . 14 أغسطس 2013. تم الاطلاع عليه في 31 يناير 2014 .
  3. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 د. وينغ؛ س. تشيشاير؛ م. بوكادير؛ ر. بينو؛ ب. سيلكيرك (أبريل 2013). وينغ، د. (محرر). " RFC 6887: بروتوكول التحكم في المنافذ (PCP)" . فريق عمل هندسة الإنترنت (IETF). doi : 10.17487/RFC6887 . تم الاطلاع عليه في 5 يونيو 2023 .{{cite journal}}يتطلب الاستشهاد بالمجلة ( مساعدة )|journal=
  4. ↑ بوكادير، م.؛ بينو، ر.؛ وينغ، د. (يوليو 2013). "جهاز بوابة الإنترنت العالمي للتوصيل والتشغيل (UPnP) - وظيفة التوافق بين بروتوكول التحكم في المنافذ (IGD-PCP IWF)" . محرر RFC . doi : 10.17487/rfc6970 .
  5. ↑ بوكادير، م.؛ بينو، ر.؛ وينغ، د. (يوليو 2014). "خيارات DHCP لبروتوكول التحكم في المنافذ (PCP)" . محرر RFC . doi : 10.17487/rfc7291 .
  6. ↑ بوكادير، م.؛ بينو، ر.؛ وينغ، د.؛ باتيل، ب.؛ ريدي، ت. (مارس 2015). "اختيار خادم بروتوكول التحكم في المنافذ (PCP)" . محرر RFC . doi : 10.17487/rfc7488 .
  7. ↑ بوكادير، م. (مايو 2014). "اكتشاف بادئات NAT64 IPv6 باستخدام بروتوكول التحكم في المنافذ (PCP)" . محرر RFC . doi : 10.17487/rfc7225 .
  8. 1 2 إس. تشيشاير؛ إم. كروخمال (أبريل 2013). "RFC 6886: بروتوكول تعيين منافذ NAT (NAT-PMP)" . فريق عمل هندسة الإنترنت (IETF). doi : 10.17487/RFC6886 . تم الاطلاع عليه بتاريخ 8 أغسطس 2014 .{{cite journal}}يتطلب الاستشهاد بالمجلة ( مساعدة )|journal=
  9. ↑ دوبونت، فرانسيس؛ تسو، تينا؛ تشين، جاكني؛ كولين، مارغريت؛ تشانغ، داشنغ (13 يونيو 2013). "بروتوكول التحكم في المنافذ في بيئات Dual-Stack Lite" .
  10. ↑ "DNSServiceNATPortMappingCreate" . مطور أبل .
  11. ↑ "libpcpnatpmp/libpcpnatpmp" . GitHub . 29 ديسمبر 2024.
  12. ^ أجينو ، بول لويس (28 فبراير 2025). "paullouisageneau/libplum" . جيثب .
  13. ↑ ريبانتي، ريكاردو (9 أبريل 2024). "Rimpampa/pcp" . جيت هاب .
  14. ↑ فاريا، ب؛ كوستا، إف إم؛ مونتينيرجو، إف (نوفمبر 2011). عميل PCP: تجارب التنفيذ . IETF 82.
  15. ↑ "بروتوكول التحكم في المنافذ (PCP) NAT" . دليل مرجعي ميداني لهندسة NAT من فئة شركات الاتصالات من Fortinet .
  16. ↑ "بروتوكول التحكم في المنافذ | نظام التشغيل Junos | شبكات Juniper" . دليل مستخدم واجهات الخدمات التكيفية لأجهزة التوجيه .
  17. ↑ "فهم PCP" . وصف ميزات ME60 V800R022C00SPC600 .
  18. ↑ "الصفحة الرئيسية لـ MyF5 / مراكز المعرفة / BIG-IP LTM / BIG-IP CGNAT: التطبيقات / السماح للعملاء بإنشاء ترجماتهم الخاصة باستخدام PCP" . techdocs.f5.com . تم الاطلاع عليه في 9 مارس 2025 .
  19. ↑ م. كولين؛ س. هارتمان؛ د. تشانغ؛ ت. ريدي (سبتمبر 2015). "RFC 7652: آلية مصادقة بروتوكول التحكم في المنافذ (PCP)" . فريق عمل هندسة الإنترنت (IETF). doi : 10.17487/RFC7652 . تاريخ الاسترجاع: 29 أبريل 2016 .{{cite journal}}يتطلب الاستشهاد بالمجلة ( مساعدة )|journal=