Построение корпоративной локальной сети на примере сети коммерческого предприятия крупного товаропроизводителя

Размещено на http://www.allbest.ru/

ОСНОВНЫЕ ПОНЯТИЯ

Локальная сеть - компьютерная сеть, покрывающая обычно относительно небольшую территорию или небольшую группу зданий (дом, офис, фирму, институт). Также существуют локальные сети, узлы которых разнесены географически на расстояния более 12 500 км (космические станции и орбитальные центры)

Топология сети - способ описания конфигурации сети, схема расположения и соединения сетевых устройств.

Сетевая топология может быть:

- физической -- описывает реальное расположение и связи между узлами сети.

- логической -- описывает хождение сигнала в рамках физической топологии.

- информационной топологией -- описывает направление потоков информации, передаваемых по сети.

- управления обменом -- это принцип передачи права на пользование сетью.

Коммутатор - устройство, предназначенное для соединения нескольких узлов компьютерной сети в пределах одного сегмента сети. В отличие от концентратора, который распространяет трафик от одного подключенного устройства ко всем остальным, коммутатор передаёт данные только непосредственно получателю, исключение составляет широковещательный трафик всем узлам сети. Это повышает производительность и безопасность сети, избавляя остальные сегменты сети от необходимости (и возможности) обрабатывать данные, которые им не предназначались.

Коммутатор работает на канальном 2 уровне модели OSI, и потому в общем случае может только объединять узлы одной сети по их MAC-адресам.

Модели OSI - абстрактная сетевая модель для коммуникаций и разработки сетевых протоколов. Предлагает взгляд на компьютерную сеть с точки зрения измерений. Каждое измерение обслуживает свою часть процесса взаимодействия. Благодаря такой структуре совместная работа сетевого оборудования и программного обеспечения становится гораздо проще и прозрачнее.

Операционная система - комплекс управляющих и обрабатывающих программ, которые, с одной стороны, выступают как интерфейс между устройствами вычислительной системы и прикладными программами, а с другой -- предназначены для управления устройствами, управления вычислительными процессами, эффективного распределения вычислительных ресурсов между вычислительными процессами и организации надёжных вычислений. Это определение применимо к большинству современных ОС общего назначения.

Сетевой интерфейс - точку соединения между компьютером пользователя и частной или общественной сетью

DHCP-сервер - это сетевой протокол, позволяющий компьютерам автоматически получать IP-адрес и другие параметры, необходимые для работы в сети TCP/IP. Данный протокол работает по модели «клиент-сервер». Для автоматической конфигурации компьютер-клиент на этапе конфигурации сетевого устройства обращается к так называемому серверу DHCP, и получает от него нужные параметры. Сетевой администратор может задать диапазон адресов, распределяемых сервером среди компьютеров. Это позволяет избежать ручной настройки компьютеров сети и уменьшает количество ошибок. Протокол DHCP используется в большинстве крупных (и не очень) сетей TCP/IP. DHCP является расширением протокола BOOTP, использовавшегося ранее для обеспечения бездисковых рабочих станций IP-адресами при их загрузке. DHCP сохраняет обратную совместимость с BOOTP. Стандарт протокола DHCP был принят в октябре 1993 года. Действующая версия протокола (март 1997 года) описана в RFC 2131. Новая версия DHCP, предназначенная для использования в среде IPv6, носит название DHCPv6 и определена в RFC 3315 (июль 2003 года). Протокол DHCP предоставляет три способа распределения IP-адресов:

Ручное распределение. При этом способе сетевой администратор сопоставляет аппаратному адресу (обычно MAC-адресу) каждого клиентского компьютера определённый IP-адрес. Фактически, данный способ распределения адресов отличается от ручной настройки каждого компьютера лишь тем, что сведения об адресах хранятся централизованно (на сервере DHCP), и потому их проще изменять при необходимости.

Автоматическое распределение. При данном способе каждому компьютеру на постоянное использование выделяется свободный IP-адрес из определённого администратором диапазона.

Динамическое распределение. Этот способ аналогичен автоматическому распределению, за исключением того, что адрес выдаётся компьютеру не на постоянное пользование, а на определённый срок. Это называется арендой адреса. По истечении срока аренды IP-адрес вновь считается свободным, и клиент обязан запросить новый (он, впрочем, может оказаться тем же самым).

Помимо IP-адреса, DHCP также может сообщать клиенту дополнительные параметры, необходимые для нормальной работы в сети. Эти параметры называются опциями DHCP. Список стандартных опций можно найти в RFC 2132.

Некоторыми из наиболее часто используемых опций являются:

- IP-адрес маршрутизатора по умолчанию;

- маска подсети;

- адреса серверов DNS;

- имя домена DNS.

Некоторые поставщики программного обеспечения могут определять собственные, дополнительные опции DHCP. Протокол DHCP является клиент-серверным, то есть в его работе участвуют клиент DHCP и сервер DHCP. Передача данных производится при помощи протокола UDP, при этом сервер принимает сообщения от клиентов на порт 67 и отправляет сообщения клиентам на порт 68. Некоторые реализации службы DHCP способны автоматически обновлять записи DNS, соответствующие клиентским компьютерам, при выделении им новых адресов. Это производится при помощи протокола обновления DNS, описанного в RFC 2136.

FIREWALL - комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов на различных уровнях модели OSI в соответствии с заданными правилами.

IPFW - межсетевой экран, который встроен во FreeBSD начиная с версии 2.0. С его помощью можно, например, подсчитывать трафик по любым разумным правилам, основывающимся на данных заголовков пакетов протоколов стека TCP/IP, обрабатывать пакеты внешними программами, прятать за одним компьютером целую сеть.

VLAN - (Virtual Local Area Network) -- виртуальная локальная компьютерная сеть, представляет собой группу хостов с общим набором требований, которые взаимодействуют так, как если бы они были подключены к широковещательному домену, независимо от их физического местонахождения. VLAN имеет те же свойства, что и физическая локальная сеть, но позволяет конечным станциям группироваться вместе, даже если они не находятся в одной физической сети. Такая реорганизация может быть сделана на основе программного обеспечения вместо физического перемещения устройств. На устройствах Cisco, протокол VTP (VLAN Trunking Protocol) предусматривает VLAN-домены для упрощения администрирования. VTP также выполняет «чистку» трафика, направляя VLAN трафик только на те коммутаторы, которые имеют целевые VLAN-порты (функция VTP pruning). Коммутаторы Cisco в основном используют протокол ISL (Inter-Switch Link) для обеспечения совместимости информации. По умолчанию на каждом порту коммутатора имеется сеть VLAN1 или VLAN управления. Сеть управления не может быть удалена, однако могут быть созданы дополнительные сети VLAN и этим альтернативным VLAN могут быть дополнительно назначены порты. Native VLAN -- это параметр каждого порта, который определяет номер VLAN, который получают все непомеченные (untagged) пакеты.

Медиаконвертор - это устройство, преобразующее среду распространения сигнала из одного типа в другой. Чаще всего средой распространения сигнала являются медные провода и оптические кабели. Также средой распространения сигнала называют воздушную среду, хотя она таковой и не является, поскольку воздух не принимает непосредственного участия в распространении сигнала электромагнитных волн высокой частоты.

Мультиплексор - устройство позволяющее, с помощью пучков света с разными длинами волн и дифракционной решетки (фазовой, амплитудной), передавать по одной коммуникационной линии одновременно несколько различных потоков данных.

FreeBSD - свободная Unix-подобная операционная система, потомок AT&T Unix по линии BSD, созданной в университете Беркли. FreeBSD работает на PC-совместимых системах семейства x86, включая Microsoft Xbox, а также на DEC Alpha, Sun UltraSPARC, IA-64, AMD64, PowerPC, NEC PC-98, ARM.

VPN-сеть - логическая сеть, создаваемая поверх другой сети, например, интернет. Несмотря на то, что коммуникации осуществляются по публичным сетям, с использованием небезопасных протоколов, за счёт шифрования создаются закрытые от посторонних каналы обмена информацией. VPN позволяет объединить, например, несколько офисов организации в единую сеть с использованием для связи между ними неподконтрольных каналов.

Web-сервер - это сервер, принимающий HTTP-запросы от клиентов, обычно веб-браузеров, и выдающий им HTTP-ответы, обычно вместе с HTML-страницей, изображением, файлом, медиа-потоком или другими данными. Веб-сервером называют как программное обеспечение, выполняющее функции веб-сервера, так и непосредственно компьютер

MySQL - свободная система управления базами данных (СУБД). MySQL является собственностью компании Oracle Corporation, получившей её вместе с поглощённой Sun Microsystems, осуществляющей разработку и поддержку приложения. Распространяется под GNU General Public License и под собственной коммерческой лицензией, на выбор. Помимо этого разработчики создают функциональность по заказу лицензионных пользователей, именно благодаря такому заказу почти в самых ранних версиях появился механизм репликации.

PhpMyAdmin - веб-приложение с открытым кодом, написанное на языке PHP и представляющее собой веб-интерфейс для администрирования СУБД MySQL. phpMyAdmin позволяет через браузер осуществлять администрирование сервера MySQL, запускать команды SQL и просматривать содержимое таблиц и баз данных. Приложение пользуется большой популярностью у веб-разработчиков, так как позволяет управлять СУБД MySQL без непосредственного ввода SQL команд, предоставляя дружественный интерфейс.

Mail-сервер - это компьютерная программа, которая передаёт сообщения от одного компьютера к другому. Обычно почтовый сервер работает «за кулисами», а пользователи имеют дело с другой программой -- клиентом электронной почты (англ. mail user agent, MUA).

Exim - это агент пересылки сообщений, используемый в операционных системах семейства Unix. Первая версия была написана в 1995 году Филиппом Гейзелом (Philip Hazel) для использования в качестве почтовой системы в Кембриджском Университете. Exim распространяется под лицензией GPL, и каждый может свободно скачать его, использовать и модифицировать.

SNMP - это протокол управления сетями связи на основе архитектуры TCP/IP. На основе концепции TMN в 1980--1990 гг. различными органами стандартизации был выработан ряд протоколов управления сетями передачи данных с различным спектром реализации функций TMN. К одному из типов таких протоколов управления относится SNMP. Также эта технология, призванная обеспечить управление и контроль за устройствами и приложениями в сети связи путём обмена управляющей информацией между агентами, располагающимися на сетевых устройствах, и менеджерами, расположенными на станциях управления. SNMP определяет сеть как совокупность сетевых управляющих станций и элементов сети (главные машины, шлюзы и маршрутизаторы, терминальные серверы), которые совместно обеспечивают административные связи между сетевыми управляющими станциями и сетевыми агентами.

Cacti - open-source веб-приложение, система позволяет строить графики при помощи RRDtool. Cacti собирает статистические данные за определённые временные интервалы и позволяет отобразить их в графическом виде. Преимущественно используются стандартные шаблоны для отображения статистики по загрузке процессора, выделению оперативной памяти, количеству запущенных процессов, использованию входящего/исходящего трафика.

IP Pool - совокупность подряд идущих IP адресов в рамках компьютерной сети TCP/IP.

Прокси-сервер - служба в компьютерных сетях, позволяющая клиентам выполнять косвенные запросы к другим сетевым службам. Сначала клиент подключается к прокси-серверу и запрашивает какой-либо ресурс (например, e-mail), расположенный на другом сервере. Затем прокси-сервер либо подключается к указанному серверу и получает ресурс у него, либо возвращает ресурс из собственного кеша (в случаях, если прокси имеет свой кэш). В некоторых случаях запрос клиента или ответ сервера может быть изменён прокси-сервером в определённых целях. Также прокси-сервер позволяет защищать клиентский компьютер от некоторых сетевых атак.

MPLS - механизм передачи данных, который эмулирует различные свойства сетей с коммутацией каналов поверх сетей с коммутацией пакетов. MPLS работает на уровне, который можно было бы расположить между вторым (канальным) и третьим (сетевым) уровнями модели OSI, и поэтому его обычно называют протоколом второго с половиной уровня (2.5-уровень). Он был разработан с целью обеспечения универсальной службы передачи данных как для клиентов сетей с коммутацией каналов, так и сетей с коммутацией пакетов. С помощью MPLS можно передавать трафик самой разной природы, такой как IP-пакеты, ATM, Frame Relay, SONET и кадры Ethernet.

FTP - протокол, предназначенный для передачи файлов в компьютерных сетях. FTP позволяет подключаться к серверам FTP, просматривать содержимое каталогов и загружать файлы с сервера или на сервер; кроме того, возможен режим передачи файлов между серверами. Протокол FTP относится к протоколам прикладного уровня и для передачи данных использует транспортный протокол TCP. Команды и данные, в отличие от большинства других протоколов передаются по разным портам. Порт 20 используется для передачи данных, порт 21 для передачи команд. В случае, если передача файла была прервана по каким-либо причинам, протокол предусматривает средства для докачки файла, что бывает очень удобно при передаче больших файлов. Протокол не шифруется, при аутентификации передаются логин и пароль открытым текстом. В случае построения сети с использованием хаба злоумышленник при помощи пассивного сниффера может перехватывать логины и пароли находящихся в том же сегменте сети пользователей FTP, или, при наличии специального ПО, получать передаваемые по FTP файлы без авторизации. Чтобы предотвратить перехват трафика, необходимо использовать протокол шифрования данных SSL, который поддерживается многими современными FTP-серверами и некоторыми FTP-клиентами. Изначально протокол предполагал встречное TCP-соединение от сервера к клиенту для передачи файла или содержимого каталога. Это делало невозможным общение с сервером, если клиент находится за IP NAT, кроме того, часто запрос соединения к клиенту блокируется файерволом. Чтобы этого избежать, было разработано расширение протокола FTP passive mode, когда соединение для передачи данных тоже происходит от клиента к серверу. Важным моментом является то, что клиент устанавливает соединение с адресом и портом, указанным сервером. Порт сервер выбирает случайным образом из определённого диапазона (49152-65534). Поэтому при нахождении ftp-сервера за NAT, следует явно указать в настройках сервера его адрес.

Серверная стойка - представляет собой универсальную напольную стойку для монтажа 19 дюймового.

Патч-панель - одна из составных частей структурированной кабельной системы (СКС). Представляет из себя панель с множеством соединительных разъёмов, расположенных на лицевой стороне панели. На тыльной стороне панели находятся контакты, предназначенные для фиксированного соединения с кабелями, и соединённые с разъёмами электрически. Коммутационная панель относится к пассивному сетевому оборудованию.

СКС - физическая основа информационной инфраструктуры предприятия, позволяющая свести в единую систему множество информационных сервисов разного назначения: локальные вычислительные и телефонные сети, системы безопасности, видеонаблюдения и т. д.

POP3-сервер - используется почтовым клиентом для получения сообщений электронной почты с сервера. Обычно используется в паре с протоколом SMTP.

IMAP-сервер - протокол прикладного уровня для доступа к электронной почте.

Аналогично POP3, служит для работы со входящими письмами, однако обеспечивает дополнительные функции, в частности, возможность поиска по ключевому слову без сохранения почты в локальной памяти. IMAP предоставляет пользователю обширные возможности для работы с почтовыми ящиками, находящимися на центральном сервере. Почтовая программа, использующая этот протокол, получает доступ к хранилищу корреспонденции на сервере так, как будто эта корреспонденция расположена на компьютере получателя. Электронными письмами можно манипулировать с компьютера пользователя (клиента) без постоянной пересылки с сервера и обратно файлов с полным содержанием писем.

NAT от англ. Network Address Translation -- это механизм в сетях TCP/IP, позволяющий преобразовывать IP-адреса транзитных пакетов. Также имеет названия IP Masquerading, Network Masquerading и Native Address Translation. Преобразование адресов методом NAT может производиться почти любым маршрутизирующим устройством -- маршрутизатором, сервером доступа, межсетевым экраном. Наиболее популярным является SNAT, суть механизма которого состоит в замене адреса источника (англ. source) при прохождении пакета в одну сторону и обратной замене адреса назначения (англ. destination) в ответном пакете. Наряду с адресами источник/назначение могут также заменяться номера портов источника и назначения. Помимо source NAT (предоставления пользователям локальной сети с внутренними адресами доступа к сети Интернет) часто применяется также destination NAT, когда обращения извне транслируются межсетевым экраном на сервер в локальной сети, имеющий внутренний адрес и потому недоступный извне сети непосредственно (без NAT). Существует 3 базовых концепции трансляции адресов: статическая (Static Network Address Translation), динамическая (Dynamic Address Translation), маскарадная (NAPT, NAT Overload, PAT):

- статический NAT -- Отображение незарегистрированного IP адреса на зарегистрированный IP адрес на основании один к одному. Особенно полезно, когда устройство должно быть доступным снаружи сети;

- динамический NAT -- Отображает незарегистрированный IP адрес на зарегистрированный адрес от группы зарегистрированных IP адресов. Динамический NAT также устанавливает непосредственное отображение между незарегистрированным и зарегистрированным адресом, но отображение может меняться в зависимости от зарегистрированного адреса, доступного в пуле адресов, во время коммуникации;

- перегруженный NAT (NAPT, NAT Overload, PAT, маскарадинг) -- форма динамического NAT, который отображает несколько незарегистрированных адресов в единственный зарегистрированный IP адрес, используя различные порты. Известен также как PAT (Port Address Translation);

Ядро (FreeBSD) - это основная часть операционной системы FreeBSD. Оно ответственно за управление памятью, параметры безопасности, работу с сетью, доступ к дискам и многое другое.

ОСНОВНЫЕ ЗАДАЧИ

Целью дипломной работы является рассмотреть принцип и подход к построению корпоративной локальной сети на примере сети коммерческого предприятия крупного товаропроизводителя.

В дипломной работе рассматриваются следующие важные моменты:

- архитектура, построение и метод передачи данных;

- метод доступа, топология, тип кабельной системы;

- выбор способа управления сетью;

- конфигурация сетевого оборудования - количество серверов, концентраторов, сетевых принтеров;

- управление сетевыми ресурсами и пользователями сети;

- рассмотрение вопросов безопасности сети

локальная компьютерная сеть

Физическая топология сети предприятия

Сеть предприятия состоит из четырех офисов, два из которых являются удаленными точками. Каждый из которых, имеет своя физическую передачу данных.

Таблица

Оборудование на офисе 4

№ п/п	Наименование	Кол-во
1	Модем ADSL Calisto 821+	1 шт.
2	Неуправляемый коммутатор DLink 8 ports	1 шт.
3	Персональный компьютер	2 шт.
4	Медиаконверторы	1 пара
5	Оптический кабель 4 волоконный	340 м.
6	Оптические боксы	1 пара

Чтобы понять физическую топологию офиса 4 рассмотрим схему .

На офисе 4 использованы следующие физические среды передачи данных:

1) по технологии MPLS (ADSL) между главным офисом и офисом 4, скорость приема и передачи составляет 128/64 Кбит/c.;

2) оптическая среда передачи данных между модемом ADSL и коммутатором DLink, так как между ними расстояние 340 м., а максимальная допустимая длина по технологии Ethernet не более 100 м;

3) среда передачи данных по технологии Ethernet между коммутатором DLink и персональным компьютерами, подключенными к коммутатору через Ethernet кабель.

На офисе 3 подключен физический канал передачи данных со скоростью 1Мб/сек по технологии Ethernet.

Таблица

Оборудование на офисе 3

№ п/п	Наименование	Кол-во
1	Маршрутизатор DLink DIR-100	1 шт.
2	Точка Wi-FI TPlink	1 шт.
3	Персональный компьютер	1 шт.

Чтобы понять физическую топологию офиса 3 рассмотрим схему .

В офисе 3 использованы две физические среды передачи данных:

1) Wi-Fi (от ПК или конечного клиентского оборудования к беспроводной точке доступа);

2) среда Ethernet (от беспроводной точки к маршрутизатору DLink DIR-100 и далее)

Таблица

Офис 2 оборудование

№ п/п	Наименование	Кол-во
1	Коммутатор управляемый DLink 8 ports	1 шт.
2	Медиаконверторы одномодовые (одно волокно рабочее, второе запасное)	2 пары
3	Коммутаторы DLink 24 портовые неуправляемые	5 шт.
4	Wi-Fi точка DLink	1 шт.
5	Офисные ПК	25 шт.
6	Кабель оптический 4 волоконный	707 м.
7	Оптические боксы	1 пара
8	AP DLink 2100	1 шт.

На схеме изображена физическая топология офиса 2.

В офисе 2 использованы следующие физические среды передачи данных:

1) оптическая среда передачи данных между офисом 2 и главным офисом: посредством преобразования среды передачи данных Ethernet в оптическую среду через пару медиаконверторов в оптическую среду передачи данных между офисом 2 и главным офисом;

2) Физическая среда передачи данных в средине офиса 2, топология «звезда» технология Ethernet;

3) Беспроводная среда передачи данных (от ПК к точке доступа)

Офис 1 или главный узел.

В принципе построения корпоративной сети данного предприятия лег принцип централизации. Все основные коммутации, соединения и центральная стойка располагаются в серверном помещении главного офиса.

Таблица

Оборудование офиса 1

№ п/п	Наименование	Кол-во
1	Стойка центральная Conteg 19” 21U	1 шт.
2	Патч-панели универсальные для СКС	2 шт.
3	Switch 3Com 4200 Super Stack 50 ports	1 шт.
4	Медиаконверторы одномодовые	1 пара
5	Оптические боксы	1 пара
6	Персональные компьютеры, сетевые принтеры и IP-камеры	25 ед.
7	Мультиплексор	1 шт.
8	Кабель оптический 4 волоконный	707 м.
9	Точка доступа AP DLink 2100 AP	1 шт.

На схеме можно увидеть следующие физические среды передачи данных:

1) оптическая среда передачи данных между главным офисом и офисом 2: посредством преобразования среды передачи данных Ethernet через пару медиаконверторов в оптическую среду передачи данных между офисом 2 и главным офисом;

2) Физическая среда передачи данных в середине главного офиса топология «звезда» по проекту СКС, технология Ethernet;

3) Беспроводная среда передачи.

Логическая структура сети предприятия

Вся сеть предприятия построена на принципе использования технологии VLAN.

Общее количество VLAN сетей - 7 сетей.

Таблица

Сети предприятия на базе технологии VLAN

№ п/п	Наименование виртуальной сети	Сеть	Размещение
1	Vlan 1	10.0.0.1/26	Главный офис
2	Vlan 2	192.168.0.1/24	Офис 2
3	Vlan 3	10.1.1.1/26	Главный офис
4	Vlan 4	10.64.1.1/24	Офис 2
5	Vlan 5 - пул IP-адресов	81.90.232.144/28	Главный офис
6	Vlan 6 - пул IP-адресов	94.27.59.129/28	Главный офис
7	Vlan 7	10.74.1.1/24	Офис 4

Чтобы понять логическую структуру всей сети, рассмотрим схему. Для удобства рассмотрения изначально рассмотрим логическую структуру каждого офиса, а потом взаимодействие всех офисов с главным.

Логическая структура сети главного офиса

1) Первым сервером на схеме является сервер на базе ОС FreeBSD. Он выполняет следующие роли:

- Маршрутизатор с резервированием Интернет-каналов;

- Firewall;

- сервис для VLAN-подсетей;

- сервис NAT;

- VPN-сервер;

- SMTP - сервер;

- Прокси-сервер Squid;

- Сервер POP3 и IMAP;

- web-сервер;

- MySQL-сервер;

- DHCP-сервер;

Сервер FreeBSD является для всех vlan сетей шлюзом по умолчанию. Он выполняет главную роль в построении сети предприятия.

2) Далее после сервера FreeBSD идет коммутатор Switch 3Com4200 Super Stack. Коммутатор принимает от сервера FreeBSD 7 тагированных вланов. Они распределяются следующим образом:

- 5 тагированных вланов коммутатор 3Com Super Stack 4200 раскрывает для пользователей в открытом виде для 4 сетей главного офиса и 1-й сети офиса 4;

- 2 тагированных влана 3Com Super Stack 4200 передает в закрытом виде через оптическую среду передачи на управляемый коммутатор DLink;

3) Для управления, контроля сетей 5-ти сетей главного офиса в одну логическую единицу был выбран сервер на базе ОС Windows 2003 Server Standart R2, располагающийся в сети vlan3. Он выполняет следующие функции:

- сервер Active Directory;

- терминальный сервер;

- сервер DNS;

Все пользователи сетей главного офиса и офиса 4 заведены в домен главного офиса TD-OLIS.

4) Сервер БД с бизнес системой, который входит в состав домена TD-OLIS. Располагается в сети vlan3.

5) Сервер безопасности телефонных переговоров и записи телефонных звонков, располагающийся в сети vlan3

Сервер FreeBSD не входит в состав домена TD-OLIS.

Логическая структура сети офиса 2

Для управления, контроля 2-х сетей офиса 2 в одну логическую единицу был выбран сервер на базе ОС Windows 2003 Server Standart R2. Он выполняет следующие функции:

- сервер Active Directory;

- терминальный сервер;

- сервер DNS;

Офис 2 имеет свой сервер БД с бизнес системой и не пересекается во время работы с сервером БД главного офиса.

Все пользователи 2-х сетей офиса 2 заведены в домен OLIS.

Так как сервер на базе ОС Windows 2003 Server Standart R2, является основным сервером для офиса 2, то основным трафиком между хостами офиса 2 и ним есть:

- udp, порт 53- так как наш сервер является держателем домена;

- tcp, NetBIOS;

Логическая структура сети офиса 4

Офис 4 является логической частью главного офиса сети vlan7 благодаря технологии MPLS.

Основным трафиком для офиса 4 есть:

- udp;

- tcp, NetBIOS;

Логическая структура сети офиса 3

Офис 3 является отдельной логической единицей со своей локальной сетью. Основным шлюзом для офиса 3 есть маршрутизатор DLink DIR-100, настроенный со статическим реальным IP-адресом данным провайдером. Весь IP-трафик проходит через DLink DIR-100. Адрес локальной сети в средине офиса 3 - 192.168.100.0/24.

Взаимодействие главного офиса и офиса 2

Взаимодействие офиса 2 и главного офиса:

Сети офиса 2 - являются сетями главного офиса, которые передаются через оптическую среду с помощью технологии Vlan и управляемых коммутаторов на офис 2;

Весь трафик офиса 2 идет через главный офис на сервер под управлением ОС FreeBSD, который является шлюзом по умолчанию для сетей офиса 2.

Логическое взаимодействие главного офиса и офиса 3

Для обеспечения безопасного доступа к серверу БД главного офиса используется маршрутизатор офиса 3 DLink DIR-100, который подключается к серверу FreeBSD по vpn-технологии, FreeBSD является vpn-сервером PPTP. На основании учетных записей, логина и пароля, которые передает маршрутизатор выдается IP-адрес. Сервер FreeBSD обрабатывает vpn-подключения на порту 1723, протокол tcp. То есть, офис 3 является частью vpn-сети. Доступ к серверу БД главного офиса осуществляется через протокол RDP, на основании учетных записей заведенных в Active Directory доменного сервера главного офиса.

Логическое взаимодействие главного офиса и офиса 4

Офис 4 является частью сети vlan7.

Пользователи сети vlan7 заведены в домен TD-OLIS главного офиса. Шлюзом по умолчанию для хостов сети vlan7 является сервер FreeBSD.

Настройка серверов и оборудования, которое обспечивает работу сети предприятия

Сервер FreeBSD

Сервер FreeBSD в качестве шлюза и маршрутизатора

Наш сервер подключен к двум интернет каналам:

- оптическое волокно 5Мб/с., интернет-провайдер «Голден-Телеком» с сетью диапазоном 8 IP адресов;

- оптическое волокно 5Мб/с., интернет-провайдер «Радиоком» с сетью диапазоном 8 IP адресов, прописанных статической маршрутизацией;

Главным каналом для сервера является канал «Голден-Телеком».

Дополнительные услуги:

- Пул IP-адресов от провайдера Голден-Телеком на 16 IP-адресов прописанный через статический маршрут;

Получается, что физически мы имеем два ethernet-интерфейса, на которых мы должны прописать по 8 IP-адресов от каждого провайдера, и прописать дополнительно еще 16 IP-адресов. Сервер должен быть шлюзом по умолчанию для всех наших подсетей.

Для реализации данной цели поддадим изменению основной конфигурационный файл rc.conf.

Файл rc.conf содержит описательную информацию о местных имя хоста, сведения о конфигурации для любых потенциальных сетевых интерфейсов и какие услуги должны в действие в системе начальной загрузке. Файл rc.conf располагается в каталоге /etc.

Интересуют нас следующие параметры для изменения в файле rc.conf:

defaultrouter или роутер по умолчанию - выдается Интернет-провайдером, в нашем случае это роутер от «Голден-Телеком»;

gateway_enable - принимает значения YES или NO, то есть, будет ли наш сервер шлюзом по умолчанию или нет;

ifconfig_interface - данная опция используется для настройки физического сетевого интерфейса;

ifconfig_interface_alias0 - для добавления дополнительных IP-адресов на один и тот же физический интерфейс.

На рисунке файл rc.conf после изменения.

Рисунок - измененный файл конфигурации rc.conf с внесенными изменениями для включения функций маршрутизатора, шлюза, настройки сетевых интерфейсов

Сервер FreeBSD и служба NAT

ОС FreeBSD предоставляет достаточно большое количество штатных средств для работы службы NAT.

В нашей сети мы использовали комплекс PF, который может транслировать адреса Network Address Translation (NAT);

Перед тем, как прописать в rc.conf необходимые опции, мы должны перекомпилировать ядро ОС FreeBSD с новыми необходимыми опциями, необходимыми для того, чтобы ОС поддерживала PF Nat на уровне ядра.

Основной конфигурационной PF называется pf.conf.

Основной формат правил NAT в pf.conf выглядит как:

nat [pass] [log] on interface [af] from src_addr [port src_port] to dst_addr [port dst_port] -> ext_addr [pool_type] [static-port], где:

1) nat - ключевое слово, с которого начинается правило NAT;

2) pass - преобразованные пакеты не будут обрабатываются правилами фильтрации;

3) log - логировать пакеты с помощью pflogd. Обычно только первый пакет заносится в журнал. Для логирования всех пакетов используйте log (all);

4) interface - название интерфейса, или группы интерфейсов на котором будут проводиться преобразования;

5) af - семейство адресов, inet для IPv4 или inet6 для IPv6. PF как правило в сам в состоянии определить этот параметр c помощью исходных адресов и адресов назначения.

6) src_addr - исходные (внутренние) адреса пакетов, которые будут преобразованы. Исходные адреса могут быть указаны, как:

- единственный IPv4 или IPv6 адрес;

- сетевой блок CIDR;

- полное доменное имя, которое будет преобразовано через DNS сервер при загрузке правила. Полученные адреса окажутся в правиле;

- название сетевого интерфейса или группы сетевых интерфейсов. Любые IP адреса принадлежащие интерфейсу будут подставлены в правило, во время загрузки;

- название сетевого интерфейса сопровождающегося /netmask (например, /24). Каждый IP адрес на интерфейсе, совмещённый с сетевой маской, образует блок CIDR и оказывается в правиле;

- название сетевого интерфейса или группы сетевых интерфейсов, сопровождающихся модификаторами:

- network - заменяется сетевым блоком CIDR (например, 192.168.0.0/24);

- broadcast - заменяется широковещательным адресом сети (например, 192.168.0.255);

- peer - заменяется peer IP адресом другой стороны point-to-point линка;

Кроме того, модификатор :0 может быть добавлен к любому интерфейсу или к любому из вышеуказанных модификаторов, для указания, что PF не должен затрагивать alias IP адреса. Этот модификатор может использоваться, при указании интерфейса в круглых скобках. Пример: fxp0:network:0

7) src_port - исходный порт в заголовке пакета. Порты могут быть указаны, как:

- Номер от 1 до 65535

- Актуальное название сервиса смотрите в /etc/services

- Набор портов, используя списки

- Диапазон:

!= (не равно)

< (меньше)

- > (больше)

<= (меньше или равно)

>= (больше или равно)

>< (диапазон)

<> (обратный диапазон)

Последние два бинарных оператора (они используют два аргумента) не включают аргументы в этот диапазон

: (включающий диапазон)

Включающий диапазон, также бинарные операторы и включают аргументы в диапазон.

Опция port не часто используется в nat правилах, потому что обычно стоит задача преобразовывать весь трафик, не зависимо от используемых портов.

8) dst_addr - адрес назначения преобразуемых пакетов. Адрес назначения указывается так же, как и исходный адрес;

9) dst_port - порт назначения. Порт указывается так же, как и исходный порт;

10) ext_addr - внешний (преобразуемый) адрес на NAT шлюзе, в который будут пробразованы пакеты. Внешний адрес может быть указан как:

- единственный IPv4 или IPv6 адрес;

- сетевой блок CIDR;

- полное доменное имя, которое будет преобразовано через DNS сервер при загрузке правила. Полученные адреса окажутся в правиле;

- название сетевого интерфейса. Любые IP адреса принадлежащие интерфейсу будут подставлены в правило, во время загрузки;

- название сетевого интерфейса указанного в круглых скобках ( ). Это говорит PF обновлять правило, если IP адрес(а) на указанном интерфейсе сменился. Полезно на интерфейсах, которые получают IP адреса по DHCP или используют dial-up, чтобы каждый раз при смене адреса не перегружать правила;

- название сетевого интерфейса, сопровождающееся одним из этих модификаторов:

- network - заменяется сетевым блоком CIDR (например, 192.168.0.0/24);

- peer - заменяется peer IP адресом другой стороны point-to-point линка;

Кроме того, модификатор :0 может быть добавлен к любому интерфейсу или к любому из вышеуказанных модификаторов, для указания, что PF не должен задействовать alias IP адреса. Этот модификатор может использоваться при указании интерфейса в круглых скобках. Пример: fxp0:network:0 Ряд адресов, используя список

11) pool_type - указывается тип диапазона адресов используемого для трансляции;

12) static-port - не преобразовывать исходные порты в TCP и UDP пакетах;

Правило nat on $inf1 from 10.0.0.9 to any -> $ip1 говорит о том, что:

- все пакеты, идущие через интерфейс fxp0 с IP-адреса 10.0.0.9 в мир транслировать в мир с IP-адреса 94.27.59.74.

Правило nat on $inf1 from 10.64.1.0/24 to any -> $ip1 говорит о том, что:

- все пакеты, идущие через интерфейс fxp0 с сети 10.64.1.0/24 в мир транслировать в мир с IP-адреса 94.27.59.74.

Для того, что бы удостовериться практическим способом работает NAT или нет, достаточно зайти на любой сайт, определяющий Ваш IP-адрес. В данном конфигурационном файле введена система переменных и обращение к переменным. Зачем сделано именно так будет описано в разделе

Строчки конфигурации pass in all и pass out all разрешают прохождение трафика в обе стороны.

При изменении файла конфигурации pf.conf, необходимо перестартовать pf при помощи команды:

-pfctl -f /etc/pf.conf

FreeBSD в роли FIREWALL

В состав FreeBSD входит штатный брандмауэр IPFW. Конфигурация брандмауэра задается в виде списка пронумерованных правил, который просматривается для каждого пакета, пока не будет найдено соответствие - тогда выполняется заданное соответствующим правилом действие. В зависимости от действия и некоторых установок в системе, пакеты могут возвращаться на брандмауэр для обработки

правилами, начиная со следующего за сработавшим. Все правила применяются ко всем интерфейсам, так что задача написания набора правил с минимально необходимым количеством проверок возлагается на системного администратора. Конфигурация всегда включает стандартное правило (DEFAULT) с номером 65535, которое нельзя изменять и которое соответствует любому пакету. С этим стандартным правилом может быть связано действие deny или allow, в зависимости от конфигурации ядра.

Если набор правил включает одно или несколько правил с опцией keep-state, то программа ipfw предполагает работу с сохранением состояния (stateful behaviour), т.е. при успешном сопоставлении будет создавать динамические правила, соответствующие конкретным параметрам (адресам и портам) сопоставившегося пакета. Эти динамические правила с ограниченным временем существования проверяются, начиная с первого вхождения правила check-state или keep-state, и обычно используются для приоткрытия брандмауэра по требованию только для допустимого трафика. Дополнительной возможностью, предоставляемой динамическими правилами, является возможность ограничения числа одновременных соединений, соответствующих какому-то правилу (это может пригодиться, если Вы захотите бороться с "левыми" прокси-серверами в вашей сети - для нормальной работы пользователя вполне достаточно десятка одновременных соединений, в то время как для прокси-сервера такое количество является явно недостаточным). Для ограничения соединений добавьте к "генерирующему" правилу параметр limit, например:

sbin/ipfw add allow ip from 192.168.0.1/24 to any keep-state limit src-addr 10

запретит каждому абоненту сети 192.168.0.1:255.255.255.0 устанавливать более 10 соединений одновременно. Параметр src-addr указывает, что ограничение считается по адресам источников пакетов (т.е. в нашем примере - для каждого пользователя). Допустимые значения этого параметра: dst-addr (ограничение подсчитывается по адресам назначения), src-port (ограничение подсчитывается по портам источника), dst-port (ограничение подсчитывается по портам назначения), а также любые комбинации этих параметров, например, limit dst-port dst-addr 1 позволит установить только одно соединение с любым портом любого сервера, при этом можно будет установить несколько соединений с одним сервером (например, HTTP, SMTP и POP3 одновременно) и неколько соединений на один порт различных серверов

Ограничение скорости

Firewall позволяет Вам не только разрешать или запрещать прохождение IP-пакетов, но и ограничивать скорость их прохождения. Для этого используется всроенная в ядро FreeBSD система dummynet - эмулятор "плохой" линии связи с настраевыми характеристиками, такими как абсолютная задержка прохождения пакета, ограничение скорости прохождения данных по линии, потеря некоторого числа пакетов.

Dummynet состоит из каналов (pipe, труба) и очередей (queue). Канал характеризуется пропускной способностью (биты в секунду), задержкой прохождения пакета (в секундах), размером очереди (сколько данных может одновременно "находится" в канале), процентом потерь. Задать эти значения Вы можете с помощью команды

/sbin/ipfw pipe <номер> config bw <скорость> delay <время> queue <очередь> plr <процент>

, где <номер> - номер канала. Вибирается администратором произвольно из диапазона 1-65534

<скорость> - пропускная способность канала. Задается в виде числа, интерпретируемого как биты в секунду. Возможно также задание и единицы измерения из слоедующего набора: bit/s, Kbit/s, Mbit/s, Bytes/s, KBytes/s,MBytes/s. Единицы измерения указываются после числа без пробелов: 2MBytes/s, 64Kbit/s.

<время> - время задержки пакета в миллисекундах, всегда прибавляется к времени нахождения любого пакета в канале в не зависимости от текущей загрузке канала.

<очередь> - размер очереди в пакетах или в килобайтах (если указана единицы измерения - Bytes или KBytes). Не поместившиеся в очередь пакеты отбрасываются.

<процент> - процент потерянных пакетов. Обычно используется для эмуляции плохих линий связи при проверке устойчивости сетевого программного обеспечения к сбоям. Задается как вещественное число от 0 до 1 (0 - потерь нет, 1 - теряются все пакеты).

Для управления каналом нужно представлять себе, как он работает - иначе неминуемы нестыковки и неприятные разочарования. При попадании в канал пакет "становится в хвост" очереди - совсем как в магазине. Dummynet определенное количество раз в секунду (задается параметром HZ при сборке ядра операционной системы) проверяет наличие пакетов в очереди, и, если не превышен лимит скорости выхода данных из канала, выпускает пакет. Считается именно скорость схода пакетов с канала - поэтому если пакеты в очередь поступают с большей скоростью, чем разрешенная для данного канала скорость выхода из очереди, то "непоместившиеся" в очередь пакеты просто теряются.

Для пользователя, если он работает по протоколу TCP, потери пакетов не заметны - сервер перестает посылать пакеты, если клиент не посылает подтверждение приема. Однако, ожидание подтверждения на каждый пакет понижает производительность - канал связи может обеспечивать большую пропускную способность при достаточно большом времени прохождения пакета, и если ждать ответа на каждый пакет, то канал будет простаивать. Поэтому в протоколе TCP используется метод окна - посылаются сразу несколько пакетов подряд без ожидания подтверждения, и посылка пакетов прекращается только в том случае, если подтверждение не пришло еще на поза-поза-прошлый пакет.

Чтобы работа по протоколу TCP через канал dummynet происходила без необходимости повторной пересылки пакета, необходимо чтобы все пакеты "окна" могли поместиться в очереди. Стандартного размера очереди (50 пакетов) хватает для одновременной работы примерно 10 TCP-соединений (это число очень сильно зависит от настроек протокола TCP на машинах клиентов и на серверах, а так же от среднего размера пакета, генерируемого приложениями). При превышении этот числа пакеты начнут теряться, что потребует их перепосылки заново. Если Вы платите за трафик - эта особенность может больно ударить Вас по карману: Ваш провайдер посчитает все переданные Вашей системе пакеты, в том числе и потерянные в dummynet, однако Вы (или Ваш клиент), получат только часть из них - поэтому, если Вы пускаете через один канал dummynet большое количество соединений - пропорционально увеличивайте и размер очереди. Причем подсчет пикового количества одновременных соединений вовсе не так прост - пользователи с зажатой пропускной способностью канала имеют обыкновение открывать гораздо больше одновременных соединений, чем обладатели высокоскоростных каналов: пока читают одну страницу - запускают на скачивание еще несколько. Кроме того, пользователи менеджеров загрузки типа GetRight быстро обнаружат, что закачка файла в несколько потоков происходит быстрее, чем в один - адресованные им пакеты, в виду большего их числа, будет "вытеснять" из очереди чужие соединения и продолжительность одного соединения возрастет, что тоже приведет к увеличению их одновременного числа.

Для конфигурирования очереди используйте команду:

/sbin/pfw queue <номер_очереди> config pipe <номер_канала> weight <вес>

, где:

номер_очереди - произвольно выбранный администратором идентификатор из диапазона 1-65534;

номер_канала - номер канала, частью которого становится эта очередь;

вес - приоритет очереди, число из диапазона 1-100, где 100 - самый приоритетный канал, 1 - самый бесправный. По умолчанию для каждой очереди устанавливается приоритет 1;

Чтобы "пропустить" трафик через канал, воспользуйтесь командами:

/sbin/ipfw add pipe <номер> <правило> или /sbin/ipfw add quqeue <номер> <правило>, например

Так как наш сервер выступает в роли IPFIREWALL ограничивая скорость и осуществляет контроль соединений на порты, рассмотрим реальный пример firewall.

Ранее было указано, что в сети были созданы на основе технологии VLAN. Для создания и управления VLAN во FreeBSD не используются какие-то специальные программы. Всё делается с помощью программы ifconfig.

Рисунок - фрагмент файла rc.conf где создаются vlan сети на сервере

Рассмотрим данную конфигурацию:

строчкой 1 cloned_interfaces создаем 6 vlan- интерфейсов, которые будут создавать во время загрузки и запуска сервер;

далее строчкой конфигурируем интерфейс vlan 1 и говорим, что этому интерфейс соответствует сеть vlan 1 с адресом 10.0.0.1 с маской подсети 255.255.255.192 и за основу создания vlan, берем любой физический интерфейс, в нашем случае это интерфейс em0;

далее также для всех vlan интерфейсов - соответственно vlan - подсетей;

физический интерфейс em0, обязательно должен быть прописан в rc.conf ему можеть быть назначен любой IP-адрес. Но к сети он может быть и не подключен.

Сервер FreeBSD в роли DHCP-сервера

Наш FreeBSD сервер является DHCP-сервером для всех сетей.

Для того, чтобы настроить систему FreeBSD на работу в качестве сервера DHCP, вам необходимо обеспечить присутствие устройства bpf, компилированного в ядро. Для этого добавьте строку device bpf (pseudo-device bpf в FreeBSD 4.X) в файл конфигурации вашего ядра.

Устройство bpf уже входит в состав ядра GENERIC, поставляемого с FreeBSD, так что вам не нужно создавать собственное ядро для обеспечения работы DHCP.

Те, кто обращает особое внимание на вопросы безопасности, должны заметить, что bpf является тем устройством, что позволяет нормально работать снифферам пакетов (хотя таким программам требуются привилегированный доступ). Наличие устройства bpf обязательно для использования DHCP, но если вы очень обеспокоены безопасностью, наверное, вам не нужно включать bpf в ваше ядро только потому, что в отдалённом будущем вы собираетесь использовать DHCP.

Следующим действием, которое вам нужно выполнить, является редактирование примерного dhcpd.conf, который устанавливается в составе порта net/isc-dhcp3-server. По умолчанию это файл /usr/local/etc/dhcpd.conf.sample, и вы должны скопировать его в файл /usr/local/etc/dhcpd.conf перед тем, как его редактировать.

Настройка сервера DHCP

dhcpd.conf состоит из деклараций относительно подсетей и хостов, и проще всего описывается на примере:

option domain-name "example.com";

option domain-name-servers 192.168.4.100;

option subnet-mask 255.255.255.0;

default-lease-time 3600;

max-lease-time 86400;

ddns-update-style none;

subnet 192.168.4.0 netmask 255.255.255.0 {

range 192.168.4.129 192.168.4.254;

option routers 192.168.4.1;

}

host mailhost {

hardware ethernet 02:03:04:05:06:07;

fixed-address mailhost.example.com;

}

- Этот параметр задаёт домен, который будет выдаваться клиентам в качестве домена, используемого по умолчанию при поиске. Обратитесь к страницам справочной системы по resolv.conf для получения дополнительной информации о том, что это значит.

- Этот параметр задаёт список разделённых запятыми серверов DNS, которые должен использовать клиент.

- Маска сети, которая будет выдаваться клиентам.

- Клиент может запросить определённое время, которое будет действовать выданная информация. В противном случае сервер выдаст настройки с этим сроком (в секундах).

- Это максимальное время, на которое сервер будет выдавать конфигурацию. Если клиент запросит больший срок, он будет подтверждён, но будет действовать только max-lease-time секунд.

- Этот параметр задаёт, будет ли сервер DHCP пытаться обновить DNS при выдаче или освобождении конфигурационной информации. В реализации ISC этот параметр является обязательным.

- Это определение того, какие IP-адреса должны использоваться в качестве резерва для выдачи клиентам. IP-адреса между и включая границы, будут выдаваться клиентам.

- Объявление маршрутизатора, используемого по умолчанию, который будет выдаваться клиентам.

- Аппаратный MAC-адрес хоста (чтобы сервер DHCP мог распознать хост, когда тот делает запрос).

- Определение того, что хосту всегда будет выдаваться один и тот же IP-адрес. Заметьте, что указание здесь имени хоста корректно, так как сервер DHCP будет разрешать имя хоста самостоятельно до того, как выдать конфигурационную информацию.

Как только вы закончите составлять свой dhcpd.conf, вы можете продолжить работу запуском сервера при помощи, следующей команды:

# /usr/local/etc/rc.d/isc-dhcpd.sh start

Если в будущем вам понадобится сделать изменения в настройке вашего сервера, то важно заметить, что посылка сигнала SIGHUP приложению dhcpd не приведёт к перезагрузке настроек, как это бывает для большинства демонов. Вам нужно послать сигнал SIGTERM для остановки процесса, а затем перезапустить его при помощи вышеприведённой команды.

Файлы

- /usr/local/sbin/dhcpd - dhcpd скомпонован статически и расположен в каталоге /usr/local/sbin. Страницы справочной системы dhcpd(8), устанавливаемые портом, содержат более полную информацию о dhcpd;

- /usr/local/etc/dhcpd.conf - dhcpd требует наличия конфигурационного файла, /usr/local/etc/dhcpd.conf, до того, как он будет запущен и начнёт предоставлять сервис клиентам. Необходимо, чтобы этот файл содержал все данные, которая будет выдаваться обслуживаемым клиентам, а также информацию о работе сервера. Этот конфигурационный файл описывается на страницах справочной системы, которые устанавливаются портом;

- /var/db/dhcpd.leases - сервер DHCP ведёт базу данных выданной информации в этом файле, который записывается в виде протокола. Страницы справочной системы dhcpd.leases(5), устанавливаемые портом, дают гораздо более подробное описание;

- /usr/local/sbin/dhcrelay - dhcrelay используется в сложных ситуациях, когда сервер DHCP пересылает запросы от клиента другому серверу DHCP в отдельной сети. Если вам нужна такая функциональность, то установите порт net/isc-dhcp3-server.

Сервер FreeBSD и резервирование Интернет-каналов

В качестве системы для резервирования канала был написан специальный скрипт на языке Shell.

Командный язык shell (в переводе - раковина, скорлупа) фактически есть язык программирования очень высокого уровня. На этом языке пользователь осуществляет управление компьютером. Обычно, после входа в систему вы начинаете взаимодействовать с командной оболочкой (если угодно - она начинает взаимодействовать с вами). Признаком того, что оболочка (shell) готова к приему команд служит выдаваемый ею на экран промптер. В простейшем случае это один доллар ("$"). Shell не является необходимым и единственным командным языком (хотя именно он стандартизован в рамках POSIX [POSIX 1003.2] - стандарта мобильных систем). Например, немалой популярностью пользуется язык cshell, есть также kshell, bashell (из наиболее популярных в последнее время) и другие. Более того, каждый пользователь может создать свой командный язык. Может одновременно на одном экземпляре операционной системы работать с разными командными языками.