11
Коммутатор (wifi)
Шкаф телекоммуникационный (14 U)
3 этаж
Коммутатор (видеонаблюдения)
Коммутатор (администрации)
Коммутатор (учебных классов)
Коммутатор (каб № 307)
Коммутатор (wifi)
Шкаф телекоммуникационный (14 U)
2 этаж
Коммутатор (видеонаблюдения)
Коммутатор (администрации)
Коммутатор (учебных классов)
Коммутатор (каб № 205)
Коммутатор (wifi)
Шкаф телекоммуникационный (14 U)
1 этаж
Коммутатор (видеонаблюдения)
Коммутатор (администрации)
Коммутатор (учебных классов)
Коммутатор (wifi)
Шкаф телекоммуникационный (28 U)
серверная
Коммутатор (видеонаблюдения)
Коммутатор (администрации)
Коммутатор (учебных классов)
ИБП (APC Smart-UPS 1500)
UniFi AP Pro
UniFi AP Pro
UniFi AP Pro
Optimus IP-E011.3
Optimus IP-E011.3
Optimus IP-E011.3
Рабочее место администрации
Рабочее место администрации
Рабочее место администрации
Учебные классы
Учебные классы
Учебные классы
Кабинет инф.
№ 307
Кабинет инф.
№ 205
Межсетевой экран
учебных классов
Контроллер беспроводных
точек доступа
Сетевой видеорегистратор
Macroscop NVR-32M
Интернет
Пограничный
маршрутизатор
Asus RT N-66U
FTTS
Межсетевой экран
учреждения
Медиа
конвертор
Прокси-сервер с
межсетевым экраном
Рис. 1.3 Техническая архитектура информационной системы учебного корпуса №3
Контроллер Kaspersky
Security Center
12
Рассмотрим вышеуказанные компоненты информационной системы
более подробно.
Медиаконвертер – NetLink FE-920A20SC осуществляет преобразование
интерфейсов (витая пара - одномодовый оптический кабель по одному волокну)
для сетей Ethernet 10/100BASE-TX и 100BASE-FX. Устройство позволяет
одновременно передавать/получать сигналы на длинах волн 1310 нм и 1550 нм
по одному оптическому волокну на расстояние до 20 км. Медиаконвертер имеют
1 порт RJ-45 для витой пары и 1 порт для оптического кабеля (SC-коннектор). На
порту для витой пары реализована поддержка автоматического определения
скорости, режимов работы (полнодуплексный или полудуплексный), что
упрощает настройку медиаконвертера в существующей сети.
В качестве пограничного маршрутизатора используется беспроводной
маршрутизатор ASUS RT-N66U, предназначенный для ресурсоемких
приложений. Управление и конфигурирование этого устройства доступны
посредством web-интерфейса. Обладает 4 локальными портами со скоростью
1Гб/с, и одним 1Гб/с WAN интерфейсом. Осуществляет подключение к сети
интернет, посредством PPPoE соединения.
Прокси-сервер осуществляет авторизацию, кэширование, учет и
разграничение доступа к ресурсам сети Интернет для различных пользователей
и групп пользователей. Для работы в качестве прокси-сервера используется
компьютер под управлением операционной системы Ubuntu 16.04.3 LTS со
следующими характеристиками:
ОЗУ – 4 Гб – DDR3.
Процессор – Intel Core i3-3220 (3300 МГц).
Жесткий диск – Seagate Barracuda ST500DM009 (500 Гб).
Для выполнения функциональных обязанностей на прокси-сервере
установлено следующее программного обеспечение:
Служба прокси-сервера Squid версии 3.1.
Служба антивирусного сканера ClamAV версии 0.99.2/24019
Модуль контентной фильтрации DansGuardian версии 2.10.1.1
13
С целью защиты от несанкционированного доступа и снижения уровня
угрозы, в случае компрометации прокси-сервера на нем запущен модуль
межсетевого экрана Shorewall версии 4.4.26.1.
Поскольку прокси-сервер находится в серверном помещении, то для его
конфигурирования применяется удаленные подключения, это позволяет
изменять настройки сервера, даже при нахождении обслуживающего персонала
в других корпусах. Удаленное подключение к серверу выполняется посредством
двух протоколов, в зависимости от задач по конфигурированию, а именно SSH и
HTTPS. Оба протокола позволяют осуществлять безопасное подключение к
прокси-серверу. При SSH подключении используется авторизация по
сертификату, все остальные способы авторизации отключены. Для обеспечения
данного функционала на прокси-сервер установлено следующее дополнительное
программное обеспечение:
служба SSH доступа – OpenSSH версии 5.9;
служба удаленного управления сервером – Webmin версии 1.860;
Межсетевой экран учреждения – осуществляет управление потоками
данных в соответствии с правилами, заданными в конфигурационных файлах.
Данный элемент контролирует сетевые соединения и прохождение пакетов из
администрации в сеть управления видеонаблюдением и учебные классы,
разрешает выход в интернет, только посредством прокси-сервера. Также
выступает главным DNS сервером для зоны kkptud.local, обслуживая локальную
сеть. Для этого в качестве межсетевого экрана используется компьютер под
управлением операционной системы Ubuntu 16.04.3. LTS со следующими
характеристиками:
ОЗУ – 3 Гб – DDR2;
процессор – Intel Xeon E5440 (2830 МГц);
жесткий диск – Seagate Barracuda ST250DM000 (250 Гб).
Для маршрутизирования, обработки пакетов локальной сети в
соответствии с заданными правилами, обслуживания DNS зоны установлено
следующее программное обеспечение:
модуль настройки межсетевого экрана – Shorewall версии 4.4.26.1;
сервис DNS – BIND версии 9.8.
14
Поскольку межсетевой экран учреждения расположен в помещении
серверной, то для его управления так же используются средства удаленного
доступа по протоколам SSH, HTTPS, для обслуживания которых запущены
соответствующие службы:
служба SSH доступа – OpenSSH версии 5.9;
служба удаленного управления сервером – Webmin
версии 1.860.
Межсетевой экран учебных классов – осуществляет управление
потоками данных в соответствии с правилами, заданными в конфигурационных
файлах. Данный элемент контролирует сетевые соединения и прохождение
пакетов из учебных классов к ограниченному списку ресурсов внутренней сети
учреждения, таким как прокси-сервер, DNS-сервер, разрешает выход в интернет,
только посредством прокси-сервера. Прохождение пакетов между кабинетами
информатики, беспроводными клиентами и учебными классами запрещены. Для
этого в качестве межсетевого экрана используется компьютер под управлением
операционной системы Ubuntu 16.04.3. LTS и обладает следующими
характеристиками:
ОЗУ – 4 Гб – DDR2;
процессор – Intel Core 2 Duo E8200 (2667 МГц);
жесткий диск – Seagate Barracuda ST250DM000 (250 Гб);
Для маршрутизирования, обработки пакетов локальной сети в
соответствии с заданными правилами установлен модуль настройки
межсетевого экрана – Shorewall версии 4.4.26.1.
Поскольку межсетевой экран учреждения расположен в помещении
серверной, то для его управления так же используются средства удаленного
доступа по протоколам SSH, HTTPS, для обслуживания которых запущены
соответствующие службы:
служба SSH доступа – OpenSSH версии 5.9;
служба удаленного управления сервером – Webmin
версии 1.860.
На сетевой видеорегистратор возложены функции по получению потока
видео с камер наблюдения, его обработки, записи и воспроизведения по
15
требованию. В качестве видеорегистратора используется Macroscop NVR-32M
выполненный на базе специализированного решения под управлением
операционной системы Windows 7 x64 SP 1 и программного обеспечения
Macroscop версии 2.3.330 со следующими аппаратными характеристиками:
ОЗУ – 8 Гб – DDR3;
процессор – Intel Core i5-3570 (3400 МГц);
жесткий диск ОС – Hitachi Travelstar Z5K320 (320 Гб);
жесткие диски для хранения видеоархива – Seagate Barracuda
ST3000DM001 (3 Тб) в количестве 4 штук, суммарный объем
видеоархива 12 Тб.
Управление видеорегистратором осуществляется удаленно посредством
специализированного программного обеспечения Macroscop Client, либо с
помощью HTTPS соединения.
Коммутаторы подсети видеонаблюдения осуществляют функции
передачи потока видео с камер видеонаблюдения на сервер видеонаблюдения. В
качестве коммутатора используется DES-1210-08P производителя D-Link. Они
обладают восемью 100Мб/с портами с функцией Power over Ethernet (PoE) –
технологией, позволяющей передавать удалённому устройству электрическую
энергию вместе с данными через стандартную витую пару в сети Ethernet. Это
позволяет минимизировать количество проводов подводимых для обеспечения
функционирования устройства. На коммутаторы установлена прошивка версии
v2.02.002.
Камеры системы видеонаблюдения позволяют фиксировать события,
происходящие в учебном корпусе и на его прилегающей территории. Это
позволяет повысить уровень безопасности учебного учреждения, предупреждать
правонарушения и быстро реагировать в случае их возникновения, решать их
спорные моменты. Используются камеры видеонаблюдения марки Optimus IP-
E011.3 производства фирмы Optimus. Это 1.3 мегапиксельные камеры с
разрешением 960H, функцией PoE, и интерфейсом Onvif 2.2. Конфигурация
камер осуществляется удаленно, посредством протокола HTTP.
Контроллер беспроводных точек – осуществляет управление
беспроводными точками и сетями, регулирует использование частотного
16
ресурса, осуществляет авторизацию пользователей, учитывает трафик,
прошедший через каждую беспроводную точку и его потребление конкретным
пользователем. Позволяет осуществить бесшовный роуминг в пределах
управляемых точек, выполнять централизованное обновление прошивок
беспроводных точек, выполнять балансировку нагрузки между точками досупа.
Контроллер построен на базе компьютера под управлением операционной
системы Ubuntu 16.04.3 LTS и обладает следующими характеристиками:
ОЗУ – 4 Гб – DDR2;
процессор – Intel Core 2 Quad Q8300 (2500 МГц);
жесткий диск – Seagate Barracuda ST250DM000 (250 Гб).
Для реализации функции контроллера беспроводных точек, на данный
компьютер установлено следующее программное обеспечение:
служба контроллера беспроводных точек – Unifi версии 5.5.24;
служба базы данных – MongoDB версии 2.6.10.
Для удаленного управления используются средства удаленного доступа
по протоколам SSH, HTTPS, для обслуживания которых запущены
соответствующие службы:
служба SSH доступа – OpenSSH версии 5.9;
служба удаленного управления сервером – Webmin
версии 1.860.
Коммутаторы беспроводной подсети Wi-Fi служат для соединения
беспроводных точек с контроллером и соединяют всех беспроводных клиентов
клиентам в локальную подсеть. В качестве коммутаторов используются
TOUGHSwitch PoE PRO фирмы Ubiquity. Они обладают восемью 1Гб/с портами
с функцией Power over Ethernet (PoE). На коммутаторы установлена прошивка
версии SW.v1.3.5. Управление ими осуществляется через web-браузер
посредством HTTPS соединения.
Беспроводные точки доступа используются авторизации пользователей и
для предоставления доступа к локальной подсети. В качестве беспроводных
точек используются точки UniFi AP-Pro производителя Ubiquity. Они обладают
двумя портами 1Гб/с с функцией PoE. На точки доступа установлена
17
прошивка 3.8.6.6650. Управление точками осуществляется посредством web-
интерфейса контроллера беспроводных точек.
Для обеспечения информационной безопасности сети используется
контроллер Kaspersky Security Center для централизованного управления
антивирусным пакетом Kaspersky Endpoint Security на клиентских компьютерах.
В его функционал входит обновление версий и антивирусных баз, сбор
статистики и составление отчетности о статусе информационной безопасности
учреждения, количестве выявленных тел вирусов, применения политик к
конечному пользователю и удаленной установки программного обеспечения.
Контроллер построен на базе компьютера под управлением
операционной системы Windows 7 SP1 и обладает следующими
характеристиками:
ОЗУ – 4 Гб – DDR2;
процессор – Intel Core 2 Quad Q8300 (2500 МГц);
жесткий диск – Seagate Barracuda ST250DM000 (250 Гб).
Для работы в качестве контроллера на компьютер установлено
следующее программное обеспечение:
Kaspersky Security Center версии 10;
Microsoft SQL Server 2008 Express 32-bit.
Управление осуществляется удаленно посредством специализированного
программного обеспечения –
Консоли Администрирования.
Коммутаторы учебных классов осуществляют соединение компьютеров,
расположенных в учебных классах на различных этажах здания в единую
подсеть. В качестве коммутатора учебных классов используется DGS-1016D
фирмы D-Link. Они обладают 16 портами со скоростью 1Гб/с. Поскольку
коммутатор является не управляемым его удаленное конфигурирование не
предусмотрено производителем.
Источники бесперебойного питания (ИБП) служат для обеспечения
бесперебойной работы критичного к отказам элементов технической
архитектуры, а именно сервера и межсетевые экраны, система видеонаблюдения.
В качестве ИБП используются Smart-UPS 1500, Back-UPS 650VA производства
18
фирмы APC. ИБП расположеные в помещении серверной и на каждом этаже в
телекоммуникационном шкафу.
В качестве рабочих мест административно-управленческого персонала
используются различные аппаратные конфигурации компьютеров, работающих
под управлением операционных систем Windows 7, Windows 8, Windows 10.
Версии операционных систем и используемого программного обеспечения
варьируются в зависимости от аппаратного обеспечения и решаемых на данном
участке задач. Общее количество рабочих мест в данной группе составляет 15
машин.
В учебных классах так же используются различные аппаратные
конфигурации компьютеров и ноутбуков, работающие под управлением
операционных систем Windows 7, Windows 8. Версии операционных систем и
используемого программного обеспечения варьируются в зависимости от
аппаратного обеспечения решаемых в данном классе задач. Общее количество
рабочих мест составляет 35 машин.
В качестве беспроводных клиентов используются комплекты планшетов
под управлением операционных систем Windows 8 и Android. В зависимости от
потребностей они выделяются из мобильного резерва для учебных нужд
конкретных групп и классов в конкретный момент. В мобильном резерве
присутствует 38 планшетов iRU B1001GD под управлением ОС Windows 8 и 25
планшетов Acer Iconia One B3-A32 под управлением ОС Android 6.0.
Кроме этого есть два кабинета информатики, не отраженные подробно на
схеме технической архитектуры, в них используются моноблоки Aspire Z1620
производства Acer, под управлением операционной системы Windows 8 со
следующими характеристиками:
ОЗУ – 4 Гб – DDR3;
процессор – Intel Core i3-3220 (3300 МГц);
жесткий диск – WD Black WD5000LPLX (500 Гб).
Общее количество рабочих мест в обоих компьютерных классах
составляет 34 рабочих места.
19
1.1.3 Программная архитектура ИС ГБПОУ «КЦО №1»
Программная архитектура информационной системы ГБПОУ
«Кунгурский центр образования №1» представлена на рисунке 1.4.
Рис. 1.4 Программная архитектура информационной системы
В ней отображено взаимодействие рабочих станций учебных классов,
кабинетов информатики беспроводных клиентов и компьютеров
административно-управленческого персонала с межсетевыми экранами и
прокси-сервером.
Интернет
Прокси-сервер
Серверное ПО
Ubuntu 16.04.3 LTS
Служба антивируса
ClamAV
Служба прокси-
сервера
Squid
Служба контент-
фильтрации
Dansguardian
Модуль
межсетевого
экрана
Shorewall
HTTP, HTTPS
tcp/ip
tcp/ip
Рабочие станции,
беспроводные
клиенты
Web-браузер
Firefox
Контроллер Kaspersky Security Center
Proxy (HTTP, HTTPS)
Антивирусное ПО
Kaspersky Endpoint
Security 10
Специализированное
ПО Kaspersky
Security Center
Антивирусное ПО
Kaspersky Endpoint
Security 10
Microsoft
SQL
Server
2008
Express
Антивирусное ПО
Kaspersky Endpoint
Security 10
Межсетевой экран
ОС Windows 7 SP1
Серверное ПО
Ubuntu 16.04.3 LTS
Модуль
межсетевого
экрана
Shorewall
Служба DNS
сервера
BIND
DNS
Специализиро-
ванное ПО
Macroscop Client
Пост охраны
Видеорегистрат
ор Macroscop
DNS, HTTP, HTTPS
DNS, HTTP, HTTPS
Специализиро-
ванное ПО
Macroscop
Видеоархив
20
Основным ресурсом, используемым в локальной сети, является прокси-
сервер, используемый для доступа к ресурсам интернет. Рассмотрим
взаимодействие программных модулей при обращении web-браузера к ресурсам
сети интернет. Обращение происходит посредством настроек браузера на
использование прокси-сервера по протоколам HTTP и HTTPS. Web-браузер
обращается к ресурсам сети, используя прокси-сервер, в этот момент происходит
перехват соединения локальным антивирусным пакетом Kaspersky Endpoint
Security. Далее перехваченный запрос по протоколу TCP/IP отправляется на
межсетевой экран – Shorewall соответствующего уровня и обрабатывается его
правилами. Если данной машине разрешен доступ к прокси-серверу, то пакеты
соединения пересылаются далее, в противном случае происходит сброс
соединения.
При поступлении соединения на прокси-сервер, первым запрос
обрабатывает модуль контентной фильтрации и сравнивает со списком
запрещенных адресов, если ресурс находится в списках, то доступ к нему
блокируется, в противном случае запрос пересылается вышестоящему прокси-
серверу. В качестве вышестоящего прокси-сервера выступает служба
кэширующего прокси – Squid, она выполняет журналирование запросов к
ресурсам сети интернет, для построения отчетов. Осуществляет поиск
запрашиваемой информации в локальном кэше и, при наличии, отдачу ее
клиенту. Если информация в локальном кэше отсутствует, по происходит ее
запрос, посредством пересылки запроса на вышестоящий прокси.
В качестве вышестоящего прокси-сервера для Squid выступает служба
антивируса ClamAV. Данная служба проверяет входящий трафик прокси-сервера
на наличие тел вредоносных объектов и в случае их обнаружения производит
лечение или удаление зараженного объекта. Это позволяет нейтрализовать
угрозы по протоколу HTTP, до их поступления на машины пользователей и
предотвращает заражение кэша службы Squid.
Перед пересылкой пакетов соединения происходит их проверка по
правилам локального межсетевого экрана Shorewall, что позволяет
контролировать подключение прокси-сервера к запрещенным ресурсам, при
блокировке соединения происходит его сброс. Если соединение с данным