20
дублирующим из этой же группы. Вероятность одновременного
увольнения двух сотрудников направления крайне мала, поэтому это одна
из составляющих стабильности.
Служба безопасности занимается периодической проверкой на уязвимости
сервисов компании, легитимностью трафика с хостинга клиентов и
смежными вопросами. Так же в задачи этой группы входит получение
списка узлов из «Единого реестра запрещенной информации» РКН и
формирование на их основе правил фильтрации трафика.
21
1.1.3 Программная и техническая архитектура ИС предприятия
Информационная система предприятия состоит из сети передачи данных,
сетевого оборудования и серверов. Детальная схема сети является коммерческой
собственностью компании, поэтому на рисунке 1-2 представлена общая схема,
позволяющая понять основные принципы построения сети.
Рис 1-2. Схематическое представление сети передачи данных ООО «ПСК»
В базовой сетевой модели OSI (Open Systems Interconnection) описано 7
уровней взаимодействия:
1. Физический (Среда передачи данных. Провода, радиоканал)
2. Канальный (Физическая адресация, Ethernet, DSL и т.д)
3. Сетевой (IP адресация, маршрутизация)
4. Транспортный (протоколы TCP, UDP, SCTP, прямая связь между
узлами, резервирование)
5. Сеансовый (Управление сеансом связи, RPC, PAP)
22
6. Представительский (Шифрование данных, ASCII, EBCDIC)
7. Прикладной (протоколы FTP, IMAP и т.д)
В работе сетевых инженеров практически повсеместно используется
упрощенная модель, состоящая всего из четырех уровней:
1 — физический. Соответствует физическому уровню классической модели.
Медная витая пара, оптический кабель, радиоканал для wifi и т.д.
2 — канальный. Соответствует канальному уровню классической модели.
MAC адреса, тэги VLAN, Spanning-Tree
3 — сетевой. Включает в себя сетевой и транспортный уровень классической
модели. IP адреса, протоколы TCP, UDP, порты, маршрутизация, фильтрация
пакетов.
4 — уровень приложений. Включает в себя сеансовый, представительский и
прикладной уровни классической модели. На сетевом оборудовании нет
возможности их классифицировать и, следовательно, управлять.
В классической литературе по построению сетей передачи данных обычно
используются четкие разграничения между коммутационным и
маршрутизирующим оборудованием. Коммутация — 2-й, канальный, уровень
модели OSI (Layer2 или L2), маршрутизация — 3-й, сетевой, уровень (Layer3 или
L3). Таким образом подразумевается, что коммутатор ничего не может знать о ip
адресах а маршрутизатор не должен ничего знать о номерах VLAN-ов.
Классическая работа коммутационного оборудования представлена на рисунке 1-
3
рис. 1-3. Принцип работы коммутационного оборудования
23
На рисунке представлена простая сеть, состоящая из двух коммутаторов и
четырех персональных компьютеров. Сетевому инженеру необходимо
обеспечить возможность подключения PC1-1 к PC1-2 и PC2-1 к PC2-2, но при
этом изолировать группы друг от друга. Для этого было установлено два
коммутатора, на обоих создано два vlan: vlan10 для работы первой группы и
vlan11 для работы второй группы. Между коммутаторами проложен всего один
провод, поэтому интерфейсы коммутаторов переведены в магистральный режим,
называемый Trunk — для возможности передачи трафика нескольких vlan.
Персональный компьютер не может обрабатывать номера VLAN, поэтому на его
персональном порту коммутатора трафик очищается от меток VLAN и передается
уже в «чистом» виде. Этот режим работы порта называется Access — доступ.
Добавим в схему маршрутизатор для возможности выхода в интернет как
показано на рис 1-4.
Маршрутизатор не умеет разбирать тэги vlan, следовательно на его
интерфейс должен поступить трафик уже очищенный от меток vlan-ов. В
приведенной схеме это вынуждает нас на коммутаторе настроить режим порта
Access и подключить его в один из двух vlan-ов — либо 10 либо 11 и возможность
выхода в интернет будет доступна только одной группе пользователей. Для
подключения второй группы необходимо между коммутатором и
маршрутизатором проложить еще один кабель, подключить его в
дополнительный сетевой интерфейс маршрутизатора и в этом случае вторая сеть
может получить доступ в Internet. Либо придется использовать второй
маршрутизатор.
Представленные примеры демонстрируют громоздкость классической
схемы построения сетей.
Для решения описанных проблем появился класс сетевого оборудования,
объединяющего возможности и коммутации и маршрутизации одновременно. Их
принято называть Layer3 коммутатор. Плюсом этих устройств является их
универсальность. На это устройство можно передать тэгированный VLAN-ами
трафик в один сетевой интерфейс, на устройстве разобрать трафик в соответствии
с номерами VLAN-ов, часть трафика оставить на 2-м уровне (коммутировать) в
другой порт а часть «поднять» на 3-й уровень и маршрутизировать.
24
Рис 1-4. Подключение в схему маршрутизатора
К слову, современные магистральные маршрутизаторы тоже получили
возможность разбирать трафик из разных vlan-ов на одном физическом
интерфейсе. Но это максимум их возможностей работы на втором уровне OSI, в
то время как Layer3 коммутаторы выполняют практически все функции
маршрутизаторов вплоть до работы по протоколам динамической маршрутизации
BGP (Border gateway protocol), хоть и проигрывают маршрутизаторам по
производительности.
На рисунке 1-2 показана принципиальная схема построения сети компании
и состоит из следующих компонентов:
◦
Ядро сети построено на Layer3 коммутаторах Catalyst серии 6500.
Оборудование установлено на нескольких площадках обмена трафика и
объединено в кольцо выделенным оптоволоконным кабелем. На этом
уровне работают протокол динамической маршрутизации BGP для
взаимодействия с присоединяющими операторами и OSPF для
маршрутизации трафика внутрь сети
◦
Уровень агрегации построен на оборудовании Cisco 37xx серии. На этом
уровне используется только протокол динамической маршрутизации
OSPF, с помощью которого построена схема резервирования каналов, а
также эти L3 коммутаторы являются терминаторами клиентских vlan“ов
25
для b2b сегмента. Из схемы видно, что сеть построена по классической
«Mash» топологии.
◦
На уровне доступа используется коммутаторы D-Link 35-й серии.
◦
В сегментах сети с физическими клиентами присутствуют серверы,
управляющие доступом клиентов. На схеме они обозначены как «Agent
A» и «Agent B». Более детально их функции будут описаны ниже. Эти
серверы закупались по мере необходимости в различное время, поэтому
их конфигурация не идентична. Тем не менее выдерживаются
определенные критерии подбора оборудования:
▪
Семейство процессоров Intel Xeon, 2-х сокетная материнская плата
▪
Обязательное использование технологии отказоустойчивости HDD
— Raid6
▪
4 сетевые карты на сервере, объединяются по схеме 2+2 с
использованием протокола LACP для резервирования оборудования
◦
На площадке «Селектел» расположены серверы для предоставления
услуг клиентам. На них используется решение виртуализации Proxmox,
внутри которого работают все вспомогательные сервисы типа DNS,
почты, биллинга и т. д. На этой же платформе размещаются хостинг
клиентов.
◦
На площадке компании установлена система LanBilling, являющаяся
основным терминалом работы менеджеров и службы технической
поддержки, а также системой автоматизации предоставления услуг.
Основная задача этой системы – отслеживание положительного баланса
на счету клиента для предоставления пакета услуг. При срабатывании
триггеров запускается соответствующий скрипт, включающий или
отключающий порт на клиентском коммутаторе, либо иной услуги.
За стандарт операционных систем всей компании принят Linux. Windows
используется лишь на нескольких компьютерах в отделах, со специфическим
программным обеспечением типа AutoCAD, MS Visio и 1C.
В роли автоматической системы расчетов (АСР) с клиентами выбрана
российская разработка LanBilling (http://www.lanbilling.ru). Это комплекс
26
программных средств для небольших провайдеров, позволяющий
автоматизировать отслеживание состояния счета клиента и генерироовать
«события» для скриптов при наступлении определенных событий. ПО имеет свою
внутреннюю логику и может довольно гибко настраиваться. Состоит из основного
сервера с общей базой данных и «агентов» - серверов, непосредственно
управляющих включением и выключением клиента.
На агенте устанавливается следующее ПО:
Операционная система Gentoo Linux. Выбрана из-за возможности своей
гибкости и возможности перекомпилировать всю операционную систему с
необходимыми флагами оптимизации под конкретные процессоры и
задачи. Зачастую такой подход позволяет увеличить производительность
на 25-30% от базового.
DHCP сервер, (https://www.isc.org/downloads/dhcp/) автоматически
раздающий клиентам ip адреса для работы. Перенастраивается только при
подключении нового клиента для резервирования под него ip адреса.
Iptables — (http://www.netfilter.org/). консольная утилита для управления
межсетевым экраном. В его задачи входит фильтрация нежелательного
трафика для клиентов, NAT (Network Address Translation) для клиентов,
которым не требуется публичный ip адрес, а также принудительная
переадресация HTTP трафика абонента на страницу оплаты, если у него на
счету закончились деньги.
Набор утилит iproute2.
(http://www.linuxfoundation.org/collaborate/workgroups/networking/iproute2).
Пакет является значительным расширением сетевых утилит, используемых
ранее в unix-like системах. Он так же предоставляет возможность управлять
полосой пропускания для конкретного пользователя, что сильно облегчает
конфигурационные файлы коммутаторов и упрощает общее
администрирование сети.
DNS сервер. (https://www.isc.org/downloads/bind/) Используется пакет ISC
BIND. Работает только в кэширующем режиме. Этим мы уменьшаем dns
трафик от клиентов к нашему основному DNS серверу. На этих же серверах
27
службой безопасности создаются записи из реестра запрещенных сайтов
для их блокировки.
Quagga (http://www.nongnu.org/quagga/) представляет собой программную
реализацию протоколов динамической маршрутизации OSPF, BGP и RIP.
Используется для автоматического обмена таблицами маршрутизации с
маршрутизаторами по протоколу OSPF.
Агент Lanbilling поддерживает постоянное соединение с основным
сервером lanbilling'а и принимает от него уведомления о наступлении какого-то
события для конкретного пользователя. Это событие затем передается в скрипт,
который, например, вносит в межсетевой экран сервера строку, разрешающую
клиенту выход в интернет или наоборот.
Телефонные вызовы от клиентов обслуживает программная телефонная
станция Asterisk. Выбрана из-за гибкости настроек, возможности
программирования логики обработки вызовов, которая в нашем случае
подразумевает вызов из астериска внешних php скриптов, открытости и
бесплатности.
IVR (Interactive Voice Response) — технология, позволяющая клиенту
взаимодействовать с компьютерной системой, управляя ей с помощью тональных
сигналов набора номера телефона. На ее базе строятся системы автоматического
обслуживания клиентов. Система работает независимо от времени дня или ночи
и позволяет пользователю получить необходимую информацию в
автоматическом режиме, что позволяет очень сильно сократить нагрузку на
операторов. Основной алгоритм работы системы представлен на рис. 1-5.
28
рис 1-5. Алгоритм работы автоматической системы обслуживания
В биллинге у всех клиентов прописаны контактные номера телефонов, адрес
и порт коммутатора к которому они подключены. Этих данных достаточно для
автоматизации обработки звонков по авариям.
При входящем звонке определяется номер пользователя и передается в
скрипт, отправляющий запрос в базу данных мониторинга, где выбираются
данные по недоступным на данный момент коммутаторам. Если находится
29
соответствие, то абоненту проговаривается стандартная фраза «На вашем участке
сети зафиксирована авария, технические службы оповещены и работают над
восстановлением работоспособности услуги. Если Вы хотите связаться с
оператором для получения дополнительной информации, нажмите „0“».
Если на оборудование абонента не зафиксировано проблем, то управление
передается следующему скрипту, позволяющему клиенту в автоматическом
режиме подключить/отключить услугу, заблокировать работу услуг (например, на
время отпуска) и так далее.