Les réseaux sans fil sont en plein développement du fait de la flexibilité de leur interface, qui permet aux utilisateurs de se communiquer directement entre eux ou de se connecter facilement à Internet en onde radio sans mettre en place préalablement d'infrastructures lourdes, telles que des câbles filaires. Parmi les différentes technologies de réseaux sans fil, l'IEEE 802.11/Wi-Fi est devenu une technologie plus connue et plus utilisée pour construire des réseaux sans fil à haut débit dans une zone à forte concentration d'utilisateurs, telle que les aéroports, les campus ou les sites industriels. L'engouement pour les réseaux sans fil et notamment pour les réseaux Wi-Fi a fait émerger de nouvelles nécessités, tel que se déplace dans les réseaux sans fil tout en restant connecté à Internet. Dans les réseaux sans fil, le déplacement d’un utilisateur implique parfois un changement de Point d’accès (AP) au réseau. On désigne généralement ce fait un handover de niveau 2, du fait que le changement d'AP n’implique que les deux premières couches du modèle OSI. Si les deux APs se situent dans des réseaux différents, le changement d'AP implique aussi le changement de réseau pour cet utilisateur. On dénomme généralement cette situation un handover de niveau 3, par le fait que cet utilisateur devrait changer son réseau d’attachement et son adresse IP pour maintenir la connexion à Internet et que ce changement intervient sur la couche réseau du model OSI. La procédure du handover de niveau 2 dans les réseaux Wi-Fi est gérée par la norme IEEE 802.11 et celle de niveau 3 est gérée par le protocole IP Mobile. Le protocole IP Mobile est un protocole standardisé par l'IETF qui permet à l'utilisateur de maintenir ses communications en cours et de rester connecté à Internet tout en masquant d'une manière transparente le changement de réseau. Ainsi, l'utilisateur peut se déplace dans les réseaux Wi-Fi tout en maintenant les communications en cours et restant connecté à Internet grâce à la norme IEEE 802.11 et au protocole IP Mobile. Cependant, le délai introduit par ces deux procédures du handover est trop long, les communications en cours sont interrompus pendant ces procédures, naturellement, cela ne peut pas répondre aux exigences qualitatives des applications temps réel comme la vidéo conférence ou la voix sur IP. Diverses propositions qui ont été faites pour réduire le délai de ces procédures du handover et améliorer leur performance. Cependant, ces propositions sont soit imparfaites, soit non-implémentables à cause de leur complexité. En partant du principe que les réseaux Wi-Fi et les routeurs d'accès sont déjà massivement implantés dans le monde universitaire et dans les entreprises, nous proposons d'ajouter une nouvelle fonctionnalité, appelé E-HCF (Extended Handover Control Function) dans un routeur sans modifier les autres équipements du réseau. Le routeur pourvu de cette fonctionnalité est dénommé le routeur E-HCF. Pour réduire le délai des procédures du handover, la fonctionnalité E-HCF permet au routeur de générer une topologie des APs en utilisant la théorie des graphes de voisinage et de maintenir un pool d'adresses IP disponibles dans sa base de données. Quand le Nœud mobile (MN) a besoin de changer son AP, le routeur E-HCF peut proposer au MN une liste des APs potentiellement utilisables qui sont choisis et classés par un algorithme de sélection et de classement que nous avons élaboré dans la thèse. Si le changement d'AP implique un changement de réseau, le MN doit changer d'adresse IP. Dans ce cas, le routeur E-HCF peut attribuer une adresse IP unique à ce MN. Le MN peut donc utiliser cette adresse sans exécuter la phase d'Auto-configuration d'adresses ni exécuter la procédure de Détection d'adresse dupliquée. Avec cette nouvelle fonctionnalité E-HCF, nous pouvons réduire le délai des procédures du handover de quelques secondes à une centaine de millisecondes. / Wireless networks are in full development because of the flexibility of their interfaces, which allow users to be easily connected to the Internet. Among various technologies of wireless networks, IEEE 802.11/Wi-Fi technology is becoming better known and more used to construct high speed wireless networks in areas with high concentration of users, such as airports, campuses or industrial sites. The passion for wireless networks and in particular for Wi-Fi networks has given rise to new uses of the Internet, such as moving in wireless networks while still being connected. In Wi-Fi networks, the user's movement may sometimes lead to a change of Access Points (APs) to the network. This fact is generally named the handover of layer 2 because this change involves only the first two layers of the OSI model. If the two APs are located in different networks, the change of AP would entail a change of network for the user. This situation is generally termed, the handover of layer 3 because the user should change his network and his IP address to maintain connection to the Internet. Therefore, this change intervenes on the network layer of the OSI model. The process of the handover of layer 2 is handled by the IEEE 802.11 standard and that of layer 3 is controlled by the Mobile IP protocol. The Mobile IP protocol is a protocol standardized by IETF, which allows users to change network, while maintaining their actual connection to the Internet. Consequently, users can connect to the Internet, while keep moving in Wi-Fi networks in control of the IEEE 802.11 standard and the Mobile IP protocol. However, the delay induced by these procedures of handover is too long. As such, this generally leads to the cut-off of current communications, hence impacting adversely on the qualitative requirements of real-time applications, such as video conferencing or voice over IP. Various proposals have been made to reduce the delay of handover procedures and to improve their performances. However, these proposals are either imperfect, or non-implementable because of their complexity. Based on the premise that Wi-Fi networks and access routers are already massively implanted in academia and in industry, we propose to add a new functionality, called E-HCF (Extended Handover Control Function) in routers, without modifying other network equipments. A router equipped with this functionality is called an E-HCF router. To reduce the delay of handover procedures, the E-HCF functionality allows a router to generate a topology of APs by using the neighbourhood graph theory and to maintain a pool of available IP addresses in its database. When a Mobile Node (MN) needs to change its AP, the E-HCF router may propose to the latter a list of potentially usable APs, which are selected and classified by an algorithm of selection and classification that we developed in the thesis. If the change of APs involves a change of network, the MN must change its IP address. In this case, the E-HCF router can assign a unique IP address to this MN. The MN can thus use this address without engaging in the process of Stateless Address Autoconfiguration or the procedure of Duplicate Address Detection. With this new E-HCF functionality, we can reduce the delay of handover procedures from a few seconds to one hundred milliseconds.

ABSTRACT Bc.Karlík, Martin Department of Telecommunications, Faculty of Electrical Engineering and Communication, Brno University of Technology. Analysis of CISCO networking protocols This semestral thesis is focused on CISCO networks and protocols like MPLS, BGP, Ipv4, Ipv6, Multicast – sprase / dense mode. The task was study of those protocols and design and implement lab excercise with one of those protocols by using free network simulator GNS3. In this excercise is used CISCO router 3745.

Internet Protocol version 6 (IPv6) is being adopted in networks around the world as the Internet Protocol version 4 (IPv4) addressing space reaches its maximum capacity. Although there are IPv6 applications being developed, there are not many production IPv6 networks in place in which these applications can be deployed. Simulation presents a cost effective alternative to setting up a live test bed of devices to validate specific IPv6 environments before actual physical deployment. OPNET Modeler provides the capability to simulate the IPv6 protocol and System-in-the-Loop, an add-on module, allows for real communication traffic from physical devices to be converted and sent over the simulated network. This research has developed a campus framework, modeled after the Virginia Tech Blacksburg campus, to verify and validate standard and custom IPv6 applications. Specifically, the framework was used to test MT6D, a custom IPv6 security application developed in the Virginia Tech IT Security Lab (ITSL) as well as test Voice over IP (VoIP) as a somewhat bandwidth demanding benchmarking standard application. The work presented shows that simulation helped to identify potential issues within the applications and verified the results after fixes were applied. It also reveals challenges and shortcomings of OPNET Modeler's IPv6 implementation and presents potential solutions to these problems. / Master of Science

The security of powerful systems and large networks is often addressed through complex defenses. While these types of defenses offer increased security, they are resource intensive and therefore impractical to implement on many new classes of networked systems, such as mobile phones and small, embedded network infrastructure devices. To provide security for these systems, new defenses must be created that provide highly efficient security. The Moving Target IPv6 Defense (MT6D) is a network layer moving target defense that dynamically changes Internet Protocol version 6 (IPv6) addresses mid-session while still maintaining continuous communication. MT6D was originally written in Python language, but this implementation suffers from severe performance limitations. By translating MT6D from Python to C and taking advantage of operating system specific application programming interfaces (APIs) and optimizations, MT6D can become a viable defense for resource constrained systems. The Python version of MT6D is analyzed initially to determine what functions might be performance bottlenecks that could be performed more efficiently using C. Based on this analysis, specific parts of the Python version are identified for improvement in the C version by either using functionality of the Linux kernel and network stack or by reworking the code in a more efficient way. After this analysis, the information gathered about the Python version is used to write the C version, using methods specific to a moving target defense to capture, analyze, modify, and tunnel packets. Finally, tests are designed and run to compare the performance of the Python and C versions. / Master of Science

Les réseaux sans fil sont en plein développement du fait de la flexibilité de leur interface, qui permet aux utilisateurs de se communiquer directement entre eux ou de se connecter facilement à Internet en onde radio sans mettre en place préalablement d'infrastructures lourdes, telles que des câbles filaires. Parmi les différentes technologies de réseaux sans fil, l'IEEE 802.11/Wi-Fi est devenu une technologie plus connue et plus utilisée pour construire des réseaux sans fil à haut débit dans une zone à forte concentration d'utilisateurs, telle que les aéroports, les campus ou les sites industriels. L'engouement pour les réseaux sans fil et notamment pour les réseaux Wi-Fi a fait émerger de nouvelles nécessités, tel que se déplace dans les réseaux sans fil tout en restant connecté à Internet. Dans les réseaux sans fil, le déplacement d'un utilisateur implique parfois un changement de Point d'accès (AP) au réseau. On désigne généralement ce fait un handover de niveau 2, du fait que le changement d'AP n'implique que les deux premières couches du modèle OSI. Si les deux APs se situent dans des réseaux différents, le changement d'AP implique aussi le changement de réseau pour cet utilisateur. On dénomme généralement cette situation un handover de niveau 3, par le fait que cet utilisateur devrait changer son réseau d'attachement et son adresse IP pour maintenir la connexion à Internet et que ce changement intervient sur la couche réseau du model OSI. La procédure du handover de niveau 2 dans les réseaux Wi-Fi est gérée par la norme IEEE 802.11 et celle de niveau 3 est gérée par le protocole IP Mobile. Le protocole IP Mobile est un protocole standardisé par l'IETF qui permet à l'utilisateur de maintenir ses communications en cours et de rester connecté à Internet tout en masquant d'une manière transparente le changement de réseau. Ainsi, l'utilisateur peut se déplace dans les réseaux Wi-Fi tout en maintenant les communications en cours et restant connecté à Internet grâce à la norme IEEE 802.11 et au protocole IP Mobile. Cependant, le délai introduit par ces deux procédures du handover est trop long, les communications en cours sont interrompus pendant ces procédures, naturellement, cela ne peut pas répondre aux exigences qualitatives des applications temps réel comme la vidéo conférence ou la voix sur IP. Diverses propositions qui ont été faites pour réduire le délai de ces procédures du handover et améliorer leur performance. Cependant, ces propositions sont soit imparfaites, soit non-implémentables à cause de leur complexité. En partant du principe que les réseaux Wi-Fi et les routeurs d'accès sont déjà massivement implantés dans le monde universitaire et dans les entreprises, nous proposons d'ajouter une nouvelle fonctionnalité, appelé E-HCF (Extended Handover Control Function) dans un routeur sans modifier les autres équipements du réseau. Le routeur pourvu de cette fonctionnalité est dénommé le routeur E-HCF. Pour réduire le délai des procédures du handover, la fonctionnalité E-HCF permet au routeur de générer une topologie des APs en utilisant la théorie des graphes de voisinage et de maintenir un pool d'adresses IP disponibles dans sa base de données. Quand le Nœud mobile (MN) a besoin de changer son AP, le routeur E-HCF peut proposer au MN une liste des APs potentiellement utilisables qui sont choisis et classés par un algorithme de sélection et de classement que nous avons élaboré dans la thèse. Si le changement d'AP implique un changement de réseau, le MN doit changer d'adresse IP. Dans ce cas, le routeur E-HCF peut attribuer une adresse IP unique à ce MN. Le MN peut donc utiliser cette adresse sans exécuter la phase d'Auto-configuration d'adresses ni exécuter la procédure de Détection d'adresse dupliquée. Avec cette nouvelle fonctionnalité E-HCF, nous pouvons réduire le délai des procédures du handover de quelques secondes à une centaine de millisecondes. Pour réduire la perte de paquets due aux procédures du handover, nous proposons de modifier le protocole IPv6 Mobile. Le MN met fin à l'association entre son adresse mère et son adresse temporaire avec l'Agent mère (HA) et le Nœud correspondant (CN) avant de procéder la procédure du handover. Par ce moyen, le HA peut intercepter les paquets destinés à l'adresse mère du MN et les garder dans son mémoire tampon. Une fois le MN met à jour l'association entre son adresse mère et sa nouvelle adresse temporaire avec le HA, le HA peut envoyer les paquets stockés dans son mémoire de tampon au MN. Il intercepte et redirige également les paquets du CN ou du MN vers la nouvelle adresse temporaire du MN ou vers les adresses du CN respectivement pendant la phase de mise à jour d'association. Avec cette méthode, nous pouvons limiter la perte de paquets et garantir un délai acceptable. Pour étayer notre proposition, nous avons utilisé le simulateur OPNET pour simuler le déroulement des procédures du handover dans les réseaux Wi-Fi géré par la méthode E-HCF et celui géré par le protocole IPv6 Mobile. Les résultats obtenus montrent qu'avec notre méthode E-HCF, nous pouvons garantir un délai acceptable et limiter la perte des paquets. Ensuite, nous avons également validé notre méthode E-HCF avec la norme IEEE 802.11e qui supporte la Qualité de Service (QoS). Avec le support de QoS, les résultats obtenus par simulation illustrent les améliorations des performances significatives pour les communications de bout en bout dans les réseaux chargés. Nos travaux de recherche ont donné lieu à trois publications dans les conférences internationales et un article dans la revue internationale (Voir Index)

Les réseaux de capteurs sans fil sont composés de petits équipements embarqués et autonomes qui coopèrent pour surveiller leur environnement de manière non-intrusive. Les données collectées par chaque capteur (tels que la température, des mouvements, des sons, etc.) sont remontées de proche en proche vers un puits de collecte en utilisant des technologies de communication sans fil. De plus en plus d'applications requièrent le placement des capteurs sur des éléments mobiles. Hors, à l'instar des équipements des réseaux IP, les nœuds capteurs pourront traverser plusieurs réseaux durant leurs déplacements. Cette thèse s'intéresse à cette problématique et propose deux solutions pour gérer ces nœuds mobiles. Notre première contribution, le protocole Mobinet, utilise la sur-écoute liée au médium radio pour détecter le voisinage d'un nœud mobile et ainsi lui permettre de gérer sa mobilité. D’autre part, l'intégration de nombreux nœuds mobiles dans les réseaux visités va augmenter le nombre de paquets transitant au sein de ces réseaux. Notre seconde proposition, le protocole CLOMAC, a pour objectif de réduire les congestions pouvant survenir en créant dynamiquement des chemins alternatifs vers le puits. / Wireless sensor networks are composed of small autonomous embedded devices which cooperate to monitor their environment in a less intrusive fashion. Data collected by each sensor node (such as temperature, movements, sounds, etc.) are reported to a sink station hop-by-hop using wireless transmissions. More and more application require sensors to be placed on mobile elements. However, in the manner of IP devices, mobile nodes may cross differents networks during their trips. This thesis focuses on this problematic and propose solutions to manage thoses mobile nodes. Our first contribution, the Mobinet protocol, uses the overhearing of the wireless medium to detect nodes in the vicinity of a mobile node and use this information to manage its mobility. Besides, integrating numerous mobile nodes will increase data trafic the visited networks. Our second proposition, the CLOMAC protocol, aims to reduces congestions which may appear by creating dynamic alternative path toward the sink station.

Svenska Kyrkan i Norrköping upplever idag att de har ett virtuellt intranät som skulle kunna fungera bättre. Problematiken tycker de ligger i underliga trafikflöden, utarmning av IP-adresser och hög komplexitet. Därtill undrar de om det inte är hög tid att höja bandbredden ut från flera av byggnaderna. Min målsättning med arbetet är att utifrån de största församlingarna samt Kyrkans Hus – där organisationens IT-kontor och serverfarm är belägna – kunna ge rekommendationer på åtgärder och förändringar som ska kunna avhjälpa denna problematik och förhoppningsvis framtidssäkra några av dessa aspekter. Under mitt arbete har jag tagit ut rudimentära baselinemätningar, IP-adresseringstabeller och sammanställningar av trafikflöden i syfte att skapa en nulägesanalys. Jag har också ämnat illustrera den problematik som låg till grund för arbetets utformning. I min rapport har jag också behandlat moderna IT-trender såsom tunna klienter, virtualiseringsmiljöer och BYOD, Bring Your Own Device. Detta arbete har resulterat i ett generellt designförslag med redundanslänkar, gästnätverk och stöd för Ipv6 med olika alternativ inom samtliga aspekter, vilka kan användas för att skräddarsy implementeringen av de olika teknologierna. För en mer allomfattande, grundlig och slutgiltig design av intranätet som helhet skulle en mer omfattande dokumentation behövas, tillsammans med uppskattning av nätverksanvändning, IP-adressering samt budgetering. / The Church of Sweden in Norrköping are currently faced with a virtual intranet that they feel could be improved. Some of the problems they have identified are unusual traffic forwardin patterns, exhaustion of the IP adress pool and a high level of complexity. In addition, they feel that it might be time to increase the bandwidth that some of the buildings have access to. My goal with this paper – based on the largest parishes and Kyrkan Hus, where the organization’s IT office and server farm lies – is to give recommendations in terms of actions and changes that could mitigate these issues and hopefully provide a more future proof solution. During my work I have taken some rudimentary baseline readings, IP addressing tables and compilations of network flows, in order to create a current situation analysis, which I have used to draw some of my conclusions. I have also aimed to illustrate the problems that have formed the foundation for this work. In my report I have also discussed some modern IT trends, such as thin clients, virtual environments and BYOD, Bring Your Own Device. This assignment has resulted in a general design proposal with redundant links, guest networks and Ipv6 support, with different alternatives withing each aspect, which can be used to further tailor the implementations of the different technologies. For a more all encompassing, thorough design of the intranet as a whole we’d need a more complete documentation, together with approximations and evaluations regarding network usage, IP addressing and budget.

The objective of the diploma thesis is the analysis of network attacks on local area networks with IPv6 protocol and defenses against these attacks along with methodology of the security process.

The rotation of identifiers is a common security mechanism to protect telecommunication; one example is the frequency hopping in wireless communication, used against interception, radio jamming and interferences. In this thesis, we extend this rotation concept to the Internet. We use the large IPv6 address space to build pseudo-random sequences of IPv6 addresses, known only by senders and receivers. The sequences are used to periodically generate new identifiers, each of them being ephemeral. It provides a new solution to identify a flow of data, packets not following the sequence of addresses will be rejected. We called this technique “address spreading”. Since the attackers cannot guess the next addresses, it is no longer possible to inject packets. The real IPv6 addresses are obfuscated, protecting against targeted attacks and against identification of the computer sending a flow of data. We have not modified the routing part of IPv6 addresses, so the spreading can be easily deployed on the Internet. The “address spreading” needs a synchronization between devices, and it has to take care of latency in the network. Otherwise, the identification will reject the packets (false positive detection). We evaluate this risk with a theoretical estimation of packet loss and by running tests on the Internet. We propose a solution to provide a synchronization between devices. Since the address spreading cannot be deployed without cooperation of end networks, we propose to use ephemeral addresses. Such addresses have a lifetime limited to the communication lifetime between two devices. The ephemeral addresses are based on a cooperation between end devices, they add a tag to each flow of packets, and an intermediate device on the path of the communication, which obfuscates the real address of data flows. The tagging is based on the Flow Label field of IPv6 packets. We propose an evaluation of the current implementations on common operating systems. We fixed on the Linux Kernel behaviours not following the current standards, and bugs on the TCP stack for flow labels. We also provide new features like reading the incoming flow labels and reflecting the flow labels on a socket.

För full migrering till IPv6 behöver utbudet av datakommuniktionsstjänster anpassas för den nyagenerationens IP-protokoll med bevarad eller utökad funktionalitet. Detta examensarbetes mål äratt ta fram en eller flera lösningar som möter krav och tekniska förutsättningar för att utöka företagetDGC:s tjänst IP-VPN för IPv6. Detta innefattar adresstilldelningstekniker som prefixdelegeringoch automatisk adresskonfigurering i befintlig nätinfrastruktur.Lösningarna presenteras i sex framtagna scenarier som har undersökts utifrån tester, analys ocherfarna problem som uppstått. Undersökningen formade kriterierna skalbarhet, konfigurationenskomplexitet, kompatibilitet, RFC-stöd och krav från DGC som tas hänsyn till i utvärderingen avden bäst lämpade lösningen.Utvärderingen har gett ett resultat i form av ett rekommenderat scenario som är implementerbartenligt uppsatta mål.Tekniker som skulle kunna påverka valet av bäst lämpade lösning, men som inte är tillgängliga,diskuteras och presenteras för att poängtera vad som kan behövas tas i beaktande för framtiden. / Full migration to IPv6 brings the need to adjust datacommunication services for the new generationof IP protocols with maintained or expanded functionality. This thesis’ goals is to submitone or more solutions that meets requirements and the technical conditions that enables thecompany DGC:s to expand the service IP-VPN for IPv6. This includes address assignmenttechniques like prefix delegation and automatic address configuration in existing network infrastructure.Solutions are presented in six scenarios that have been investigated considering tests, analysis andexperienced problems. The investigation formed the criteria scalability, configuration complexity,compatibility, support by RFC:s and requirements stated by DGC that adds to the evaluationof the most suitable solution.The evaluation has resulted in a recommended scenario that is implementable according to givengoals.Techniques that may influence the choice of most suitable solution, but that is not yet available,are discussed and presented to point out what may needed to be considered in the future.