Transfer IP saobraćaja preko SDH mreža, ili ATM ima alternativu?

Oleg ALLENOV
AMT Group

Mnogo se raspravlja o tome koje će transportne tehnologije doći do izražaja u brzim multimedijalnim mrežama kao što je Internet. I iako je većina spornih glasala za bankomat, ne slažu se svi s ovim gledištem. Moguća je i druga, alternativna opcija za izgradnju transportnih multimedijalnih mreža - korištenje IP (Internet Protocol) sa direktnom enkapsulacijom u mrežu sinhrone digitalne hijerarhije (SDH).

IP postoji više od 15 godina, dok je ATM relativno nov protokol. Tokom postojanja IP Interneta, iz ujedinjene naučne mreže raznorodnih univerzitetskih kampusa, pretvorio se u ogromnu kompjutersku mrežu koja je pokrivala čitavu planetu. Sve veći broj korisnika Interneta (koji se sada broji u milionima) i rastući zahtjevi za propusnim opsegom prijete da preplave Web. Nove multimedijalne aplikacije postavljaju mnogo strože zahtjeve za propusni opseg koji pružaju, često u realnom vremenu. To nas tjera da preispitamo postojeće pristupe izgradnji internetske infrastrukture.

Da bi se povećala propusnost Interneta, prije svega je potreban brzi "transport". Jedna od opcija je korištenje popularne tehnologije bankomata. Treba napomenuti da, kao transportni protokol, ATM izaziva sve više kritika kako proizvođača opreme tako i krajnjih korisnika. Pokušaćemo detaljnije analizirati nedostatke ATM-a i razmotriti slučaj drugog načina transporta internet saobraćaja – direktnu enkapsulaciju TCP/IP protokola u SONET/SDH protokole.

Tehnologija bankomata

Asinhroni režim prenosa, ATM, predstavljen je provajderima mrežnih usluga i dobavljačima kao tehnologija koja može da obezbedi potrebnu propusnost na zahtev i garantovanu kvalitetu usluge za širok spektar multimedijalnih aplikacija, od kojih je Internet bio na prvom mestu. Dakle, nije najnoviji dio ATM komponenti orijentisan i razvijen posebno za transport Internet saobraćaja. U bliskoj budućnosti, Mreža je bila zamišljena da se uglavnom sastoji od ATM korisnika i LANE (LAN Emulation) klijenata, omogućavajući laku i prirodnu migraciju Internet aplikacija na novi transportni protokol koji obećava neograničene mogućnosti.

Međutim (možda zbog visoke cijene novih rješenja ili njihove anorganske prirode), iz nekog razloga to se nije dogodilo. Štaviše, tendencija ka povećanju uticaja TCP/IP protokola kako transportni protokoli počela je da se pojavljuje sve jasnije.

Zaista, stog TCP / IP protokola je dugo razrađen i testiran; mnogo novca i truda je uloženo u njegovo kreiranje i otklanjanje grešaka. Iako IPv4 ima neke nedostatke, nadolazeća verzija IPv6 će riješiti većinu njih. Međutim, postojeća verzija IPv4 također odgovara mnogim ljudima i, prema riječima stručnjaka, može izdržati još nekoliko godina. Veliki broj proizvođača IP smatra obećavajućim transportnim protokolom za modernu telekomunikacionu infrastrukturu. Pa kakve veze ima bankomat s tim?

ATM je predložio ITU-T kao osnovnu tehnologiju za širokopojasni ISDN (ili B-ISDN). Budući da je B-ISDN prvenstveno namijenjen za prijenos multimedijalnog saobraćaja, ATM je bio u dobroj poziciji da podrži ovu vrstu saobraćaja u stvarnim mrežama.

Nešto kasnije, proizvođači telekom opreme skrenuli su pažnju na bankomat. Stvoren je ATM Forum koji se bavio oživljavanjem nove tehnologije. Istovremeno, zadaci ATM Foruma su bili standardizacija i razvoj efikasnog skalabilnog protokola koji podržava dijametralno suprotan saobraćaj (multimedija), garantuje određeni kvalitet usluge (QoS) i podržava multicast emitovanje. Osim toga, ovaj protokol mora biti kompatibilan sa postojećim LAN i WAN tehnologijama.

Treba shvatiti da je ATM tehnologija stekla toliku popularnost upravo zbog općeg uvjerenja da tehnologije koje su postojale u to vrijeme nisu bile u stanju zadovoljiti gore navedene zahtjeve.

IP tehnologija

IP, s druge strane, ne izgleda kao zastarjeli protokol na koji treba zaboraviti. Postoji ogroman broj IP over Ethernet rješenja instaliranih širom svijeta, i nije lako uvjeriti kupce da odustanu od jeftinih Ethernet kartica i instaliraju ATM adaptere bez obećanja fundamentalno novih karakteristika ili barem većih brzina (povećanje brzine nikako znači očigledno).

Mislim da će se mnogi kupci sa iskustvom sa ATM adapterima za personalne računare složiti sa mnom da je 100 Mbps Fast Ethernet (da ne spominjemo Full Duplex) NIC barem jednako brz kao 155 Mbps ATM adapter. To je zbog veće redundancije ATM protokola i kašnjenja sastavljanja/demontaže ćelije. Što se tiče garantovanog kvaliteta usluge ATM-a, on se praktično ne implementira u LANE, a AAL5 UBR (maksimalni UBR + ili ABR) se sada koristi za prenos IP saobraćaja preko ATM-a. Dakle, nema potrebe govoriti o QoS-u.

Nesumnjivo, nova tehnologija mora podržati širok spektar nivoa kvaliteta usluga. Međutim, IP je izabran kao protokol za univerzalno povezivanje i dobro je radio na tadašnjem Internetu od 20.000 računara još sredinom 1980-ih i nastavlja uspješno povezivati ​​nekoliko miliona hostova i danas. Da li je IP zaista zastario? Zagovornici bankomata će vjerovatno odgovoriti potvrdno.

Ogromna sredstva su uložena u razvoj porodice Internet protokola i dovođenje u sadašnje stanje. Pored ATM foruma, Internet Engineering Task Force (IETF) nastavlja da traži načine da iskoristi IP u novim multimedijalnim mrežama velike brzine. Stvoreni su protokoli za podršku multicast emitovanja (IGMP, DVMRP, PIM) i protokoli koji obezbjeđuju rezervaciju resursa za prijenos saobraćaja (RSVP). Moguće je izvršiti rutiranje (iako još nije tako fleksibilno kao kada se koristi PNNI) na osnovu potrebnog kvaliteta usluge (Tag Switching), a MPLS (Multiprotocol Label Switching) standard, koji će uskoro ući u IETF, će osigurati interoperabilnost svih uređaja koji podržavaju prebacivanje oznaka i vjerovatno će značajno pomaknuti poziciju MPOA (Multiprotocol Over ATM).

Dakle, ima li smisla zamijeniti dobro uspostavljenu IP tehnologiju novim bankomatom?

IP preko bankomata

U početku je ideja o transportu IP-a preko ATM-a viđena kao mogući način uvođenja ATM-a u postojeću internet arhitekturu, uz posljedično potpuno suzbijanje IP-a. Sada, shvaćajući da ATM nije u stanju u potpunosti zamijeniti IP, možemo postaviti pitanje: zašto još uvijek ne postoje efikasne metode prijenosa IP prometa preko ATM-a? Čini se da ATM nudi jedinstvenu tehnologiju brzog prebacivanja koja može riješiti trenutna ograničenja propusnosti Interneta. Međutim, u stvarnosti se ovdje pojavljuju neki problemi.

Prije svega, obratimo pažnju na činjenicu da gotovo svi (s rijetkim izuzecima, na primjer, ATM25, TAXI, itd.) fizički interfejsi ATM prekidača rade u formatu okvira SDH / SONET / PDH. Ovo je da bi se olakšala integracija sa široko rasprostranjenim SDH transportnim mrežama. Ali čak i kada je SDH potpuno odsutan i nije predviđen projektom, ipak se u prijenos korisničkog prometa uvode SDH overhead, što, blago rečeno, ne povećava brzinu i performanse mreže.

Takođe je bitno napomenuti da je SDH sinhroni način prijenosa, dok je ATM asinhroni. Prilikom prijenosa ATM prometa preko SDH transportnih mreža gubimo sve prednosti metode asinhronog prijenosa ćelija, a da ne spominjemo dupliciranje niza funkcija (na primjer, OA&M).

Enkapsuliranje IP-a u ATM, koji zauzvrat radi preko SDH, ne poboljšava situaciju. ATM je orijentisan na vezu, dok IP nije. Ova neusklađenost također dovodi do dodatne komplikacije i dupliciranja niza funkcija.

Dakle, svaki od protokola, IP i ATM, zahtijeva svoj vlastiti protokol rutiranja. Dodatne funkcije upravljanja su potrebne za kontrolu IP i ATM saradnje. Efikasnost prenosa multicast saobraćaja je smanjena, jer se bez poznavanja tačne topologije mreže na nižim slojevima, prenos multicast paketa pretvara u njihovu jednostavnu kopiju na graničnim ruterima. Distribucija takvih paketa vrši se duž ruta koje su daleko od optimalnih za stvarnu mrežu.

Nema potrebe da se zadržavamo na nedostacima metoda za emulaciju lokalnih mreža, jer će se svaki kvalificirani mrežni stručnjak složiti da se LANE tehnologija ne može nazvati organskom i obećavajućom. Na mnogo načina, ova tehnologija je neuspješan pokušaj "povlačenja" protokola dizajniranih za okruženja emitiranja u okruženja s višestrukim pristupom bez emitiranja (NBMA).

Dakle, ako je Internet i dalje sam i nastavlja da bude zasnovan na IP-u, postoji li potreba za dodatnim slojem ATM-a između IP-a i zaista efikasnog, istinski brze SDH transportne interpunkcije koja služi jednako dobro za transport gotovo bilo koje vrste saobraćaj?

IP preko SDH

SDH tehnologija se široko koristi za organiziranje pouzdanog transporta. SDH je razvijen da obezbijedi standardni protokol za komunikaciju između provajdera; objediniti američke, evropske i japanske digitalne sisteme; omogućavaju multipleksiranje digitalnih signala pri gigabitnim brzinama; pružaju podršku za funkcije rada, administracije i održavanja (OA&M).

Iako SDH radi sa okvirima i ima svoju vlastitu strukturu kanala, sa stanovišta sloja mreže SDH je samo tok okteta. Da bi se IP paket pravilno ugnijezdio u SDH kontejner, potrebno je jasno definirati granice paketa (ili grupe paketa) unutar modula za sinhroni transport (STM). Drugim riječima, potreban je neki "međusloj" protokola između IP-a i SDH za uokvirivanje sloja veze.

Pošto SDH pruža veze od tačke do tačke, čini se logičnim koristiti PPP (Point-to-Point Protocol) kao posredni protokol. PPP se široko koristi na Internetu kao protokol veze podataka za uspostavljanje konekcija preko mreža širokog područja. Osim toga, PPP vam omogućava korištenje dodatnih funkcija PPP protokola:

• mogućnost višeprotokolne enkapsulacije;
• zaštita od greške;
• korišćenje LCP protokola za uspostavljanje, konfigurisanje i testiranje veza na nivou veze;
• mogućnost korištenja NCP porodice protokola za podršku i konfiguraciju različitih mrežnih protokola.

Međutim, treba napomenuti da nas kao mrežni protokol interesuje samo IP, a osim toga, brojne funkcije NCP protokola (na primjer, dinamičko dodjeljivanje IP adresa) nisu relevantne u našem slučaju. Ono što nas zaista zanima je IP u PPP enkapsulaciji, a zatim PPP okviri u SDH.

IP enkapsulacija u PPP-u nije problem jer je dobro uspostavljena i široko se koristi. Procedura PPP enkapsulacije u SDH (definirana je vrijednost Path Signal Label = 207hex), prikazana na slici, mora biti izvedena posebnim servisnim adapterom na razini SDH putanje. Servisni adapter može biti crna kutija koja prima tok PPP okvira i "izbacuje" tok STM transportnih modula. PPP je vrlo pogodan za rad sa SDH, jer su oba protokola fokusirana na rad u jednobajtnom modu.

Dakle, korišćenjem direktne inkapsulacije internet saobraćaja u postojeću SDH transportnu uslugu, značajno pojednostavljujemo složenu mrežnu infrastrukturu, čime smanjujemo njenu cenu i povećavamo efektivni propusni opseg. Pojavom novih mogućnosti za prenos IP saobraćaja gigabitnim brzinama (Gigabit Ethernet) i tehnologija za brzo prebacivanje IP paketa (Multiprotocol Label Switching - MPLS), postaje prava upotreba IP protokola kao osnove objedinjeni transportni servis za prenos video, telefonskih i drugih multimedijalnih aplikacija - srećom, najveći dio posla na implementaciji IP protokola u World Wide Webu je već završen. U tom smislu, pojava standarda (RFC 1619) i prve praktične implementacije PPP preko SDH (ili Packets Over Sonet - POS) sučelja na modernim ruterima namijenjenim za internet, posebno na GSR 12000 kompanije Cisco Systems, izgleda da je veoma blagovremeno.

U zaključku želim da napomenem da autor ni na koji način neće umanjiti značaj ATM tehnologije i negirati njen pozitivan uticaj na razvoj svetskih telekomunikacionih usluga. Samo je smatrao da je zanimljivo na diskutabilan način razmotriti mogućnost alternativnih načina razvoja multimedijalnih usluga, osim tehnologije asinhronog načina prijenosa ćelija.

O AUTORU

Oleg Allenov je instruktor u centru za obuku AMT grupe, CCSI / CCIE. Možete ga kontaktirati telefonom. 725 - 7660

Globalni internet saobraćaj će porasti na 1,6 zetabajta do 2018. Ključni pokretači rasta bit će širenje Ultra-HD/4K video i komunikacionih tehnologija od mašine do mašine, uključujući pametne automobile.

Na osnovu Cisco istraživanja pod nazivom "Indeks razvoja vizuelnog umrežavanja: Globalna prognoza i distribucija usluga za 2013-2018." (Cisco VNI), globalni IP saobraćaj će se skoro utrostručiti u roku od 4 godine. To će se dogoditi zbog povećanja broja korisnika interneta i raznih uređaja, povećanja brzine širokopojasnog pristupa i broja pregleda videa. Očekuje se da će do 2018. globalni fiksni i mobilni IP saobraćaj dostići 1,6 zetabajta* godišnje. preko jedan i po bilion gigabajta. Ovo je više IP prometa (1,3 zetabajta) generiranog globalno između 1984. i 2013. godine.

Desetine miliona navijača gledaće preko interneta prenos svetskog prvenstva u fudbalu koje je upravo počelo. Video streaming i IP igre mogu generirati 4,3 eksabajta internet saobraćaja, što je više od tri puta više od mjesečnog prometa u Brazilu. Osim toga, predviđa se da će internet saobraćaj koji generiraju gledaoci na svakom stadionu i na putu do utakmice premašiti prosječan promet ostvaren tokom vršnih sati ** na svim pametnim telefonima koje trenutno imaju Brazilci.

Očekuje se da će globalni IP promet dostići 132 eksabajta mjesečno do 2018. Istu količinu prometa može generirati:

• Ultra-HD / 4K video koji se prenosi istovremeno na 8,8 milijardi ekrana tokom finala Svjetskog prvenstva
• 5,5 milijardi gledalaca videa na zahtjev koji neprestano gledaju 4. sezonu Igre prijestolja u visokoj definiciji (HD), ili 1,5 milijardi u ultra-visokoj definiciji;
• Kuća od karata, sezona 3, emituje se istovremeno na 24 milijarde ekrana ultra visoke rezolucije;
• 940 kvadriliona tekstualnih poruka;
• 4,5 triliona YouTube klipova.

U narednim godinama sastav IP saobraćaja će se dramatično promijeniti. Do 2018. većina će po prvi put biti povezana ne sa personalnim računarima, već sa drugim uređajima. Takođe po prvi put, Wi-Fi saobraćaj će premašiti žičani saobraćaj, a HD video saobraćaj će nadmašiti običan video saobraćaj.

Prožimajući internet takođe dobija na zamahu, a do 2018. broj komunikacionih modula mašina-mašina izjednačiće se sa brojem ljudi. Dakle, za svaki "pametni" automobil će postojati skoro 4 priključka.

“U prvom izvještaju te vrste, objavljenom prije 9 godina, postavili smo zetabajte kao prekretnicu u globalnom rastu IP saobraćaja,” prisjetio se Doug Webster, potpredsjednik marketinga proizvoda i rješenja za Cisco. “Danas već živimo u Zettabyte eri, svjedoci smo nevjerovatnih industrijskih promjena. Među glavnim trendovima istaknutim u trenutnoj prognozi koji pružaocima usluga pružaju značajne mogućnosti kako danas tako i u bliskoj budućnosti, ističemo implementaciju Interneta svega, rastuću potražnju za mrežnom mobilnošću i pojavu videa ultra visoke rezolucije. "

Prognoze rasta globalnog prometa i ključni pokretači difuzije usluga

IP saobraćaj

Mobilni i nosivi uređaji, osim personalnih računara, bit će odgovorni za većinu prometa do 2018. godine. Ako su 2013. godine uređaji osim računara činili 33% IP saobraćaja, onda će do 2018. ovaj udio porasti na 57%. PC promet će rasti za 10% godišnje, dok će za ostale uređaje i konekcije ova brojka biti veća: 18% za TV, 74% za tablete, 64% za pametne telefone i 84% za module komunikacije mašina-mašina (M2M) .

Promet u vršnim satima raste brže od redovnog internet prometa. U 2013. promet interneta u špicu porastao je za 32%, dok je promet u ostalo doba dana porastao za 25%.

U 2013. godini više saobraćaja je prenošeno kroz gradske mreže nego preko okosnih veza. U periodu 2013-2018. promet u gradskim mrežama će rasti gotovo dvostruko brže nego u okosnim vezama. To je dijelom zbog očekivanog udvostručenja internet prometa u mrežama za isporuku sadržaja do 2018.

IP video

Do 2018. godine, udio IP videa u ukupnom IP saobraćaju će porasti na 79% (2013. je bio 66%).

Udio videa ultra visoke rezolucije u ukupnom IP saobraćaju do 2018. godine će se povećati za 0,1% u odnosu na 2013. godinu i iznosit će 11%. Udio videa visoke definicije će se povećati sa 36% u 2013. na 52% do 2018. godine, a video standardne rezolucije će se smanjiti sa 64% na 37% ukupnog IP saobraćaja.

IP saobraćaj prema vrsti pristupa

Do 2018. Wi-Fi i mobilni uređaji će generisati 61% IP saobraćaja. Wi-Fi će činiti 49%, mobilne mreže - 12%. Fiksni saobraćaj će do 2018. činiti samo 39% ukupnog IP saobraćaja. Poređenja radi: u 2013. udio Wi-Fi-a iznosio je 41%, mobilni saobraćaj - 3%, fiksni saobraćaj - 56%.

Do 2018. Wi-Fi i mobilni uređaji će generisati 76% internet saobraćaja. Wi-Fi će činiti 61%, mobilne mreže - 15%. Fiksni saobraćaj će činiti samo 24% ukupnog internet saobraćaja do 2018. Poređenja radi: u 2013. udio Wi-Fi-a iznosio je 55%, mobilnog saobraćaja - 4%, fiksnog saobraćaja - 41%.

Uređaji i veze

Do 2018. godine u prosjeku će postojati 2,7 mrežnih uređaja ili konekcija za svaku osobu na planeti. U 2013. ovaj broj je iznosio 1,7 po glavi stanovnika.

Globalni broj veza između mašina će biti 7,3 milijarde, ili skoro jedna veza po osobi (pod pretpostavkom da će na Zemlji biti 7,6 milijardi ljudi do 2018.).

Broj fiksnih i mobilnih uređaja koji podržavaju IPv6 porast će sa 2 milijarde u 2013. na 10 milijardi u 2018. godini.

Rast brzina širokopojasnog pristupa

Brzina širokopojasnog pristupa u svijetu će porasti sa 16 Mbit/s na kraju 2013. na 42 Mbit/s do 2018. godine.

Većina (otprilike 55%) širokopojasnih veza će premašiti 10 Mbps do 2018. U Japanu i Južnoj Koreji, prosječna brzina širokopojasnog pristupa će se približiti 100 Mbps do 2018.

Distribucija naprednih usluga

Najbrže rastuća usluga u stambenom sektoru biće onlajn video, sa CAGR od 10% u periodu 2013-2018. broj korisnika će se povećati sa 1,2 na 1,9 milijardi.

Potrošački segment će imati najbrži rast mobilnih usluga na osnovu lokacije, sa CAGR od 36% u periodu 2013-2018. broj korisnika ovakvih usluga će porasti sa 236 miliona na preko milijardu ljudi.

U poslovnom segmentu, najbrže rastuća internet usluga biće video konferencije pomoću ličnih uređaja i desktopa, sa CAGR od 45% u periodu 2013-2018. broj korisnika će porasti sa 37 miliona na 238 miliona.

Prognoze po zemljama i regijama

Do 2018. najveći obim IP saobraćaja - 47,7 eksabajta mesečno - biće generisan u azijsko-pacifičkom regionu. Ova najnaseljenija regija na svijetu, koja čini većinu uređaja i veza, ostat će broj jedan po obimu prometa tokom 2018.

Na Bliskom istoku i Africi, 2013-2018 IP saobraćaj će nastaviti da raste najbržim tempom (petostruko, 38% CAGR).

Do 2018. godine, SAD i Kina će postati zemlje koje će generisati najveći obim saobraćaja (37 odnosno 18 eksabajta mesečno).

Najbrži rast IP saobraćaja u periodu 2013-2018 će se posmatrati u Indiji i Indoneziji (39% i 37% CAGR, respektivno).

Šta iz svega slijedi za pružaoce usluga

Mreže provajdera usluga će trebati poboljšanu sigurnost i inteligenciju. Morat će se prilagoditi kako bi se nosili sa sve većim brojem tableta, pametnih telefona i uređaja od stroja do stroja koji će zahtijevati autentifikaciju za pristup fiksnim i mobilnim mrežama.

Evolucija video usluga kao što su video visoke i ultra visoke definicije može zahtijevati dodatni propusni opseg i skalabilnost od pružatelja usluga. U rezidencijalnom, mobilnom i poslovnom sektoru postojat će velika potražnja za pristupom naprednim video uslugama putem svih vrsta mreža i uređaja. Ovdje će kvalitet usluge, pristupačnost i cijena biti ključni faktori uspjeha.

Kontinuirano širenje usluga kao što su video konferencije visoke definicije i web video konferencije u poslovnom segmentu, kao i poslovni video na zahtjev, može stimulirati rast virtualizacije mreže i korištenja interneta za prijenos videa, što će uzrokovati određene probleme. i za pružaoce usluga i za nezavisne pružaoce usluga (over-the-top provajderi, OTT).

Rast 4G mreža i proliferacija povezanih usluga mogu se ubrzati jer mobilni korisnici i dalje zahtijevaju pružanje sličnih usluga i kvalitetu usluge u svojim fiksnim i mobilnim mrežama.

IP mreže moraju biti dovoljno inteligentne i fleksibilne da podrže sve nove i evoluirajuće fiksne i mobilne mrežne aplikacije. U nastojanju da diferenciraju svoje usluge, mnogi provajderi usluga aktivno sarađuju sa programerima aplikacija.

Svaki administrator prije ili kasnije dobije upute od menadžmenta: „izračunaj ko ide na internet i koliko preuzima“. Za provajdere ga dopunjuju zadaci "pusti koga treba, uzmi uplatu, ograniči pristup". Šta računati? Kako? Gdje? Ima dosta fragmentarnih informacija, nisu strukturirane. Sačuvajmo administratora početnika od zamornih pretraga, pružajući mu opće znanje i korisne veze do materijala.
U ovom članku pokušat ću opisati principe organizacije prikupljanja, obračuna i kontrole prometa u mreži. Razmotrit ćemo problematiku problema i navesti moguće načine za preuzimanje informacija sa mrežnih uređaja.

Ovo je prvi teorijski članak u nizu članaka posvećenih prikupljanju, računovodstvu, upravljanju i naplati prometa i IT resursa.

Struktura pristupa Internetu

Generalno, struktura pristupa mreži je sljedeća:

• Eksterni resursi - Internet, sa svim stranicama, serverima, adresama i ostalim stvarima koje ne pripadaju mreži koju kontrolišete.
• Pristupni uređaj je ruter (zasnovan na hardveru ili računaru), prekidač, VPN server ili čvorište.
• Interni resursi - skup računara, podmreža, pretplatnika čiji se rad u mreži mora uzeti u obzir ili kontrolisati.
• Kontrolni ili računovodstveni server je uređaj na kojem radi specijalizovani softver. Može se funkcionalno kombinovati sa softverskim ruterom.

U ovoj strukturi, mrežni promet prolazi sa vanjskih resursa na interne resurse i nazad kroz pristupni uređaj. Šalje informacije o prometu na upravljački server. Kontrolni server obrađuje ove informacije, pohranjuje ih u bazu podataka, prikazuje ih, izdaje komande za blokiranje. Međutim, nisu sve kombinacije pristupnih uređaja (metoda) i metoda prikupljanja i kontrole kompatibilne. Različite opcije će biti razmotrene u nastavku.

Mrežni saobraćaj

Prvo, morate odrediti šta se podrazumijeva pod "mrežnim prometom" i koje korisne statističke informacije mogu biti izvučene iz toka korisničkih podataka.
IP verzija 4 ostaje dominantan protokol za međusobnu saradnju. IP protokol je u skladu sa 3. slojem OSI modela (L3). Informacije (podaci) između pošiljaoca i primaoca spakovane su u pakete - sa zaglavljem i "korisnim opterećenjem". Zaglavlje određuje odakle paket dolazi i gdje (izvorne i odredišne ​​IP adrese), veličinu paketa i tip korisnog opterećenja. Najveći deo mrežnog saobraćaja sastoji se od UDP i TCP paketa korisnog opterećenja - ovo su protokoli Layer 4 (L4). Pored adresa, zaglavlje ova dva protokola sadrži brojeve portova koji određuju tip usluge (aplikacije) koja prenosi podatke.

Da bi prenijeli IP paket preko žica (ili radija), mrežni uređaji su prisiljeni da ga "umotaju" (inkapsuliraju) u paket protokola Layer 2 (L2). Najčešći od ovog tipa je Ethernet. Stvarni prijenos "na žicu" je na 1. nivou. Obično, pristupni uređaj (ruter) ne analizira zaglavlja paketa na nivou višem od 4. (osim pametnih zaštitnih zidova).
Informacije iz polja adresa, portova, protokola i brojača dužine iz L3 i L4 zaglavlja paketa podataka čine "izvorni materijal" koji se koristi u računovodstvu i upravljanju saobraćajem. Stvarna količina prenesenih informacija nalazi se u polju Dužina IP zaglavlja (uključujući dužinu samog zaglavlja). Inače, zbog fragmentacije paketa zbog MTU mehanizma, ukupna količina prenesenih podataka je uvijek veća od veličine korisnog opterećenja.

Ukupna dužina IP i TCP/UDP polja paketa koji nas zanima u ovom kontekstu je 2...10% ukupne dužine paketa. Ako sve ove informacije obrađujete i pohranjujete u serijama, neće biti dovoljno resursa. Srećom, velika većina saobraćaja je struktuirana na način da se sastoji od skupa "razgovora" između eksternih i internih mrežnih uređaja, takozvanih "tokova". Na primjer, kao dio jedne operacije prosljeđivanja e-pošte (SMTP protokol), otvara se TCP sesija između klijenta i servera. Karakterizira ga konstantan skup parametara (Izvorni IP, izvorni TCP port, odredišni TCP port, odredišni TCP port)... Umjesto obrade i pohranjivanja informacija po paketu, mnogo je zgodnije pohraniti parametre protoka (adrese i portove), kao i dodatne informacije - broj i zbir dužina prenetih paketa u svakom smjeru, opciono trajanje sesije, sučelje rutera indeksi, vrijednost polja ToS i tako dalje. Ovaj pristup je koristan za protokole orijentirane na vezu (TCP), gdje možete eksplicitno presresti kada se sesija završi. Međutim, čak i za protokole koji nisu orijentirani na sesiju, moguće je izvršiti agregaciju i logički završetak snimanja toka, na primjer, timeoutom. Ispod je izvod iz SQL baze podataka vlastitog sistema naplate koji bilježi informacije o tokovima prometa:

Treba napomenuti slučaj kada pristupni uređaj vrši translaciju adresa (NAT, maskiranje) kako bi organizovao pristup Internetu za računare na lokalnoj mreži koristeći jednu eksternu javnu IP adresu. U ovom slučaju, poseban mehanizam zamjenjuje IP adrese i TCP/UDP portove prometnih paketa, zamjenjujući interne (ne rutabilne na Internetu) adrese prema svojoj dinamičkoj tablici prevođenja. U takvoj konfiguraciji treba imati na umu da za ispravno obračunavanje podataka na internim hostovima mreže statistiku treba uzeti na način i na mjestu gdje rezultat prijevoda još ne „depersonalizira“ interne adrese.

Metode za prikupljanje informacija o prometu / statistici

Možete snimiti i obraditi informacije o propuštanju prometa direktno na samom pristupnom uređaju (PC-ruter, VPN-server), sa ovog uređaja prenoseći ih na poseban server (NetFlow, SNMP) ili "sa žice" (tap, SPAN ). Analizirajmo sve opcije po redu.

PC ruter

Razmotrimo najjednostavniji slučaj - pristupni uređaj (ruter) zasnovan na PC-u koji koristi Linux.

Kako postaviti takav server, prevođenje adresa i rutiranje, puno napisano... Zanima nas sljedeći logičan korak - informacije o tome kako doći do informacija o prometu koji prolazi kroz takav server. Postoje tri uobičajena načina:

• presretanje (kopiranje) paketa koji prolaze kroz mrežnu karticu servera pomoću biblioteke libpcap
• presretanje paketa koji prolaze kroz ugrađeni firewall
• korištenje alata treće strane za pretvaranje statistike po paketu (dobivene jednom od dvije prethodne metode) u tok agregiranih informacija mrežnog toka

Libpcap

U prvom slučaju, kopiju paketa koji prolazi kroz interfejs, nakon prolaska filtera (man pcap-filter), može zatražiti klijentski program na serveru napisan pomoću ove biblioteke. Paket dolazi sa zaglavljem Layer 2 (Ethernet). Moguće je ograničiti dužinu uhvaćene informacije (ako nas zanimaju samo podaci iz njenog zaglavlja). Primjeri takvih programa su tcpdump i Wireshark. Postoji implementacija libpcap za Windows. U slučaju korišćenja translacije adresa na PC ruteru, takvo presretanje se može izvršiti samo na njegovom internom interfejsu koji je povezan sa lokalnim korisnicima. Na eksternom interfejsu, nakon prevođenja, IP paketi ne sadrže informacije o internim hostovima mreže. Međutim, ovom metodom nemoguće je uzeti u obzir promet koji generiše sam server na Internetu (što je važno ako na njemu radi web ili mail servis).

Libpcap zahtijeva podršku operativnog sistema, koja se trenutno svodi na instaliranje jedne biblioteke. U tom slučaju, aplikacijski (korisnički) program koji prikuplja pakete mora:

• otvorite traženi interfejs
• navedite filter kroz koji će proći primljeni paketi, veličinu uhvaćenog dijela (snaplen), veličinu bafera,
• postavite parametar promisc, koji mrežno sučelje prebacuje na način hvatanja svih paketa koji prolaze općenito, a ne samo onih adresiranih na MAC adresu ovog sučelja
• postavite funkciju (povratni poziv) pozvanu za svaki primljeni paket.

Kada se paket prenosi kroz odabrani interfejs, nakon prolaska filtera, ova funkcija prima bafer koji sadrži Ethernet, (VLAN), IP, itd. zaglavlja do snaplena. Pošto biblioteka libcap kopira pakete, nije moguće blokirati njihov prolaz kroz nju. U ovom slučaju, program za prikupljanje i obradu saobraćaja morat će koristiti alternativne metode, na primjer, pozivanje skripte za stavljanje navedene IP adrese u pravilo blokiranja prometa.

Firewall

Snimanje podataka koji prolaze kroz firewall omogućava vam da uzmete u obzir i promet samog servera i promet korisnika mreže, čak i kada je pokrenuta translacija adresa. Glavna stvar u ovom slučaju je pravilno formulirati pravilo hvatanja i staviti ga na pravo mjesto. Ovo pravilo aktivira prijenos paketa prema sistemskoj biblioteci, odakle ga aplikacija za obračun i kontrolu prometa može primiti. Za Linux OS, iptables se koristi kao firewall, a presretači su ipq, netfliter_queue ili ulog. Za FreeBSD OC - ipfw sa tee ili divert pravilima. U svakom slučaju, mehanizam firewall-a je dopunjen mogućnošću rada sa korisničkim programom na sljedeći način:

• Korisnički program - rukovalac saobraćaja se registruje u sistemu koristeći sistemski poziv ili biblioteku.
• Korisnički program ili eksterna skripta instalira pravilo u firewall koje "omata" odabrani promet (prema pravilu) unutar rukovatelja.
• Za svaki paket koji prolazi, rukovalac prima njegov sadržaj u obliku memorijskog bafera (sa IP zaglavljima itd. Nakon obrade (obračunavanja), program takođe mora reći kernelu operativnog sistema šta dalje da radi sa takvim paketom - da odbaci ili proslijedite modificirani paket kernelu.

Budući da se IP paket ne kopira, već se šalje softveru na analizu, postaje moguće "baciti" ga, a samim tim i potpuno ili djelomično ograničiti promet određenog tipa (na primjer, odabranom pretplatniku lokalnog mreža). Međutim, ako aplikacija prestane da odgovara kernelu o svojoj odluci (na primjer, visi), promet kroz server je jednostavno blokiran.
Treba napomenuti da opisani mehanizmi, uz značajne količine prenijetog prometa, stvaraju preveliko opterećenje na serveru, što je povezano sa stalnim kopiranjem podataka iz kernela u korisnički program. Metoda prikupljanja statistike na nivou kernela OS-a, uz izdavanje agregirane statistike aplikacijskom programu preko NetFlow protokola, je lišena ovog nedostatka.

Netflow

Ovaj protokol je razvio Cisco Systems za izvoz informacija o saobraćaju sa rutera za obračun i analizu saobraćaja. Najpopularnija verzija 5 sada pruža primaocu strukturirani tok podataka u obliku UDP paketa koji sadrže informacije o proslijeđenom prometu u obliku takozvanih zapisa toka:

Količina informacija o prometu je nekoliko redova veličine manja od samog prometa, što je posebno važno u velikim i distribuiranim mrežama. Naravno, nemoguće je blokirati prijenos informacija prilikom prikupljanja statistike o netflow-u (osim ako se ne koriste dodatni mehanizmi).
Trenutno, dalji razvoj ovog protokola postaje popularan - verzija 9, zasnovana na strukturi šablona zapisa toka, implementacija za uređaje drugih proizvođača (sFlow). Nedavno je usvojen IPFIX standard koji omogućava prenos statistike preko protokola dubljih slojeva (na primjer, prema vrsti aplikacije).
Implementacija netflow izvora (agenti, sonda) dostupna je za PC rutere, kako u obliku uslužnih programa koji rade prema gore opisanim mehanizmima (flowprobe, softflowd), tako i direktno ugrađenih u jezgro OS (FreeBSD :, Linux:). Za softverske rutere, tok statistike netflow-a se može primiti i obraditi lokalno na samom ruteru, ili poslati preko mreže (protokol za prijenos - preko UDP-a) do prijemnog uređaja (kolektora).


Program za prikupljanje može prikupiti informacije iz više izvora odjednom, u stanju je razlikovati njihov promet čak i sa preklapajućim adresnim prostorima. Uz pomoć dodatnih alata, kao što je nprobe, moguće je izvršiti i dodatnu agregaciju podataka, split streams ili konverziju protokola, što je važno pri upravljanju velikom i distribuiranom mrežom sa desetinama rutera.

Funkcije netflow izvoza podržavaju Cisco Systems, Mikrotik i nekoliko drugih. Sličnu funkcionalnost (sa drugim izvoznim protokolima) podržavaju svi veći proizvođači mrežne opreme.

Libpcap "napolju"

Hajde da malo zakomplikujemo zadatak. Šta ako je vaš pristupni uređaj hardverski ruter treće strane? Na primjer, D-Link, ASUS, Trendnet, itd. Na njega je najvjerovatnije nemoguće instalirati dodatni softver za preuzimanje podataka. Alternativno, imate pametni pristupni uređaj, ali ga nije moguće konfigurirati (nema prava ili ga kontrolira vaš provajder). U ovom slučaju moguće je prikupljati informacije o prometu direktno na interfejsu pristupnog uređaja sa internom mrežom, koristeći "hardverska" sredstva za kopiranje paketa. U ovom slučaju će vam svakako trebati samostalni server sa namjenskom mrežnom karticom za primanje kopija Ethernet paketa.
Server mora koristiti mehanizam za prikupljanje paketa gore opisanom metodom libpcap, a naš zadatak je da pošaljemo tok podataka na ulaz namjenske mrežne kartice koja je identična onoj koja napušta pristupni server. Da biste to učinili, možete koristiti:

• Ethernet - čvorište: uređaj koji jednostavno prosljeđuje pakete između svih svojih portova neselektivno. U modernim stvarnostima, može se naći negdje u prašnjavom skladištu i ne preporučuje se korištenje ove metode: nepouzdana, mala brzina (nema čvorišta na 1 Gbit / s)
• Ethernet je prekidač sa mogućnošću preslikavanja (zrcaljenje, SPAN portovi. Moderni inteligentni (i skupi) prekidači omogućavaju kopiranje na određeni port sav promet (dolazni, odlazni, oba) drugog fizičkog interfejsa, VLAN-a, uključujući daljinski (RSPAN)
• Hardverski razdjelnik, koji može zahtijevati instalaciju za prikupljanje dvije mrežne kartice umjesto jedne - i to je dodatak glavnoj, sistemskoj.

Naravno, možete konfigurisati SPAN port na samom pristupnom uređaju (ruteru), ako to dozvoljava - Cisco Catalyst 6500, Cisco ASA. Evo primjera takve konfiguracije za Cisco switch:
monitor sesije 1 izvorni vlan 100! gde dobijamo pakete
monitor sesija 1 odredišni interfejs Gi6 / 3! gdje izdajemo pakete

SNMP

Šta ako nema rutera pod našom kontrolom, nema želje za komunikacijom sa netflowom, ne zanimaju nas detalji saobraćaja naših korisnika. Oni su jednostavno povezani na mrežu preko upravljanog prekidača, a mi samo trebamo grubo procijeniti količinu saobraćaja koji ide na svaki od njegovih portova. Kao što znate, daljinski upravljani mrežni uređaji podržavaju i mogu prikazati broj paketa (bajtova) koji prolaze kroz mrežna sučelja. Za njihovo ispitivanje bilo bi ispravno koristiti standardizirani SNMP protokol za daljinsko upravljanje. Koristeći ga, lako možete dobiti ne samo vrijednosti navedenih brojača, već i druge parametre, kao što su naziv i opis sučelja, MAC adrese vidljive kroz njega i druge korisne informacije. Ovo se radi i sa uslužnim programima komandne linije (snmpwalk), grafičkim SNMP pretraživačima i sofisticiranijim programima za praćenje mreže (rrdtools, cacti, zabbix, whats up gold, itd.). Međutim, ova metoda ima dva značajna nedostatka:

• saobraćaj se može blokirati samo potpunim onemogućavanjem interfejsa, koristeći isti SNMP
• SNMP brojači saobraćaja odnose se na zbir dužina Ethernet paketa (unicast, broadcast i multicast odvojeno), dok ostatak prethodno opisanih sredstava daje vrijednosti u odnosu na IP pakete. Ovo stvara primjetno odstupanje (posebno za kratke pakete) zbog prevelikog opterećenja uzrokovanog dužinom Ethernet zaglavlja (međutim, ovo se može grubo riješiti: L3_bytes = L2_bytes - L2_packets * 38).

VPN

Odvojeno, vrijedi razmotriti slučaj pristupa korisnika mreži eksplicitnim uspostavljanjem veze sa pristupnim serverom. Klasičan primjer je dobro staro dial-up, čiji je analog u modernom svijetu VPN usluge udaljenog pristupa (PPTP, PPPoE, L2TP, OpenVPN, IPSEC)


Pristupni uređaj ne samo da usmjerava IP promet korisnika, već djeluje i kao namjenski VPN server i završava logičke tunele (često šifrirane) unutar kojih se prenosi korisnički promet.
Da biste uračunali takav promet, možete koristiti sve gore opisane alate (i oni su vrlo prikladni za dubinsku analizu prema portu/protokolu), kao i dodatne mehanizme koji pružaju alate za kontrolu pristupa VPN-u. Prije svega, govorit ćemo o RADIUS protokolu. Njegov rad je prilično složena tema. Ukratko ćemo spomenuti da kontrolu (autorizaciju) pristupa VPN serveru (RADIUS klijent) kontroliše posebna aplikacija (RADIUS server), koja ima bazu podataka (tekstualni fajl, SQL, Active Directory) važećih korisnika sa njihovim atributima ( ograničenja brzine veze, dodijeljene IP adrese). Pored procesa autorizacije, klijent periodično prenosi računovodstvene poruke na server, informacije o statusu svake trenutne pokrenute VPN sesije, uključujući brojače prenetih bajtova i paketa.

Zaključak

Hajde da sumiramo sve gore navedene metode prikupljanja saobraćajnih informacija zajedno:

Hajde da sumiramo malo. U praksi postoji veliki broj metoda za povezivanje mreže kojom upravljate (sa klijentima ili kancelarijskim pretplatnicima) na eksternu mrežnu infrastrukturu, korišćenjem brojnih pristupnih sredstava – softverskih i hardverskih rutera, komutatora, VPN servera. Međutim, u gotovo svakom slučaju možete smisliti shemu kada se informacije o prometu koji se prenosi preko mreže mogu poslati softverskom ili hardverskom alatu za njegovu analizu i kontrolu. Također je moguće da će ovaj alat omogućiti povratne informacije pristupnom uređaju koristeći inteligentne algoritame za ograničavanje pristupa za pojedinačne klijente, protokole i druge.
Ovim je završena analiza materijala. Od neodgovorenih tema ostale su:

• kako i gdje idu prikupljeni podaci o saobraćaju
• softver za knjigovodstvo saobraćaja
• koja je razlika između naplate i jednostavne "brojanice"
• kako možete uvesti ograničenja u saobraćaju
• obračunavanje i ograničavanje posjećenih web stranica

Pregledano: 3498

Svaki administrator prije ili kasnije dobije upute od menadžmenta: „izračunaj ko ide na internet i koliko preuzima“. Za provajdere ga dopunjuju zadaci "pusti koga treba, uzmi uplatu, ograniči pristup". Šta računati? Kako? Gdje? Ima dosta fragmentarnih informacija, nisu strukturirane. Sačuvajmo administratora početnika od zamornih pretraga, pružajući mu opće znanje i korisne veze do materijala.
U ovom članku pokušat ću opisati principe organizacije prikupljanja, obračuna i kontrole prometa u mreži. Razmotrit ćemo problematiku problema i navesti moguće načine za preuzimanje informacija sa mrežnih uređaja.

Ovo je prvi teorijski članak u nizu članaka posvećenih prikupljanju, računovodstvu, upravljanju i naplati prometa i IT resursa.

Struktura pristupa Internetu

Generalno, struktura pristupa mreži je sljedeća:

• Eksterni resursi - Internet, sa svim stranicama, serverima, adresama i ostalim stvarima koje ne pripadaju mreži koju kontrolišete.


• Pristupni uređaj je ruter (zasnovan na hardveru ili računaru), prekidač, VPN server ili čvorište.


• Interni resursi - skup računara, podmreža, pretplatnika čiji se rad u mreži mora uzeti u obzir ili kontrolisati.


• Kontrolni ili računovodstveni server je uređaj na kojem radi specijalizovani softver. Može se funkcionalno kombinovati sa softverskim ruterom.

U ovoj strukturi, mrežni promet prolazi sa vanjskih resursa na interne resurse i nazad kroz pristupni uređaj. Šalje informacije o prometu na upravljački server. Kontrolni server obrađuje ove informacije, pohranjuje ih u bazu podataka, prikazuje ih, izdaje komande za blokiranje. Međutim, nisu sve kombinacije pristupnih uređaja (metoda) i metoda prikupljanja i kontrole kompatibilne. Različite opcije će biti razmotrene u nastavku.

Mrežni saobraćaj

Prvo, morate odrediti šta se podrazumijeva pod "mrežnim prometom" i koje korisne statističke informacije mogu biti izvučene iz toka korisničkih podataka.
Dominantni protokol interkonekcije ostaje do sada. IP je sloj 3 (L3). Informacije (podaci) između pošiljaoca i primaoca spakovane su u pakete - sa zaglavljem i "korisnim opterećenjem". Zaglavlje određuje odakle paket dolazi i gdje (izvorne i odredišne ​​IP adrese), veličinu paketa i tip korisnog opterećenja. Najveći deo mrežnog saobraćaja sastoji se od UDP i TCP paketa korisnog opterećenja - ovo su protokoli Layer 4 (L4). Pored adresa, zaglavlje ova dva protokola sadrži brojeve portova koji određuju tip usluge (aplikacije) koja prenosi podatke.

Da bi prenijeli IP paket preko žica (ili radija), mrežni uređaji su prisiljeni da ga "umotaju" (inkapsuliraju) u paket protokola Layer 2 (L2). Najčešći protokol ove vrste je. Stvarni prijenos "na žicu" je na 1. nivou. Obično, pristupni uređaj (ruter) ne analizira zaglavlja paketa na nivou višem od 4. (osim pametnih zaštitnih zidova).
Informacije iz polja adresa, portova, protokola i brojača dužine iz L3 i L4 zaglavlja paketa podataka predstavljaju "izvorni materijal" koji se koristi u računovodstvu i upravljanju saobraćajem. Stvarna količina prenesenih informacija nalazi se u polju Dužina IP zaglavlja (uključujući dužinu samog zaglavlja). Inače, zbog fragmentacije paketa zbog mehanizma, ukupna količina prenesenih podataka je uvijek veća od veličine korisnog opterećenja.

Ukupna dužina IP i TCP/UDP polja paketa koji nas zanima u ovom kontekstu je 2...10% ukupne dužine paketa. Ako sve ove informacije obrađujete i pohranjujete u serijama, neće biti dovoljno resursa. Srećom, velika većina saobraćaja je struktuirana na način da se sastoji od skupa "razgovora" između eksternih i internih mrežnih uređaja, takozvanih "tokova". Na primjer, kao dio jedne operacije prosljeđivanja e-pošte (SMTP protokol), otvara se TCP sesija između klijenta i servera. Karakterizira ga konstantan skup parametara (Izvorni IP, izvorni TCP port, odredišni TCP port, odredišni TCP port)... Umjesto obrade i pohranjivanja informacija po paketu, mnogo je zgodnije pohraniti parametre protoka (adrese i portove), kao i dodatne informacije - broj i zbir dužina prenetih paketa u svakom smjeru, opciono trajanje sesije, sučelje rutera indeksi, vrijednost polja ToS i tako dalje. Ovaj pristup je koristan za protokole orijentirane na vezu (TCP), gdje možete eksplicitno presresti kada se sesija završi. Međutim, čak i za protokole koji nisu orijentirani na sesiju, moguće je izvršiti agregaciju i logički završetak snimanja toka, na primjer, timeoutom. Ispod je izvod iz SQL baze podataka koja bilježi informacije o prometu:

Treba napomenuti slučaj kada pristupni uređaj vrši translaciju adrese (, maskiranje) za organizaciju pristupa Internetu za računare na lokalnoj mreži koristeći jednu eksternu javnu IP adresu. U ovom slučaju, poseban mehanizam zamjenjuje IP adrese i TCP/UDP portove prometnih paketa, zamjenjujući interne (ne rutabilne na Internetu) adrese prema svojoj dinamičkoj tablici prevođenja. U takvoj konfiguraciji treba imati na umu da za ispravno obračunavanje podataka na internim hostovima mreže statistiku treba uzeti na način i na mjestu gdje rezultat prijevoda još ne „depersonalizira“ interne adrese.

Metode za prikupljanje informacija o prometu / statistici

Možete snimiti i obraditi informacije o propuštanju prometa direktno na samom pristupnom uređaju (PC-ruter, VPN-server), sa ovog uređaja prenoseći ih na poseban server (NetFlow, SNMP) ili "sa žice" (tap, SPAN ). Analizirajmo sve opcije po redu.

PC ruter

Razmotrimo najjednostavniji slučaj - pristupni uređaj (ruter) zasnovan na PC-u koji koristi Linux.

Kako postaviti takav server, prevođenje adresa i rutiranje,. Zanima nas sljedeći logičan korak - informacije o tome kako doći do informacija o prometu koji prolazi kroz takav server. Postoje tri uobičajena načina:

• presretanje (kopiranje) paketa koji prolaze kroz mrežnu karticu servera pomoću biblioteke


• presretanje paketa koji prolaze kroz ugrađeni firewall


• korištenje alata treće strane za pretvaranje statistike po paketu (dobivene jednom od dvije prethodne metode) u tok agregiranih informacija mrežnog toka

Libpcap

U prvom slučaju, kopiju paketa koji prolazi kroz interfejs, nakon prolaska filtera (), može zatražiti klijentski program na serveru napisan pomoću ove biblioteke. Paket dolazi sa zaglavljem Layer 2 (Ethernet). Moguće je ograničiti dužinu uhvaćene informacije (ako nas zanimaju samo podaci iz njenog zaglavlja). Primjeri takvih programa mogu biti i. Postoji implementacija. U slučaju korišćenja translacije adresa na PC ruteru, takvo presretanje se može izvršiti samo na njegovom internom interfejsu koji je povezan sa lokalnim korisnicima. Na eksternom interfejsu, nakon prevođenja, IP paketi ne sadrže informacije o internim hostovima mreže. Međutim, ovom metodom nemoguće je uzeti u obzir promet koji generiše sam server na Internetu (što je važno ako na njemu radi web ili mail servis).

Libpcap zahtijeva podršku operativnog sistema, koja se trenutno svodi na instaliranje jedne biblioteke. U tom slučaju, aplikacijski (korisnički) program koji prikuplja pakete mora:

• otvorite traženi interfejs


• navedite filter kroz koji će proći primljeni paketi, veličinu uhvaćenog dijela (snaplen), veličinu bafera,


• postavite parametar promisc, koji mrežno sučelje prebacuje na način hvatanja svih paketa koji prolaze općenito, a ne samo onih adresiranih na MAC adresu ovog sučelja


• postavite funkciju (povratni poziv) pozvanu za svaki primljeni paket.

Kada se paket prenosi kroz odabrani interfejs, nakon prolaska filtera, ova funkcija prima bafer koji sadrži Ethernet, (VLAN), IP, itd. zaglavlja do snaplena. Pošto biblioteka libcap kopira pakete, nije moguće blokirati njihov prolaz kroz nju. U ovom slučaju, program za prikupljanje i obradu saobraćaja morat će koristiti alternativne metode, na primjer, pozivanje skripte za stavljanje navedene IP adrese u pravilo blokiranja prometa.

Firewall

Snimanje podataka koji prolaze kroz firewall omogućava vam da uzmete u obzir i promet samog servera i promet korisnika mreže, čak i kada je pokrenuta translacija adresa. Glavna stvar u ovom slučaju je pravilno formulirati pravilo hvatanja i staviti ga na pravo mjesto. Ovo pravilo aktivira prijenos paketa prema sistemskoj biblioteci, odakle ga aplikacija za obračun i kontrolu prometa može primiti. Za Linux OS, iptables se koristi kao firewall, a alati za presretanje su ipq, ili. Za FreeBSD OC - ipfw sa pravilima tipa. U svakom slučaju, mehanizam firewall-a je dopunjen mogućnošću rada sa korisničkim programom na sljedeći način:

• Korisnički program - rukovalac saobraćaja se registruje u sistemu koristeći sistemski poziv ili biblioteku.


• Korisnički program ili eksterna skripta postavlja pravilo na zaštitni zid, umotavajući odabrani promet (prema pravilu) unutar rukovatelja.


• Za svaki paket koji prolazi, rukovalac prima njegov sadržaj u obliku memorijskog bafera (sa IP zaglavljima itd. Nakon obrade (obračunavanja), program takođe mora reći kernelu operativnog sistema šta dalje da radi sa takvim paketom - da odbaci ili proslijedite modificirani paket kernelu.

Budući da se IP paket ne kopira, već se šalje softveru na analizu, postaje moguće "baciti" ga, a samim tim i potpuno ili djelomično ograničiti promet određenog tipa (na primjer, odabranom pretplatniku lokalnog mreža). Međutim, ako aplikacija prestane da odgovara kernelu o svojoj odluci (na primjer, visi), promet kroz server je jednostavno blokiran.
Treba napomenuti da opisani mehanizmi, uz značajne količine prenijetog prometa, stvaraju preveliko opterećenje na serveru, što je povezano sa stalnim kopiranjem podataka iz kernela u korisnički program. Metoda prikupljanja statistike na nivou kernela OS, uz izdavanje agregirane statistike prema protokolu aplikacijskom programu, lišena je ovog nedostatka.

Netflow

Ovaj protokol je razvio Cisco Systems za izvoz informacija o saobraćaju sa rutera za obračun i analizu saobraćaja. Najpopularniji sada primatelju pruža strukturirani tok podataka u obliku UDP paketa koji sadrže informacije o proslijeđenom prometu u obliku takozvanih zapisa toka:

Količina informacija o prometu je nekoliko redova veličine manja od samog prometa, što je posebno važno u velikim i distribuiranim mrežama. Naravno, nemoguće je blokirati prijenos informacija prilikom prikupljanja statistike o netflow-u (osim ako se ne koriste dodatni mehanizmi).
Trenutno, dalji razvoj ovog protokola postaje popularan - verzija 9, zasnovana na strukturi predloška zapisa toka, implementacija za uređaje drugih proizvođača (). Nedavno je usvojen IPFIX standard koji omogućava prenos statistike preko protokola dubljih slojeva (na primjer, prema vrsti aplikacije).
Implementacija netflow izvora (agenti, sonda) dostupna je za PC rutere, kako u obliku uslužnih programa koji rade prema gore opisanim mehanizmima (flowprobe,), tako i direktno ugrađenih u jezgro OS (FreeBSD:, Linux:). Za softverske rutere, tok statistike netflow-a se može primiti i obraditi lokalno na samom ruteru, ili poslati preko mreže (protokol za prijenos - preko UDP-a) do prijemnog uređaja (kolektora).


Program za prikupljanje može prikupiti informacije iz više izvora odjednom, u stanju je razlikovati njihov promet čak i sa preklapajućim adresnim prostorima. Uz pomoć dodatnih alata, kao što je moguće izvršiti i dodatnu agregaciju podataka, bifurkaciju tokova ili konverziju protokola, što je važno kod upravljanja velikom i distribuiranom mrežom sa desetinama rutera.

Funkcije netflow izvoza podržavaju Cisco Systems, Mikrotik i nekoliko drugih. Sličnu funkcionalnost (sa drugim izvoznim protokolima) podržavaju svi veći proizvođači mrežne opreme.

Libpcap u "napolju"

Hajde da malo zakomplikujemo zadatak. Šta ako je vaš pristupni uređaj hardverski ruter treće strane? Na primjer, D-Link, ASUS, Trendnet, itd. Na njega je najvjerovatnije nemoguće instalirati dodatni softver za preuzimanje podataka. Alternativno, imate pametni pristupni uređaj, ali ga nije moguće konfigurirati (nema prava ili ga kontrolira vaš provajder). U ovom slučaju moguće je prikupljati informacije o prometu direktno na interfejsu pristupnog uređaja sa internom mrežom, koristeći "hardverska" sredstva za kopiranje paketa. U ovom slučaju će vam svakako trebati samostalni server sa namjenskom mrežnom karticom za primanje kopija Ethernet paketa.
Server mora koristiti mehanizam za prikupljanje paketa gore opisanom metodom libpcap, a naš zadatak je da pošaljemo tok podataka na ulaz namjenske mrežne kartice koja je identična onoj koja napušta pristupni server. Da biste to učinili, možete koristiti:

• Ethernet - čvorište: uređaj koji jednostavno prosljeđuje pakete između svih svojih portova neselektivno. U modernim stvarnostima, može se naći negdje u prašnjavom skladištu i ne preporučuje se korištenje ove metode: nepouzdana, mala brzina (nema čvorišta na 1 Gbit / s)


• Ethernet je prekidač sa mogućnošću preslikavanja (zrcaljenja,. Moderni inteligentni (i skupi) prekidači omogućavaju kopiranje na određeni port sav promet (dolazni, odlazni, oba) drugog fizičkog interfejsa, VLAN, uključujući i daljinski (RSPAN)


• Hardver, koji može zahtijevati instalaciju za prikupljanje dvije mrežne kartice umjesto jedne - i to je dodatak glavnom sistemu.

Naravno, možete konfigurisati SPAN port na samom pristupnom uređaju (ruteru), ako to dozvoljava - Cisco Catalyst 6500, Cisco ASA. Evo primjera takve konfiguracije za Cisco switch:
monitor sesije 1 izvorni vlan 100! gde dobijamo pakete
monitor sesija 1 odredišni interfejs Gi6 / 3! gdje izdajemo pakete

SNMP

Šta ako nema rutera pod našom kontrolom, nema želje za komunikacijom sa netflowom, ne zanimaju nas detalji saobraćaja naših korisnika. Oni su jednostavno povezani na mrežu preko upravljanog prekidača, a mi samo trebamo grubo procijeniti količinu saobraćaja koji ide na svaki od njegovih portova. Kao što znate, daljinski upravljani mrežni uređaji podržavaju i mogu prikazati broj paketa (bajtova) koji prolaze kroz mrežna sučelja. Bilo bi ispravno koristiti standardizirani protokol daljinskog upravljanja za njihovo ispitivanje. Koristeći ga, lako možete dobiti ne samo vrijednosti navedenih brojača, već i druge parametre, kao što su naziv i opis sučelja, MAC adrese vidljive kroz njega i druge korisne informacije. Ovo se može uraditi pomoću uslužnih programa komandne linije (), grafičkih SNMP pretraživača i sofisticiranijih programa za praćenje mreže ( itd.). Međutim, ova metoda ima dva značajna nedostatka:

• saobraćaj se može blokirati samo potpunim onemogućavanjem interfejsa, koristeći isti SNMP


• SNMP brojači saobraćaja odnose se na zbir dužina Ethernet paketa (unicast, broadcast i multicast odvojeno), dok ostatak prethodno opisanih sredstava daje vrijednosti u odnosu na IP pakete. Ovo stvara primjetno odstupanje (posebno za kratke pakete) zbog prevelikog opterećenja uzrokovanog dužinom Ethernet zaglavlja (međutim, ovo se može grubo riješiti: L3_bytes = L2_bytes - L2_packets * 38).

VPN

Odvojeno, vrijedi razmotriti slučaj pristupa korisnika mreži eksplicitnim uspostavljanjem veze sa pristupnim serverom. Klasičan primjer je stari dobri dial-up, čiji je analog u modernom svijetu udaljeni pristup (PPTP, PPPoE, L2TP, OpenVPN, IPSEC)


Pristupni uređaj ne samo da usmjerava IP promet korisnika, već djeluje i kao namjenski VPN server i završava logičke tunele (često šifrirane) unutar kojih se prenosi korisnički promet.
Da biste uračunali takav promet, možete koristiti sve gore opisane alate (i oni su vrlo prikladni za dubinsku analizu prema portu/protokolu), kao i dodatne mehanizme koji pružaju alate za kontrolu pristupa VPN-u. Prije svega, fokusirat ćemo se na protokol. Njegov rad je prilično složena tema. Ukratko ćemo spomenuti da kontrolu (autorizaciju) pristupa VPN serveru (RADIUS klijent) kontroliše posebna aplikacija (RADIUS server), koja ima bazu podataka (tekstualni fajl, SQL, Active Directory) važećih korisnika sa njihovim atributima ( ograničenja brzine veze, dodijeljene IP adrese). Pored procesa autorizacije, klijent periodično prenosi računovodstvene poruke na server, informacije o statusu svake trenutne pokrenute VPN sesije, uključujući brojače prenetih bajtova i paketa.

Zaključak

Hajde da sumiramo sve gore navedene metode prikupljanja saobraćajnih informacija zajedno:

Hajde da sumiramo malo. U praksi postoji veliki broj metoda za povezivanje mreže kojom upravljate (sa klijentima ili kancelarijskim pretplatnicima) na eksternu mrežnu infrastrukturu, korišćenjem brojnih pristupnih sredstava – softverskih i hardverskih rutera, komutatora, VPN servera. Međutim, u gotovo svakom slučaju možete smisliti shemu kada se informacije o prometu koji se prenosi preko mreže mogu poslati softverskom ili hardverskom alatu za njegovu analizu i kontrolu. Također je moguće da će ovaj alat omogućiti povratne informacije pristupnom uređaju koristeći inteligentne algoritame za ograničavanje pristupa za pojedinačne klijente, protokole i druge.
Ovim je završena analiza materijala. Od neodgovorenih tema ostale su:

• kako i gdje idu prikupljeni podaci o saobraćaju


• softver za knjigovodstvo saobraćaja


• koja je razlika između naplate i jednostavnog "brojanja"


• kako možete uvesti ograničenja u saobraćaju


• obračunavanje i ograničavanje posjećenih web stranica

maja
2017

Publikacije

Principi rutiranja i transformacije IP saobraćaja u VPN mreži kreiranoj ViPNet tehnologijom

U publikaciji se razmatraju osnovni principi rutiranja i konvertovanja saobraćaja u ViPNet virtuelnoj mreži, koji obezbeđuju interakciju ViPNet čvorova na različite načine povezivanja sa telekomunikacionim mrežama.

Publikacija je namijenjena tehničkim stručnjacima koji trebaju razumjeti specifičnosti ViPNet mreže. Na primjer, u slučajevima kada trebate procijeniti izvodljivost njegove implementacije ili planirati njegovu primjenu.

Da biste pročitali ovaj članak, morate imati osnovno razumijevanje IP mreža i zaštitnih zidova.

Uvod

Mnogi VPN sistemi su prvenstveno dizajnirani da bezbedno povezuju lokalne mreže preko Interneta i obezbeđuju siguran daljinski pristup resursima. Ako pored ovih zadataka postoji i zadatak organizacije zaštite saobraćaja direktno između čvorova, bez obzira na njihovu lokaciju, uključujući i unutar lokalne mreže, prema Peer-to-Peer šemi, onda je upotreba ovakvih sistema vrlo otežana. ViPNet tehnologija olakšava rješavanje problema VPN povezivanja čvorova u bilo kojoj topologiji.

Jedna od povoljnih razlika između ViPNet tehnologije i klasičnih VPN sistema je nepostojanje bilo kakvih procedura za sinhronizaciju i generisanje ključeva u toku bezbedne sesije razmene informacija između ViPNet čvorova. Ovo svojstvo značajno poboljšava stabilnost sistema i osigurava visoku pouzdanost različitih mrežnih usluga.

1.1 Komponente ViPNet virtuelne mreže

Virtuelna mreža se gradi korišćenjem ViPNet komponenti za različite operativne sisteme, ViPNet hardverskih i softverskih sistema, kao i gotovih virtuelnih mašina za različita virtuelna okruženja. U virtuelnu mrežu se mogu uključiti i mobilni uređaji na iOS, Android i drugim OS platformama, na kojima su instalirane ViPNet Client aplikacije razvijene za ove platforme.

Računari i mobilni uređaji sa softverom ViPNet Client u daljem tekstu se nazivaju Klijenti. Klijenti pružaju zaštitu mreže i omogućavaju pojedinačnim računarima i uređajima da se pridruže VPN-u.

Računari sa softverom ViPNet Coordinator za Windows i Linux, ViPNet hardverski i softverski sistemi za velike i male mreže, industrijski sigurnosni gatewayi različitih kapaciteta, ViPNet koordinatori na virtuelnim mašinama u daljem tekstu se nazivaju Koordinatori. Koordinatori različitih sigurnosnih klasa obezbjeđuju enkripciju prometa mrežnih resursa koji su tunelirani od njih (kao što su VPN gatewayi), prenose VPN promet između drugih VPN čvorova, obavljaju servisne funkcije za održavanje povezanosti zaštićene mreže i optimiziraju rute VPN prometa između čvorova.

Klijenti i koordinatori se nazivaju ViPNet virtuelni mrežni čvorovi ili jednostavno ViPNet čvorovi. Administrator određuje mogućnost razmene saobraćaja preko sigurnih kanala između ViPNet čvorova (veze između čvorova).

1.2 Funkcije koordinatora

Koordinatori se, u pravilu, instaliraju na granici mreža i obavljaju sljedeće funkcije:

VPN gateway je standard za klasičnu VPN funkciju koja implementira kreiranje sigurnih kanala (tunela) site-to-site i client-to-site između lokalnih i udaljenih lokacija. Koordinator može kreirati takav kanal kroz kaskadu drugih koordinatora koji obavljaju funkciju rutiranja VPN paketa.

Vatrozid je funkcija filtriranja za otvorene, sigurne i tunelirane tranzitne i lokalne mrežne veze, kao i funkcija prevođenja adresa za otvorene i tunelirane veze.

Server IP adresa je funkcija automatske razmjene ažurnih informacija o topologiji mreže između ViPNet čvorova kako unutar date virtuelne mreže tako i prilikom interakcije sa čvorovima drugih ViPNet virtuelnih mreža. Razmjena informacija se vrši pomoću posebnog sigurnog protokola za dinamičko usmjeravanje VPN prometa (pogledajte „Protokol dinamičkog rutiranja“). Rezultat ovog protokola je mogućnost usmjeravanja VPN prometa između čvorova u ViPNet mreži duž rute koja je optimalna za korišteni metod i gdje je čvor povezan na mrežu.

VPN ruter paketa je funkcija koja omogućava rutiranje VPN tranzitnog saobraćaja koji prolazi kroz koordinatora do drugih ViPNet čvorova. Rutiranje se vrši na osnovu identifikatora zaštićenih čvorova prenesenih u otvoreni dio VPN paketa i zaštićenih od krivotvorenja imitacijom, a na osnovu podataka dobijenih kao rezultat dinamičkog protokola rutiranja VPN prometa. Svaki VPN promet koji koordinira rutira šalje se sljedećem ili konačnom ViPNet čvoru na IP adresu i port na kojem je ovaj čvor dostupan. Izvorna IP adresa paketa zamjenjuje se adresom interfejsa koordinatora s kojeg je paket otišao. Kada djeluje kao ruter za VPN pakete, koordinator nema pristup šifriranim podacima drugih čvorova, već ih samo prenosi.

Ako se klijent ili koordinator poveže na Internet preko uređaja s dinamičkim NAT-om, tada im se ne može direktno pristupiti za dolazne proaktivne veze s drugih hostova. U ovom slučaju, za organiziranje pristupa resursima korporativne mreže iza ovog koordinatora ili za povezivanje s takvim klijentom sa udaljenih čvorova, jedan od koordinatora u vanjskoj mreži im je definiran kao server veze s kojim održavaju stalnu komunikaciju. . Zbog funkcionalnosti VPN rutera za pakete, server veze služi kao posredna veza za uspostavljanje komunikacije sa takvim čvorom iz vanjske mreže (sa mogućnošću naknadnog prelaska na direktnu komunikaciju, za više detalja pogledajte "Povezivanje dva čvora koji se povezuju na Internet preko uređaja sa dinamičkim NAT").

Server veze se automatski postavlja u postavkama klijenta kada se implementiraju i može se kasnije promijeniti. Za koordinatora, ako je potrebno, server veze se može podesiti u njegovim postavkama.

Transportni server je funkcija koja omogućava isporuku ključnih ažuriranja, informacija pomoći, politika, ažuriranja ViPNet softvera iz ViPNet programa za upravljanje mrežom na zaštićene stranice, kao i usmjeravanje mail omotnica ViPNet aplikacija (na primjer, ViPNet Business Mail, File Exchange) .

Podrazumevano, server IP adresa je server veze za klijenta. Ako je potrebno, server veze može dodijeliti drugog koordinatora.

2. Opšti principi interakcije ViPNet čvorova u virtuelnoj mreži

ViPNet čvorovi mogu se nalaziti u mrežama bilo kog tipa koje podržavaju IP protokol. Način povezivanja čvora na mrežu može biti bilo koji: Ethernet, PPPoE putem XDSL veze, PPP preko Dial-up ili ISDN veze, bilo koja ćelijska mreža, Wi-Fi uređaji, MPLS ili VLAN mreže i drugi.

2.1 Protokol dinamičkog usmjeravanja

Dva čvora u ViPNet mreži mogu međusobno komunicirati ako je administrator postavio veze između njih u kontrolnoj aplikaciji (ViPNet Administrator). Da biste pristupili udaljenim tuneliranim čvorovima, trebate postaviti vezu s koordinatorom koji ih tunelira. Uspostavljanje veze između dva čvora znači da dva čvora imaju potrebne ključne informacije za uspostavljanje sigurne VPN veze između njih.

Svaki klijent ima svog „vlastitog“ koordinatora – server IP adrese, server veze i transportni server (pogledajte „Funkcije koordinatora“. Ako je potrebno, možete konfigurirati ove funkcije da ih obavljaju različiti koordinatori).

Konstantnu dostupnost ViPNet čvorova jedni drugima osigurava dinamički protokol rutiranja VPN prometa, koji radi na aplikacijskom nivou OS-a. Razmjena servisnih podataka u okviru ovog protokola odvija se preko istih VPN veza i na taj način je zaštićena.

Rad protokola za dinamičko rutiranje je da automatski prenosi između čvorova ViPNet mreže ažurne informacije o mogućim načinima međusobnog pristupa, kao i liste njihovih stvarnih IP adresa. Protokol distribuira ove informacije ne samo unutar svoje ViPNet mreže, već i između čvorova različitih ViPNet mreža (ako su se administratori dvije mreže dogovorili i razmijenili relevantne informacije o vezama između čvorova dvije mreže za sigurnu interakciju u skladu sa njihove zadatke).

Koordinatori imaju ključnu ulogu u radu protokola, koji svim čvorovima mreže pružaju potrebne informacije za organizaciju komunikacije. Djelujući kao server IP adresa, koordinatori prikupljaju informacije o trenutnim metodama pristupa "svojim" klijentima. Nadalje, serveri IP adresa prenose ove informacije čvorovima povezanim sa svojim klijentima, direktno ili preko nekog lanca drugih koordinatora.

Da bi se obezbedio siguran prenos saobraćaja u skladu sa zadacima razmene informacija (u daljem tekstu ciljni saobraćaj), potrebno je postaviti veze između čvorova koji obezbeđuju zaštitu ovog saobraćaja (klijenti i koordinatori tuneliranja), kao i postaviti klijentske veze sa "njihovim" koordinatorima, koje se u većini slučajeva kreiraju automatski...

Da bi se obezbedio siguran prenos saobraćaja dinamičkog protokola rutiranja (u daljem tekstu servisni saobraćaj), potrebno je definisati i veze između koordinatora duž čijeg lanca treba da se prenose informacije o pristupu čvorovima. U manjim mrežama, radi jednostavnosti, možete udružiti koordinatore na principu “svi-svi”. Međutim, u velikim mrežama, kako bi se smanjio nadzemni promet, broj veza između koordinatora treba minimizirati i postaviti veze na osnovu sljedećih mogućnosti rutiranja nadzemnog prometa:

Unutar jedne ViPNet mreže informacije se prenose duž lanca u kojem ne postoje više od dva koordinatora. Odnosno, ako su klijenti međusobno povezani, tada moraju biti međusobno povezani i koordinatori koji za te klijente obavljaju funkcije servera IP adresa.

• Kada su u interakciji dvije različite ViPNet mreže, može doći do razmjene uslužnog saobraćaja u lancu od najviše dva koordinatora u svakoj od mreža. Zbog toga je u svakoj mreži dovoljno odabrati jednog koordinatora (gateway), preko kojeg će se odvijati razmjena sa drugom mrežom, i povezati ga sa istim koordinatorom u drugoj mreži. I već sa ovim koordinatorima kontaktiraju se koordinatori svake od mreža, koji moraju prenijeti servisne informacije u drugu mrežu. U ovoj topologiji, Gateway Coordinatori postaju „jedinstvena tačka ulaska“ u drugu mrežu, što pojednostavljuje i upravljanje i kontrolu umrežavanja. Naravno, ako su koordinatori dvije mreže povezani direktno, a ne preko namjenskih koordinatora gateway-a, tada će se informacije prenositi na kraći način.

Kao rezultat dinamičkog protokola rutiranja, svi ViPNet čvorovi imaju informacije o parametrima pristupa drugim čvorovima sa kojima su povezani. U svim slučajevima, ciljani promet između čvorova, bez obzira na rutu saobraćaja usluge, ići će najkraćim putem, zaobilazeći koordinatore, ako to dozvoljava postojeća mrežna infrastruktura (vidi, na primjer: „Povezivanje dva čvora koji se povezuju na Internet preko uređaja sa dinamičkim NAT").

2.2 Enkapsulacija

ViPNet softver presreće sav mrežni saobraćaj klijenta ili koordinatora. Saobraćaj namenjen za prenos preko bezbednog kanala do drugog ViPNet hosta je inkapsuliran u ViPNet zaštićenim IP paketima. Originalni IP paketi bilo kojeg protokola su enkapsulirani (tuneliranje na mrežnom sloju).

Kada se bilo koji IP paket pojavi na adresi drugih ViPNet čvorova sa kojima postoji veza, paket bez ikakvih protokola preliminarnog uspostavljanja veze sa čvorom primaoca se šifrira, inkapsulira u ViPNet paket i prenosi preko VPN mreže do primaoca. čvor.

Određene modifikacije koordinatora takođe podržavaju izgradnju tunela na sloju veze podataka (L2 OSI), što vam omogućava da kombinujete udaljene mrežne segmente u jednu lokalnu mrežu. U ovom slučaju, Ethernet okviri svih mrežnih protokola, a ne samo IP, su inkapsulirani u zaštićene ViPNet IP pakete (UDP protokol).

Za enkapsulaciju u ViPNet pakete koriste se dva tipa IP-protokola:

IP / UDP sa zadanim izvornim portom 55777 ili bilo kojim drugim portom koji se automatski registruje kod drugih hostova.

IP / 241 - koristi se kada čvorovi komuniciraju u istoj lokalnoj mreži.

Za komunikaciju između čvorova u istoj domeni emitovanja, automatski se koristi IP / 241, koji ima manje opterećenje zbog odsustva dodatnih UDP zaglavlja.

IP / 241 protokol se koristi za enkapsulaciju prometa između čvorova u istoj domeni emitiranja

U ostalim slučajevima se automatski koristi UDP, za koji je lako organizovati prolaz IP paketa kroz sve vrste firewall-a i uređaja sa NAT-om. Prilikom generiranja sigurnih UDP paketa, domaćini postavljaju izvorni port na 55777 (port za enkapsulaciju) prema zadanim postavkama, ali u njihovim postavkama možete postaviti proizvoljan port, koji će, zahvaljujući dinamičkom protokolu rutiranja, postati poznat drugim domaćinima za organizaciju pristup na ovom portu. Prilikom prolaska NAT uređaja na mreži, izvorni port u paketima se može promijeniti. Informacije o tome će postati poznate i drugim čvorovima za organizaciju prolaska nadolazećeg saobraćaja.

UDP protokol se koristi za enkapsulaciju saobraćaja između čvorova odvojenih NAT uređajem

Postoje slučajevi kada je prijenos UDP paketa zabranjen od strane Internet provajdera, a interakcija zaštićenih čvorova korištenjem UDP protokola je nemoguća. Na primjer, UDP saobraćaj može biti zabranjen kada se koriste pristupne tačke u hotelima i drugim javnim mjestima.

Čvor automatski detektuje takvu zabranu i uspostavlja TCP vezu sa serverom za povezivanje (podrazumevano na portu 80), preko kojeg prenosi generisane UDP pakete. ViPNet saobraćaj za druge hostove se preko ove veze prenosi na server veze, odakle se dalje prenosi u svom uobičajenom obliku. Kada konfigurišete TCP tunel na serveru veze, možete odrediti bilo koji port na koji će server primati TCP pakete.

Ako se UDP saobraćaj ne može koristiti, čvor uspostavlja TCP vezu sa svojim serverom veze i preko njega razmjenjuje UDP promet sa drugim ViPNet čvorovima

2.3 Početna podešavanja zaštićene mreže

Sve informacije potrebne za interakciju aplikacija čvorovi primaju automatski zbog rada protokola dinamičkog rutiranja VPN prometa. Početne postavke koje je potrebno napraviti prilikom postavljanja mreže su minimalne:

U Centru za upravljanje mrežom formirajte strukturu mreže - klijente, koordinatore i njihove veze.

Postavite IP adrese ili DNS imena za pristup mrežnim koordinatorima.

Nakon instaliranja softvera, ViPNet klijentima uglavnom nisu potrebna nikakva podešavanja.

Za svakog koordinatora, ako je potrebno, postavite jedan od nekoliko načina povezivanja na vanjsku mrežu. Zadani način rada ("Sa statičkim prevodom adrese") u većini slučajeva osigurava njegov rad bez dodatnih postavki. Za više detalja o postavljanju načina povezivanja na koordinatoru pogledajte odjeljak "Opcije za povezivanje koordinatora na vanjsku mrežu".

Na spoljnom firewall-u organizacije, ako je potrebno, konfigurišite preskakanje odgovarajućeg ViPNet protokola (portovi i adrese UDP i/ili TCP protokola).

Za interakciju sa potrebnim čvorovima drugih ViPNet mreža, razmijenite neke početne servisne informacije sa administratorom druge ViPNet mreže. U budućnosti će se takva razmjena odvijati automatski.

3. Mehanizmi povezivanja u ViPNet mreži

3.1 Određivanje međusobnog rasporeda čvorova

Čvorovi uspostavljaju veze različito, ovisno o tome kako su pozicionirani jedan u odnosu na drugi:

Nalaze se u istoj domeni emitiranja.

Oni se nalaze u istoj rutiranoj mreži, ali u različitim domenima emitiranja, odnosno razdvojeni su uređajima za rutiranje (uključujući i one sa statičkom translacijom adresa) i nisu dostupni jedni drugima putem emitiranja.

Odvojeni NAT uređajima sa dinamičkim prevodom adresa.

Prilikom povezivanja na mrežu ili promjene vlastite IP adrese, host vrši posebno emitiranje i na osnovu odgovora određuje koji su drugi ViPNet hostovi u istoj domeni emitiranja s njim. Ovi domaćini međusobno registruju IP adrese. Paketi poslani na ove adrese su šifrirani i inkapsulirani u IP/241 protokol.

Klijenti koriste IP adresni server da dohvate informacije o hostovima koji nisu dostupni u njihovoj domeni emitovanja, a Server veze, koji ima potpune informacije o pristupu drugim hostovima, koristi se za pouzdanu početnu vezu s njima.

3.2. Povezivanje dva hosta koji se povezuju na Internet preko uređaja sa dinamičkim NAT-om

Razmotrite organizaciju veza između dva čvora koji se povezuju na Internet preko provajdera koji pruža pristup Internetu u dinamičkom NAT načinu. Na primjer, Kupac 1 je u hotelu u Londonu, a Kupac 2 je u hotelu u St. Petersburgu:

1. Kada je računar uključen, ViPNet softver svakog od Klijenta određuje pristupni kanal svom serveru za povezivanje pomoću UDP protokola (server veze se može deliti).

Ako Klijent 1 ne uspije da se poveže sa svojim serverom za povezivanje preko UDP-a, tada klijent uspostavlja vezu preko TCP-a (podrazumevano, port 80, ali možete postaviti bilo koji drugi port).

2. Nakon povezivanja sa serverom konekcije, klijent održava vezu sa njim povremeno šaljući mu test IP pakete. Zbog toga, Klijent 1 pruža mogućnost drugim čvorovima, uključujući Klijenta 2, da uspostave inicijativnu vezu sa njim preko svog servera veze. Podrazumevani interval za slanje IP paketa na Connection Server je 25 sekundi. Ovo je obično dovoljno za rad na većini NAT uređaja. Interval (timeout) se može promijeniti ako je potrebno.

3. Ako iz neke aplikacije na Klijentu 1 dođe do ciljanog saobraćaja u pravcu Klijenta 2 (npr. VoIP), tada Klijent 1 počinje da prenosi pakete preko svog servera veze. Server veze, zauzvrat, prosleđuje ove pakete serveru veze klijenta 2, a ovaj ih šalje klijentu 2. Povratni saobraćaj prati istu rutu.

Ako se klijent 1 poveže sa svojim serverom veze preko TCP veze, server veze izvlači UDP saobraćaj iz TCP veze (koja je još šifrovana i ne može se dešifrovati na serveru veze). Server šalje UDP saobraćaj klijentu 2 preko svog servera veze. Ako Klijent 2 komunicira sa svojim serverom za povezivanje preko TCP-a, tada će promet koji dolazi do klijenta 2 poslužitelja veze ići do Klijenta 2 preko ove TCP veze.

Dakle, dva klijenta međusobno komuniciraju preko dva servera veze. Ako se klijent povezuje sa serverom za povezivanje putem UDP-a, onda uz povoljnu konfiguraciju mrežnog okruženja, serveri za povezivanje mogu biti isključeni iz interakcije, odnosno klijenti direktno idu na poruku. Razmotrite ovaj mehanizam:

1. Paralelno sa početkom prijenosa i prijema ciljnog prometa putem UDP protokola preko servera za povezivanje, dešava se sljedeće:

Oba klijenta preko servera veze prenose jedan drugom testni paket sa informacijama o parametrima direktnog pristupa sebi sa eksterne mreže (adresa i port) primljen od njihovog servera veze.

• Oba klijenta primaju ove pakete jedan od drugog i uče o mogućnostima mogućeg direktnog pristupa jedni drugima. Pored toga, svaki klijent takođe poseduje informacije o pristupu serveru za povezivanje drugog klijenta (ove informacije dobijaju unapred od svojih servera IP adresa). Koristeći ove podatke, oba klijenta prenose testne IP pakete direktno na adrese i pristupne portove jedni drugima i na servere za povezivanje sa druge strane.

1. Ako je testni IP paket barem jedne od strana uspio proći direktno kroz NAT uređaj druge strane, tada se uspostavlja direktna veza između čvorova. Ova direktna veza dostupna je objema stranama 75 sekundi nakon završetka prijenosa ciljanog prometa. Nakon toga, rute se odbacuju, a ako je potrebno uspostaviti vezu, čvorovi ponovo počinju da prenose saobraćaj preko svojih servera veze.

Ne dozvoljavaju svi NAT tipovi direktnu vezu (pogledajte ispod). Direktna veza je moguća ako barem jedna od strana koristi NAT uređaj za to.

2. Ako probni direktni IP paketi nisu stigli ni na jednu stranu, ali su stigli do servera veze na drugoj strani, tada će ciljani promet između dva klijenta ići preko jednog od servera za povezivanje. Ova veza je također dostupna za povezivanje čvorova 75 sekundi nakon završetka prijenosa ciljnog prometa. Slična situacija se događa ako se jedan od klijenata poveže sa svojim poslužiteljem veze preko TCP-a. Ovaj server veze se ne može isključiti iz prijenosa prometa, ali se može isključiti drugi poslužitelj veze na koji je njegov čvor povezan putem UDP-a.

3. Ako testni paketi nisu stigli nigdje, tada će promet između dva čvora nastaviti da prati dugu rutu kroz dva servera za povezivanje.

Početak interakcije klijenta iza NAT uređaja preko servera za povezivanje i prelazak na direktnu komunikaciju

Postoje četiri tipa dinamičkog NAT-a: konusni NAT, konusni NAT ograničen na adresu (ili ograničeni konusni NAT), konusni NAT sa ograničenim portom, simetrični NAT. Uspostavljanje direktne veze nije podržano samo ako su oba NAT uređaja konfigurirana da izvode simetrični NAT. U tom slučaju promet će ići preko jednog od servera za povezivanje. Ako barem jedna strana ima drugačiji tip NAT-a, tada će se uspostaviti direktna veza.

Tako se sa udaljenim hostom uspostavlja ili direktna veza ili veza preko jednog od servera veze. Ako je moguće, čvorovi uspostavljaju međusobnu interakciju duž najkraćih ruta bez sudjelovanja svojih servera veze, čime se povećava brzina razmjene šifriranog IP prometa i smanjuje opterećenje koordinatora. Ako klijenti ne mogu uspostaviti kraću vezu, klijenti nastavljaju međusobno komunicirati preko svojih poslužitelja veze.

3.3 Povezivanje čvorova u jednu rutiranu mrežu

Ako su dva klijenta na istoj rutiranoj mreži ili su razdvojeni uređajima sa statičkim NAT-om, ali nisu dostupni jedan drugome preko emitiranja, oni također šalju prve pakete preko Connection Servera. Nakon toga, prema gore opisanom mehanizmu (pogledajte "Povezivanje dva čvora koji se povezuju na Internet preko uređaja sa dinamičkim NAT-om"), takvi čvorovi će zajamčeno ići u komunikaciju direktno, bez sudjelovanja servera za povezivanje. Naredne veze uspostavljaju dva čvora prema pohranjenim informacijama o rutiranju bez direktnog uključivanja poslužitelja veze.

Čvorovi čuvaju informacije o usmjeravanju paketa jedni za druge, koji neće biti odbačeni čak i ako nema ciljanog saobraćaja. Informacije se brišu samo ako se čvor isključi i zatim ponovo poveže na mrežu.

3.4 Odabir servera za povezivanje za klijenta koji prelazi na drugu ViPNet mrežu

Korisnik klijenta ili administrator mreže može izabrati bilo kog koordinatora za klijenta kao servera povezivanja, uključujući i koordinatora u drugoj ViPNet mreži sa kojom se uspostavlja interkonekcija. To je potrebno, na primjer, ako se klijent preseli u lokalnu mrežu iz koje je pristup internetu moguć samo preko „stranog“ koordinatora koji se nalazi u ovoj lokalnoj mreži (koordinator druge ViPNet mreže). Uslov za povezivanje preko Connection Servera na drugoj mreži je:

prisustvo interkonekcije između mreže klijenta i mreže servera za povezivanje;

povezivanje servera "strane" veze sa koordinatorom u "sopstvenoj" mreži, koji igra ulogu servera IP adresa za klijenta.

Posao Connection Servera je da obezbijedi veze od klijenta do čvorova na koje je klijent povezan. Da bi to uradio, Connection Server mora imati informacije o mogućim pristupnim putanjama do ovih čvorova kako bi osigurao rutiranje ciljanog prometa klijenta. Međutim, informacije o parametrima pristupa čvorovima drugih mreža mogu dospjeti u stranu mrežu (mrežu poslužitelja veze) samo ako su ti čvorovi povezani sa bilo kojim čvorom ove strane mreže. Češće nego ne, to nije slučaj, a barem neki (a možda i svi) čvorovi na koje je klijent povezan, a kojima klijent možda treba da pristupi, nemaju vezu s ovom mrežom. Ali informacije o pristupu ovim čvorovima su u vlasništvu servera IP adrese klijenta na njegovoj mreži. Server IP adrese ga šalje klijentu. Nakon prijema ove informacije, klijent ih prosljeđuje serveru veze na stranoj mreži. Kao rezultat toga, Connection Server na stranoj mreži može usmjeriti ciljani promet klijenta na sve čvorove s kojima je povezan. Klijent dobija pristup svim resursima svoje i drugih zaštićenih mreža sa kojima je povezan.

Ako je izvornom poslužitelju veze klijenta moguće pristupiti s lokalne mreže na koju se klijent preselio, tada nema potrebe mijenjati server veze.

4. Opcije za povezivanje koordinatora na eksternu mrežu

Za koordinatora možete postaviti jedan od nekoliko načina povezivanja u vanjskoj mreži. Izbor načina rada ovisi o tome da li je koordinator odvojen od vanjske mreže zaštitnim zidom koji je izvan koordinatora. Mogu se podesiti sljedeći načini rada:

Način povezivanja "Bez korištenja zaštitnog zida".

Način veze "Iza koordinatora", u kojem je drugi koordinator vanjski zaštitni zid.

Način povezivanja preko firewall-a "Sa statičkim prijevodom adrese".

Način povezivanja zaštitnog zida "Sa dinamičkim prijevodom adrese".

Podrazumevano, koordinatori su podešeni da rade kroz zaštitni zid "Sa statičkim prevodom adrese". Režim se može promeniti u ViPNet Administrator kontrolnoj aplikaciji ili direktno na koordinatoru. Ovaj način rada je prilično svestran i može se koristiti u većini slučajeva.

4.1 Povezivanje koordinatora u režimu "Bez korištenja zaštitnog zida".

Ako koordinator ima stalnu IP adresu na Internetu, tada možete izgraditi rutu do njega sa bilo koje mreže koja ima pristup Internetu. Na takvom koordinatoru možete postaviti način rada "Bez korištenja zaštitnog zida".

U ovom slučaju može se koristiti i zadani način rada "Sa statičkim prevodom adrese". U narednim verzijama ViPNeta, režim „Bez korišćenja zaštitnog zida“ bi trebalo da bude isključen iz upotrebe.

4.2 Povezivanje koordinatora preko drugog koordinatora: režim "Iza koordinatora".

Ako se koordinator A nalazi na granici između internog i eksternog segmenta lokalne mreže, a eksternu mrežu štiti koordinator B, tada se koordinator A obično postavlja na način rada "Iza koordinatora", birajući koordinatora B kao eksternog koordinatora. Koordinator B u ovom slučaju radi za koordinatora A ulogu poslužitelja veze.

Takva instalacija koordinatora u lancu jedan za drugim (kaskadno) omogućava vam da zaštitite promet internih segmenata lokalne mreže kako u vanjskoj petlji lokalne mreže, tako i kada promet napusti nju. Broj koordinatora u lancu nije ograničen. Za jednog koordinatora možete instalirati nekoliko koordinatora i na taj način osigurati pouzdanu izolaciju jedan od drugog i od opće lokalne mreže nekoliko njenih segmenata. Klijenti se mogu nalaziti bilo gdje na ovoj lokalnoj mreži radi zaštite određenih radnih stanica.

Kaskadni koordinatori

Kada su koordinatori instalirani unutar lokalne mreže iza koordinatora koji stoji na njenoj granici (kaskadni koordinatori), promet iz internog segmenta lokalne mreže do udaljenih ViPNet čvorova prenosi se na sljedeći način:

ViPNet koordinatori koji štite interne LAN segmente automatski šalju šifrovani saobraćaj namenjen udaljenim zaštićenim resursima koordinatoru na granici segmenta eksterne mreže. Ovaj koordinator šalje zaštićeni saobraćaj dalje u skladu sa informacijama koje ima o udaljenim čvorovima.

• Udaljeni ViPNet čvorovi šalju saobraćaj namijenjen internom segmentu lokalne mreže preko eksternog koordinatora, koji ga dalje preusmjerava koordinatorima unutar lokalne mreže.

Kaskadno povezivanje koordinatora omogućava vam da zaštitite saobraćaj internog segmenta lokalne mreže tokom njegovog prolaska kako u eksternom segmentu lokalne mreže tako i u eksternoj javnoj mreži. Kaskadno postavljanje također omogućava VPN promet da prođe kroz željenu rutu u WAN-u, koja se često koristi za kontrolu u raznim šemama administracije.

Izgradnja šeme sa kaskadnim koordinatorima nije ograničena na postavljanje koordinatora u režimu "Iza koordinatora". Ista shema se može kreirati korištenjem režima koordinatora sa dinamičkim NAT-om sa postavkom "Sav promet se šalje preko Connection Servera". U narednim verzijama planirano je korištenje samo ovog načina koordinatora za izgradnju vodopada.

4.3 Povezivanje koordinatora preko firewall-a "Sa statičkim prevodom adrese"

Ako je vatrozid treće strane s mogućnošću konfiguriranja statičkih pravila za prevođenje adresa već instaliran na granici lokalne mreže, onda iza njega možete postaviti koordinatora s privatnim adresama mrežnih sučelja i postaviti način rada vatrozida "Sa statičkom adresom prevod" na njemu. Svako mrežno sučelje koordinatora može se povezati s određenom mrežom kroz poseban zaštitni zid sa statičkim pravilima prevođenja. Preko ovog koordinatora će se osigurati interakcija ostalih ViPNet čvorova i otvorenih čvorova u lokalnoj mreži sa čvorovima izvan nje. Firewall mora imati konfigurisana pravila prevođenja statičkih adresa:

Prosljeđivanje paketa sa vanjske mreže na adresu koordinatora u skladu sa portom za enkapsulaciju prometa koji je postavljen na koordinatoru.

• Prosljeđivanje UDP paketa vanjskoj mreži, u kojoj su adresa i port enkapsulacije koordinatora navedeni kao izvor.

Koordinatorski rad u režimu "Sa statičkim prevodom adresa"

Koordinator u ovom načinu rada uspješno radi čak iu odsustvu stvarnog vanjskog zaštitnog zida. Stoga je ovaj način rada podešen na koordinatorima po defaultu.

4.1 Način rada zaštitnog zida "Sa dinamičkim prijevodom adrese"

Ako je koordinator instaliran na granici lokalne mreže koja se povezuje na vanjske mreže preko firewall-a sa dinamičkim prevođenjem adresa, tada je potrebno podesiti način rada iza firewall-a "Sa dinamičkim prevođenjem adrese".

Budući da koordinator nije dostupan sa vanjske mreže za proaktivne veze, treba mu dodijeliti kao server povezivanja jednog od koordinatora koji je dostupan s vanjske mreže (koji radi u načinu rada "Sa statičkom prevođenjem adresa" ili "Bez korištenja zaštitnog zida") . Server povezivanja će pružiti mogućnost proaktivnog povezivanja na resurse lokalne mreže iza takvog koordinatora sa bilo kojeg drugog čvora (uzimajući u obzir veze u sigurnoj mreži).

Zbog činjenice da je koordinatoru u ovom načinu rada dostupan sa vanjske mreže preko svog servera za povezivanje, klijenti i tunelirani resursi u lokalnoj mreži iza njega u potpunosti su dostupni drugim čvorovima - baš kao i iza koordinatora u bilo kojem drugom načinu rada. Rad koordinatora preko servera za povezivanje u ovom režimu je sličan radu klijenta iza NAT uređaja koji je gore opisan i omogućava vam da odete na poruku "direktno", bez učešća servera veze (za više detalja o rad klijenata preko servera za povezivanje, pogledajte "Povezivanje dva uređaja sa dinamičkim NAT-om").

Rad koordinatora u režimu "Sa dinamičkim prevodom adrese" sličan je radu klijenta iza NAT uređaja: koordinatoru je zagarantovano da je dostupan sa eksterne mreže preko servera za povezivanje. Radi jednostavnosti, slika ne prikazuje server veze udaljenog klijenta, koji je također uključen u početno uspostavljanje veze.

Ako u postavkama koordinatora omogućite opciju "Pošalji sav promet preko servera veze", možete graditi kaskadne šeme slične modu "Iza koordinatora".

5. Tuneliranje IP saobraćaja otvorenih resursa

Za uključivanje čvorova lokalne mreže u virtuelnu mrežu, čiji promet ne mora biti zaštićen u lokalnoj mreži, koordinator obavlja funkciju tunelskog servera (VPN gateway):

Djeluje kao gateway za prijenos IP prometa u ViPNet mrežu, enkapsulirajući i šifrirajući promet otvorenih tuneliranih čvorova.

Omogućava interakciju tuneliranih čvorova sa udaljenim čvorovima za bilo koje IP protokole. U ovom slučaju, nije važno da li su lokalne adrese čvorova u interakciji konzistentne. Zahvaljujući tehnologiji virtuelnih adresa u ViPNet mreži, čvorovi sa istim IP adresama mogu da komuniciraju (pogledajte „Virtuelne adrese u ViPNet mreži“), tako da nije potrebno pregovaranje o adresiranju.

Skriva adresnu strukturu zaštićene lokalne mreže tako što prima i prenosi inkapsulirani promet u ime svoje IP adrese.

Za povezivanje otvorenih tuneliranih resursa sa bilo kojim udaljenim klijentima, koordinatorima ili tuneliranim čvorovima udaljene lokalne mreže, dostupne su sve gore navedene šeme za povezivanje koordinatora na mrežu. Ovo vam omogućava da koristite sve prednosti ViPNet virtuelne mreže u distribuiranim informacionim mrežama sa složenom topologijom.

Otvoreni čvorovi koje će ovaj koordinator tunelirati mogu se odrediti u postavkama koordinatora ili u ViPNet Administrator kontrolnoj aplikaciji kao zasebne adrese ili opsege.

6. Virtuelne adrese u ViPNet mreži

6.1 Kako funkcionišu virtuelne adrese

ViPNet tehnologija omogućava interakciju između zaštićenih resursa koji imaju privatne IP adrese bez koordinacije IP adresiranja podmreža. Udaljene strane mogu koristiti iste privatne IP adrese i podmreže zaštićenih resursa.

Da bismo pružili takvu mogućnost, na svakom ViPNet čvoru se automatski generišu virtuelne adrese koje se ne preklapaju za sve ostale ViPNet čvorove sa kojima ima vezu:

Za klijente i koordinatore, generira se onoliko virtuelnih adresa koliko imaju stvarnih adresa.

Disjunktne virtuelne adrese i opsezi se generišu za pojedinačne adrese ili opsege host adresa koje tuneliraju udaljeni koordinatori.

Svaki čvor generiše svoj jedinstveni skup virtuelnih adresa za druge čvorove i uređaje koje tuneliraju.

Virtuelne adrese hosta ne zavise od njihovih stvarnih adresa i vezane su za jedinstvene ViPNet identifikatore hosta koji su im dodeljeni u ViPNet Administrator kontrolnoj aplikaciji. Ako se promeni IP adresa udaljenog ViPNet hosta (što je tipično za mobilne računare, uređaje i računare sa konfigurisanim DHCP-klijent servisom), njegova virtuelna adresa, jednom kreirana na ovom hostu, neće se promeniti. Ovo svojstvo mogu koristiti aplikacije za sigurnu provjeru autentičnosti hosta pomoću njegove virtualne adrese.

6.2 Adrese vidljivosti

Svaki ViPNet čvor zna liste stvarnih IP adresa svih ViPNet čvorova sa kojima je ovaj čvor povezan, kao i liste IP adresa čvorova koje tuneliraju koordinatori. Čvor prima ove adrese na različite načine:

1. Liste stvarnih adresa drugih klijenata i koordinatora se prenose čvoru u servisnim porukama iz kontrolne aplikacije ViPNet Administrator i zbog rada protokola dinamičkog rutiranja ViPNet saobraćaja (pogledajte „Protokol dinamičkog rutiranja“).

2. Liste stvarnih adresa čvorova, tuneliranih od strane udaljenih koordinatora, prenose se do čvora u servisnim porukama iz kontrolne aplikacije ViPNet Administrator.

3. Ako šifrovani saobraćaj dolazi sa čvora čija prava adresa nije prethodno dobijena od ViPNet Administratora ili preko protokola za dinamičko rutiranje (stavke 1 i 2), tada čvor registruje IP adresu izvora dešifrovanog paketa kao pravu adresu ovog čvora.

Kao što je gore navedeno, jedinstvene virtuelne adrese se mapiraju u stvarne adrese. Aplikacije na klijentima, koordinatorima i tuneliranim čvorovima moraju koristiti adresu vidljivosti - stvarnu ili odgovarajuću virtuelnu adresu udaljenog čvora za interakciju sa resursom na nekom udaljenom čvoru. Koju adresu (stvarnu ili virtuelnu) treba koristiti kao adresu vidljivosti određenog čvora na datom čvoru određuje se postavkama na ovom čvoru.

Korisnici i administratori ne moraju da brinu o tome koja adresa se koristi kao adresa vidljivosti i da je postavljaju u aplikacijama. Aplikacije koje koriste standardne usluge imena (DNS usluge) ili multimedijalne aplikacije koje koriste servisne protokole SCCP, SIP, H.323 i druge (kao što je IP telefon) automatski će dobiti ispravnu IP adresu druge strane. U tijelima paketa ovih protokola, aplikacijama se govori o IP adresama resursa koji su im potrebni. Softver ViPNet na klijentima i koordinatorima obrađuje pakete ovih protokola: kada se oni pošalju, on inkapsuliranim paketima dodaje dodatne informacije koje identifikuju ViPNet host kojem data IP adresa pripada. Na primjer, kada se šalje odgovor na DNS upit, dodaje se informacija koja identificira IP adresu zaštićenog resursa čije je ime traženo. Kada primate paket, ove informacije vam omogućavaju da zamenite IP adresu u telu ekstrahovanog paketa sa stvarnom adresom vidljivosti potrebnog resursa (adresa vidljivosti na ovom čvoru). Primljene adrese koriste aplikacije za organizovanje razgovora sa udaljenim korisnikom, za rad sa Exchange poštom, pristup po imenu web portalima i drugim resursima u zaštićenom režimu.

Prilikom obrade dolaznih dešifrovanih paketa sa drugih čvorova, adresa izvora se zamjenjuje adresom vidljivosti ovih čvorova na ovom čvoru. Kao rezultat toga, aplikacije na samom hostu ili njegovim tuneliranim hostovima šalju promet odgovora na ispravnu adresu vidljivosti. Takav promet će biti šifriran i proslijeđen do odredišnog hosta.

7. Rutiranje saobraćaja koordinatora sa više mrežnih interfejsa

ViPNet koordinator može imati proizvoljan broj fizičkih ili virtuelnih interfejsa povezanih na različite podmreže. Na strani svake podmreže mogu postojati tunelirani otvoreni resursi.

Da biste se povezali na resurse koji se nalaze iza udaljenih koordinatora, možete konfigurirati korištenje nekoliko alternativnih komunikacijskih kanala kroz različite podmreže. Da biste to učinili, morate postaviti odgovarajuće pristupne adrese udaljenim koordinatorima u ovim podmrežama i, ako je potrebno, postaviti metriku koja određuje prioritet njihove upotrebe.

Aplikacije koje rade na koordinatoru ili resursima koje je on tunelirao šalju svoje pakete na adresu udaljenih zaštićenih resursa na njihovim adresama vidljivosti: stvarne adrese udaljenih čvorova (u pravilu su to privatne IP adrese koje se izdaju u onim lokalnim mrežama na kojima se nalaze) ili se odgovarajućim automatski dodeljuju virtuelne adrese. Operativni sistem koordinatora usmjerava promet prema dostupnim rutama za ove adrese.

Međutim, nema potrebe da se konfigurišu rute za sve više udaljenih podmreža sa privatnim adresama ili njihovim odgovarajućim virtuelnim adresama, što bi bilo posebno teško s obzirom da se virtuelne adrese dodeljuju iz iste podmreže. Softverski drajver ViPNet samostalno usmerava saobraćaj na traženi interfejs u skladu sa rutom koja je određena za eksterne pristupne adrese.

Odnosno, na koordinatoru je dovoljno konfigurirati jednu zadanu rutu i druge potrebne rute do vanjskih rutiranih mreža. Ovo je tipičan skup postavki za standardne rutere.

8. Tuneliranje prometa otvorenih resursa na nivou linka (rad koordinatora u L2-encryptor L2-encryptor modu)

HW koordinatori se mogu postaviti na L2 encryptor mod (tehnologija tuneliranja sloja veze L2OverIP). Koordinatori u ovom režimu se instaliraju na granicama nekoliko (do 32) udaljene lokalne mreže i kombinuju ih u jednu lokalnu mrežu. Čvorovi na ovim LAN-ovima komuniciraju kao da su u istoj domeni emitovanja (bez rutiranja, sa vidnom linijom do MAC adresa).

Koordinator u načinu L2 enkripcije radi kao virtualni prekidač koji prosljeđuje Ethernet okvire primljene na svom L2 adapteru udaljenim mrežama kroz slične L2 enkriptore na njihovim granicama:

broadcast (posebno ARP zahtjevi) i multicast okviri - na sve povezane mreže;

Unicast okviri - na određenu mrežu u skladu sa akumuliranom tabelom MAC adresa virtuelnog prekidača.

Nije bitan protokol višeg nivoa (IP ili drugi) saobraćaja koji stiže na L2 adapter.

Koordinator obrađuje Ethernet okvire i ne pravi razliku između IP paketa. Stoga se ne može koristiti za tuneliranje IP prometa otvorenih resursa (pogledajte Tuneliranje IP prometa otvorenih resursa).

Eternet okvir snimljen na L2 adapteru prvo se pakuje u jednostavan IP paket sa odredišnom adresom potrebnog koordinatora. Eternet ram za emitovanje duplicira se u nekoliko IP paketa sa odredišnim adresama koordinatora drugih lokalnih mreža. Svaki takav IP paket je šifrovan na komunikacionom ključu sa odgovarajućim koordinatorom, enkapsuliran u standardni ViPNet paket i prosleđen potrebnom koordinatoru preko eksternog interfejsa. Po prijemu, originalni Ethernet okvir se preuzima i šalje u lokalnu mrežu.

Koordinatori podržavaju VLAN tehnologiju (802.1Q):

Koordinator u režimu L2 kodera može slati označene okvire drugim segmentima uz održavanje označavanja.

Na L2 adapteru koordinatora možete kreirati virtuelna VLAN sučelja koja će raditi kroz L2 tunel sa čvorovima u udaljenim segmentima, uzimajući u obzir njihovu lokaciju u VLAN-u.

Možete povećati performanse L2 kanala između lokalnih mreža povezivanjem više koordinatora na eksterni prekidač preko različitih portova koristeći EtherChannel tehnologiju. Testovi takvog klastera od tri HW2000 koordinatora su pokazali performanse od 10 Gb/s (povećanje performansi u direktnoj proporciji sa brojem koordinatora). Za više detalja pogledajte članak „Zaštita centra podataka pomoću ViPNet Coordinator HW klastera“ https://www.anti-malware.ru/analytics/Technology_Analysis/ViPNet_Coordinator_HW.

Zaključak

Razmatrani načini korišćenja ViPNet tehnoloških rešenja za organizovanje bezbednog povezivanja računara u IP mrežama sa netransparentnim adresiranjem zadovoljavaju sve praktične potrebe u ovoj oblasti koje se danas javljaju.

Zbog dinamičkog protokola rutiranja VPN prometa, konfiguracija ViPNet čvorova od strane korisnika i administratora, čak iu najsloženijim mrežnim konfiguracijama, je minimizirana ili uopće nije potrebna.

Vladimir Ignatov