62
На следующем этапе выполним перемаркировку DSCP с
использованием политики интерфейса следующей командой:
SWITCH#(config)#mls qos rewrite ip dscp
Для маркировки трафика работы с IP-сервером необходимо создать
access-листы, которые будут указываться в классах следующим образом:
SWITCH#(config-if)# priority-queue out
В интерфейсе ip-pbx не предусмотрены acl (access-листы). В этом случае
рекомендуем использовать политику для маркировки трафика с заданием
следующего кода:
ip access-list extended rtp
permit udp any range 10000 20000 any
ip access-list extended signaling
permit tcp any any eq 5060
permit udp any any eq 5060
permit udp any eq 5060 any
permit tcp any eq 5060 any
permit udp any any eq 1720
permit tcp any any eq 1720
class-map match-all MARK-SIGN
match access-group name signaling
class-map match-all MARK-VOICE
match access-group name rtp
policy-map MARK-PBX
class MARK-VOICE
set dscp ef
class MARK-SIGN
set dscp cs3
class class-default
63
На следующем этапе выполним базовую настройку межсетевого экрана
Cisco ASA 5510, который достаточно популярен и позволяет обеспечивать
безопасность в сетях предприятий малого и среднего бизнеса.
На первоначальном этапе после установки лицензии необходимо
выполнить ее активацию следующим видом.
После этого необходимо настроить адрес Интернет-провайдера и
адресное пространство. Например, адрес Интернет-провайдера является
внешним статическим IP-адресом 77.77.77.1, а во внутренней сети применяется
адресное пространство 172.16.10.024.
Физический интерфейс позволит подключить внутренние сетевые
устройства, которые будут входить VLAN-1. На следующем этапе необходимо
задействовать логический интерфейс Ethernet 01.10 с настройкой межсетевого
экрана автоматической выдачи IP-адресов рабочим станциям по протоколу
DHCP.
На следующем этапе необходимо выполнить настройку внутренней и
внешней сети, как это показано на рисунке 12.
Рисунок 12. Настройка внутренней и внешней сети
На следующем этапе необходимо выполнить настройку пароля для
доступа межсетевого экрана глобальной конфигурации следующей командой.
Для настройки внешнего интерфейса необходимо задать команду и
безопасность Security Level 0 с заданием адреса. Настройка внутреннего
интерфейса помещается внутри VLAN-1 следующим образом.
64
На следующем этапе рассмотрим настройку правил защиты на
межсетевом экране Cisco. На первоначальном этапе необходимо задать пароль,
который позволит администрировать работу межсетевого экрана.
Далее ограничить доступ к интерфейсам управления по IP-адресам и
активировать защищенные протоколы управления SSH и HTPS с отключением
небезопасных протоколов TELNET и HTTP, как это показано на рисунке 13.
Рисунок 13. Активация защищенных протоколов управления SSH и
HTPS с отключением небезопасных протоколов TELNET и HTTP
После этого необходимо перезагрузить конфигурацию и активировать
лицензию. Для настройки параметров администрирования необходимо
использовать ограниченный доступ только по IP-адресам рабочих станций, для
того чтобы пользователи не смогли произвести атаку подбор пароля.
При настройке маршрутизации необходимо задать IP-адресацию
интерфейсов для подключения к сети Интернет WAN и локальной сети LAN с
опционной настройкой DHCP-сервера, как это показано на рисунке 14.
65
Рисунок 14. Опционная настройка DHCP-сервера
После этого необходимо выполнить настройку маршрутизации с
применением протоколов динамической маршрутизации с последующим
обновлением версии операционной системы. Далее необходимо выполнить
настройку межсетевого экрана для подключения локальной сети к сети
Интернет с применением динамической трансляции адресов SNAT, как это
показано на рисунке 15.
Рисунок 15. Настройка межсетевого экрана для подключения
локальной сети к сети Интернет с применением динамической
трансляции адресов SNAT
66
После этого необходимо выполнить настройку доступа к сети Интернет
с применением статической трансляции сетевых адресов и портов DNAT.
Настройки доступны между сегментами локальной сети на сетевом уровне.
Следует отметить, что правила по умолчанию запрещают прохождение трафика
без задания правил фильтрации.
Для настройки удаленных площадок рекомендуем использовать VPN
типа «site-to-site» и его настройка приведена на рисунке 16.
Рисунок 16. Настройка удаленных площадок на VPN типа «site-to-
site»
После этого необходимо выполнить настройку удаленного доступа с
подключением двухфакторной аутентификации, что позволит усилить защиту.
Для обновления межсетевого экрана необходимо выполнить его подключение к
серверу баз данных, а затем настроить профили антивируса IP-системы
предотвращения вторжений, защиты DNS и выполнения URL-фильтрации.
Активация функционала для поиска вредоносного трафика должна
производиться внутри шифровальных тоннелей. Для настройки экспорта
событий системных журналов необходимо использовать стандартные и
специализированные STEAM, которые позволят регулярно архивировать и
конфигурировать оборудование для фильтрации данных.
67
Для передачи тегированного трафика внутри сети можно использовать
трафик с нескольких VLAN-сетях, который позволяет объединять их в один.
Схема применения технологии Q-in-Q приведена на рисунке 17.
Рисунок 17. Схема применения технологии Q-in-Q
В этом случае на сервере, который выступает маршрутизатором
необходимо терминировать все клиентские VLAN-машины. При этом сам порт
Gigabit Ethernet должен находиться в режиме trunk. Конфигурация выбирается
таким образом, чтобы port работал в режиме инкапсуляции.
На следующем этапе порт Gigabit Ethernet подключается к коммутатору
через порт Gigabit Ethernet 01.
Для передачи пакетов необходимо объединить весь трафик в
технологию Q-in-Q, конфигурация имеет следующий вид:
Interface GigabitEthernet1/0/1
Switch port trunk encapsulation dot1q
Switch port trunk allowed vlan 11-15
Switch port mode trunk
Speed no negotiate
No cdp enable
Spanning-tree bpdufilter enable
Spanning-tree bpduguard enable
Для конфигурирования следующего порта применяется тот же самый
режим конфигурации.
68
3.3. Экономическая оценка эффективности предложений
Выполним расчет экономической эффективности от модернизации
компьютерной вычислительной сети НМУП «Новомосковский рынок».
На первоначальном этапе выполним расчёт суммы затрат на
эксплуатацию предложенной модернизируемой компьютерной вычислительной
сети НМУП «Новомосковский рынок». Для расчета капитальных затрат будем
использовать следующую формулу:
,
МПОАО
КККК
(1)
где
К
- сумма капитальных затрат, руб.;
АО
К
- затраты на покупку аппаратного обеспечения, руб.;
ПО
К
- стоимость программного обеспечения, руб.;
М
К
– стоимость монтажа, руб.
Затраты на покупку аппаратного обеспечения будут включать затраты
на обслуживание маршрутизатора Cisco ISR 4431, коммутатора Cisco Catalyst
3560, сервера Cisco Call Manager, IP телефонов Cisco 7970 G и межсетевого
экрана Cisco ASA 5525-X.
Расчет затрат на покупку аппаратного обеспечения для
модернизируемой компьютерной вычислительной сети НМУП
«Новомосковский рынок» приведён в таблице 7.
Таблица 7
Расчет затрат на покупку аппаратного обеспечения для
модернизируемой компьютерной вычислительной сети НМУП
«Новомосковский рынок»
Оборудование
Количество,
ед.
Цена, руб.
Стоимость,
руб.
Маршрутизатор Cisco ISR 4431
1
65000
65000
Коммутатор Cisco Catalyst 3560
1
55000
55000
Сервер Cisco Call Manager
1
80000
80000
IP телефоны Cisco 7970 G
20
20000
400000
Межсетевой экран Cisco ASA
5525-X
1
60000
60000
Всего
-
-
660000
69
Таким образом, затраты на покупку оборудования для модернизируемой
компьютерной вычислительной сети НМУП «Новомосковский рынок» составят
660000 руб. По данным компании Cisco затраты на содержание платформы
Cisco VT Advantage, включающей сервер TelePresence MCU 5320 и Cisco
TelePresence MX200 G2 составят 160000 руб.
Расчет стоимости монтажа модернизируемой компьютерной
вычислительной сети НМУП «Новомосковский рынок» приведён в таблице 8.
Таблица 8
Расчет стоимости монтажа модернизируемой компьютерной
вычислительной сети НМУП «Новомосковский рынок»
Наименование
работ
Цена, руб./ед.
Количество, м
(шт.)
Стоимость,
руб.
Прокладка кабель-
канала
60
350
21000
Осуществление
укладки кабеля в
кабель канал
40
400
16000
Выполнение обжима
конвектора
30
100
3000
Выполнение
настройки
персональных
компьютеров
300
50
15000
Настройка сервера и
сетевого
оборудования
400
10
4000
Всего
59000
Таким образом, затраты на монтаж модернизируемой компьютерной
вычислительной сети НМУП «Новомосковский рынок» составит 59000 руб.
На основании выполненных расчетов определим сумму капитальных
затрат на компьютерную вычислительную сеть НМУП «Новомосковский
рынок»:
.87900059000160000660000 рубК
70
Следовательно, сумма капитальных затрат на модернизацию
компьютерной вычислительной сети НМУП «Новомосковский рынок» составит
879000 руб.
На следующем этапе выполним расчет эксплуатационных расходов на
модернизацию компьютерной вычислительной сети НМУП «Новомосковский
рынок». Для этого будем использовать следующую формулу:
,
.наклэлрасхзпэкс
РРРРР
(2)
где
экс
Р
- сумма эксплуатационных затрат, руб.;
зп
Р
- затраты на выплату заработной платы, руб.;
расх
Р
- затраты на расходные материалы, руб.;
эл
Р
- затраты оплату на электроэнергии, руб.;
.накл
Р
- накладные затраты, руб.
В состав затрат на выплату заработной платы будут входить затраты на
оплату труда за обслуживание сети, которое будет выполняться
администратором компьютерной сети НМУП «Новомосковский рынок».
Выполним расчет затрат на выплату заработной платы для
обслуживания предложенной сети НМУП «Новомосковский рынок» с
помощью таблицы 9.
Таблица 9
Расчет затрат на выплату заработной платы для обслуживания
предложенной офисной сети ООО «Рассвет»
Статья затрат
Сумма, руб. в
месяц
Сумма, руб.
в год
Оплата заработной платы администратору
НМУП «Новомосковский рынок»
60000
720000
Надбавка за обслуживание IP-телефонии
15000
180000
Надбавка за обслуживание
видеоконференцсвязи
40000
480000
Прочие затраты
10000
120000
Всего
1500000
71
Таким образом, затраты на оплату труда составят 150000 руб. На
следующем этапе выполним расчет затрат на электроэнергию. Затраты на
расходные материалы для модернизируемой компьютерной вычислительной
сети НМУП «Новомосковский рынок» принимаем в размере 30000 руб.
По данным НМУП «Новомосковский рынок» стоимость за 1 кВт/час
составляет 3,08 рубля. Расчет затрат на электроэнергию в год приведен в
таблице 10.
Таблица 10
Расчет затрат на электроэнергию модернизируемой компьютерной
вычислительной сети НМУП «Новомосковский рынок»
Оборудование
Затраты на
электроэнергию,
кВт/ч в год
Затраты на
электроэнергию,
руб. в год
Маршрутизатор Cisco ISR 4431
600
1848
Коммутатор Cisco Catalyst 3560
800
2464
Сервер Cisco Call Manager
500
1540
IP телефоны Cisco 7970 G
450
1386
Межсетевой экран Cisco ASA
5525-X
600
1848
Всего
2950
9086
Таким образом, затраты на электроэнергию для работы
модернизируемой компьютерной вычислительной сети НМУП
«Новомосковский рынок» составят 9086 руб. Накладные затраты принимаем в
размере 10000 руб. Тогда сумма эксплуатационных расходов составит:
.19908610000908630000150000 рубР
экс
Общая сумма затрат на модернизируемой компьютерной
вычислительной сети НМУП «Новомосковский рынок» составит:
879000+199086=1078086 руб. или 1078,09 тыс. руб.
Эффект в данном случае будет достигаться за счет снижения затрат на
проведение ремонта сетевого оборудования, перегрузок сервера. Предполагаем,
что модернизация компьютерной вычислительной сети НМУП