En la suite TCP/IP existen varios tipos de protocolos, vamos a ver algunos de ellos y sus particularidades

El protocolo TCP tiene las siguientes características:

• Negociación de conexión
• Acuse de recibo de cada paquete
• Control de no duplicidad de paquetes
• Inmune a la llegada desordenada de paquetes
• Inmune a la perdida de paquetes (se solicitan otra vez)

El bit se syn indica un intento de iniciar una comunicación

Se devuelve un paquete rst cuando se intenta conectar a un puerto sin servicio. (esto normalmente indica un escaneo de puertos)

UDP es un protocolo simple para transferir datos sin toda la sobrecarga del TCP y sin ninguna de sus virtudes. En las conexiones UDP no hay negociación, ni acuse de recibo, ni control de perdida o desorden o duplicación de paquetes, todo esto debe ser gestionado por el servicio que emplea la conexión.

El protocolo ICMP es un protocolo de control, los paquetes ICMP no tienen puerto de origen o de destino, en vez de ello tienen un tipo y un subtipo ó código.

Se utiliza para descubrir la unidad máxima de transferencia (MTU). En conexiones WAN debería de permitirse.

Si queremos permitir el ping tenemos que permitir los siguiente:

• echo-request 8 (salida del ping)
• echo-reply 0 (respuesta del ping)

Para permitir el traceroute:

• port unreachable: Tipo 3 / Código 3
• TTL excedeed : 11 / 0
• Paquetes UDP en el rango 33434:33600

Alguien intenta redirigir nuestro router.

Puede ser un intento de ataque DoS, ya que estos paquetes enlentecen la comunicación.

Indica que se nos está aplicando algún tipo de detección de sistema operativo o algún tipo de hackeo.

Las salidas de paquetes ICMP 3/3 delatan la existencia de un escaneo de puerto de nuestra red.

Los fragmentos pueden ser de cualquier protocolo (TCP, UDP, ICMP, etc). Como los fragmentos posteriores al primero no llevan la cabecera del protocolo (TCP, UDP, ICMP, etc) solo contienen información de IP (IP origen, IP destino, TOS, etc…) y no los puertos que van en la cabecera TCP/UDP. Por lo tanto en las reglas de filtrado, en las que se acostumbra a filtrar por puertos, no sabremos que hacer con los fragmentos. Por lo tanto hay que crear una regla específica para evitar ataques con paquetes fragmentados.

La dirección IP es un valor de 4 bytes (32 bits) que se interpreta de la siguiente forma: W.X.Y.Z <Dirección de red, dirección de ordenador > Hay cinco clases de direcciones IP:

Clase A → W →0 # # # # # # # → 00000000 – 01111111 → 0-126 (ojo es de 0 a 126 ya que la 127 está reservada)

Nº de Redes: 27=128-2=126 (Se quitan 2 ya que las direcciones 0000000 y 1111111 están reservadas). Nº de Host por red =224=16.777.216-2=16.777.214

Clase B → W.X → 1 0 # # # # # # → 10000000 – 10111111  128-191

Nº de redes:2^14=16384 (no se quita nada porque no hay dentro de este rango ninguna dirección con todo 0 ó todo 1)

Nº de Host por red = 216=65.536-2=65.534 (se le quitan 2 por la dirección todo 0 y todo 1)

Clase C → W.X.Y → 110 # # # # # → 11000000 – 11011111  192-223

Nº de redes=221=20.097.152 Nº de Host por red=28-2=254

Clase D los primeros cuatro bits a 1110 → 224.xxx.xxx.xxx-239.xxx.xxx.xxx Reservada para direcciones IP multicast

Clase E los primeros cinco bits a 11110 → 240.xxx.xxx.xxx-247.xxx.xxx.xxx Reservada

Dentro de las clases hay direcciones con un significado especial como las siguientes:

• Todo a 0 (0.0.0.0) La utiliza el sistema sólo durante el arranque antes de saber su propia dirección.
• Todo a 1 (255.255.255.255) Broadcast o Multidifusión
• Dirección de la red a 0 + dirección del nodo (0.0.0.62) identifica al propio host en la red a la que pertenece. En este ejemplo identifica al host 62 de esa red.
• Dirección de red y resto a 0 (192.168.12.0) Identifica a la dirección de la red, con lo cual se pueden enviar paquetes a todos los nodos de la red.
• La dirección Clase A 127.xxx.xxx.xxxse usa para comunicación dentro del mismo ordenador. Convencionalmente se utiliza 127.0.0.1 como la dirección de bucle cerrado los procesos que necesitan comunicarse con otros a través de TCP/IP en el mismo ordenador, usan esta dirección para evitar tener que enviar paquetes a la red.
• Poniendo todos los bits a uno en toda la dirección del nodo significa un mensaje para todos los ordenadores. Por ejemplo la dirección 128.18.255.255 significa todos los ordenadores de la red clase B 128.18

Existen además unas direcciones reservadas para redes privadas:

• 1.xxx.xxx.xxx (1 Clase A)
• 172.16.xxx.xxx a 172.31.xxx.xxx
• 192.168.0.xxx a 193.168.255.xxx

La mascara de red es una dirección IP, que contienen 1 en todos los bits que corresponden con la dirección de red y 0 en las otras posiciones.. La clase de red determina su mascara. Por ejemplo si una dirección es de clase C la mascara sería 255.255.255.0. Es muy importante tener en cuenta que la mascara es un número seguido de bits.

Por lo tanto no existirán máscaras del tipo 10010001 ya que no son un número correlativo de bits.

La dirección de red es la operación AND lógica entre la máscara y cualquier dirección IP de la red. Una dirección de red será de la forma W.X.Y.Z Debido a que los bits del identificador de red hay que elegirlos seguidos, hay veces que para expresar la mascara de red se utiliza el formato <nº bits mascara>

Por ejemplo 192.168.1.0 con máscara 255.255.252.0 será expresada de la forma 192.168.1.0/22 ya que 255.255.252.0 11111111.11111111.11111100  22 bits a 1

Además hay que tener en cuenta que las mascara determinan las redes o subredes a la que pertenecen los equipos y por tanto no es lo mismo la red 128.124.0.0/16 que la red 128.124.0.0/24 ya que la red 128.124.0.0/16 comprende las direcciones entre la 128.124.0.1 a la 128.124.255.254 y la red 128.124.0.0/24 comprende las direcciones entre 128.124.0.1 a la 128.124.0.254

http://blog.smaldone.com.ar/2006/11/21/tutorial-sobre-tcpip/