Prijenos IP prometa preko SDH mreža, ili ATM ima alternativu?

Oleg ALLENOV
AMT grupa

Puno se raspravlja o tome koje će transportne tehnologije doći do izražaja u brzim multimedijskim mrežama kao što je Internet. I premda je većina spornih dala svoj glas za bankomat, ne slažu se svi s ovim stajalištem. Moguća je i druga, alternativna opcija za izgradnju transportnih multimedijskih mreža - korištenje IP-a (Internet Protocol) s izravnom inkapsulacijom u mrežu sinkrone digitalne hijerarhije (SDH).

IP postoji već više od 15 godina, dok je ATM relativno nov protokol. Tijekom postojanja IP Interneta, iz ujedinjene znanstvene mreže raznorodnih sveučilišnih kampusa, pretvorio se u ogromnu računalnu mrežu koja je pokrivala cijeli planet. Sve veći broj korisnika interneta (koji se sada broji u milijunima) i rastući zahtjevi za propusnošću prijete preplaviti web. Nove multimedijske aplikacije postavljaju mnogo strože zahtjeve na propusnost koju pružaju, često u stvarnom vremenu. To nas tjera da preispitamo postojeće pristupe izgradnji internetske infrastrukture.

Za povećanje propusnosti Interneta, prije svega, potreban je brzi "transport". Jedna od opcija je korištenje popularne tehnologije bankomata. Treba napomenuti da bankomat kao transportni protokol izaziva sve više kritika kako proizvođača opreme tako i krajnjih korisnika. Pokušat ćemo detaljnije analizirati nedostatke ATM-a i razmotriti slučaj drugog načina transporta internetskog prometa - izravnu enkapsulaciju TCP/IP protokola u SONET/SDH protokole.

Tehnologija bankomata

Asinkroni način prijenosa, ATM, doveli su u prvi plan proizvođači i pružatelji mrežnih usluga kao tehnologiju koja može pružiti potrebnu propusnost na zahtjev i zajamčenu kvalitetu usluge širokom spektru multimedijskih aplikacija, među kojima je Internet bio na prvom mjestu. Dakle, ne najnoviji dio ATM komponenti nije orijentiran i razvijen posebno za prijenos internetskog prometa. Očekivalo se da će se u bliskoj budućnosti Mreža uglavnom sastojati od ATM korisnika i LANE (LAN Emulation) klijenata, što će omogućiti jednostavnu i prirodnu migraciju internetskih aplikacija na novi transportni protokol koji obećava neograničene mogućnosti.

Međutim (možda zbog visoke cijene novih otopina ili njihove anorganske prirode), iz nekog razloga to se nije dogodilo. Štoviše, tendencija povećanja utjecaja TCP/IP protokola kao transportnih protokola počela se sve jasnije pojavljivati.

Doista, stog TCP / IP protokola je dugo razrađen i testiran, u njegovo stvaranje i otklanjanje pogrešaka uloženo je puno novca i truda. Iako IPv4 ima neke nedostatke, nadolazeća verzija IPv6 riješit će većinu njih. Međutim, postojeća verzija IPv4 također odgovara mnogim ljudima i, prema riječima stručnjaka, može izdržati još nekoliko godina. Velik broj proizvođača IP smatra obećavajućim transportnim protokolom za modernu telekomunikacijsku infrastrukturu. Pa kakve veze ima bankomat s tim?

ATM je predložio ITU-T kao temeljnu tehnologiju za širokopojasni ISDN (ili B-ISDN). Budući da je B-ISDN prvenstveno namijenjen prijenosu multimedijskog prometa, ATM je dobro pozicioniran da podrži ovu vrstu prometa u stvarnim mrežama.

Nešto kasnije, proizvođači telekomunikacijske opreme svoju su pozornost usmjerili na bankomat. Stvoren je ATM Forum koji se bavio oživljavanjem nove tehnologije. Istodobno, zadaci dodijeljeni ATM Forumu bili su standardizirati i razviti učinkovit skalabilan protokol koji podržava dijametralno suprotan promet (multimedija), jamči određenu kvalitetu usluge (QoS) i podržava multicast emitiranje. Osim toga, ovaj protokol mora biti kompatibilan s postojećim LAN i WAN tehnologijama.

Treba razumjeti da je ATM tehnologija stekla toliku popularnost upravo zbog općeg uvjerenja da tehnologije koje su postojale u to vrijeme nisu bile u stanju zadovoljiti navedene zahtjeve.

IP tehnologija

IP, s druge strane, ne izgleda kao zastarjeli protokol na koji treba zaboraviti. Postoji ogroman broj IP over Ethernet rješenja instaliranih diljem svijeta i nije lako nagovoriti kupce da odustanu od jeftinih Ethernet kartica i instaliraju ATM adaptere bez obećanja temeljno novih značajki ili barem većih brzina (povećanje brzine nije nimalo znači očito).

Mislim da će se mnogi kupci koji imaju iskustva s ATM adapterima za osobna računala složiti sa mnom da Fast Ethernet 100 Mbps mrežna kartica (da ne spominjemo Full Duplex) barem nije sporija od 155 Mbps ATM adaptera. To je zbog veće redundancije ATM protokola i kašnjenja sastavljanja/demontaže ćelije. Što se tiče zajamčene ATM kvalitete usluge, ona se praktički ne implementira u LANE, a AAL5 UBR (maksimalni UBR + ili ABR) sada se koristi za prijenos IP prometa preko ATM-a. Dakle, o QoS-u ne treba govoriti.

Nesumnjivo, nova tehnologija mora podržavati širok raspon razina kvalitete usluga. Međutim, IP je odabran kao protokol za univerzalno međusobno povezivanje i dobro je radio na tadašnjem Internetu s 20.000 računala još sredinom 1980-ih i nastavlja uspješno povezivati ​​nekoliko milijuna hostova i danas. Je li IP stvarno zastario? Zagovornici bankomata vjerojatno će odgovoriti potvrdno.

Uložena su ogromna sredstva u razvoj obitelji internetskih protokola i njihovo dovođenje u postojeće stanje. Osim ATM Foruma, Radna skupina za internetsko inženjerstvo (IETF) nastavlja tražiti načine za iskorištavanje IP-a u novim multimedijskim mrežama velike brzine. Stvoreni su protokoli za podršku multicast emitiranja (IGMP, DVMRP, PIM) i protokoli koji osiguravaju rezervaciju resursa za prijenos prometa (RSVP). Moguće je izvršiti usmjeravanje (iako još nije tako fleksibilno kao kod korištenja PNNI) na temelju potrebne kvalitete usluge (Tag Switching), a nadolazeći IETF standard MPLS (Multiprotocol Label Switching) osigurat će interoperabilnost svih uređaja koji podržavaju oznake i vjerojatno će značajno pomaknuti poziciju MPOA (Multiprotocol Over ATM).

Dakle, ima li smisla zamijeniti dobro uspostavljenu IP tehnologiju novim bankomatom?

IP preko bankomata

U početku je ideja prijenosa IP-a preko ATM-a viđena kao mogući način uvođenja ATM-a u postojeću internetsku arhitekturu, s posljedičnim potpunim potiskivanjem IP-a. Sada, shvaćajući da ATM nije u stanju u potpunosti zamijeniti IP, možemo postaviti pitanje: zašto još uvijek ne postoje učinkovite metode prijenosa IP prometa preko ATM-a? Čini se da ATM nudi jedinstvenu tehnologiju brzog prebacivanja koja može riješiti trenutna ograničenja propusnosti Interneta. Međutim, u stvarnosti se ovdje pojavljuju neki problemi.

Prije svega, obratite pozornost na činjenicu da gotovo sva (s rijetkim iznimkama, na primjer, ATM25, TAXI, itd.) fizička sučelja ATM prekidača rade u formatu okvira SDH / SONET / PDH. Time se olakšava integracija s raširenim SDH transportnim mrežama. Ali čak i kada SDH potpuno izostane i nije predviđen projektom, svejedno se u prijenos korisničkog prometa uvode SDH režijski troškovi, što, blago rečeno, ne povećava brzinu i performanse mreže.

Također je važno napomenuti da je SDH sinkroni način prijenosa, dok je ATM asinkroni. Prilikom prijenosa ATM prometa preko SDH transportnih mreža gubimo sve prednosti metode asinkronog prijenosa ćelija, a da ne spominjemo dupliciranje niza funkcija (npr. OA&M).

Enkapsuliranje IP-a u ATM, koji pak radi preko SDH-a, ne poboljšava situaciju. ATM je orijentiran na vezu, dok IP nije. Ova neusklađenost također dovodi do dodatnog kompliciranja i dupliciranja niza funkcija.

Dakle, svaki od protokola, IP i ATM, zahtijeva svoj vlastiti protokol usmjeravanja. Dodatne funkcije upravljanja potrebne su za kontrolu IP i ATM suradnje. Učinkovitost prijenosa multicast prometa je smanjena, jer se bez poznavanja točne topologije mreže na nižim slojevima, prijenos multicast paketa pretvara u njihovu jednostavnu kopiju na graničnim usmjerivačima. Distribucija takvih paketa provodi se duž ruta koje su daleko od optimalnih za stvarnu mrežu.

Ne treba se zadržavati na nedostacima metoda za oponašanje lokalnih mreža, budući da će se svaki kvalificirani mrežni stručnjak složiti da se LANE tehnologija ne može nazvati organskom i obećavajućom. Na mnogo načina, ova tehnologija je neuspješan pokušaj "povlačenja" protokola dizajniranih za emitiranje okruženja za rad u okruženjima u kojima ovaj način prijenosa podataka nije moguć (NBMA, Nonbroadcast Multiple Access).

Dakle, ako je internet još uvijek sam i nastavlja se temeljiti na IP-u, postoji li dodatni ATM sloj između IP-a i uistinu učinkovite, uistinu brze SDH transportne interpunkcije koja jednako dobro služi za prijenos gotovo bilo koje vrste prometa?

IP preko SDH-a

SDH tehnologija se naširoko koristi za organiziranje pouzdanog transporta. SDH je razvijen za pružanje standardnog protokola za komunikaciju između pružatelja usluga; objediniti američke, europske i japanske digitalne sustave; osigurati multipleksiranje digitalnih signala pri gigabitnim brzinama; pružiti podršku za funkcije rada, administracije i održavanja (OA&M).

Iako SDH radi s okvirima i ima vlastitu strukturu kanala, sa stajališta mrežnog sloja SDH je samo tok okteta. Kako bi se IP paket ispravno ugnijezdio u SDH kontejner, potrebno je jasno definirati granice paketa (ili grupe paketa) unutar sinkronog transportnog modula (STM). Drugim riječima, potreban je neki "međusloj" protokola između IP-a i SDH za uokvirivanje sloja veze.

Budući da SDH pruža veze od točke do točke, čini se logičnim koristiti PPP (Point-to-Point Protocol) kao međuprotokol. PPP se naširoko koristi na Internetu kao protokol podatkovne veze za uspostavljanje veza preko mreža širokog područja. Osim toga, PPP vam omogućuje korištenje dodatnih funkcija PPP protokola:

• mogućnost višeprotokolne enkapsulacije;
• zaštita od pogreške;
• korištenje LCP protokola za uspostavljanje, konfiguriranje i testiranje veza na sloju veze;
• mogućnost korištenja NCP obitelji protokola za podršku i konfiguraciju različitih mrežnih protokola.

Međutim, treba napomenuti da nas kao mrežni protokol zanima samo IP, a osim toga, brojne funkcije NCP protokola (na primjer, dinamičko dodjeljivanje IP adresa) u našem slučaju nisu relevantne. Ono što nas stvarno zanima je IP u PPP enkapsulaciji, a zatim PPP okviri u SDH.

IP enkapsulacija u PPP-u nije problem jer je dobro uspostavljena i široko korištena. Postupak PPP enkapsulacije u SDH (definirana je vrijednost Path Signal Label = 207hex), prikazan na slici, mora se izvesti posebnim servisnim adapterom na razini SDH puta. Servisni adapter može biti crna kutija koja prima tok PPP okvira i "izbacuje" tok STM transportnih modula. PPP je vrlo prikladan za rad sa SDH, budući da su oba protokola usmjerena na rad u jednobajtnom načinu rada.

Dakle, korištenjem izravne inkapsulacije internetskog prometa u postojećoj SDH transportnoj usluzi značajno pojednostavljujemo složenu mrežnu infrastrukturu, smanjujući njezinu cijenu i povećavajući efektivnu propusnost. Pojavom novih mogućnosti za prijenos IP prometa gigabitnim brzinama (Gigabit Ethernet) i tehnologija za brzo prebacivanje IP paketa (Multiprotocol Label Switching - MPLS), postaje stvarna upotreba IP protokola kao osnove jedinstvena transportna usluga za prijenos video, telefonskih i drugih multimedijskih aplikacija - srećom, glavnina posla na implementaciji IP protokola na World Wide Webu je već završena. U tom smislu, čini se pojava standarda (RFC 1619) i prve praktične implementacije "PPP over SDH" (ili Packets Over Sonet - POS) sučelja na modernim usmjerivačima namijenjenim Internetu, posebice GSR 12000 tvrtke Cisco Systems. biti vrlo pravovremen.

Zaključno, želio bih napomenuti da autor ni na koji način neće umanjiti važnost ATM tehnologije i negirati njezin pozitivan utjecaj na razvoj svjetskih telekomunikacijskih usluga. Samo je smatrao zanimljivim na diskutabilan način razmotriti mogućnost alternativnih načina razvoja multimedijskih usluga, osim tehnologije asinkronog načina prijenosa stanica.

O AUTORU

Oleg Allenov je instruktor u centru za obuku AMT grupe, CCSI / CCIE. Možete ga kontaktirati telefonom. 725 - 7660 (prikaz, stručni).

Globalni internetski promet porast će na 1,6 zetabajta do 2018. Ključni pokretači rasta bit će širenje Ultra-HD/4K video i komunikacijskih tehnologija od stroja do stroja, uključujući pametne automobile.

Na temelju Ciscove ankete pod nazivom "Indeks razvoja vizualnog umrežavanja: Globalna prognoza i distribucija usluga za 2013.-2018." (Cisco VNI), globalni IP promet će se gotovo utrostručiti unutar 4 godine. To će se dogoditi zbog povećanja broja korisnika interneta i raznih uređaja, povećanja brzine širokopojasnog pristupa i broja pregleda videa. Očekuje se da će do 2018. globalni fiksni i mobilni IP promet dosegnuti 1,6 zetabajta * godišnje. preko jedan i pol bilijun gigabajta. Ovo je više IP prometa (1,3 zetabajta) generiranog globalno između 1984. i 2013.

Prijenos Svjetskog nogometnog prvenstva koje je upravo počelo gledat će preko interneta deseci milijuna navijača. Video streaming i IP igre mogu generirati 4,3 eksabajta internetskog prometa, što je više od tri puta više od mjesečnog prometa u Brazilu. Osim toga, predviđa se da će internetski promet koji generiraju gledatelji na svakom stadionu i na putu do utakmice premašiti prosječni promet koji generiraju svi pametni telefoni u Brazilu tijekom vršnih sati **.

Očekuje se da će globalni IP promet dosegnuti 132 eksabajta mjesečno do 2018. Istu količinu prometa može generirati:

• Ultra-HD / 4K streaming video koji se istodobno strujio na 8,8 milijardi zaslona tijekom finala Svjetskog prvenstva
• 5,5 milijardi HD gledatelja koji gledaju 4. sezonu Igre prijestolja bez prestanka na video na zahtjev, ili 1,5 milijardi u ultra-visokoj razlučivosti;
• Kuća od karata, sezona 3, emitira se istovremeno na 24 milijarde ekrana ultra visoke razlučivosti;
• 940 kvadrilijuna tekstualnih poruka;
• 4,5 bilijuna YouTube isječaka.

U narednim godinama sastav IP prometa će se dramatično promijeniti. Do 2018. većina će po prvi put biti povezana ne s osobnim računalima, već s drugim uređajima. Također po prvi put, Wi-Fi promet će premašiti žičani promet, a HD video promet će nadmašiti redoviti video promet.

Prožimajući internet također dobiva na zamahu, a do 2018. broj komunikacijskih modula od stroja do stroja izjednačit će se s brojem ljudi. Dakle, za svaki "pametni" automobil bit će gotovo 4 priključka.

“U prvom izvješću te vrste, objavljenom prije 9 godina, postavili smo zettabyte kao prekretnicu u globalnom rastu IP prometa,” prisjetio se Doug Webster, potpredsjednik marketinga proizvoda i rješenja za Cisco. “Danas već živimo u Zettabyte eri i svjedočimo nevjerojatnim promjenama u industriji. Među glavnim trendovima istaknutim u trenutnoj prognozi koji pružateljima usluga pružaju značajne mogućnosti kako danas tako i u bliskoj budućnosti, ističemo implementaciju Interneta svega, rastuću potražnju za mrežnom mobilnošću i pojavu videa ultra visoke razlučivosti. "

Prognoze rasta globalnog prometa i ključni pokretači difuzije usluga

IP promet

Mobilni i nosivi uređaji, osim osobnih računala, bit će odgovorni za većinu prometa do 2018. godine. Ako su u 2013. uređaji osim osobnih računala činili 33% IP prometa, do 2018. taj će udio porasti na 57%. PC promet će rasti za 10% godišnje, dok će za ostale uređaje i veze ta brojka biti veća: 18% za TV, 74% za tablete, 64% za pametne telefone i 84% za komunikacijske module stroj-stroj (M2M) .

Promet u vršnim satima raste brže od običnog internetskog prometa. Internetski promet u špici u 2013. godini porastao je za 32%, dok je promet u ostala doba dana porastao za 25%.

U 2013. godini više se prometa prenosilo kroz gradske mreže nego preko okosnih veza. U razdoblju 2013.-2018. promet u gradskim mrežama će rasti gotovo dvostruko brže nego u okosničkim vezama. To je dijelom posljedica očekivanog udvostručenja internetskog prometa u mrežama za isporuku sadržaja do 2018. godine.

IP video

Do 2018. udio IP videa u ukupnom IP prometu će porasti na 79% (2013. je bio 66%).

Udio videa ultra visoke razlučivosti u ukupnom IP prometu do 2018. će se povećati za 0,1% u odnosu na 2013. i iznosit će 11%. Udio videa visoke razlučivosti povećat će se sa 36% u 2013. na 52% do 2018., a video standardne razlučivosti će se smanjiti sa 64% na 37% ukupnog IP prometa.

IP promet prema vrsti pristupa

Do 2018. Wi-Fi i mobilni uređaji će generirati 61% IP prometa. Wi-Fi će činiti 49%, mobilne mreže - 12%. Fiksni promet do 2018. činit će samo 39% ukupnog IP prometa. Za usporedbu: u 2013. udio Wi-Fi-ja bio je 41%, mobilni promet - 3%, fiksni promet - 56%.

Do 2018. Wi-Fi i mobilni uređaji će generirati 76% internetskog prometa. Wi-Fi će činiti 61%, mobilne mreže - 15%. Fiksni promet činit će samo 24% ukupnog internetskog prometa do 2018. Za usporedbu: u 2013. udio Wi-Fi-ja bio je 55%, mobilni promet - 4%, fiksni promet - 41%.

Uređaji i veze

Do 2018. bit će prosječno 2,7 mrežnih uređaja ili veza za svaku osobu na planetu. U 2013. ta je brojka iznosila 1,7 po glavi stanovnika.

Globalni broj veza između stroja bit će 7,3 milijarde, ili gotovo jedna veza po osobi (pod pretpostavkom da će na Zemlji biti 7,6 milijardi ljudi do 2018.).

Broj fiksnih i mobilnih uređaja koji podržavaju IPv6 porast će s 2 milijarde u 2013. na 10 milijardi u 2018. godini.

Rast brzina širokopojasnog pristupa

Brzina širokopojasnog pristupa u svijetu će porasti sa 16 Mbit/s na kraju 2013. na 42 Mbit/s do 2018. godine.

Većina (otprilike 55%) širokopojasnih veza premašit će 10 Mbps do 2018. U Japanu i Južnoj Koreji prosječna brzina širokopojasnog pristupa približit će se 100 Mbps do 2018.

Distribucija naprednih usluga

Najbrže rastuća usluga u stambenom sektoru bit će online video s CAGR od 10% u razdoblju 2013.-2018. broj korisnika će se povećati s 1,2 na 1,9 milijardi.

Potrošački segment doživjet će najbrži rast mobilnih usluga na temelju lokacije, s CAGR od 36% u razdoblju 2013.-2018. broj korisnika takvih usluga će porasti s 236 milijuna na više od milijardu ljudi.

U poslovnom segmentu najbrže rastuća internetska usluga bit će video konferencije putem osobnih uređaja i stolnih računala, s CAGR od 45% u razdoblju 2013.-2018. broj korisnika će porasti sa 37 milijuna na 238 milijuna.

Prognoze po zemljama i regijama

Do 2018. najveći volumen IP prometa - 47,7 eksabajta mjesečno - bit će generiran u azijsko-pacifičkoj regiji. Ova najmnogoljudnija regija na svijetu, na koju otpada većina uređaja i veza, ostat će broj jedan po prometu tijekom 2018. godine.

Na Bliskom istoku i u Africi, 2013.-2018 IP promet nastavit će rasti najbržim tempom (peterostruko, 38% CAGR).

Do 2018. SAD i Kina postat će zemlje s najvećim prometom (37 odnosno 18 eksabajta mjesečno).

Najbrži rast IP prometa u razdoblju 2013.-2018 promatrat će se u Indiji i Indoneziji (39% odnosno 37% CAGR).

Što iz svega toga slijedi za davatelje usluga

Mreže davatelja usluga trebat će poboljšanu sigurnost i inteligenciju. Morat će se prilagoditi kako bi mogli nositi sve veći broj tableta, pametnih telefona i uređaja od stroja do stroja koji će zahtijevati autentifikaciju za pristup fiksnim i mobilnim mrežama.

Evolucija video usluga kao što su video visoke i ultra visoke razlučivosti može zahtijevati dodatnu propusnost i skalabilnost od davatelja usluga. U stambenom, mobilnom i poslovnom sektoru bit će velika potražnja za pristupom naprednim video uslugama putem svih vrsta mreža i uređaja. Ovdje će kvaliteta usluge, jednostavnost i cijena biti ključni čimbenici uspjeha.

Kontinuirano širenje usluga kao što su video konferencije visoke razlučivosti i web video konferencije u poslovnom segmentu, kao i poslovni video na zahtjev, može potaknuti rast virtualizacije mreže i korištenja interneta za prijenos videa, što će uzrokovati određene probleme i za davatelje usluga i za neovisne pružatelje usluga (over-the-top provideri, OTT).

Rast 4G mreža i proliferacija povezanih usluga mogu se ubrzati jer mobilni korisnici i dalje zahtijevaju pružanje sličnih usluga i kvalitetu usluge u svojim fiksnim i mobilnim mrežama.

IP mreže moraju biti dovoljno inteligentne i fleksibilne da podrže sve nove i evoluirajuće fiksne i mobilne mrežne aplikacije. U nastojanju da razlikuju svoje usluge, mnogi davatelji usluga aktivno surađuju s programerima aplikacija.

Svaki administrator prije ili kasnije dobije upute od uprave: "izračunaj tko ide na internet i koliko preuzima". Za pružatelje ga nadopunjuju zadaci "pusti koga treba, uzmi plaćanje, ograniči pristup". Što računati? Kako? Gdje? Ima dosta fragmentarnih informacija, nisu strukturirane. Sačuvajmo administratora početnika od zamornih pretraživanja, pružajući mu opće znanje i korisne veze na materijal.
U ovom članku pokušat ću opisati principe organizacije prikupljanja, računovodstva i kontrole prometa u mreži. Razmotrit ćemo problematiku problema i navesti moguće načine dohvaćanja informacija s mrežnih uređaja.

Ovo je prvi teorijski članak u nizu članaka posvećenih prikupljanju, računovodstvu, upravljanju i naplati prometa i IT resursa.

Struktura pristupa internetu

Općenito, struktura pristupa mreži je sljedeća:

• Vanjski resursi - Internet, sa svim stranicama, poslužiteljima, adresama i ostalim stvarima koje ne pripadaju mreži koju kontrolirate.
• Pristupni uređaj je usmjerivač (bazirani na hardveru ili računalu), prekidač, VPN poslužitelj ili čvorište.
• Interni resursi - skup računala, podmreža, pretplatnika čiji se rad u mreži mora uzeti u obzir ili kontrolirati.
• Kontrolni ili računovodstveni poslužitelj je uređaj na kojem radi specijalizirani softver. Može se funkcionalno kombinirati sa softverskim usmjerivačem.

U ovoj strukturi, mrežni promet prolazi s vanjskih resursa na interne resurse i natrag kroz pristupni uređaj. Šalje informacije o prometu poslužitelju za upravljanje. Kontrolni poslužitelj obrađuje te podatke, pohranjuje ih u bazu podataka, prikazuje, izdaje naredbe za blokiranje. Međutim, nisu sve kombinacije pristupnih uređaja (metoda) i metoda prikupljanja i kontrole kompatibilne. Različite opcije bit će razmotrene u nastavku.

Mrežni promet

Prvo morate odrediti što se podrazumijeva pod "mrežnim prometom" i koje se korisne statističke informacije mogu izdvojiti iz toka korisničkih podataka.
IP verzija 4 ostaje dominantan protokol za međusobnu suradnju. IP protokol je u skladu s 3. slojem OSI modela (L3). Informacije (podaci) između pošiljatelja i primatelja pakiraju se u pakete - sa zaglavljem i "korisnim opterećenjem". Zaglavlje određuje odakle paket dolazi i gdje (izvorna i odredišna IP adresa), veličinu paketa i vrstu tereta. Najveći dio mrežnog prometa sastoji se od UDP i TCP paketa tereta – to su protokoli Layer 4 (L4). Osim adresa, zaglavlje ova dva protokola sadrži brojeve portova koji određuju vrstu usluge (aplikacije) koja prenosi podatke.

Za prijenos IP paketa preko žica (ili radija), mrežni uređaji su prisiljeni da ga "umotaju" (inkapsuliraju) u paket protokola Layer 2 (L2). Najčešći od ove vrste je Ethernet. Stvarni prijenos "na žicu" je na 1. razini. Obično pristupni uređaj (usmjerivač) ne analizira zaglavlja paketa na razini većoj od 4. (osim za pametne vatrozide).
Informacije iz polja adresa, portova, protokola i brojača duljine iz L3 i L4 zaglavlja paketa podataka čine "izvorni materijal" koji se koristi u računovodstvu i upravljanju prometom. Stvarna količina prenesenih informacija nalazi se u polju Duljina IP zaglavlja (uključujući duljinu samog zaglavlja). Inače, zbog fragmentacije paketa zbog MTU mehanizma, ukupna količina prenesenih podataka uvijek je veća od veličine korisnog opterećenja.

Ukupna duljina IP i TCP/UDP polja paketa koji nas zanima u ovom kontekstu je 2 ... 10% ukupne duljine paketa. Ako sve ove informacije obrađujete i pohranjujete u serijama, neće biti dovoljno resursa. Srećom, velika većina prometa strukturirana je na način da se sastoji od skupa "razgovora" između vanjskih i internih mrežnih uređaja, tzv. "protoka". Na primjer, kao dio jedne operacije prosljeđivanja e-pošte (SMTP protokol), otvara se TCP sesija između klijenta i poslužitelja. Karakterizira ga konstantan skup parametara (Izvorni IP, izvorni TCP port, odredišni TCP port, odredišni TCP port)... Umjesto obrade i pohranjivanja informacija po paketu, puno je praktičnije pohraniti parametre protoka (adrese i portove), kao i dodatne informacije - broj i zbroj duljina odaslanih paketa u svakom smjeru, opcionalno trajanje sesije, sučelje usmjerivača. indeksi, vrijednost polja ToS i tako dalje. Ovaj pristup je koristan za protokole orijentirane na vezu (TCP), gdje možete eksplicitno presresti kada sesija završi. Međutim, čak i za protokole koji nisu orijentirani na sesiju, moguće je izvesti agregaciju i logički završetak snimanja toka, na primjer, timeout. Ispod je izvadak iz SQL baze podataka vlastitog sustava naplate koji bilježi informacije o tokovima prometa:

Treba napomenuti slučaj kada pristupni uređaj obavlja prijevod adrese (NAT, maskiranje) kako bi organizirao pristup internetu za računala u lokalnoj mreži koristeći jednu vanjsku javnu IP adresu. U ovom slučaju, poseban mehanizam zamjenjuje IP adrese i TCP / UDP portove prometnih paketa, zamjenjujući interne (koje se ne usmjeravaju na Internetu) adrese prema svojoj dinamičkoj tablici prijevoda. U takvoj konfiguraciji treba imati na umu da za ispravno obračunavanje podataka o internim hostovima mreže statistiku treba uzeti na način i na mjestu gdje rezultat prijevoda još ne "depersonalizira" interne adrese.

Metode za prikupljanje informacija o prometu / statistici

Možete snimiti i obraditi informacije o propuštanju prometa izravno na samom pristupnom uređaju (PC-usmjerivač, VPN-poslužitelj), s ovog uređaja prenoseći ih na zasebni poslužitelj (NetFlow, SNMP) ili "iz žice" (tap, SPAN ). Analizirajmo sve opcije po redu.

PC usmjerivač

Razmotrimo najjednostavniji slučaj - pristupni uređaj (usmjerivač) koji se temelji na računalu s Linuxom.

Kako postaviti takav poslužitelj, prijevod adrese i usmjeravanje, puno napisano... Zanima nas sljedeći logičan korak – informacija o tome kako doći do informacija o prometu koji prolazi kroz takav poslužitelj. Postoje tri uobičajena načina:

• presretanje (kopiranje) paketa koji prolaze kroz mrežnu karticu poslužitelja pomoću biblioteke libpcap
• presretanje paketa koji prolaze kroz ugrađeni vatrozid
• korištenje alata treće strane za pretvaranje statistike po paketu (dobivene jednom od dvije prethodne metode) u tok agregiranih informacija mrežnog toka

Libpcap

U prvom slučaju, kopiju paketa koji prolazi kroz sučelje, nakon prolaska filtra (man pcap-filter), može zatražiti klijentski program na poslužitelju napisan pomoću ove biblioteke. Paket dolazi sa zaglavljem Layer 2 (Ethernet). Moguće je ograničiti duljinu snimljenih informacija (ako nas zanimaju samo podaci iz zaglavlja). Primjeri takvih programa su tcpdump i Wireshark. Postoji implementacija libpcap za Windows. U slučaju korištenja prijevoda adresa na PC usmjerivaču, takvo presretanje se može izvesti samo na njegovom internom sučelju povezanom s lokalnim korisnicima. Na vanjskom sučelju, nakon prijevoda, IP paketi ne sadrže informacije o internim hostovima mreže. Međutim, ovom metodom nemoguće je uzeti u obzir promet koji generira sam poslužitelj na Internetu (što je važno ako na njemu radi web ili mail servis).

Libpcap zahtijeva podršku operativnog sustava, koja se trenutno svodi na instalaciju jedne biblioteke. U tom slučaju, aplikacijski (korisnički) program koji prikuplja pakete mora:

• otvorite potrebno sučelje
• navedite filter kroz koji će proći primljeni paketi, veličinu uhvaćenog dijela (snaplen), veličinu međuspremnika,
• postavite promisc parametar, koji mrežno sučelje prebacuje na način hvatanja svih paketa koji prolaze općenito, a ne samo onih adresiranih na MAC adresu ovog sučelja
• postaviti funkciju (povratni poziv) pozvanu za svaki primljeni paket.

Kada se paket prenosi kroz odabrano sučelje, nakon prolaska filtra, ova funkcija prima međuspremnik koji sadrži Ethernet, (VLAN), IP itd. zaglavlja do snaplena. Budući da biblioteka libcap kopira pakete, nije moguće blokirati njihov prolaz kroz nju. U tom slučaju, program za prikupljanje i obradu prometa morat će koristiti alternativne metode, na primjer, pozivanje skripte za postavljanje navedene IP adrese u pravilo blokiranja prometa.

Vatrozid

Snimanje podataka koji prolaze kroz vatrozid omogućuje vam da uzmete u obzir i promet samog poslužitelja i promet korisnika mreže, čak i kada se izvodi prijevod adresa. Glavna stvar u ovom slučaju je ispravno formulirati pravilo hvatanja i staviti ga na pravo mjesto. Ovo pravilo aktivira prijenos paketa prema biblioteci sustava, odakle ga aplikacija za obračun i kontrolu prometa može primiti. Za Linux OS, iptables se koristi kao vatrozid, a presretači su ipq, netfliter_queue ili ulog. Za FreeBSD OC - ipfw s tee ili divert pravilima. U svakom slučaju, mehanizam vatrozida nadopunjen je mogućnošću rada s korisničkim programom na sljedeći način:

• Korisnički program - rukovalac prometa se registrira u sustavu koristeći sistemski poziv ili knjižnicu.
• Korisnički program ili vanjska skripta instalira pravilo u vatrozid koji "omata" odabrani promet (prema pravilu) unutar rukovatelja.
• Za svaki prolazni paket rukovatelj prima njegov sadržaj u obliku memorijskog međuspremnika (s IP zaglavljima itd. Nakon obrade (obračunavanja), program također mora reći kernelu operativnog sustava što dalje učiniti s takvim paketom – odbaciti ili ga prenesite dalje.proslijedite modificirani paket u kernel.

Budući da se IP paket ne kopira, već šalje softveru na analizu, postaje moguće "baciti" ga, a time i potpuno ili djelomično ograničiti promet određene vrste (na primjer, odabranom pretplatniku lokalnog mreža). Međutim, ako aplikacija prestane odgovarati kernelu o svojoj odluci (na primjer, visi), promet kroz poslužitelj je jednostavno blokiran.
Valja napomenuti da opisani mehanizmi, uz značajne količine prenesenog prometa, stvaraju prekomjerno opterećenje poslužitelja, što je povezano sa stalnim kopiranjem podataka iz kernela u korisnički program. Metoda prikupljanja statistike na razini jezgre OS-a, uz izdavanje agregirane statistike aplikacijskom programu putem NetFlow protokola, lišena je ovog nedostatka.

Netflow

Ovaj protokol razvio je Cisco Systems za izvoz informacija o prometu s usmjerivača za obračun i analizu prometa. Najpopularnija verzija 5 sada primatelju pruža strukturirani tok podataka u obliku UDP paketa koji sadrže informacije o proslijeđenom prometu u obliku takozvanih zapisa toka:

Količina informacija o prometu je nekoliko redova veličine manja od samog prometa, što je posebno važno u velikim i distribuiranim mrežama. Naravno, nemoguće je blokirati prijenos informacija prilikom prikupljanja statistike o mrežnom toku (osim ako se ne koriste dodatni mehanizmi).
Trenutno, daljnji razvoj ovog protokola postaje popularan - verzija 9, temeljena na strukturi predloška zapisa toka, implementacija za uređaje drugih proizvođača (sFlow). Nedavno je usvojen IPFIX standard koji omogućuje prijenos statistike preko protokola dubljih slojeva (na primjer, prema vrsti aplikacije).
Implementacija netflow izvora (agenti, sonda) dostupna je za PC usmjerivače, kako u obliku uslužnih programa koji rade prema gore opisanim mehanizmima (flowprobe, softflowd), tako i izravno ugrađenih u jezgru OS-a (FreeBSD:, Linux:). Za softverske usmjerivače, tok statistike mrežnog toka može se primati i obraditi lokalno na samom usmjerivaču, ili poslati preko mreže (protokol prijenosa - preko UDP-a) na uređaj za primanje (kolektor).


Program za prikupljanje može prikupljati informacije iz više izvora odjednom, a može razlikovati njihov promet čak i s preklapajućim adresnim prostorima. Uz pomoć dodatnih alata, kao što je nprobe, također je moguće provesti dodatno agregiranje podataka, split streamove ili konverziju protokola, što je važno kod upravljanja velikom i distribuiranom mrežom s desecima usmjerivača.

Funkcije netflow izvoza podržavaju Cisco Systems, Mikrotik i nekoliko drugih. Sličnu funkcionalnost (s drugim izvoznim protokolima) podržavaju svi veći proizvođači mrežne opreme.

Libpcap "izvan"

Zakomplicirajmo malo zadatak. Što ako je vaš pristupni uređaj hardverski usmjerivač treće strane? Na primjer, D-Link, ASUS, Trendnet itd. Najvjerojatnije je nemoguće na njega instalirati dodatni softver za dohvaćanje podataka. Alternativno, imate pametni pristupni uređaj, ali ga nije moguće konfigurirati (nema prava ili ga kontrolira vaš davatelj). U tom slučaju moguće je prikupljati prometne informacije izravno na sučelju pristupnog uređaja s internom mrežom, koristeći "hardverska" sredstva za kopiranje paketa. U tom slučaju će vam svakako trebati samostalni poslužitelj s namjenskom mrežnom karticom za primanje kopija Ethernet paketa.
Poslužitelj mora koristiti mehanizam za prikupljanje paketa gore opisanom metodom libpcap, a naš je zadatak poslati tok podataka na ulaz namjenske mrežne kartice koja je identična onoj koja napušta pristupni poslužitelj. Da biste to učinili, možete koristiti:

• Ethernet – čvorište: uređaj koji jednostavno prosljeđuje pakete između svih svojih portova neselektivno. U modernim stvarnostima, može se naći negdje u prašnjavom skladištu i ne preporučuje se korištenje ove metode: nepouzdana, mala brzina (nema čvorišta na 1 Gbit / s)
• Ethernet je preklopnik s mogućnošću zrcaljenja (zrcaljenje, SPAN portovi. Moderni inteligentni (i skupi) prekidači omogućuju kopiranje na određeni port cjelokupnog prometa (dolaznog, odlaznog, oba) drugog fizičkog sučelja, VLAN-a, uključujući daljinski (RSPAN)
• Hardverski razdjelnik, koji može zahtijevati instalaciju za prikupljanje dvije mrežne kartice umjesto jedne - i to uz glavnu, sustavnu.

Naravno, možete konfigurirati SPAN port na samom pristupnom uređaju (usmjerivaču), ako to dopušta - Cisco Catalyst 6500, Cisco ASA. Evo primjera takve konfiguracije za Cisco switch:
monitor session 1 izvorni vlan 100! gdje dobivamo pakete
nadzor sesije 1 odredišno sučelje Gi6 / 3! gdje izdajemo pakete

SNMP

Što ako nema rutera pod našom kontrolom, nema želje za komunikacijom s netflowom, ne zanimaju nas detalji prometa naših korisnika. Oni su jednostavno povezani s mrežom putem upravljanog prekidača, a mi samo trebamo otprilike procijeniti količinu prometa koji ide na svaki od njegovih priključaka. Kao što znate, daljinski upravljani mrežni uređaji podržavaju i mogu prikazati broj paketa (bajtova) koji prolaze kroz mrežna sučelja. Za njihovo ispitivanje bilo bi ispravno koristiti standardizirani SNMP protokol za daljinsko upravljanje. Koristeći ga, lako možete dobiti ne samo vrijednosti navedenih brojača, već i druge parametre, kao što su naziv i opis sučelja, MAC adrese vidljive kroz njega i druge korisne informacije. To se radi i s uslužnim programima naredbenog retka (snmpwalk), grafičkim SNMP preglednicima i sofisticiranijim programima za praćenje mreže (rrdtools, cacti, zabbix, whats up gold, itd.). Međutim, ova metoda ima dva značajna nedostatka:

• promet se može blokirati samo potpunim onemogućavanjem sučelja, koristeći isti SNMP
• SNMP brojači prometa odnose se na zbroj duljina Ethernet paketa (unicast, broadcast i multicast zasebno), dok ostatak prethodno opisanih sredstava daje vrijednosti u odnosu na IP pakete. To stvara zamjetnu neusklađenost (osobito za kratke pakete) zbog opterećenja uzrokovanog duljinom Ethernet zaglavlja (međutim, to se može grubo riješiti: L3_bytes = L2_bytes - L2_packets * 38).

VPN

Zasebno, vrijedi razmotriti slučaj pristupa korisnika mreži eksplicitnim uspostavljanjem veze s pristupnim poslužiteljem. Klasičan primjer je dobro staro dial-up, čiji su analog u modernom svijetu VPN usluge daljinskog pristupa (PPTP, PPPoE, L2TP, OpenVPN, IPSEC)


Pristupni uređaj ne samo da usmjerava IP promet korisnika, već djeluje i kao namjenski VPN poslužitelj i završava logičke tunele (često šifrirane) unutar kojih se prenosi korisnički promet.
Da biste uračunali takav promet, možete koristiti sve gore opisane alate (i oni su vrlo prikladni za dubinsku analizu prema portu/protokolu), kao i dodatne mehanizme koji pružaju alate za kontrolu pristupa VPN-u. Prije svega, fokusirat ćemo se na RADIUS protokol. Njegov rad je prilično složena tema. Ukratko napominjemo da kontrolu (autorizaciju) pristupa VPN poslužitelju (RADIUS klijent) kontrolira posebna aplikacija (RADIUS poslužitelj) koja ima bazu podataka (tekstualna datoteka, SQL, Active Directory) valjanih korisnika s njihovim atributima (ograničenjem). o brzinama veze, dodijeljenim IP adresama). Osim procesa autorizacije, klijent povremeno šalje računovodstvene poruke poslužitelju, informacije o statusu svake trenutne pokrenute VPN sesije, uključujući brojače prenesenih bajtova i paketa.

Zaključak

Sumirajmo sve gore navedene metode prikupljanja prometnih informacija zajedno:

Hajdemo malo sumirati. U praksi postoji veliki broj metoda za povezivanje mreže kojom upravljate (s klijentima ili uredskim pretplatnicima) na vanjsku mrežnu infrastrukturu, korištenjem brojnih pristupnih sredstava – softverskih i hardverskih usmjerivača, switcheva, VPN poslužitelja. Međutim, u gotovo svakom slučaju možete smisliti shemu kada se informacije o prometu koji se prenosi preko mreže mogu poslati softverskom ili hardverskom alatu za njegovu analizu i kontrolu. Također je moguće da će ovaj alat omogućiti povratne informacije pristupnom uređaju pomoću inteligentnih algoritama za ograničavanje pristupa za pojedinačne klijente, protokole i druge.
Ovim je završena analiza materijala. Od neodgovorenih tema ostale su:

• kako i kamo idu prikupljeni prometni podaci
• softver za računovodstvo prometa
• koja je razlika između naplate i jednostavne "brojaonice"
• kako možete nametnuti ograničenja prometa
• obračunavanje i ograničavanje posjećenih web stranica

Pregledano: 3498

Svaki administrator prije ili kasnije dobije upute od uprave: "izračunaj tko ide na internet i koliko preuzima". Za pružatelje ga nadopunjuju zadaci "pusti koga treba, uzmi plaćanje, ograniči pristup". Što računati? Kako? Gdje? Ima dosta fragmentarnih informacija, nisu strukturirane. Sačuvajmo administratora početnika od zamornih pretraživanja, pružajući mu opće znanje i korisne veze na materijal.
U ovom članku pokušat ću opisati principe organizacije prikupljanja, računovodstva i kontrole prometa u mreži. Razmotrit ćemo problematiku problema i navesti moguće načine dohvaćanja informacija s mrežnih uređaja.

Ovo je prvi teorijski članak u nizu članaka posvećenih prikupljanju, računovodstvu, upravljanju i naplati prometa i IT resursa.

Struktura pristupa internetu

Općenito, struktura pristupa mreži je sljedeća:

• Vanjski resursi - Internet, sa svim stranicama, poslužiteljima, adresama i ostalim stvarima koje ne pripadaju mreži koju kontrolirate.


• Pristupni uređaj je usmjerivač (bazirani na hardveru ili računalu), prekidač, VPN poslužitelj ili čvorište.


• Interni resursi - skup računala, podmreža, pretplatnika čiji se rad u mreži mora uzeti u obzir ili kontrolirati.


• Kontrolni ili računovodstveni poslužitelj je uređaj na kojem radi specijalizirani softver. Može se funkcionalno kombinirati sa softverskim usmjerivačem.

U ovoj strukturi, mrežni promet prolazi s vanjskih resursa na interne resurse i natrag kroz pristupni uređaj. Šalje informacije o prometu poslužitelju za upravljanje. Kontrolni poslužitelj obrađuje te podatke, pohranjuje ih u bazu podataka, prikazuje, izdaje naredbe za blokiranje. Međutim, nisu sve kombinacije pristupnih uređaja (metoda) i metoda prikupljanja i kontrole kompatibilne. Različite opcije bit će razmotrene u nastavku.

Mrežni promet

Prvo morate odrediti što se podrazumijeva pod "mrežnim prometom" i koje se korisne statističke informacije mogu izdvojiti iz toka korisničkih podataka.
Dominantni protokol međupovezivanja ostaje do sada. IP je sloj 3 (L3). Informacije (podaci) između pošiljatelja i primatelja pakiraju se u pakete - sa zaglavljem i "korisnim opterećenjem". Zaglavlje određuje odakle paket dolazi i gdje (izvorna i odredišna IP adresa), veličinu paketa i vrstu tereta. Najveći dio mrežnog prometa sastoji se od UDP i TCP paketa tereta – to su protokoli Layer 4 (L4). Osim adresa, zaglavlje ova dva protokola sadrži brojeve portova koji određuju vrstu usluge (aplikacije) koja prenosi podatke.

Za prijenos IP paketa preko žica (ili radija), mrežni uređaji su prisiljeni da ga "umotaju" (inkapsuliraju) u paket protokola Layer 2 (L2). Najčešći protokol ove vrste je. Stvarni prijenos "na žicu" je na 1. razini. Obično pristupni uređaj (usmjerivač) ne analizira zaglavlja paketa na razini većoj od 4. (osim za pametne vatrozide).
Informacije iz polja adresa, portova, protokola i brojača duljine iz L3 i L4 zaglavlja paketa podataka čine "izvorni materijal" koji se koristi u računovodstvu i upravljanju prometom. Stvarna količina prenesenih informacija nalazi se u polju Duljina IP zaglavlja (uključujući duljinu samog zaglavlja). Inače, zbog fragmentacije paketa zbog mehanizma, ukupna količina prenesenih podataka uvijek je veća od veličine korisnog opterećenja.

Ukupna duljina IP i TCP/UDP polja paketa koji nas zanima u ovom kontekstu je 2 ... 10% ukupne duljine paketa. Ako sve ove informacije obrađujete i pohranjujete u serijama, neće biti dovoljno resursa. Srećom, velika većina prometa strukturirana je na način da se sastoji od skupa "razgovora" između vanjskih i internih mrežnih uređaja, tzv. "protoka". Na primjer, kao dio jedne operacije prosljeđivanja e-pošte (SMTP protokol), otvara se TCP sesija između klijenta i poslužitelja. Karakterizira ga konstantan skup parametara (Izvorni IP, izvorni TCP port, odredišni TCP port, odredišni TCP port)... Umjesto obrade i pohranjivanja informacija po paketu, puno je praktičnije pohraniti parametre protoka (adrese i portove), kao i dodatne informacije - broj i zbroj duljina odaslanih paketa u svakom smjeru, opcionalno trajanje sesije, sučelje usmjerivača. indeksi, vrijednost polja ToS i tako dalje. Ovaj pristup je koristan za protokole orijentirane na vezu (TCP), gdje možete eksplicitno presresti kada sesija završi. Međutim, čak i za protokole koji nisu orijentirani na sesiju, moguće je izvesti agregaciju i logički završetak snimanja toka, na primjer, timeout. U nastavku je izvadak iz SQL baze podataka koja bilježi informacije o prometu:

Treba istaknuti slučaj kada pristupni uređaj obavlja prijevod adrese (maskiranje) za organiziranje pristupa Internetu za računala u lokalnoj mreži koristeći jednu vanjsku javnu IP adresu. U ovom slučaju, poseban mehanizam zamjenjuje IP adrese i TCP / UDP portove prometnih paketa, zamjenjujući interne (koje se ne usmjeravaju na Internetu) adrese prema svojoj dinamičkoj tablici prijevoda. U takvoj konfiguraciji treba imati na umu da za ispravno obračunavanje podataka o internim hostovima mreže statistiku treba uzeti na način i na mjestu gdje rezultat prijevoda još ne "depersonalizira" interne adrese.

Metode za prikupljanje informacija o prometu / statistici

Možete snimiti i obraditi informacije o propuštanju prometa izravno na samom pristupnom uređaju (PC-usmjerivač, VPN-poslužitelj), s ovog uređaja prenoseći ih na zasebni poslužitelj (NetFlow, SNMP) ili "iz žice" (tap, SPAN ). Analizirajmo sve opcije po redu.

PC usmjerivač

Razmotrimo najjednostavniji slučaj - pristupni uređaj (usmjerivač) koji se temelji na računalu s Linuxom.

Kako postaviti takav poslužitelj, prijevod adrese i usmjeravanje,. Zanima nas sljedeći logičan korak – informacija o tome kako doći do informacija o prometu koji prolazi kroz takav poslužitelj. Postoje tri uobičajena načina:

• presretanje (kopiranje) paketa koji prolaze kroz mrežnu karticu poslužitelja pomoću biblioteke


• presretanje paketa koji prolaze kroz ugrađeni vatrozid


• korištenje alata treće strane za pretvaranje statistike po paketu (dobivene jednom od dvije prethodne metode) u tok agregiranih informacija mrežnog toka

Libpcap

U prvom slučaju, kopiju paketa koji prolazi kroz sučelje, nakon prolaska filtra (), može zatražiti klijentski program na poslužitelju napisan pomoću ove biblioteke. Paket dolazi sa zaglavljem Layer 2 (Ethernet). Moguće je ograničiti duljinu snimljenih informacija (ako nas zanimaju samo podaci iz zaglavlja). Primjeri takvih programa mogu biti i. Postoji implementacija. U slučaju korištenja prijevoda adresa na PC usmjerivaču, takvo presretanje se može izvesti samo na njegovom internom sučelju povezanom s lokalnim korisnicima. Na vanjskom sučelju, nakon prijevoda, IP paketi ne sadrže informacije o internim hostovima mreže. Međutim, ovom metodom nemoguće je uzeti u obzir promet koji generira sam poslužitelj na Internetu (što je važno ako na njemu radi web ili mail servis).

Libpcap zahtijeva podršku operativnog sustava, koja se trenutno svodi na instalaciju jedne biblioteke. U tom slučaju, aplikacijski (korisnički) program koji prikuplja pakete mora:

• otvorite potrebno sučelje


• navedite filter kroz koji će proći primljeni paketi, veličinu uhvaćenog dijela (snaplen), veličinu međuspremnika,


• postavite promisc parametar, koji mrežno sučelje prebacuje na način hvatanja svih paketa koji prolaze općenito, a ne samo onih adresiranih na MAC adresu ovog sučelja


• postaviti funkciju (povratni poziv) pozvanu za svaki primljeni paket.

Kada se paket prenosi kroz odabrano sučelje, nakon prolaska filtra, ova funkcija prima međuspremnik koji sadrži Ethernet, (VLAN), IP itd. zaglavlja do snaplena. Budući da biblioteka libcap kopira pakete, nije moguće blokirati njihov prolaz kroz nju. U tom slučaju, program za prikupljanje i obradu prometa morat će koristiti alternativne metode, na primjer, pozivanje skripte za postavljanje navedene IP adrese u pravilo blokiranja prometa.

Vatrozid

Snimanje podataka koji prolaze kroz vatrozid omogućuje vam da uzmete u obzir i promet samog poslužitelja i promet korisnika mreže, čak i kada se izvodi prijevod adresa. Glavna stvar u ovom slučaju je ispravno formulirati pravilo hvatanja i staviti ga na pravo mjesto. Ovo pravilo aktivira prijenos paketa prema biblioteci sustava, odakle ga aplikacija za obračun i kontrolu prometa može primiti. Za Linux OS, iptables se koristi kao vatrozid, a alati za presretanje su ipq, ili. Za FreeBSD OC - ipfw s pravilima tipa. U svakom slučaju, mehanizam vatrozida nadopunjen je mogućnošću rada s korisničkim programom na sljedeći način:

• Korisnički program - rukovalac prometa se registrira u sustavu koristeći sistemski poziv ili knjižnicu.


• Korisnički program ili vanjska skripta postavlja pravilo na vatrozid, omatajući odabrani promet (prema pravilu) unutar rukovatelja.


• Za svaki prolazni paket rukovatelj prima njegov sadržaj u obliku memorijskog međuspremnika (s IP zaglavljima itd. Nakon obrade (obračunavanja), program također mora reći kernelu operativnog sustava što dalje učiniti s takvim paketom – odbaciti ili ga prenesite dalje.proslijedite modificirani paket u kernel.

Budući da se IP paket ne kopira, već šalje softveru na analizu, postaje moguće "baciti" ga, a time i potpuno ili djelomično ograničiti promet određene vrste (na primjer, odabranom pretplatniku lokalnog mreža). Međutim, ako aplikacija prestane odgovarati kernelu o svojoj odluci (na primjer, visi), promet kroz poslužitelj je jednostavno blokiran.
Valja napomenuti da opisani mehanizmi, uz značajne količine prenesenog prometa, stvaraju prekomjerno opterećenje poslužitelja, što je povezano sa stalnim kopiranjem podataka iz kernela u korisnički program. Metoda prikupljanja statistike na razini jezgre OS-a, uz izdavanje agregirane statistike prema protokolu aplikacijskom programu, lišena je ovog nedostatka.

Netflow

Ovaj protokol razvio je Cisco Systems za izvoz informacija o prometu s usmjerivača za obračun i analizu prometa. Najpopularniji sada primatelju pruža strukturirani tok podataka u obliku UDP paketa koji sadrže informacije o proslijeđenom prometu u obliku takozvanih zapisa toka:

Količina informacija o prometu je nekoliko redova veličine manja od samog prometa, što je posebno važno u velikim i distribuiranim mrežama. Naravno, nemoguće je blokirati prijenos informacija prilikom prikupljanja statistike o mrežnom toku (osim ako se ne koriste dodatni mehanizmi).
Trenutno, daljnji razvoj ovog protokola postaje popularan - verzija 9, temeljena na strukturi predloška zapisa toka, implementacija za uređaje drugih proizvođača (). Nedavno je usvojen IPFIX standard koji omogućuje prijenos statistike preko protokola dubljih slojeva (na primjer, prema vrsti aplikacije).
Implementacija netflow izvora (agenti, sonda) dostupna je za PC usmjerivače, kako u obliku uslužnih programa koji rade prema gore opisanim mehanizmima (flowprobe,), tako i izravno ugrađenih u jezgru OS-a (FreeBSD:, Linux:). Za softverske usmjerivače, tok statistike mrežnog toka može se primati i obraditi lokalno na samom usmjerivaču, ili poslati preko mreže (protokol prijenosa - preko UDP-a) na uređaj za primanje (kolektor).


Program za prikupljanje može prikupljati informacije iz više izvora odjednom, a može razlikovati njihov promet čak i s preklapajućim adresnim prostorima. Uz pomoć dodatnih alata, kao što je također moguće izvršiti dodatnu agregaciju podataka, split streamove ili konverziju protokola, što je važno kod upravljanja velikom i distribuiranom mrežom s desecima usmjerivača.

Funkcije netflow izvoza podržavaju Cisco Systems, Mikrotik i nekoliko drugih. Sličnu funkcionalnost (s drugim izvoznim protokolima) podržavaju svi veći proizvođači mrežne opreme.

Libpcap u "vani"

Zakomplicirajmo malo zadatak. Što ako je vaš pristupni uređaj hardverski usmjerivač treće strane? Na primjer, D-Link, ASUS, Trendnet itd. Najvjerojatnije je nemoguće na njega instalirati dodatni softver za dohvaćanje podataka. Alternativno, imate pametni pristupni uređaj, ali ga nije moguće konfigurirati (nema prava ili ga kontrolira vaš davatelj). U tom slučaju moguće je prikupljati prometne informacije izravno na sučelju pristupnog uređaja s internom mrežom, koristeći "hardverska" sredstva za kopiranje paketa. U tom slučaju će vam svakako trebati samostalni poslužitelj s namjenskom mrežnom karticom za primanje kopija Ethernet paketa.
Poslužitelj mora koristiti mehanizam za prikupljanje paketa gore opisanom metodom libpcap, a naš je zadatak poslati tok podataka na ulaz namjenske mrežne kartice koja je identična onoj koja napušta pristupni poslužitelj. Da biste to učinili, možete koristiti:

• Ethernet – čvorište: uređaj koji jednostavno prosljeđuje pakete između svih svojih portova neselektivno. U modernim stvarnostima, može se naći negdje u prašnjavom skladištu i ne preporučuje se korištenje ove metode: nepouzdana, mala brzina (nema čvorišta na 1 Gbit / s)


• Ethernet je prekidač s mogućnošću preslikavanja (zrcaljenja,. Moderni inteligentni (i skupi) prekidači dopuštaju kopiranje na određeni port cjelokupnog prometa (dolaznog, odlaznog, oba) drugog fizičkog sučelja, VLAN-a, uključujući daljinski (RSPAN)


• Hardver, koji može zahtijevati instalaciju za prikupljanje dvije mrežne kartice umjesto jedne - i to je dodatak glavnom sustavu.

Naravno, možete konfigurirati SPAN port na samom pristupnom uređaju (usmjerivaču), ako to dopušta - Cisco Catalyst 6500, Cisco ASA. Evo primjera takve konfiguracije za Cisco switch:
monitor session 1 izvorni vlan 100! gdje dobivamo pakete
nadzor sesije 1 odredišno sučelje Gi6 / 3! gdje izdajemo pakete

SNMP

Što ako nema rutera pod našom kontrolom, nema želje za komunikacijom s netflowom, ne zanimaju nas detalji prometa naših korisnika. Oni su jednostavno povezani s mrežom putem upravljanog prekidača, a mi samo trebamo otprilike procijeniti količinu prometa koji ide na svaki od njegovih priključaka. Kao što znate, daljinski upravljani mrežni uređaji podržavaju i mogu prikazati broj paketa (bajtova) koji prolaze kroz mrežna sučelja. Bilo bi ispravno koristiti standardizirani protokol daljinskog upravljanja za njihovo ispitivanje. Koristeći ga, lako možete dobiti ne samo vrijednosti navedenih brojača, već i druge parametre, kao što su naziv i opis sučelja, MAC adrese vidljive kroz njega i druge korisne informacije. To se može učiniti pomoću uslužnih programa naredbenog retka (), grafičkih SNMP preglednika i sofisticiranijih programa za praćenje mreže ( itd.). Međutim, ova metoda ima dva značajna nedostatka:

• promet se može blokirati samo potpunim onemogućavanjem sučelja, koristeći isti SNMP


• SNMP brojači prometa odnose se na zbroj duljina Ethernet paketa (unicast, broadcast i multicast zasebno), dok ostatak prethodno opisanih sredstava daje vrijednosti u odnosu na IP pakete. To stvara zamjetnu neusklađenost (osobito za kratke pakete) zbog opterećenja uzrokovanog duljinom Ethernet zaglavlja (međutim, to se može grubo riješiti: L3_bytes = L2_bytes - L2_packets * 38).

VPN

Zasebno, vrijedi razmotriti slučaj pristupa korisnika mreži eksplicitnim uspostavljanjem veze s pristupnim poslužiteljem. Klasičan primjer je dobro staro dial-up, čiji je analog u modernom svijetu udaljeni pristup (PPTP, PPPoE, L2TP, OpenVPN, IPSEC)


Pristupni uređaj ne samo da usmjerava IP promet korisnika, već djeluje i kao namjenski VPN poslužitelj i završava logičke tunele (često šifrirane) unutar kojih se prenosi korisnički promet.
Da biste uračunali takav promet, možete koristiti sve gore opisane alate (i oni su vrlo prikladni za dubinsku analizu prema portu/protokolu), kao i dodatne mehanizme koji pružaju alate za kontrolu pristupa VPN-u. Prije svega, usredotočit ćemo se na protokol. Njegov rad je prilično složena tema. Ukratko napominjemo da kontrolu (autorizaciju) pristupa VPN poslužitelju (RADIUS klijent) kontrolira posebna aplikacija (RADIUS poslužitelj) koja ima bazu podataka (tekstualna datoteka, SQL, Active Directory) valjanih korisnika s njihovim atributima (ograničenjem). o brzinama veze, dodijeljenim IP adresama). Osim procesa autorizacije, klijent povremeno šalje računovodstvene poruke poslužitelju, informacije o statusu svake trenutne pokrenute VPN sesije, uključujući brojače prenesenih bajtova i paketa.

Zaključak

Sumirajmo sve gore navedene metode prikupljanja prometnih informacija zajedno:

Hajdemo malo sumirati. U praksi postoji veliki broj metoda za povezivanje mreže kojom upravljate (s klijentima ili uredskim pretplatnicima) na vanjsku mrežnu infrastrukturu, korištenjem brojnih pristupnih sredstava – softverskih i hardverskih usmjerivača, switcheva, VPN poslužitelja. Međutim, u gotovo svakom slučaju možete smisliti shemu kada se informacije o prometu koji se prenosi preko mreže mogu poslati softverskom ili hardverskom alatu za njegovu analizu i kontrolu. Također je moguće da će ovaj alat omogućiti povratne informacije pristupnom uređaju pomoću inteligentnih algoritama za ograničavanje pristupa za pojedinačne klijente, protokole i druge.
Ovim je završena analiza materijala. Od neodgovorenih tema ostale su:

• kako i kamo idu prikupljeni prometni podaci


• softver za računovodstvo prometa


• koja je razlika između naplate i jednostavnog "brojanja"


• kako možete nametnuti ograničenja prometa


• obračunavanje i ograničavanje posjećenih web stranica

svibanj
2017

Publikacije

Principi usmjeravanja i transformacije IP prometa u VPN mreži kreiranoj korištenjem ViPNet tehnologije

U publikaciji se razmatraju osnovni principi usmjeravanja i pretvorbe prometa u ViPNet virtualnoj mreži, koji osiguravaju interakciju ViPNet čvorova na različite načine povezivanja s telekomunikacijskim mrežama.

Publikacija je namijenjena tehničkim stručnjacima koji trebaju razumjeti specifičnosti ViPNet mreže. Na primjer, u slučajevima kada trebate procijeniti izvedivost njegove provedbe ili planirati njegovu implementaciju.

Da biste pročitali ovaj članak, morate imati osnovno razumijevanje IP mreža i vatrozida.

Uvod

Mnogi VPN sustavi prvenstveno su dizajnirani za sigurno povezivanje lokalnih mreža putem Interneta i pružanje sigurnog udaljenog pristupa resursima. Ako uz ove zadaće postoji i zadatak organiziranja zaštite prometa izravno između čvorova, bez obzira na njihovu lokaciju, uključujući unutar lokalne mreže, prema Peer-to-Peer shemi, tada je korištenje takvih sustava vrlo teško. ViPNet tehnologija olakšava rješavanje problema VPN povezanosti čvorova u bilo kojoj topologiji.

Jedna od povoljnih razlika između ViPNet tehnologije i klasičnih VPN sustava je nepostojanje bilo kakvih procedura za sinkronizaciju i generiranje ključeva tijekom sigurne razmjene informacija između ViPNet čvorova. Ovo svojstvo značajno poboljšava stabilnost sustava i osigurava visoku pouzdanost različitih mrežnih usluga.

1.1 Komponente virtualne mreže ViPNet

Virtualna mreža se gradi korištenjem ViPNet komponenti za različite operacijske sustave, ViPNet hardverskih i softverskih sustava, kao i gotovih virtualnih strojeva za različita virtualna okruženja. U virtualnu mrežu mogu se uključiti i mobilni uređaji na iOS, Android i drugim OS platformama na kojima su instalirane ViPNet Client aplikacije razvijene za te platforme.

Računala i mobilni uređaji sa softverom ViPNet Client u daljnjem tekstu se nazivaju Klijenti. Klijenti pružaju mrežnu zaštitu i omogućuju pojedinim računalima i uređajima da se pridruže VPN-u.

Računala sa softverom ViPNet Coordinator za Windows i Linux, ViPNet hardverski i softverski sustavi za velike i male mreže, industrijski sigurnosni pristupnici različitih kapaciteta, ViPNet koordinatori na virtualnim strojevima u daljnjem tekstu se nazivaju Koordinatori. Koordinatori različitih sigurnosnih klasa osiguravaju enkripciju prometa mrežnih resursa koje oni tuneliraju (poput VPN pristupnika), releju VPN promet između drugih VPN čvorova, obavljaju uslužne funkcije za održavanje povezanosti zaštićene mreže i optimiziraju rute VPN prometa između čvorova.

Klijenti i koordinatori nazivaju se ViPNet virtualni mrežni čvorovi ili jednostavno ViPNet čvorovi. Administrator određuje mogućnost razmjene prometa sigurnim kanalima između ViPNet čvorova (veze između čvorova).

1.2 Funkcije koordinatora

Koordinatori se u pravilu postavljaju na granici mreža i obavljaju sljedeće funkcije:

VPN gateway je standard za klasičnu VPN funkciju koja implementira stvaranje sigurnih kanala (tunela) site-to-site i client-to-site između lokalnih i udaljenih stranica. Koordinator može stvoriti takav kanal kroz kaskadu drugih koordinatora koji obavljaju funkciju usmjeravanja VPN paketa.

Vatrozid je funkcija filtriranja za otvorene, sigurne i tunelirane tranzitne i lokalne mrežne veze, kao i funkcija prijevoda adresa za otvorene i tunelirane veze.

Poslužitelj IP adresa je funkcija automatske razmjene ažuriranih informacija o topologiji mreže između ViPNet čvorova kako unutar zadane virtualne mreže tako i pri interakciji s čvorovima drugih ViPNet virtualnih mreža. Razmjena informacija provodi se pomoću posebnog sigurnog protokola za dinamičko usmjeravanje VPN prometa (vidi "Protokol dinamičkog usmjeravanja"). Rezultat ovog protokola je mogućnost usmjeravanja VPN prometa između čvorova u ViPNet mreži duž rute koja je optimalna za korištenu metodu i gdje je čvor spojen na mrežu.

VPN usmjerivač paketa je funkcija koja omogućuje usmjeravanje VPN tranzitnog prometa koji prolazi kroz koordinatora do drugih ViPNet čvorova. Usmjeravanje se provodi na temelju identifikatora zaštićenih čvorova koji se prenose u otvorenom dijelu VPN paketa i imitacijom su zaštićeni od krivotvorenja, a na temelju podataka dobivenih kao rezultat dinamičkog protokola usmjeravanja VPN prometa. Svaki VPN promet koji usmjeri koordinator šalje se sljedećem ili konačnom ViPNet čvoru na IP adresu i port na kojem je taj čvor dostupan. Izvorna IP adresa paketa zamjenjuje se adresom sučelja koordinatora s kojeg je paket otišao. Kada djeluje kao usmjerivač za VPN pakete, koordinator nema pristup kriptiranim podacima drugih čvorova, već ih samo prenosi.

Ako se klijent ili koordinator spoje na Internet putem uređaja s dinamičkim NAT-om, tada nisu izravno dostupni za dolazne proaktivne veze s drugih hostova. U tom slučaju, za organiziranje pristupa resursima korporativne mreže iza ovog koordinatora ili za povezivanje s takvim klijentom s udaljenih čvorova, jedan od koordinatora u vanjskoj mreži im je definiran kao poslužitelj veze s kojim održavaju stalnu komunikaciju . Zbog funkcionalnosti VPN usmjerivača paketa, poslužitelj veze služi kao međuveza za uspostavljanje komunikacije s takvim čvorom iz vanjske mreže (s mogućnošću naknadnog prijelaza na izravnu komunikaciju, za više detalja pogledajte "Povezivanje dvaju čvorova koji se povezuju na Internet putem uređaja s dinamičkim NAT-om").

Connection Server se automatski postavlja u postavkama klijenta kada se implementiraju i može se promijeniti kasnije. Za koordinatora, ako je potrebno, poslužitelj veze može se postaviti u njegovim postavkama.

Transportni poslužitelj je funkcija koja osigurava isporuku ključnih ažuriranja, informacija pomoći, politika, ažuriranja ViPNet softvera iz ViPNet programa za upravljanje mrežom na zaštićene stranice, kao i usmjeravanje mail omotnica ViPNet aplikacija (na primjer, ViPNet Business Mail, File Exchange) .

Prema zadanim postavkama, poslužitelj IP adresa je poslužitelj veze za klijenta. Ako je potrebno, poslužitelj veze može dodijeliti drugog koordinatora.

2. Opći principi interakcije ViPNet čvorova u virtualnoj mreži

ViPNet čvorovi mogu se nalaziti u mrežama bilo koje vrste koje podržavaju IP protokol. Način povezivanja čvora na mrežu može biti bilo koji: Ethernet, PPPoE putem XDSL veze, PPP putem Dial-up ili ISDN veze, bilo koja mobilna mreža, Wi-Fi uređaji, MPLS ili VLAN mreže i drugi.

2.1 Protokol dinamičkog usmjeravanja

Dva čvora u ViPNet mreži mogu međusobno komunicirati ako je administrator postavio veze između njih u kontrolnoj aplikaciji (ViPNet Administrator). Da biste pristupili udaljenim tuneliranim čvorovima, morate postaviti vezu s koordinatorom koji ih tunelira. Uspostavljanje veze između dva čvora znači da dva čvora imaju potrebne ključne informacije za uspostavljanje sigurne VPN veze između njih.

Svaki klijent ima svog “vlastitog” koordinatora - svog poslužitelja IP adrese, poslužitelja veze i transportnog poslužitelja (pogledajte “Funkcije koordinatora”. Ako je potrebno, možete konfigurirati ove funkcije da ih obavljaju različiti koordinatori).

Stalna dostupnost ViPNet čvorova međusobno je osigurana dinamičkim protokolom usmjeravanja VPN prometa koji djeluje na aplikacijskoj razini OS-a. Razmjena uslužnih podataka u okviru ovog protokola odvija se preko istih VPN veza i time je zaštićena.

Rad protokola za dinamičko usmjeravanje je automatski prijenos između čvorova ViPNet mreže ažuriranih informacija o mogućim načinima međusobnog pristupa, kao i popisa njihovih stvarnih IP adresa. Protokol distribuira ove informacije ne samo unutar svoje ViPNet mreže, već i između čvorova različitih ViPNet mreža (ako su se administratori dviju mreža dogovorili i razmijenili relevantne informacije o vezama između čvorova dviju mreža radi sigurne interakcije u skladu s njihove zadaće).

Ključnu ulogu u radu protokola imaju koordinatori koji svim čvorovima mreže pružaju potrebne informacije za organizaciju komunikacije. Djelujući kao poslužitelj IP-adresa, koordinatori prikupljaju informacije o trenutnim metodama pristupa "svojim" klijentima. Nadalje, poslužitelji IP adresa te informacije prenose čvorovima povezanim sa svojim klijentima, izravno ili putem nekog lanca drugih koordinatora.

Kako bi se osigurao siguran prijenos prometa u skladu sa zadaćama razmjene informacija (u daljnjem tekstu: ciljni promet), potrebno je postaviti veze između čvorova koji osiguravaju zaštitu tog prometa (klijenti i koordinatori tuneliranja), te postaviti klijentske veze sa "njihovim" koordinatorima, koji se u većini slučajeva kreiraju automatski...

Kako bi se osigurao siguran prijenos prometa dinamičkog protokola usmjeravanja (u daljnjem tekstu uslužni promet), također je potrebno definirati veze između koordinatora duž kojih se lanca prenose informacije o pristupu čvorovima. U manjim mrežama, radi jednostavnosti, možete udružiti koordinatore po principu “svi-svi”. Međutim, u velikim mrežama, kako bi se smanjio nadzemni promet, broj veza između koordinatora treba minimizirati i veze treba postaviti na temelju sljedećih mogućnosti usmjeravanja nadzemnog prometa:

Unutar jedne ViPNet mreže informacije se prenose duž lanca u kojem ne postoje više od dva koordinatora. Odnosno, ako su klijenti međusobno povezani, tada moraju biti međusobno povezani i koordinatori koji za te klijente obavljaju funkcije poslužitelja IP adresa.

• Kada dvije različite ViPNet mreže komuniciraju, razmjena uslužnog prometa može se dogoditi u lancu od najviše dva koordinatora u svakoj od mreža. Zbog toga je u svakoj mreži dovoljno odabrati jednog koordinatora (gateway), preko kojeg će se odvijati razmjena s drugom mrežom, te ga povezati s istim koordinatorom u drugoj mreži. I već s tim koordinatorima kontaktiraju se koordinatori svake od mreža, koji moraju prenijeti servisne informacije u drugu mrežu. U ovoj topologiji, Gateway Coordinatori postaju “jedinstvena točka ulaska” u drugu mrežu, što pojednostavljuje i upravljanje i kontrolu umrežavanja. Naravno, ako su koordinatori dviju mreža povezani izravno, a ne preko namjenskih koordinatora pristupnika, tada će se informacije prenositi na kraći način.

Kao rezultat dinamičkog protokola usmjeravanja, svi ViPNet čvorovi imaju informacije o parametrima pristupa drugim čvorovima s kojima su povezani. U svim slučajevima, ciljani promet između čvorova, bez obzira na rutu prometa usluge, ići će najkraćim putem, zaobilazeći koordinatore, ako to dopušta postojeća mrežna infrastruktura (vidi, na primjer: „Povezivanje dvaju čvorova koji se povezuju na internet putem uređaja s dinamičkim NAT").

2.2 Inkapsulacija

ViPNet softver presreće sav mrežni promet klijenta ili koordinatora. Promet namijenjen prijenosu sigurnim kanalom na drugi ViPNet host inkapsuliran je u ViPNet zaštićenim IP paketima. Izvorni IP paketi bilo kojeg protokola su enkapsulirani (tuneliranje na mrežnom sloju).

Kada se bilo koji IP paket pojavi na adresi drugih ViPNet čvorova s ​​kojima postoji veza, paket bez ikakvih protokola preliminarne uspostave veze s čvorom primatelja se šifrira, inkapsulira u ViPNet paket i prenosi preko VPN mreže do primatelja. čvor.

Određene modifikacije koordinatora također podržavaju izgradnju tunela na sloju podatkovne veze (L2 OSI), što vam omogućuje kombiniranje udaljenih segmenata mreže u jednu lokalnu mrežu. U ovom slučaju, Ethernet okviri svih mrežnih protokola, a ne samo IP, su enkapsulirani u zaštićene ViPNet IP pakete (UDP protokol).

Za enkapsulaciju u ViPNet pakete koriste se dvije vrste IP-protokola:

IP / UDP sa zadanim izvornim portom 55777 ili bilo kojim drugim portom koji se automatski registrira kod drugih domaćina.

IP / 241 - koristi se kada čvorovi komuniciraju u istoj lokalnoj mreži.

Za komunikaciju između čvorova u istoj domeni emitiranja automatski se koristi IP / 241, koji ima manje nadopterećenja zbog nepostojanja dodatnih UDP zaglavlja.

IP / 241 protokol se koristi za enkapsuliranje prometa između čvorova u istoj domeni emitiranja

U ostalim slučajevima automatski se koristi UDP, za što je lako organizirati prolaz IP paketa kroz sve vrste vatrozida i uređaja s NAT-om. Prilikom generiranja sigurnih UDP paketa, domaćini postavljaju izvorni port na 55777 (priključak za enkapsulaciju) prema zadanim postavkama, ali u njihovim postavkama možete postaviti proizvoljni port, koji će, zahvaljujući protokolu dinamičkog usmjeravanja, postati poznat drugim domaćinima za organizaciju pristup ovoj luci. Prilikom prolaska NAT uređaja na mreži, izvorni port u paketima može se promijeniti. Informacije o tome također će postati poznate drugim čvorovima za organiziranje prolaska nadolazećeg prometa.

UDP protokol se koristi za kapsuliranje prometa između čvorova odvojenih NAT uređajem

Postoje slučajevi kada je prijenos UDP paketa zabranjen od strane internetskog davatelja, a interakcija zaštićenih čvorova korištenjem UDP protokola je nemoguća. Na primjer, UDP promet može biti zabranjen kada se koriste žarišne točke u hotelima i drugim javnim mjestima.

Čvor automatski detektira takvu zabranu i uspostavlja TCP vezu s poslužiteljem veze (prema zadanim postavkama na portu 80), preko kojeg prenosi generirane UDP pakete. ViPNet promet za druge hostove se preko ove veze prenosi na poslužitelj veze, odakle se dalje prenosi u svom uobičajenom obliku. Kada konfigurirate TCP tunel na poslužitelju veze, možete odrediti bilo koji port na koji će poslužitelj primati TCP pakete.

Ako se UDP promet ne može koristiti, čvor uspostavlja TCP vezu sa svojim poslužiteljem veze i preko njega razmjenjuje UDP promet s drugim ViPNet čvorovima

2.3 Početne postavke zaštićene mreže

Sve informacije potrebne za interakciju aplikacija čvorovi primaju automatski zbog rada protokola dinamičkog usmjeravanja VPN prometa. Početne postavke koje je potrebno napraviti prilikom postavljanja mreže su minimalne:

U Centru za upravljanje mrežom formirajte strukturu mreže - klijente, koordinatore i njihove veze.

Postavite IP adrese ili DNS imena za pristup mrežnim koordinatorima.

Nakon instaliranja softvera, ViPNet klijenti općenito ne zahtijevaju nikakve postavke.

Za svakog koordinatora, ako je potrebno, postavite jedan od nekoliko načina povezivanja na vanjsku mrežu. Zadani način rada ("Sa statičkim prijevodom adrese") u većini slučajeva osigurava njegov rad bez dodatnih postavki. Za više pojedinosti o postavljanju načina povezivanja na koordinatoru pogledajte odjeljak "Opcije povezivanja koordinatora na vanjsku mrežu".

Na vanjskom vatrozidu organizacije, ako je potrebno, konfigurirajte preskakanje odgovarajućeg ViPNet protokola (priključci i adrese UDP i/ili TCP protokola).

Za interakciju s potrebnim čvorovima drugih ViPNet mreža, razmijenite neke početne informacije o usluzi s administratorom druge ViPNet mreže. U budućnosti će se takva razmjena odvijati automatski.

3. Mehanizmi povezivanja u ViPNet mreži

3.1 Određivanje međusobnog rasporeda čvorova

Čvorovi različito uspostavljaju veze, ovisno o tome kako su međusobno pozicionirani:

Nalaze se u istoj domeni emitiranja.

Nalaze se u istoj usmjeranoj mreži, ali u različitim domenama emitiranja, odnosno razdvojeni su uređajima za usmjeravanje (uključujući one sa statičkim prijevodom adresa) i nisu međusobno dostupni putem emitiranja.

Odvojeni NAT uređajima s dinamičkim prijevodom adresa.

Prilikom spajanja na mrežu ili promjene vlastite IP adrese, host obavlja posebno emitiranje i iz odgovora određuje koji su drugi ViPNet domaćini u istoj domeni emitiranja s njim. Ovi domaćini međusobno registriraju IP adrese. Paketi poslani na ove adrese su šifrirani i enkapsulirani u IP / 241 protokol.

Klijenti koriste poslužitelj IP adresa za dohvaćanje informacija o hostovima koji nisu dostupni u njihovoj domeni emitiranja, a poslužitelj veze, koji ima potpune informacije o pristupu drugim hostovima, koristi se za pouzdanu početnu vezu s njima.

3.2. Povezivanje dva hosta koji se povezuju na Internet putem uređaja s dinamičkim NAT-om

Razmotrite organizaciju veza između dva čvora koja se povezuju na Internet putem davatelja usluga koji pruža pristup Internetu u dinamičkom NAT načinu. Na primjer, kupac 1 je u hotelu u Londonu, a kupac 2 je u hotelu u St.

1. Kada je računalo uključeno, ViPNet softver svakog od Klijenta određuje pristupni kanal svom poslužitelju veze pomoću UDP protokola (poslužitelj veze se može dijeliti).

Ako se Klijent 1 ne uspije povezati sa svojim poslužiteljem veze putem UDP-a, tada klijent uspostavlja vezu putem TCP-a (prema zadanim postavkama, port 80, ali možete postaviti bilo koji drugi port).

2. Nakon povezivanja na Connection Server, klijent održava vezu s njim povremeno šaljući testne IP pakete na njega. Zbog toga, Klijent 1 pruža mogućnost drugim čvorovima, uključujući Klijenta 2, da uspostave inicijativnu vezu s njim putem svog poslužitelja veze. Zadani interval za slanje IP paketa na Connection Server je 25 sekundi. To je obično dovoljno za rad na većini NAT uređaja. Interval (timeout) se može promijeniti ako je potrebno.

3. Ako iz neke aplikacije na Klijentu 1 postoji ciljani promet u smjeru Klijenta 2 (npr. VoIP), tada Klijent 1 počinje odašiljati pakete preko svog poslužitelja veze. Poslužitelj veze, zauzvrat, prosljeđuje ove pakete poslužitelju veze klijenta 2, a potonji ih šalje klijentu 2. Povratni promet slijedi istu rutu.

Ako se klijent 1 povezuje sa svojim poslužiteljem veze preko TCP veze, poslužitelj veze izdvaja UDP promet iz TCP veze (koja je još uvijek šifrirana i ne može se dešifrirati na poslužitelju veze). Poslužitelj šalje UDP promet Klijentu 2 preko svog poslužitelja veze. Ako Klijent 2 komunicira sa svojim poslužiteljem veze putem TCP-a, tada će promet koji dolazi do poslužitelja veze Client 2 ići do Klijenta 2 preko ove TCP veze.

Dakle, dva klijenta međusobno komuniciraju putem dva poslužitelja veze. Ako se klijent spoji na poslužitelj veze putem UDP-a, tada se uz povoljnu konfiguraciju mrežnog okruženja poslužitelji veze mogu isključiti iz interakcije, odnosno klijenti izravno idu na poruku. Razmotrite ovaj mehanizam:

1. Paralelno s početkom prijenosa i prijema ciljnog prometa putem UDP protokola preko poslužitelja veze, događa se sljedeće:

Oba klijenta preko poslužitelja veze prenose jedan drugome testni paket s informacijama o parametrima izravnog pristupa sebi s vanjske mreže (adresa i port) primljen od njihovog poslužitelja veze.

• Oba klijenta primaju te pakete jedan od drugog i upoznaju se s mogućnostima mogućeg izravnog pristupa jedan drugome. Osim toga, svaki klijent također posjeduje informacije o pristupu poslužitelju povezivanja drugog klijenta (te informacije dobivaju unaprijed od svojih poslužitelja IP adresa). Koristeći ove podatke, oba klijenta prenose testne IP pakete izravno na adrese i pristupne portove jedni drugima i na poslužitelje veze s druge strane.

1. Ako je testni IP paket barem jedne od strana uspio proći izravno kroz NAT uređaj druge strane, tada se uspostavlja izravna veza između čvorova. Ova izravna veza dostupna je objema stranama 75 sekundi nakon završetka prijenosa ciljanog prometa. Nakon toga rute se odbacuju, a ako je potrebno uspostaviti vezu, čvorovi ponovno počinju odašiljati promet preko svojih poslužitelja veze.

Ne dopuštaju sve vrste NAT-a izravnu vezu (vidi dolje). Izravna veza je moguća ako barem jedna od stranaka za to koristi NAT uređaj.

2. Ako testni izravni IP paketi nisu stigli ni na jednu stranu, ali su stigli do poslužitelja veze s druge strane, tada će ciljani promet između dva klijenta ići kroz jedan od poslužitelja veze. Ova veza je također dostupna za povezivanje čvorova 75 sekundi nakon završetka prijenosa ciljanog prometa. Slična situacija se događa ako se jedan od klijenata poveže na svoj Connection Server preko TCP-a. Ovaj poslužitelj veze ne može se isključiti iz prijenosa prometa, ali se može isključiti drugi poslužitelj veze na koji je njegov čvor povezan putem UDP-a.

3. Ako testni paketi nisu stigli nigdje, tada će promet između dva čvora nastaviti slijediti dugu rutu kroz dva poslužitelja veze.

Početak interakcije klijenta iza NAT uređaja preko poslužitelja povezivanja i prijelaz na izravnu komunikaciju

Postoje četiri vrste dinamičkog NAT-a: konusni NAT, konusni NAT s ograničenom adresom (ili ograničeni konusni NAT), konusni NAT s ograničenim portom, simetrični NAT. Uspostavljanje izravne veze nije podržano samo ako su oba NAT uređaja konfigurirana za izvođenje simetričnog NAT-a. U tom slučaju promet će ići preko jednog od poslužitelja veze. Ako barem jedna strana ima drugačiji tip NAT-a, tada će se uspostaviti izravna veza.

Stoga se s udaljenim hostom uspostavlja ili izravna veza ili veza preko jednog od poslužitelja veze. Ako je moguće, čvorovi uspostavljaju međusobnu interakciju duž najkraćih ruta bez sudjelovanja svojih poslužitelja veze, čime se povećava brzina razmjene šifriranog IP prometa i smanjuje opterećenje koordinatora. Ako klijenti ne mogu uspostaviti kraću vezu, klijenti nastavljaju međusobno komunicirati putem svojih poslužitelja veze.

3.3 Povezivanje čvorova u jednu rutiranu mrežu

Ako su dva klijenta na istoj usmjeranoj mreži ili su razdvojeni uređajima sa statičkim NAT-om, ali nisu dostupni jedan drugome preko emitiranja, oni također šalju prve pakete preko Connection Servera. Nakon toga, prema gore opisanom mehanizmu (pogledajte "Povezivanje dvaju čvorova koji se povezuju na Internet putem uređaja s dinamičkim NAT-om"), takvi čvorovi zajamčeno idu na komunikaciju izravno, bez sudjelovanja poslužitelja veze. Sljedeće veze uspostavljaju dva čvora prema pohranjenim informacijama o usmjeravanju bez izravnog uključivanja poslužitelja veze.

Čvorovi čuvaju podatke o usmjeravanju paketa jedan za drugog, koji neće biti ispušteni čak i ako nema ciljanog prometa. Informacije se brišu samo ako se čvor odspoji i zatim ponovno poveže s mrežom.

3.4 Odabir poslužitelja veze za klijenta koji prelazi u drugu ViPNet mrežu

Korisnik klijenta ili mrežni administrator može izabrati bilo kojeg koordinatora za klijenta kao poslužitelja povezivanja, uključujući i koordinatora u drugoj ViPNet mreži s kojom se uspostavlja interkonekcija. To je potrebno, primjerice, ako se klijent preseli u lokalnu mrežu iz koje je pristup internetu moguć samo preko “stranog” koordinatora koji se nalazi u ovoj lokalnoj mreži (koordinator druge ViPNet mreže). Uvjet za povezivanje putem poslužitelja veze na drugoj mreži je:

prisutnost interkonekcije između mreže klijenta i mreže poslužitelja povezivanja;

povezivanje "stranog" poslužitelja veze s koordinatorom u "vlastitu" mrežu, koji za klijenta ima ulogu poslužitelja IP adresa.

Posao Connection Servera je osigurati veze od klijenta do čvorova na koje je klijent povezan. Da bi to učinio, Connection Server mora imati informacije o mogućim pristupnim putovima do ovih čvorova kako bi osigurao usmjeravanje ciljanog prometa klijenta. Međutim, informacije o parametrima pristupa čvorovima drugih mreža mogu dospjeti u stranu mrežu (mrežu poslužitelja veze) samo ako su ti čvorovi povezani s bilo kojim čvorom ove strane mreže. Češće nego ne, to nije slučaj, a barem neki (a možda i svi) čvorovi na koje je klijent povezan, a kojima klijent možda treba pristupiti, nemaju vezu s ovom mrežom. Ali informacije o pristupu tim čvorovima su u vlasništvu poslužitelja IP adresa klijenta na njegovoj mreži. Poslužitelj IP adrese ga šalje klijentu. Nakon primitka ove informacije, klijent ih prosljeđuje poslužitelju veze na inozemnoj mreži. Kao rezultat toga, Connection Server na stranoj mreži može usmjeriti ciljani promet klijenta na sve čvorove s kojima je povezan. Klijent dobiva pristup svim resursima svoje i drugih zaštićenih mreža s kojima je povezan.

Ako je izvorni poslužitelj povezivanja klijenta dostupan s lokalne mreže na koju se klijent preselio, tada nema potrebe mijenjati poslužitelj veze.

4. Mogućnosti povezivanja koordinatora na vanjsku mrežu

Za koordinatora možete postaviti jedan od nekoliko načina povezivanja u vanjskoj mreži. Izbor načina rada ovisi o tome je li koordinator odvojen od vanjske mreže vatrozidom izvan koordinatora. Mogu se postaviti sljedeći načini rada:

Način povezivanja "Bez korištenja vatrozida".

Način veze "Iza koordinatora", u kojem je drugi koordinator vanjski vatrozid.

Način povezivanja kroz vatrozid "Sa statičkim prijevodom adrese".

Način povezivanja vatrozida "S dinamičkim prijevodom adrese".

Prema zadanim postavkama, koordinatori su postavljeni da rade kroz vatrozid "Sa statičkim prijevodom adrese". Način rada možete promijeniti u upravljačkoj aplikaciji ViPNet Administrator ili izravno na koordinatoru. Ovaj način rada je prilično svestran i može se koristiti u većini slučajeva.

4.1 Povezivanje koordinatora u načinu "Bez korištenja vatrozida".

Ako koordinator ima stalnu IP adresu na Internetu, tada možete izgraditi rutu do njega s bilo koje mreže koja ima pristup internetu. Na takvom koordinatoru možete postaviti način rada "Bez korištenja vatrozida".

U tom slučaju se također može koristiti zadani način rada "Sa statičkim prijevodom adrese". U sljedećim verzijama ViPNeta, način rada "Bez korištenja vatrozida" trebao bi biti isključen iz upotrebe.

4.2 Povezivanje koordinatora preko drugog koordinatora: način rada "Iza koordinatora".

Ako se koordinator A nalazi na granici između unutarnjeg i vanjskog segmenta lokalne mreže, a vanjsku mrežu štiti koordinator B, tada se koordinator A obično postavlja na način rada "Iza koordinatora", birajući koordinatora B kao vanjskog koordinatora. Koordinator B u ovom slučaju obavlja ulogu koordinatora A poslužitelja veze.

Takva instalacija koordinatora u lancu jedan za drugim (kaskadno) omogućuje zaštitu prometa unutarnjih segmenata lokalne mreže kako u vanjskoj petlji lokalne mreže, tako i kada promet napusti nju. Broj koordinatora u lancu nije ograničen. Za jednog koordinatora možete instalirati nekoliko koordinatora i time osigurati pouzdanu izolaciju jedan od drugog i od opće lokalne mreže nekoliko njegovih segmenata. Klijenti se mogu nalaziti bilo gdje na ovoj lokalnoj mreži radi zaštite određenih radnih stanica.

Kaskadni koordinatori

Kada su koordinatori instalirani unutar lokalne mreže iza koordinatora koji stoji na njenoj granici (kaskadni koordinatori), promet iz unutarnjeg segmenta lokalne mreže na udaljene ViPNet čvorove prenosi se na sljedeći način:

ViPNet koordinatori koji štite interne LAN segmente automatski šalju šifrirani promet namijenjen udaljenim zaštićenim resursima koordinatoru na granici segmenta vanjske mreže. Ovaj koordinator šalje zaštićeni promet dalje u skladu s informacijama koje ima o udaljenim čvorovima.

• Udaljeni ViPNet čvorovi šalju promet namijenjen internom segmentu lokalne mreže preko vanjskog koordinatora, koji ga dalje preusmjerava koordinatorima unutar lokalne mreže.

Kaskadno povezivanje koordinatora omogućuje zaštitu prometa unutarnjeg segmenta lokalne mreže tijekom njegovog prolaska kako u vanjskom segmentu lokalne mreže tako iu vanjskoj javnoj mreži. Kaskadno postavljanje također omogućuje VPN prometu da prođe kroz željenu rutu u WAN-u, koji se često koristi za njegovu kontrolu u raznim administrativnim shemama.

Izgradnja sheme s kaskadnim koordinatorima nije ograničena samo na postavljanje koordinatora u načinu rada "Iza koordinatora". Ista shema može se izraditi korištenjem načina koordinatora s dinamičkim NAT-om s postavkom "Sav promet se šalje putem poslužitelja veze". U sljedećim verzijama planira se koristiti samo ovaj način koordinatora za izgradnju vodopada.

4.3 Povezivanje koordinatora kroz vatrozid "Sa statičkim prijevodom adrese"

Ako je vatrozid treće strane s mogućnošću konfiguriranja statičkih pravila za prijevod adresa već instaliran na granici lokalne mreže, tada iza njega možete postaviti koordinatora s privatnim adresama mrežnih sučelja i postaviti način rada vatrozida "Sa statičkom adresom prijevod" na njemu. Svako mrežno sučelje koordinatora može se povezati s određenom mrežom putem zasebnog vatrozida sa statičkim pravilima prevođenja. Preko ovog koordinatora će se osigurati interakcija ostalih ViPNet čvorova i otvorenih čvorova u lokalnoj mreži s čvorovima izvan nje. Vatrozid mora imati konfigurirana pravila prevođenja statičkih adresa:

Prosljeđivanje paketa s vanjske mreže na adresu koordinatora u skladu s portom za enkapsulaciju prometa koji je postavljen na koordinatoru.

• Prosljeđivanje UDP paketa vanjskoj mreži, u kojoj su adresa i port enkapsulacije koordinatora navedeni kao izvor.

Koordinatorski rad u režimu "Sa statičkim prijevodom adresa"

Koordinator u ovom načinu rada uspješno radi čak iu nedostatku pravog vanjskog vatrozida. Stoga je ovaj način rada prema zadanim postavkama postavljen na koordinatorima.

4.1 Način rada vatrozida "S dinamičkim prijevodom adrese"

Ako je koordinator instaliran na granici lokalne mreže koja se povezuje na vanjske mreže putem vatrozida s dinamičkim prijevodom adrese, tada morate postaviti način rada iza vatrozida "S dinamičkim prijevodom adrese".

Budući da koordinator nije dostupan iz vanjske mreže za proaktivne veze, trebao bi mu se dodijeliti kao poslužitelj veze jedan od koordinatora koji je dostupan s vanjske mreže (koji radi u načinu rada "Sa statičkim prijevodom adrese" ili "Bez korištenja vatrozida") . Poslužitelj povezivanja će pružiti mogućnost proaktivnog povezivanja na resurse lokalne mreže iza takvog koordinatora s bilo kojeg drugog čvora (uzimajući u obzir veze u sigurnoj mreži).

Zbog činjenice da je koordinatoru u ovom načinu rada dostupan s vanjske mreže preko svog poslužitelja veze, klijenti i tunelirani resursi u lokalnoj mreži iza njega u potpunosti su dostupni drugim čvorovima - baš kao i iza koordinatora u bilo kojem drugom načinu rada. Rad koordinatora preko poslužitelja veze u ovom načinu rada sličan je radu klijenta iza gore opisanog NAT uređaja i omogućuje vam odlazak na poruku "izravno", bez sudjelovanja poslužitelja veze (za više detalja o rad klijenata putem poslužitelja povezivanja, pogledajte "Povezivanje dvaju uređaja s dinamičkim NAT-om").

Rad koordinatora u načinu "S dinamičkim prijevodom adrese" sličan je radu klijenta iza NAT uređaja: koordinator je zajamčeno dostupan s vanjske mreže putem poslužitelja veze. Radi jednostavnosti, slika ne prikazuje poslužitelj udaljene klijentske veze, koji je također uključen u početno uspostavljanje veze.

Ako u postavkama koordinatora omogućite opciju "Pošalji sav promet preko poslužitelja veze", možete graditi kaskadne sheme slične načinu "Iza koordinatora".

5. Tuneliranje IP prometa otvorenih resursa

Za uključivanje čvorova lokalne mreže u virtualnu mrežu, čiji promet ne mora biti zaštićen u lokalnoj mreži, koordinator obavlja funkciju tunelskog poslužitelja (VPN gateway):

Djeluje kao pristupnik za prijenos IP prometa na ViPNet mrežu, enkapsulirajući i šifrirajući promet otvorenih tuneliranih čvorova.

Omogućuje interakciju tuneliranih čvorova s ​​udaljenim čvorovima za sve IP protokole. U ovom slučaju, nije važno jesu li lokalne adrese čvorova u interakciji dosljedne. Zahvaljujući tehnologiji virtualnih adresa u ViPNet mreži, čvorovi s istim IP adresama mogu komunicirati (vidi "Virtualne adrese u ViPNet mreži"), tako da nije potrebno pregovaranje o adresiranju.

Skriva adresnu strukturu zaštićene lokalne mreže primanjem i prijenosom inkapsuliranog prometa u ime svoje IP adrese.

Za povezivanje otvorenih tuneliranih resursa s bilo kojim udaljenim klijentima, koordinatorima ili tuneliranim čvorovima udaljene lokalne mreže, dostupne su sve gore navedene sheme za povezivanje koordinatora na mrežu. To vam omogućuje korištenje svih prednosti ViPNet virtualne mreže u distribuiranim informacijskim mrežama složene topologije.

Otvoreni čvorovi koje će ovaj koordinator tunelirati mogu se odrediti u postavkama koordinatora ili u kontrolnoj aplikaciji ViPNet Administrator kao zasebne adrese ili rasponi.

6. Virtualne adrese u ViPNet mreži

6.1 Kako funkcioniraju virtualne adrese

ViPNet tehnologija omogućuje interakciju između zaštićenih resursa koji imaju privatne IP adrese bez koordinacije IP adresiranja podmreža. Udaljene strane mogu koristiti iste privatne IP adrese i podmreže zaštićenih resursa.

Da bi se pružila takva mogućnost, na svakom ViPNet čvoru automatski se generiraju virtualne adrese koje se ne preklapaju za sve ostale ViPNet čvorove s kojima je povezan:

Za klijente i koordinatore generira se onoliko virtualnih adresa koliko imaju stvarnih adresa.

Disjunktne virtualne adrese i rasponi generiraju se za pojedinačne adrese ili raspone host adresa koje tuneliraju udaljeni koordinatori.

Svaki čvor generira svoj jedinstveni skup virtualnih adresa za druge čvorove i uređaje koje tuneliraju.

Virtualne adrese hosta ne ovise o njihovim stvarnim adresama i vezane su za jedinstvene ViPNet identifikatore hosta koji su im dodijeljeni u kontrolnoj aplikaciji ViPNet Administrator. Ako se promijeni IP adresa udaljenog ViPNet hosta (što je tipično za mobilna računala, uređaje i računala s konfiguriranom uslugom DHCP-klijenta), njegova virtualna adresa, jednom kreirana na ovom hostu, neće se promijeniti. Ovo svojstvo mogu koristiti aplikacije za sigurnu provjeru autentičnosti hosta po njegovoj virtualnoj adresi.

6.2 Adrese vidljivosti

Svaki ViPNet čvor poznaje popise stvarnih IP adresa svih ViPNet čvorova s ​​kojima je ovaj čvor povezan, kao i popise IP adresa čvorova koje tuneliraju koordinatori. Čvor prima ove adrese na različite načine:

1. Popisi stvarnih adresa drugih klijenata i koordinatora prenose se čvoru u servisnim porukama iz kontrolne aplikacije ViPNet Administrator i zbog rada protokola dinamičkog usmjeravanja ViPNet prometa (vidi "Protokol dinamičkog usmjeravanja").

2. Popisi stvarnih adresa čvorova, tuneliranih od strane udaljenih koordinatora, prenose se čvoru u servisnim porukama iz kontrolne aplikacije ViPNet Administrator.

3. Ako šifrirani promet dolazi s čvora čija stvarna adresa nije prethodno dobivena od ViPNet Administratora ili putem protokola za dinamičko usmjeravanje (stavke 1 i 2), tada čvor registruje IP adresu izvora dešifriranog paketa kao pravu adresu ovog čvora.

Kao što je gore navedeno, jedinstvene virtualne adrese mapiraju se na stvarne adrese. Aplikacije na klijentima, koordinatorima i tuneliranim čvorovima moraju koristiti adresu vidljivosti - stvarnu ili odgovarajuću virtualnu adresu udaljenog čvora za interakciju s resursom na nekom udaljenom čvoru. Koju adresu (stvarnu ili virtualnu) treba koristiti kao adresu vidljivosti određenog čvora na danom čvoru određuje se postavkama na ovom čvoru.

Korisnici i administratori ne moraju brinuti koja se adresa koristi kao adresa vidljivosti i postavljati je u aplikacijama. Aplikacije koje koriste standardne usluge naziva (DNS usluge) ili multimedijske aplikacije koje koriste servisne protokole SCCP, SIP, H.323 i druge (kao što je IP telefon) automatski će dobiti ispravnu IP adresu druge strane. U tijelima paketa ovih protokola aplikacijama se govori o IP adresama resursa koji su im potrebni. Softver ViPNet na klijentima i koordinatorima obrađuje pakete ovih protokola: kada se oni pošalju, on inkapsuliranim paketima dodaje dodatne informacije koje identificiraju ViPNet host kojem data IP adresa pripada. Na primjer, prilikom slanja odgovora na DNS upit, dodaje se informacija koja identificira IP adresu zaštićenog resursa čije je ime zatraženo. Kada primate paket, ove informacije vam omogućuju da zamijenite IP adresu u tijelu ekstrahiranog paketa stvarnom adresom vidljivosti potrebnog resursa (adresa vidljivosti na ovom čvoru). Primljenu adresu aplikacije koriste za organiziranje razgovora s udaljenim korisnikom, za rad s Exchange poštom, pristup po imenu web portalima i drugim resursima u zaštićenom načinu rada.

Prilikom obrade dolaznih dešifriranih paketa s drugih čvorova, adresa izvora zamjenjuje se adresom vidljivosti ovih čvorova na ovom čvoru. Kao rezultat toga, aplikacije na samom hostu ili njegovim tuneliranim hostovima šalju promet odgovora na ispravnu adresu vidljivosti. Takav promet bit će šifriran i proslijeđen odredišnom hostu.

7. Usmjeravanje prometa koordinatora s više mrežnih sučelja

ViPNet koordinator može imati proizvoljan broj fizičkih ili virtualnih sučelja povezanih s različitim podmrežama. Na strani svake podmreže mogu postojati tunelirani otvoreni resursi.

Za povezivanje s resursima koji se nalaze iza udaljenih koordinatora, možete konfigurirati korištenje nekoliko alternativnih komunikacijskih kanala kroz različite podmreže. Da biste to učinili, morate postaviti odgovarajuće pristupne adrese udaljenim koordinatorima u tim podmrežama i, ako je potrebno, postaviti metriku koja određuje prioritet njihove upotrebe.

Aplikacije koje rade na koordinatoru ili resursima koje je on tunelirao šalju svoje pakete na adresu udaljenih zaštićenih resursa na njihovim adresama vidljivosti: stvarne adrese udaljenih čvorova (u pravilu su to privatne IP adrese izdane u onim lokalnim mrežama u kojima se nalaze) ili se odgovarajućim automatski dodjeljuju virtualne adrese. Operativni sustav koordinatora usmjerava promet prema dostupnim rutama za te adrese.

Međutim, nema potrebe konfigurirati rute za sve više udaljenih podmreža s privatnim adresama ili njihovim odgovarajućim virtualnim adresama, što bi bilo posebno teško s obzirom na to da se virtualne adrese dodjeljuju iz iste podmreže. Softverski upravljački program ViPNet samostalno usmjerava promet na traženo sučelje u skladu s rutom navedenom za vanjske pristupne adrese.

Odnosno, na koordinatoru je dovoljno konfigurirati jednu zadanu rutu i druge potrebne rute do vanjskih usmjeranih mreža. Ovo je tipičan skup postavki za standardne usmjerivače.

8. Tuneliranje prometa otvorenih resursa na razini veze (rad koordinatora u načinu rada L2-encryptor L2-encryptor)

HW koordinatori mogu se postaviti na L2 način šifriranja (tehnologija tuneliranja sloja veze L2OverIP). Koordinatori u ovom načinu rada instaliraju se na granicama nekoliko (do 32) udaljene lokalne mreže i kombiniraju ih u jednu lokalnu mrežu. Čvorovi na tim LAN-ovima međusobno djeluju kao da su u istoj domeni emitiranja (bez usmjeravanja, s vidnom linijom do MAC adresa).

Koordinator u načinu L2 enkripcije radi kao virtualni prekidač koji prosljeđuje Ethernet okvire primljene na svom L2 adapteru udaljenim mrežama kroz slične L2 enkriptore na njihovim granicama:

emitiranje (osobito ARP zahtjevi) i multicast okviri - na sve povezane mreže;

Unicast okviri - na određenu mrežu u skladu s akumuliranom tablicom MAC adresa virtualnog prekidača.

Nije bitan protokol više razine (IP ili drugi) prometa koji stiže na L2 adapter.

Koordinator obrađuje Ethernet okvire i ne razlikuje IP pakete. Stoga se ne može koristiti za tuneliranje IP prometa otvorenih resursa (pogledajte Tuneliranje IP prometa otvorenih resursa).

Ethernet okvir snimljen na L2 adapteru najprije se pakira u jednostavan IP paket s odredišnom adresom potrebnog koordinatora. Emitirajući Ethernet okvir dupliciran je u nekoliko IP paketa s odredišnim adresama koordinatora drugih lokalnih mreža. Svaki takav IP paket je šifriran na komunikacijskom ključu s odgovarajućim koordinatorom, enkapsuliran u standardni ViPNet paket i proslijeđen potrebnom koordinatoru putem vanjskog sučelja. Po primitku, izvorni Ethernet okvir se dohvaća i šalje u lokalnu mrežu.

Koordinatori podržavaju VLAN tehnologiju (802.1Q):

Koordinator u načinu L2 kodera može slati označene okvire drugim segmentima uz održavanje označavanja.

Na L2 adapteru koordinatora možete kreirati virtualna VLAN sučelja koja će raditi kroz L2 tunel s čvorovima u udaljenim segmentima, uzimajući u obzir njihovu lokaciju u VLAN-u.

Možete povećati performanse L2 kanala između lokalnih mreža povezivanjem više koordinatora na vanjski prekidač kroz različite portove koristeći tehnologiju EtherChannel. Testovi takvog klastera od tri HW2000 koordinatora pokazali su performanse od 10 Gb/s (povećanje performansi izravno proporcionalno broju koordinatora). Za više pojedinosti pogledajte članak "Zaštita podatkovnog centra pomoću HW klastera ViPNet Coordinator" https://www.anti-malware.ru/analytics/Technology_Analysis/ViPNet_Coordinator_HW.

Zaključak

Razmatrani načini korištenja ViPNet tehnoloških rješenja za organiziranje sigurne veze računala u IP mrežama s netransparentnim adresiranjem zadovoljavaju sve praktične potrebe u ovom području koje se danas javljaju.

Zbog dinamičkog protokola usmjeravanja VPN prometa, konfiguracija ViPNet čvorova od strane korisnika i administratora, čak iu najsloženijim mrežnim konfiguracijama, je minimizirana ili uopće nije potrebna.

Vladimir Ignatov