1.1.3. Программная и техническая архитектура ИС предприятия
Техническая архитектура организации базируется на основе
структурированной кабельной системы, позволяющей эффективно
передавать, распределять и преобразовывать в едином информационном
пространстве потоки различных типов данных по средствам ЛВС, телефонии,
системы контроля уровня доступа и видеонаблюдения.
ЛВС состоит из следующих компонентов:
— Коммутаторы уровня ядра;
— Коммутаторы уровня доступа;
— Маршрутизатор.
Кабельная система пронизывает оптоволокном здание организации и
включает в себя патч-корды, кросс-панели, гнезда и разъемы.
Многоуровневая иерархическая СКС физически объединяет несколько
площадок и распределенные структурные системы и подсистемы
логического характера.
Многоуровневая модель сети состоит из:
— WAN – сегмента;
— уровня ядра;
— уровня распределения;
— В организации используется архитектура Collapsed Core (далее
ядро/распределение). В данной архитектуре уровень ядра и распределения
объединяются в одном логическом устройстве (кластер из 2-х коммутаторов
ядра).
Уровень доступа объединяет устройства, к которым подключаются
конечные пользователи (оргтехника, телефоны и т.д.).
В единую сеть подключены около 700 стационарных компьютеров
пользователей и учебных станций, более 20 серверов, 100 сетевых устройств
различного уровня и более 20 устройств в составе мультимедийных систем и
комплексов.
На каждой площадке внедрена технология Wi-Fi, обеспечивающая
доступ к сети планшетным компьютерам, ноутбукам, мобильным
устройствам гостей и сотрудников, в среднем до 100 устройствам ежедневно.
Коммутаторы доступа подключаются к коммутаторам ядра сети двумя
независимыми каналами, выполненными по технологии 10 Gigabit Ethernet.
Данные каналы организованы таким образом, чтобы обеспечить активную
работу обоих из них методом балансировки трафика. При выходе из строя
одного из каналов связи, трафик, ранее транспортировавшийся через него,
прозрачно переадресовывается оставшемуся работоспособным каналу.
Каналы объединены динамически в одну логическую группу.
Коммутаторы доступа обеспечивают высокоскоростное подключение
клиентских устройств по стандарту 1000Base-T. Порты коммутаторов
доступа обеспечивают первоначальную изоляцию трафика различных
информационных систем по различным VLAN.
Коммутаторы доступа составляют в соответствие определенной VLAN
виртуальную таблицу MAC-адресов, тем самым обеспечивая логическую
изоляцию приложения на канальном уровне.
Коммутаторы доступа осуществляют питание оконечного
оборудования, по технологии Power over Ethernet до 30 Вт/порт.
В качестве свитчей уровня доступа используются устройства HP 5130-
48G-PoE+-4SFP+ EI HP 5130 EI. На рисунке 5 представлены основные
модели коммутатора:
Рисунок 5. Модели коммутатора HP 5130 EI Switch Series
Основные характеристики представлены в таблице 1:
Таблица 1
Характеристики коммутатора HP 5130 EI Switch Series
Тип
Коммутатор
Порты 100MbE
нет
Порты 1GbE
в зависимости от модели:
24 x 1GbE - RJ-45
48 x 1GbE - RJ-45
8 x 1GbE - RJ-45
в зависимости от модели:
24 x 1GbE - SFP
Порты 10GbE
стандартно:
4 x 10GbE - SFP+
Управление
Web-based GUI
sFlow
LLDP
SNMP
RMON
ISSU
DLDP
L2 коммутация
да
L3
маршрутизация
да
Высокая
Multiple Spanning Tree
доступность
IRF
SmartLink
Стекирование
да
Безопасность
DHCP protection
SNMPv3
RADIUS/HWTACACS
MAC-based authentication
SSHv2
Dynamic ARP protection
HTTPS
ACLs
SSL
Поддержка PoE
да
Система
электропитания
в зависимости от модели:
Фиксированный БП
Отказоустойчивый блок питания, дублирование по схеме
1+1, с горячей заменой
Размеры
Высота: 44 мм (1U)
Ширина: 440 мм (19")
в зависимости от модели:
Глубина: 160 мм
Глубина: 360 мм
Глубина: 420 мм
Глубина: 460 мм
Форм-фактор
1U Rackmount
В коммутаторах серии HP 5130 EI Switch Series в стек IRF
объединяются 9 шасси, осуществляется поддержка протокола RIP и
статической маршрутизации уровня 3, присутствует поддержка
виртуализации, путем объединения в одно логическое устройство до 9
физических коммутаторов.
Модернизация сетей обеспечивается функцией программных сетей
(SDN) с поддержкой OpenFlow 1.3.
Устройства способны назначать приоритетный уровень и предел
скорости для определенного потока данных с учетом разъема, сети VLAN
или коммутатора.
Функции приоритизации трафика и предотвращения перегрузок
включают в себя следующее: очередь на основе приоритетов (SP), кольцевой
список c весовыми коэффициентами (WRR), взвешенное произвольное
раннее обнаружение (WRED), а также SP+WRR и назначение политик для
трафика с применением технологии Committed Access Rate (CAR) и учетом
пропускной способности.
Шифрование методов доступа CLI, GUI или MIB осуществляется по
протоколу SSHv2, SSL и (или) SNMPv3, а также другими компонентами,
включая защиту DHCP, IP Source Guard, Dynamic ARP Protection и
RADIUS/HWTACAS.
На каждом коммутаторе доступа настроены VLAN, в соответствии с
таблицей VLAN.
Уровень ядра обеспечивает высокоскоростной обмен информацией
между уровнем доступа, серверной фермой, WAN-сегментом и узлом
Интернет.
В качестве устройства уровня ядра сети выступают два коммутатора,
HP 5920AF-24XG устанавливаемые в коммуникационных стойках и
соединенные друг с другом посредством виртуальной коммутирующей
линии, исполненной в виде агрегированного канала 2 x 10 Gigabit Ethernet с
помощью технологии IRF.
Каждый коммутатор доступа, маршрутизатор подключается к обоим
коммутаторам ядра сети. Подключение осуществляется с применением
технологии EtherChannel. Все EtherChannel каналы настраиваются в
транковом режиме.
Стек коммутаторов ядра сети является корневым (root) коммутатором
топологии протокола RSTP. Значения приоритета на коммутаторах ядра
выставлено в значение 4096. С целью защиты своего положения, как
корневого коммутатора, на всех транковых портах, соединяющих
коммутатор ядра, с коммутаторами доступа, серверной фермой активируется
функционал защиты положения корневого коммутатора root-guard. Данный
функционал блокирует пакеты BPDU с лучшим значением идентификатора
коммутатора (bridge ID), тем самым гарантирует стабильное местоположение
центральной точки протокола RSTP. (Всю указанную терминологию,
определения, протоколы знать, уметь ответить на вопросы по теме)
На коммутаторе ядра сети настраивается количество SVI интерфейсов,
в соответствии с таблицей VLAN.
Switch Virtual Interface – виртуальный интерфейс коммутатора,
который обеспечивает процессы на третьем уровне сетевой модели OSI для
VLAN, с которой связан. Интерфейс SVI создан для каждой VLAN, для
которой требуется маршрутизация ресурсами коммутатора (см. Таблицу 2 -
Распределение VLAN).
Таблица 2
Пример заполнения таблицы VLAN
Наименование
системы
Диапазон
VLAN
Диапазон IP
адресов
Шлюз
Транзитный
сегмент между
ядром сети и
маршрутизатор
ом
500
192.168.32.0/
30
192.168.32.1
Рабочие
станции
персонала
502
172.20.2.0/23
172.20.2.1
Пользователи
беспроводной
локальной
вычислительно
й сети
503
172.20.4.0/23
172.20.4.1
Гостевой
сегмент
504
72.20.6.0/23
172.20.6.1
Сегмент
телефонии
505
172.20.8.0/23
172.20.8.1
…
…
…
…
Между коммутаторами ядра и маршрутизатором WAN-сегмента
настроен протокол маршрутизации OSPF. В рамках OSPF процесса,
маршрутизатор WAN-сегмента получает префиксы сетей, присоединенных к
коммутаторам ядра.
Для обеспечения информационной безопасности все отношения
соседства аутентифицируются с применением пароля.
Коммутаторы HP 5130-48G-PoE+-4SFP+ EI также выступают в
качестве коммутаторов серверного сегмента. На коммутаторах серверного
сегмента настроены VLAN, 510, 511, 512.
Для сетевого взаимодействия устройств, расположенных в сегментах
WAN и DMZ (что такое демилитаризованная зона, дать определение,
понимать суть) установлен маршрутизатор HP MSR3044. Данный
маршрутизатор связывается с ядром ЛВС двумя гигабитными линиями связи,
агрегированными в один канал с помощью протокола LACP.
На маршрутизаторе для обеспечения распространения информации о
сетях в филиалах настроен протокол динамической маршрутизации OSPF.
(дать определение)
Для объединения всех площадок в единую сеть используется протокол
ADVPN. (дать определение)
Для обеспечения качества связи голосовых вызовов настроена
приоритезация трафика. Наивысший приоритет прохождения трафика в
локальных сегментах филиалов и между филиалами по VPN-каналам
присвоен сегментам проводной и беспроводной телефонии. К ним относятся
VLAN с номерами 105, 191, 205, 291, 305, 391, 405, 491, 505, 591. – можно
убрать, можно оставить, если не критично
Кроме того, повышенным (по отношению к обычному
пользовательскому Интернет-трафику) приоритетом прохождения обладает
трафик VPN-туннелей, объединяющих филиалы. Для данного вида трафика
выделена статически полоса пропускания.
Добавить статистику здесь или в приложении – среднее количество
устройств к точке за день или по зданию и средняя скорость передачи
данных.
Управление, настройка и конфигурация активного сетевого
оборудования производится с помощью интерфейса командной строки через
консоль, по протоколу SSH.
На рисунке 6 представлены основные сервера организации и сервисы
для работы с ними. Мониторинг серверов и сетевого оборудования
выполняется в системе Nagios.
Рисунок 6. Основные сервера компании
На серверах установлена ОС Windows Server 2008, Windows Server
2012, Debian-9.1.0. На стационарных рабочих компьютерах сотрудников и
ноутбуках пользователей установлены операционные системы Windows 8.1
Enterprise и Windows 10 Professional.
В состав стандартных офисных программ входят: Kaspersky Endpoint
Security 10, Microsoft Office 2016 или Microsot Office 2013, Adobe Reader и
Adobe Flash Player, 7-Zip, набор кодеков и утилит для просмотра и обработки
аудио- и видеофайлов, драйвера.
В зависимости от структурного подразделения может быть установлено
дополнительное ПО:
- Справочная система Консультант Плюс;
- 1С Бухгалтерия (актуальной версии);
- Radmin Viewer 3, Wireshark, Oracle VM VirtualBox и т.д.
В отдельный сегмент сети выделено оборудования мультимедийных
систем и комплексов.
Рисунок 7. Состояние группы устройств мультимедийного
комплекса узлов сети
В состав комплекса мультимедийной системы, в зависимости от
площадки, могут входить устройства:
- Symetrix Prism, цифровая аудиоплатформа. Dante, обладающая
конфигурируемым алгоритмом маршрутизации и обработки сигнала;
- Epiphan Pearl-2, устройство записи и трансляции для 6-канального
захвата аудио и видео сигналов в разрешении 4К;
- VIA Connect PRO, интерактивная система организации совместной
работы с контентом и данными несколькими пользователями одновременно;
- Televic Confidea, беспроводная конференц-система и т.п.
Доступ и настройка осуществляется через Web – интерфейс этих
устройств, также на рабочем компьютере оператора установлены
специальные программы управления: Composer 7.0, appCUE 11.30.165,
Kramer K-Router Plus.