Оглавление
Введение ................................................................................................................... 3
1 Глава. Виртуальные частные сети и анализ MPLS-технологии ...................... 6
1.1 Российские и международные стандарты обеспечения
информационной безопасности .......................................................................... 6
1.2 Виртуальные частные сети и их классификация ................................... 10
1.3 Технологии MPLS................................................................................... 167
2 Глава. Проектирование сети MPLS ................................................................ 256
2.1 Задание на разработку сети ................................................................... 256
2.2 Выбор программного продукта для реализации сети MPLS ............. 256
2.3 Структура программно-аппаратного комплекса сети MPLS ............... 13
2.4 Контрольный пример реализации проекта и его описание .................. 40
2.4.1 Структура сети .................................................................................... 40
2.4.2 Алгоритмы системы в центральной части предприятия ................ 48
2.4.3 Алгоритмы системы в филиалах .................................................... 236
2.4.4 Алгоритмы защиты клиентских станций ....................................... 258
2.4.5 Обеспечение целостности и доступности данных .......................... 61
3 Глава. Тестирование системы и анализ эффективности ................................ 68
3.1 Средства и критерии оценки сети ........................................................... 68
3.2 Вычисление временных задержек .......................................................... 75
3.3 Тестирование каналов связи .................................................................... 76
3.4 Нагрузочное тестирование ...................................................................... 78
3.5 Измерение полезной пропускной способности сети ............................ 84
3.6 Расчет надежности .................................................................................... 89
Заключение ............................................................................................................. 143
Список литературы ....................................................................................... 165
Введение
VPN и MPLS – что это? VPN (англ. Virtual Private Network) нынче
актуален, как никогда прежде. Даже в домашних роутерах стали появляться
не просто VPN-серверы, а еще и с аппаратным ускорением шифрования. Что
же такое VPN и для чего он вообще нужен? Попробуем рассказать об этом
простыми словами. MPLS (англ. multiprotocol label switching —
многопротокольная коммутация по меткам)— механизм в
высокопроизводительной телекоммуникационной сети, осуществляющий
передачу данных от одного узла сети к другому с помощью меток. MPLS –
это своего рода инкапсулирующий протокол, способный транспортировать
информацию множества протоколов низших уровней модели OSI (англ. Open
Systems Interconnectton — взаимодействие открытых систем).MPLS является
масштабируемым и независимым от каких-либо протоколов механизмом
передачи данных.
Из пункта А в пункт Б необходимо передать информацию таким
образом, чтобы к ней никто не смог получить доступа. Вполне реальная и
часто возникающая на практике ситуация, особенно в последнее время. В
качестве пунктов А и Б могут выступать отдельные узлы или целые сегменты
сетей. В случае с передачей информации между сетями в качестве защитной
меры может выступать выделенный канал связи, принадлежащей компании,
информация которой требует защиты. Однако поддержание таких каналов
связи довольно затратное. Проще и дешевле, если информация будет
передаваться по обычным каналам связи (например, через Интернет), но
каким-либо способом будет отделена или скрыта от трафика других
компаний, циркулирующего в Сети. Но не следует думать, что потребность в
конфиденциальной передаче информации возникает только в глобальных
сетях. Такая потребность может возникнуть и в локальных сетях, где
требуется отделить один тип трафика от другого, что обуславливает
необходимость внедрения систем VPN с использованием MPLS.
Актуальность выбранной темы исследования объясняется тем, что в
настоящее время проектирование сетей на основе MPLS достаточно
экономично, но при этом крайне эффективно.
Цель работы – анализ и выявление критериев эффективности системы
MPLS, ее построение, тестирование и расчет надежности.
Для достижения поставленной цели в работе необходимо решить
следующие задачи:
проанализировать виртуальные частные сети и MPLS-
технологии;
исследовать этапы проектирования сети MPLS;
изучить структуру программно-аппаратного комплекса сети
MPLS;
проанализировать процесс тестирования системы и ее
эффективности;
рассчитать надежность и пропускную способность сети;
Объект исследования - системы VPN с использованием MPLS.
Методы исследования, применяемые в данной работе: системный,
сравнительно-правовой, диалектический, анализ документов, статистические
и математические методы обработки информации, методы логического,
структурного, сравнительного, статистического анализа.
Несмотря на то, что проектирование систем VPN активно изучается как
российскими, так и зарубежными исследователями уже почти полтора десятка
лет, проблема сохраняет свою важность. Это вызвано стремительными
технологическими изменениями, непрерывным техническим прогрессом,
таким образом, на повестку дня выдвигаются все новые теоретические
проблемы и новые задачи в сфере проектирования VPN.
Нормативной базой в данной дипломной работе являются:
Федеральный закон об информации, информационных технологиях и о защите
информации», Государственных стандартов в области информационной
безопасности: ГОСТ Р ИСО/МЭК 27001-2006, ISO 15408, ГОСТ Р ИСО/МЭК
ТО 197912008, ГОСТ Р ИСО/МЭК 17799-2005, а также труды отечественных
ученых, материалы, опубликованные в периодической печати.
Фактической основой исследования послужили данные МУП «ЕРЦ
ЖКХ», которые были получены в период прохождения преддипломной
практики в МУП «ЕРЦ ЖКХ» г. Домодедово.
Дипломная работа состоит из введения, трех разделов, заключения и
списка использованных источников и литературы, приложений. Во введении
содержится актуальность научного исследования, поставлена основная цель и
выявлен ряд задач, а также определены основные методы исследования.
В первом разделе рассматриваются российские и зарубежные
стандарты обеспечения информационной безопасности, выявлены и
проанализированы основные понятия. Во втором разделе рассматривается
процесс проектирования сети MPLS, ее структура. В третьем разделе описаны
результаты тестирования системы и проанализирована ее эффективность. В
заключении приведены основные выводы, полученные в результате
проведенного исследования.
Научная новизна и практическая значимость исследования
заключаются в комплексном рассмотрении теоретических и практических
проблем проектирования систем VPN с использованием MPLS, рассмотрены
алгоритмы использования системы в различных частях предприятия.
1 Виртуальные частные сети и анализ MPLS-технологии
1.1 Российские и международные стандарты обеспечения
информационной безопасности
Проблема защищенности информации в корпоративных
информационных системах и ее сегментах, регулярный аудит рисков их
информационной безопасности и организации в целом определяется как
минимум следующим противоречием. С одной стороны, вопросы
безопасности информационных объектов являются на сегодня широко
обсуждаемыми, востребованными в поисках методов и средств их решения,
нормативно поддержанными множеством международных и национальных
стандартов, кроме того выступают как отдельная сторона финансовых
расходов любой организации. С другой стороны, неизменно растут ущербы
финансового и материального толка, причиненные собственникам
информационных ресурсов от компьютерных атак.
Согласно стандарту, ГОСТ Р ИСО/МЭК 17799-2005, информационная
безопасность (ИБ) есть механизм защиты информации, обеспечивающий:
конфиденциальность (доступ к информации только авторизованных
пользователей); целостность (достоверность и полноту информации и методов
ее обработки); доступность (доступ к информации и связанным с ней активам
авторизованных пользователей по мере необходимости).
На сегодняшний день нормативно вопросы организации, управления
системой ИБ технологий, автоматизированных систем, организации в целом
находят отражение в достаточно широком спектре международных и
идентичных им национальных стандартах. Перечислим лишь некоторые из
них, которые будут полезны для проведения данного исследования (табл.1.1).
Таблица 1.1 Назначение стандартов по ИБ
Название
Назначение
ГОСТ Р ИСО/МЭК 27001-
2006 Методы и средства
обеспечения безопасности.
Системы менеджмента
информационной
безопасности
описывает выстраивание системы ИБ на
предприятии, - предъявляет требования не
столько к техническим средствам защиты,
сколько к системе управления ИБ.
ISO 15408 Часть 1-3
Информационная
технология. Методы и
средства обеспечения
безопасности Критерии
оценки безопасности
информационных
технологий
часть 1. Введение и общая модель, часть 2.
Функциональные требования безопасности,
часть 3. Требования доверия к безопасности;
предназначен для использования в качестве
основы при оценке характеристик
безопасности продуктов или систем
информационных технологий (ИТ).
Устанавливая общую базу критериев,
ИСО/МЭК 15408 позволяет сделать
результаты оценки безопасности ИТ
значимыми для более широкой аудитории
ГОСТ Р ИСО/МЭК ТО
197912008
Информационная
технология. Методы и
средства обеспечения
безопасности. Оценка
безопасности
автоматизированных
систем
содержит дополнительные критерии оценки и
рекомендации по оценке аспектов
безопасности, связанных как с ИТ, так и с
применением их в АС;
устанавливает: а) определение и модель АС,
Ь) описание расширений концепции оценки
безопасности с помощью стандартов серии
ИСО/МЭК 15408 необходимых для оценки
АС; с) методологию и процесс выполнения
оценки безопасности AC, d) дополнительные
критерии оценки безопасности,
охватывающие те аспекты АС, которые не
были представлены критериями оценки
безопасности в стандартах серии ИСО/МЭК
15408.
Одним из ключевых вопросов построения системы ИБ в КИС является
проблема разработки определенных мер безопасности и обеспечения контроля
за их выполнением. Согласно ГОСТ Р ИСО/МЭК ТО 19791 они представлены:
управленческими (management controls); организационными (operational
controls); техническими (technical controls).
Обеспечение необходимого уровня ИБ КИС требует: a) оценки рисков
безопасности применительно к рассматриваемой системе: b) уменьшение
рисков для противодействия или устранения рисков безопасности
посредством выбора обеспечения безопасности: c) аттестации для
подтверждения того, что остаточные риски, являются приемлемыми для
системы при дальнейшей ее эксплуатации.
Для удобства реализации перечисленных выше мер и этапов работ,
будет целесообразным провести параллель со стадиями и этапами создания
автоматизированных систем согласно ГОСТ 34.601-90 и определить где и как
могут быть представлены требования к ИБ КИС, а на каких этапах —
осуществлены. Тем более, что стандарт ГОСТ Р ИСО/МЭК ТО 19791
устанавливает необходимым рассмотрение безопасности в жизненном цикле
АС (табл. 1.2).
Таблица 1.2 Соответствие работ по обеспечению ИБ АС на всех этапах
ее ЖЦ
Стадии
Работы по обеспечению ИБ
Формирование
требований к
АС
идентификация и оценка рисков для АС, идентификация и
оценка остаточных рисков АС; привлечение оценщиков
упрощения их ознакомления с системой и ее предполагаемой
средой, получения исходных данных.
Разработка
концепции АС
запись проекта АС в задание по безопасности АС (ЗБС),
определение контрмер обеспечения безопасности самой АС,
анализ уязвимости и испытание на проникновение при
наличии потенциала нападения, оценка полного ЗБС,
Техническое
задание
определение соответствующих параметров конфигурации
безопасности
Эскизный
проект
создание или приобретение программного обеспечения для
систем и бизнес-приложения, включая технические меры
безопасности, интеграция и конфигурирование системы,
испытание ее разработчиком; создание организационной
структуры безопасности, формирование политики, правил и
процедур безопасности, интегрирование их в систему;
Технический
проект
проверка разработчиком специфических для системы мер
обеспечения безопасности (МОБ); внедрение соответствующих
параметров конфигурации безопасности; оценка АС,
Рабочая
документация
составление отчета о сертификации; подготовка владельцем
системы плана корректирующих действий по уменьшению или
устранению выявленных уязвимостей; определение
аттестующим лицом приемлемости фактических остаточных
рисков для функционирования системы, выдача разрешения на
эксплуатацию системы как результат стадии сертификации,
Ввод в
действие
подготовка и внедрение технических и организационных МОБ;
испытание специфических для рабочего места МОБ, повторная
проверка др. МОБ; обучение всех задействованных лиц
использованию мер и процедур обеспечения безопасности в
среде эксплуатации, сбор и оценка записей об эксплуатации
технических и организационных МОБ, регистрация журналов
аудита и записей мониторинга всего доступа к активам,
проверка отсутствия несанкционированных операций и
неприемлемых рисков, перевод состояний незащищенности в
состояния защищенности в назначенный срок; контроль и
оценка наличия проблем с безопасностью изменений,
внесенных в ходе регламентного обслуживания; проверка
записей о фактическом доступе и использовании активов,
своевременное уведомление, проверка и анализ проблем с
безопасностью, определение критически важных МОБ АС с
целью непрерывного мониторинга их эффективности;
Сопровождение
АС
изучение, анализ и тестирование любых предполагаемых или
фактических изменений АС, выходящих за рамки
регламентного обслуживания, проведение испытаний на
проникновение для проверки эффективного функционирования
модифицированных мер обеспечения безопасности,
предоставление результатов анализа воздействия и испытаний
аттестующему лицу для определения необходимости
повторной оценки безопасности; проведение (возможно)
повторной оценки системы ИБ АС; передача в архив или
уничтожение АС после завершения ее эксплуатации,
подтверждение аттестующим лицом успешной остановки
системы.
Отдельной строкой в проблеме обеспечения ИБ КИС как любой АС
стоит оценка уровня ее ИБ. Согласно стандарту ГОСТ Р ИСО/МЭК ТО 19791
этот процесс состоит из следующих этапов: a) определение целей
безопасности для АС, которые уменьшат неприемлемые риски до
приемлемого уровня; b) выбор и спецификация технических и
организационных мер безопасности, которые соответствуют целям
безопасности АС, принимая во внимание уже реализованные меры
обеспечения безопасности; с) определение конкретных измеримых
требований доверия как к техническим, так и организационным мерам
обеспечения безопасности, чтобы удостовериться в том, что АС соответствует
целям безопасности; d) фиксирование принятых решений в задании по
безопасности для АС (ЗБС); е) оценка конкретной АС с тем чтобы сделать
вывод о ее соответствии ЗБС; f) периодическая переоценка рисков
безопасности АС, так и способности АС противостоять этим рискам.
1.2 Виртуальные частные сети и их классификация
Виртуальная сеть — логическая сеть, создаваемая поверх другой сети,
чаще всего, Интернет. Несмотря на то, что коммуникации осуществляются по
публичным сетям, с использованием небезопасных протоколов, за счёт
шифрования создаются закрытые от посторонних каналов обмена
информацией. VPN позволяет объединить, например, несколько офисов
организации в единую сеть с использованием для связи между ними
неподконтрольных каналов.
На базе технологии VPN могут быть реализованы четыре основных вида
услуг.
1. Виртуальная частная сеть с удаленным доступом (Remote Access
VPN) позволяет реализовать защищенное взаимодействие между сегментом
корпоративной сети (центральным офисом или филиалом компании) и
удаленным пользователем, который подключается к корпоративным
ресурсам. Удаленный пользователь, как правило, не имеет статического IP-
адреса и подключается к защищаемому ресурсу не через выделенное
устройство VPN, а напрямую с собственного компьютера, где и
устанавливается программное обеспечение, реализующее функции клиента.
Эти функции включают хостинг и управление, хостинг
пользовательской базы данных (сервер RADIUS), а также поддержку
безопасности с помощью межсетевых экранов и шифрования.
2. Внутрикорпоративная виртуальная частная сеть, интранет
(Intranet) VPN позволяет объединить в единую защищенную сеть несколько
распределенных филиалов одной организации, взаимодействующих по
открытым каналам связи операторской IP-сети.
Именно этот вариант получил наиболее широкое распространение во
всем мире. Интранет VPN позволяет организации устанавливать связь между
филиалами компании через выделенную IP-сеть или Интернет.
3. Межкорпоративная сеть, экстранет (Extranet) VPN является
услугой, которая обеспечивает прямой доступ из сети одной компании к сети
другой компании и, таким образом, способствует повышению надежности
связи, поддерживаемой в ходе делового сотрудничества.
Сети «экстранет VPN» в целом похожи на внутрикорпоративные
виртуальные частные сети с той лишь разницей, что взаимодействуют через
публичную IP-сеть разных компаний. В этом случае проблема защиты ин
формации является более острой.
4. VPN «Клиент-сервер» (Client/Server VPN) обеспечивает защиту
передаваемых данных между двумя удаленными узлами (не сетями) одной
корпоративной сети. Особенность данного варианта состоит в том, что VPN
строится между узлами, находящимися, как правило, в одном сегменте сети,
например, между рабочей станцией и сервером. Такая необходимость очень
часто возникает в тех случаях, когда необходимо создать в одной физической
сети несколько логических сетей.
Существует несколько вариантов технической реализации VPN.
Основными критериями выбора того или иного решения являются
производительность средств построения VPN и, конечно, их стоимость. Для