Влияние Интернета на технологии корпоративных сетей

Размещено на http://allbest.ru

Национальный технический университет Украины «Киевский политехнический институт»

Контрольная работа

Влияние Интернета на технологии корпоративных сетей

Слушатель: Савенок Александр Петрович

ЗПФБ-7107

Киев 2009

Введение

Мы привыкли думать об Internet как о глобальной сети, которая обеспечивает доступ к информации, разбросанной по разным уголкам киберпространства. Но оказывается, что технологии работы с данными, успешно зарекомендовавшие себя в Internet, могут приносить пользу и небольшим компаниям с локальными сетями, не имеющими доступа ни к каким глобальным ресурсам.

Речь не идет о таких проверенных временем средствах, как ftp или telnet, успешно использовавшихся в недавнем прошлом для обмена информацией в одноранговых сетях с Unix-компьютерами. Работа с ними трудна для неподготовленного пользователя, а проблема файлового обмена и так решена в сетях NetWare или Windows NT. Речь идет о технологиях, реализованных в бурно развивающемся сервисе WWW, предоставляющих возможности работы практически с любыми видами информации.

В последнее время ведется достаточно много разговоров об использовании технологий Web в корпоративных сетях. Такие сети уже получили название Intranet и им предрекают большое будущее.

1. Преимущества использования Web-технологий в корпорации

Программное обеспечение в корпорации в основном предназначено для работы с документами - их создания или организации документооборота. Эти задачи решаются с помощью офисных приложений, систем электронной почты и систем коллективной работы. Возникающие при использовании систем электронной почты проблемы в основном связаны с тем, что они могут работать только с ограниченным числом типов данных. В этом случае файлы передаются по сети как приложения к текстовым сообщениям и для их просмотра обычно необходимо вызывать соответствующие приложения. Кроме того проблемой систем электронной почты, равно как и средств организации документооборота, является обилие программного обеспечения (почти всегда нестандартизированного), которое создает проблемы совместимости, а также вызывает трудности при установке клиентов даже при использование одного и того же пакета. Стоит также отметить, что эти системы дороги и сложны в инсталляции и поддержке.

В свою очередь, Web за последние годы приобрел столько функциональных возможностей, проверенных в сети с гигантским количеством клиентов, что организация доступа к информации, приходящей из различных источников, для нескольких десятков или даже сотен пользователей не представляется особой проблемой.

Основное предназначение Web - распространение разнородных данных, включая аудио, видео и любые другие типы информации - обеспечивает возможность работы с корпоративными данными на новом уровне, не доступном пользователям обычной электронной почты. Возможность организации запросов от сервера Web к различным СУБД с помощью интерфейса CGI позволяет использовать программу просмотра WWW в качестве клиента корпоративных баз данных. Мало того, в последнее время ряд производителей сетевого оборудования объявили о разработках, обеспечивающих управление устройствами средствами Web, используя в качестве консоли программу просмотра WWW (любую!) вместо стандартных платформ управления сетями. Таким образом, системный администратор также вливается в семью корпоративных пользователей Web.

Развитие технологий Web ведет к появлению возможностей, которые раньше было трудно вообразить. Уже доступны демо-версии программного обеспечения для видеоконференций в WWW. Если это возможно в глобальной сети с не всегда качественными каналами связи, то почему бы не реализовать подобные сервисы в корпоративной сети?

Говоря более конкретно, к реализуемым в таких сетях возможностям могут, например, быть отнесены такие, как:

- ведение корпоративного календаря событий и планирование текущих проектов;

- внутренний обмен новостями и пресс релизами (с графикой, фотографиями и т.п.);

- создание отчетов, включающих схемы и диаграммы;

- обмен административной информацией (например финансовой);

- доступ к корпоративным базам данных;

- ведение внутренних групп новостей для обмена информацией между сотрудниками;

- ведение корпоративных баз общедоступной информации, таких как "телефонные книги".

Обобщая приведенные примеры, можно сказать, что использование технологий Intranet позволяет облегчить решение задачи электронного распространения информации, которая производится в огромных количествах в любой, даже небольшой организации. Обеспечиваемый при этом оперативный доступ к информации (недоступный в системах электронной почты), дает возможность облегчить связь с сотрудниками, находящимися в удаленных офисах.

Используемый в Web-серверах механизм форм является идеальным решением для обмена информацией между пользователями в корпоративной сети. Сбор данных может осуществляться оперативно, при этом возможно даже автоматическое выполнение некоторых действий, в зависимости от вида информации, передоставленной пользователем.

При этом следует отметить, что принятые в Internet средства защиты информации уже настолько отработаны, что позволяют довольно легко обеспечить конфиденциальность передаваемой информации с очень высоким уровнем надежности.

Для того, чтобы воспользоваться всеми перечисленными возможностями необходимо всего лишь установить в сети сервер Web и программы просмотра WWW на компьютерах клиентов. А с технической точки зрения, привлекательной стороной Web является его соответствие стандартам (описывающим протокол HTTP), а также простота доступа к программному обеспечению, которое существует уже практически для любых платформ: от Unix до Windows. В отличие от любых серьезных программ, клиенты и серверы Web (от последних версий Mosaic и Netscape до программ HTTPD) свободно распространяются в Internet. Что касается возможных трудностей перехода к протоколу TCP/IP, то развитие операционных систем для настольных компьютеров снимает эту проблему. В этом смысле показателен опыт Microsoft, снабдившей Windows 95 встроенным стеком TCP/IP. Кроме того, существует множество программных пакетов для обычных Windows 3.x, позволяющих работать одновременно с несколькими протоколами (достаточно вспомнить LAN Workplace от Novell, обеспечивающий работу с IPX и TCP/IP, и массу других программ).

Основой технологий Web является язык HTML, который допускает достаточно легкую конвертацию практически любой информации в его гипертекстовый вид. Так, текстовые процессоры, электронные таблицы и СУБД, при приложении незначительных усилий, могут сохранять информацию в таком формате. Кроме того, существуют программы, конвертирующие формат RTF в HTML. Средства доступа к корпоративным базам данных могут быть организованы с помощью практически любых языков программирования (C, Perl, Basic и т.п.) с использованием стандартного интерфейса CGI.

Сеть Intranet уже готова к подключению к глобальному Internet (что, видимо, неизбежно произойдет), для чего не надо никаких дополнительных усилий. А в результате можно получить не только доступ к ресурсам Internet, но и воспользоваться рядом потенциальных новых возможностей. Так, уже неоднократно говорилось о том, что в будущем исчезнет необходимость иметь собственную копию офисного программного обеспечения (текстовых процессоров, электронных таблиц и т.п.), поскольку из обычной программы просмотра WWW можно будет получить в пользование его копию для выполнения конкретных задач.

Недостатки. Web не предоставляет всех тех преимуществ, которые дает использование систем коллективной работы. Однако последние два года ясно показали, что самые неожиданные возможности легко реализуются в Internet и уже через несколько месяцев становятся стандартными для Web. С другой стороны, ведущие производители систем коллективной работы (такие как IBM-Lotus) давно уже обратили внимание на Web и ведут активную работу по интеграции с ней своего программного обеспечения.

2. Резервирование каналов (протокол Spanning Tree)

Основное назначение протокола Spanning Tree - построение топологии ЛВС без избыточного дублирования соединений или закольцовывания, недопустимых в силу логики построения ЛВС. STP позволяет организовать в сети, построенной при помощи мостов (bridges), отказоустойчивую архитектуру.

На данный момент поддержка Spaning Tree Protocol встречается не только в переключательном оборудовании (коммутаторы, они же свитчи или, в частном случае, мосты), но и в маршрутизирующем оборудовании, которое снабжено возможностью коммутировать пакеты между интерфейсами. Так, если рассматривать, например, Cisco, то в результате поддержки маршрутизатором Bridging Virtual Interface (например, модель 3640 и др.) становится логичной поддержка STP.

Используя STP, вы можете построить сеть, в которой существует несколько параллельных путей, и гарантировать при этом, что:

- резервные пути прохождения трафика при нормальном функционировании основного пути заблокированы;

- один из резервных путей активизируется при нарушении основного пути.

Например, сеть, построенная на четырех коммутаторах, поддерживающих протокол STP. Это обстоятельство позволяет соединить их избыточным количеством линков, которые в обычных условиях создали бы петли и привели к неработоспособности сети. Однако, при инициализации сети STP обнаруживает дублирующие пути и оставляет на каждое направление только один, переводя остальные задействованные в линках порты в состояние "blocking" (на рисунке соответствующие линки зачеркнуты). При нарушении основного канала передачи (например, в следствие отключения одного из коммутаторов), STP обнаруживает этот факт и задействует запасной маршрут.

Протокол разработан в начале 90-х годов XX века (ANSI/IEEE 802.1D 1993 Edition) и дорабатывался в 1996 и 1998 годах. В качестве модели используется граф в виде дерева. Построение дерева сети начинается с корня (root) - устройства, выигравшего выборы корневого (designated root). Designated root - это просто отправная точка для построения активной незакольцованной топологии, в которой физические кольца не дают логических колец. Иными словами, это логическое понятие.

Рис. 1. Принцип работы STP

Важно заметить, что Spanning Tree Protocol определен для различных сред передачи данных (MAC, Media Access Control). Далее в тексте рассматриваются примеры сетей в основном на базе Ethernet, как наиболее распространенной.

BPDU - это именно пакеты, а не фреймы. Это ясно из [1], 8.3.2, стр.61. BPDU пакеты инкапсулируются в используемый данной топологией тип фрейма с мультикастным MAC адресом в поле назначения, что обуславливает передачу этих пакетов через неинтеллектуальное оборудование, не знающее о существовании Spanning Tree.

интернет сервер web spanning

3. Работа STP подразумевает выполнение следующих условий

- Возможность передачи информации между мостами, что осуществляется путем передачи каждым STP-совместимым устройством специальных блоков данных - Bridge Protocol Data Units (BPDU). Эти блоки данных передаются в пакетах с определенным групповым адресом назначения (multicast address), зарезервированным в

- Один из мостов функционирует как "ведущее" устройство, называемое Designated Root Bridge.

Designated root присутствует всегда, даже когда топология не содержит физических колец. Если в сети только одно STP-совместимое устройство - до тех пор, пока STP не выключен, оно будет анонсировать себя. Каждое STP-совместимое устройство начинает работу, считая себя designated root, так что в сети с единственным STP-совместимым устройством оно и является Designated Root Bridge.

В данном случае авторы позволяют себе некоторую вольность, поскольку [1] рассматривает исключительно мосты (или свитчи, коммутаторы, поскольку коммутатор - это многопортовый мост). Начиная от этого момента и далее, речь идет об абстрактном "устройстве", которое, в частном случае, может быть как коммутатором, так и маршрутизатором, а равно и другим интеллектуальным устройством.

Если же в сети присутствует более устройства, поддерживающего STP, то Designated Root Bridge выбирается путем голосования (выборов) на основе значения параметра Bridge Identifier, обычно являющегося комбинацией уникального MAC-адреса моста и устанавливаемого для моста приоритета (см. [1], главы 8 и 9). На роль Designated Root Bridge назначается мост с наименьшим значением Bridge Identifier.

Для всех остальных мостов в сети определяется Root Port, т.е. порт моста, ближайший к Root Bridge. От других портов, соединенных с root bridge непосредственно или через другие мосты, он отличается своим идентификатором, который содержит его номер и "вес", который может быть задан администратором.

Другой величиной, влияющей на процесс выборов, является Root Path Cost. Она состоит из стоимости пути до Root Port данного моста плюс стоимость путей до Root Port мостов по всему маршруту до Root Bridge.

Помимо Designated Root Bridge в STP вводится логическое понятие Designated Bridge. Владелец этого статуса считается главным в обслуживании данного сегмента ЛВС. Статус Designated Bridge также является выборным и может переходить от одного устройства к другому.

Аналогичным образом вводится выборное логическое понятие Designated Port - порта, который обслуживает данный сегмент сети. Для Designated Port вводится понятие Designated cost, описывающее стоимость пути ([1], 8.5.5.5).

В зависимости от содержимого получаемых от соседних устройств конфигурационных пакетов то или иное устройство перестает оспаривать статус Designated Root Bridge и начинает анонсировать устройство, выигравшее этот статус в процессе выборов. Так происходит до тех пор, пока ситуация не придет к завершающей стадии, которая характеризуется следующим образом:

- В сети только одно устройство, считающее себя корнем, а остальные устройства периодически анонсируют его как корень, что поддерживает статус кво, обновляя таймеры на всех STP-совместимых устройствах.

- Root Bridge периодически посылает во все свои порты пакеты с BPDU. Интервал времени, через который происходит посылка, называется Hello Time.

- В каждом сегменте сети имеется единственный Designated Bridge Port - порт, через который проходит обмен трафиком с Root Bridge. Этот порт имеет наименьшее значение Root Path Cost по сравнению с другими портами в сегменте, либо меньший bridge ID.

- BPDU принимаются и отправляются STP-совместимым устройством на всех его портах, даже на тех, которые были "выключены" работой STP. Однако BPDU не принимаются на портах, которые были "выключены" администратором.

- Каждый мост осуществляет пересылку (forwarding) пакетов только между Root Port и портами, которые являются Designated Bridge Port для соответствующего сегмента. Все остальные порты находятся в состоянии "Blocking".

Как уже говорилось, корень не несет на себе иных обязанностей, кроме анонса своих параметров согласно спецификации Spanning Tree протокола, а это, в частности, значит, что в сети, не содержащей физических колец или избыточных соединений, от изменения владельца статуса Designated Root Bridge пути пакетов, пересылаемых между двумя произвольными станциями не изменится.

Спецификация протокола [1] не накладывает ограничений на время, в которое могут начаться выборы того или иного параметра, а лишь описывает необходимые для этого условия.

К числу ситуаций, в которых возникают выборы как минимум одного из параметров, относятся:

- подключение в сеть нового STP-совместимого устройства;

- устаревание имеющихся данных (например, в результате выхода из строя или отключения одного из устройств, участвовавших в создании дерева);

- административная акция, изменяющая топологию сети.

Величины bridge identifier и port identifier являются составными и образуются из поля приоритета (может устанавливаться администратором) и поля, присваиваемого производителем (некоторые устройства могут поддерживать установку этих идентификаторов целиком).

Согласно спецификации выборные величины, в зависимости от контекста, могут принимать участие в различных выборах, например, designated cost может принимать участие как в выборах назначенного моста, так и в выборах корневого моста.

Во время работы устройства анонсируют себя и параметры своих портов через Configuration BPDU (далее называемые c-bpdu). Формат c-bpdu приведен в таблице 1 (согласно [1], 9.3.1, рисунок 9-1) и на рисунке 2 (согласно [1], 8.9.1).

Для сообщения об изменениях в топологии используются topology change notification BPDUs, формат которых приведен в таблице 2 и на рисунке 3 (согласно [1], параграф 8.3.5, стр. 63, последний абзац).

Собственно информации передается совсем немного - только статус. По факту прихода такого BPDU любой коммутатор уменьшает время жизни записей в своей таблице коммутации до минимума, определенного стандартом [1].

В момент получения конфигурационного bpdu STP-совместимый мост может определить, что пришедшая информация должна обновить имеющуюся у него информацию. В этом случае устройство изменяет содержимое анонсируемых им bpdu так, чтобы анонсировать выигравшее устройство, а не себя. Обратите внимание, что BPDU не проходят сквозь устройства, которые поддерживают STP - они лишь, при определенных условиях, инициируют на "промежуточном" устройстве посылку собственных BPDU ([1], 8.3.2) и/или изменение содержимого BPDU посылаемых "промежуточным" устройством.

В момент обновления конфигурации STP-совместимое устройство изменяет состояние своих портов - они поочередно принимают одно из следующих возможных значений ([1], 8.4):

- блокирован (Blocking)

Заблокирован. Однако, фреймы содержащие STP пакеты (bpdu), принимаются и обрабатываются, в отличие от пользовательских фреймов ([1], 8.4.1);

- слушает (Listening)

Первый этап подготовки к состоянию Forwarding. Фреймы, содержащие STP пакеты (bpdu), принимаются и обрабатываются, в отличие от пользовательских фреймов ([1], 8.4.2);

- обучается (Learning)

Второй этап подготовки к состоянию Forwarding. Фреймы, содержащие STP пакеты (bpdu), принимаются и обрабатываются, в отличие от пользовательских фреймов ([1], 8.4.3);

- передает (forwarding)

Рабочее состояние портов устройства. Передаются как фреймы, содержащие STP пакеты, так и фреймы пользовательских протоколов ([1], 8.4.4).

Время, на которое порт попадает в то или иное состояние, определяется значениями пауз, которые передаются посредством C-BPDU вместе с остальными параметрами (см. раздел 6.4.7).

Согласно стандарту, во время нахождения в состояниях Blocking, Listening и Learning пересылка не-STP пакетов не разрешена ([1], 8.4.1-8.4.3). В то же время, bpdu-пакеты не обрабатываются только в случае если порт выключен администратором ([1], 8.4.5). Это говорит о том, что если порты находятся в режимах Blocking, Listening или Learning - сеть работает только на STP протокол, но не на пользователя. Этим можно воспользоваться для организации атаки "отказ в обслуживании" (Denial of Service, DoS), в терминах [3].

Собственно, причина, по которой протокол работает именно таким образом ([1], 8.3.4), проста - все так организовано для того, чтобы избежать хаотичного дублирования и/или размножения пакетов в различные сегменты сети в момент перестройки ее топологии. Дублирование и/или размножение пакетов возможно, например, за счет возникновения временных колец, возникающих в процессе переключения состояния того или иного линка. Описание DoS атаки, а также величины параметров, необходимые для максимальной ее эффективности, см. в разделе 6.

В силу того, что топология сети определяется при участии протокола STP возможна атака по схеме ложный объект РВС с навязыванием ложного пути (в терминологии [3]). Подробности см. в разделе 6.5.

Следует отметить, что стандарт не уточняет термин LAN-сегмент в данном контексте, что еще раз указывает, что это вещь весьма относительная, так что состав соответствующих сетей будет меняться в зависимости от выбранной точки подключения.

Вообще говоря, описываемые на примере Ethernet уязвимости протокола относятся (часть может быть применена практически без изменений алгоритма) к любым топологиям, на которых может работать STP. Как следствие, протокол и рассматриваемые атаки, требующие включенной поддержки STP, могут быть применены на любых сетевых топологиях, не допускающих логических колец). В [1] специально обращено внимание на то, что STP может ходить не только поверх Ethernet, но и поверх других сетей с другим принципом MAC.

Для большей наглядности и лучшего понимания работы STP авторы включили примеры, изображенные на рисунке 2. Комментарии к рисунку 2 расположены в самом начале этой главы. Рассмотрим теперь работу STP более подробно, для чего обратимся к рисунку 2.

Рис. 2. STP в действии

Каждый порт каждого моста имеет свою величину Path Cost, обозначенную как PC=XXX. Мост A является Root Bridge, т.к. имеет наименьшее значение Bridge Identifier. Для сети A (LAN A) Designated Bridge Port является порт 1 моста А. Один из портов каждого из четырех оставшихся мостов является Root Port (это порт, ближайший к Root Bridge).

Мосты X и B предоставляют доступ к сети B с одинаковым параметром Path Cost. Однако, в данном случае, порт моста B выбран в качестве Designated Bridge Port, т.к. этот мост имеет меньшее значение Bridge Identifier.

Порт моста C выбран в качестве Designated Bridge Port для сети C, т.к. он предоставляет более "дешевый" доступ к этой сети (стоимость пути через мосты C и B равна 200, а через мосты Y и B - 300).

В стабильном состоянии все мосты ожидают периодической посылки Root Bridge специальных пакетов - Hello BPDU. Если в течение промежутка времени, определяемого значением Max Age Time, таких пакетов от Root Bridge не поступает, мост считает, что либо между ним и Root Bridge нарушена связь, либо последний отключен. В этом случае мост инициирует реконфигурацию топологии сети. Путем установки соответствующих параметров можно регулировать, насколько быстро мосты будут обнаруживать изменения в топологии и задействовать запасные маршруты. На практике с регулировкой значений STP приходится сталкиваться в основном в двух случаях - если в силу обстоятельств STP переводит в режим "запасного" более быстрый линк и если сеть имеет плохую сходимость на значениях по умолчанию из-за большого количества устройств.

Размещено на Allbest.ru