42
На основании выполненной оценки организации и функционирования
виртуальной вычислительной сети можно сделать выводы.
- основной задачей ИТ-отдела ООО «Дон Баллон» является развитие в
торговой деятельности предприятия информационных технологий и систем
автоматизации;
- для обмена информацией и организации совместной работы ИТ-
отделом ведется постоянный контроль работоспособности и защиты
локальной сети предприятия, в которой установлено сетевое оборудование,
программное обеспечение. В основном контролем работы локальной сети и
ее развитием занимается администратор сети;
- в компьютерной сети ООО «Дон Баллон» используется два сервера.
Один из них выступает сервером баз данных, а второй Интернет сервером.
На сервере баз данных установлена автоматизированная система 1С:
Предприятие 8.0, для автоматизации задач по ведению бухгалтерского и
налогового учета;
- в организации виртуальной сети ООО «Дон Баллон» применяются
виртуальные управляемые коммутаторы Open vSwitch, которые позволяют
обеспечить оптимальную пропускную способность, обеспечить обмен
данными между элементами сети;
- в виртуальной сети (VLAN) ООО «Дон Баллон» используется
технологии виртуализации систем и приложений, а также организации
работы с виртуальными столами VDI (Virtual Desktop Infrastructure). Они
применяются для создания виртуальной инфраструктуры и создания рабочих
мест на базе одного виртуального сервера, к которому подключены
виртуальные машины.
43
ГЛАВА 3. РАЗРАБОТКА МЕРОПРИЯТИЙ И НАПРАВЛЕНИЙ
ДЛЯ СОВЕРШЕНСТВОВАНИЯ ФУНКЦИОНИРОВАНИЯ
РАБОТЫ ВИРТУАЛЬНОЙ ЛОКАЛЬНОЙ
ВЫЧИСЛИТЕЛЬНОЙ СЕТИ ООО «ДОН БАЛЛОН»
3.1. Предложения по совершенствованию организации работы
виртуальной локальной вычислительной сети
Для исключения выявленных недостатков предлагаем виртуальную
сеть ООО «Дон Баллон» организовать в облачной среде Windows Azure [39].
Служба виртуальной сети Microsoft Azure создает возможности
безопасного взаимодействия виртуальных машин за счет обеспечения
логической изоляции. Виртуальные сети можно подключать к другим
виртуальным сетям, а также физической локальной сети. К основным
возможностям организации виртуальной сети с помощью облачной
платформы Microsoft Azure относятся:
- обеспечение изоляции виртуальных сетей за счет создания отдельных
виртуальных сетей для тестирования, разработки и эксплуатации. В этих
сетях будут использоваться одинаковые блоки IP-адресов, которые
позволяют впоследствии объединять виртуальные сети между собой.
- существует возможность разделения виртуальной сети на несколько
подсетей с организацией внутреннего разрешение имен для ресурсов
развернутых в этой сети;
- можно выполнить конфигурирование виртуальной сети для
использования DNS-серверов, организации обмена данными через сеть
Интернет.
Также в виртуальной сети ООО «Дон Баллон» в облачной среде
Microsoft Azure будет существовать возможность обмена данными с
ресурсами, которые развернуты виртуальной сети и организации
взаимодействия через частные IP адреса.
44
Для организации виртуальных машин будет использоваться
специальный сетевой интерфейс, имеющий пользовательские параметры для
подключения к виртуальной машины и для каждого сетевого интерфейса
необходимо настроить параметры отображающие группу безопасности.
Принцип организации виртуальной сети ООО «Дон Баллон» в
облачной среде Microsoft Azure приведен на рисунке 20.
Рисунок 20 – Принцип организации виртуальной сети ООО «Дон
Баллон» в облачной среде Microsoft Azure
Рассмотрим конфигурирование VLAN-сети типа «сеть-сеть» в
облачной инфраструктуре Windows Azure. Это создает возможности
организации взаимосвязи между виртуальными машинами через
использование частных IP-адресов. Также в облачной среде можно
использовать VPN-туннели, которые основаны на гибридных сценариях,
позволяющих выполнять аварийное восстановление данных.
Для того чтобы организовать виртуальную сеть в облачной среде
Windows Azure используется:
- два видимых IP-адреса. При этом один из этих адресов применяется
для работы с виртуальным сервером через службу, а второй IP-адрес
позволяет обрабатывать трафик, поступающей из физической сети;
45
- на сервере баз данных устанавливается Windows Server, включающий
два сетевых адаптера. Это создает возможности серверу баз данных
выполнять функции VPN-сервера. При этом один сетевой адаптер можно
применять для назначения общедоступного адреса, а второй – используется
для работы в локальном адресном пространстве.
Следовательно, в облачной инфраструктуре Windows Azure можно
использовать два виртуальных сервера, а также шлюз для организации связи
между виртуальной сетью и физической локальной сетью.
Предложенная VLAN-сеть ООО «Дон Баллон» в облачной
инфраструктуре Windows Azure представлена на рисунке 21.
Рисунок 21 – Предлагаемая виртуальная сеть для ООО «Дон Баллон» в
облачной среде Windows Azure
Как видно из рисунка 21, в организации VLAN-сети было создано
пространство имеющая адрес 192.168.1.0.24, а для работы виртуального
сервера в VLAN-сети будет использоваться Windows Server.
В этом случае сетевой адаптер будет применяться для того чтобы
назначить частные адреса, а именно, назначение адреса 192.168.111 с маской
подсети 255.255.255.0 и адресом DNS-сервера 192.168.1.10.
При этом параметры шлюза по умолчанию устанавливаются нулевыми.
При этом для работы виртуальной сети также необходимо выполнить
46
конфигурирование сетевого адаптера для обслуживания общедоступных IP-
адресов с назначением адреса, а также маски шлюза.
По умолчанию в качестве адреса DNS-серверов будет использоваться
сервер Google имеющий адрес в 8.8.8.8.
Для работы виртуальной сети необходима территориальная группа,
которая будет служить контейнером для обеспечения близкого размещения
виртуальных машин в сети. Для этого в облачной среде Windows Azure была
выбрана функция по созданию территориальной группы, как это показано на
рисунке 22.
Рисунок 22 – Создание территориальной группы в облачной среде
Windows Azure
После создания территориальной группы в процессе прохождения
производственной практики была добавлена локальная сеть ООО «Дон
баллон». Для этого в форме добавления локальной сети, был указан ее адрес,
а также IP-адрес VPN-устройства, а на следующем этапе указано адресное
пространство, как это показано на рисунке 23.
47
Рисунок 23 – Добавление локальной сети ООО «Дон Баллон» в облачной
среде Windows Azure
После добавления локальной сети в облачной среде Windows Azure был
начат процесс создания виртуальной сети.
Для этого были выполнены следующие задачи:
1. Введено имя виртуальной сети.
2. Из выпадающего списка выбрана созданная территориальная группа.
3. В окне DNS-серверы и подключения VPN заданы:
- адрес DNS-сервера;
- сеть VPN типа «сеть-сеть»;
- имя локальной сети.
При конфигурировании адресного пространства в VLAN-сети
необходимо указать адресное пространство с детализацией IP-адреса,
счетчика адреса, используемых адресов с указанием номеров подсети шлюза,
как это показано на рисунке 24.
После настройки адресного пространства в облачной инфраструктуре
необходимо создать VPN-шлюз. Основные этапы реализации этого процесса
показаны в приложении А.
На завершающем этапе был создан скрипт конфигурации VPN-
устройства для установки службы RRAS и ее настройки для подключения
VPN к VPN-шлюзу. Для этого использовалась панель управления
«Маршрутизация и удаленный доступ».
48
Рисунок 24 – Настройка адресного пространства в облачной среде
Windows Azure
В ней использовался сетевой интерфейс для подключения VPN,
идентифицируемый по IP-адресу шлюза VPN в Azure. На этом настройка
виртуальной сети для ООО «Дон Баллон» была завершена. Для разрешения
клиентским станциям получать исходящий трафик для получения доступа к
сети Интернет была включена настройка RRAS.
Предложенную платформу Windows Azure также можно использовать
для создания центров обработки данных, среды исполнения приложений на
локальном уровне.
Кроме этого, администратор сети может, не выходя из платформы
Windows Azure выполнять тестирование, организовать совместную работу с
операционными системами, повысить эффективность уровня автоматизации
за счет работы с облачными сервисами.
49
3.2 Предложения по усилению защиты виртуальной локальной
вычислительной сети
Выполненный анализ показал, что в настоящее время защита
виртуальной сети ООО «Дон Баллон» должным образом не обеспечивается.
Для исключения этого недостатка предлагаем в виртуальной сети
установить виртуальный шлюз безопасности. Для выбора наиболее
актуального решения выполним сравнительный анализ существующих
виртуальных шлюзов безопасности.
Виртуальный шлюз безопасности Cisco Virtual Security Geteway (VSG)
представлен в виде виртуального устройства, позволяющего поддерживать
политики безопасности на уровне виртуальных машин и виртуальных
локальных сетей, а также применяется в разделяемых вычислительных
инфраструктура центра обработки данных.
Виртуальный шлюз безопасности Cisco Virtual Security Geteway (VSG)
отличается простотой эксплуатации, гибкостью установки,
централизованным управлением и высокой производительностью. Для
работы с программным шлюзом необходимо использовать коммутатор
NEXUS 1000v.
В виртуальном шлюзе безопасности Cisco Virtual Security Geteway
(VSG) поддерживаются политики безопасности на уровне виртуальных
машин, а также решаются критически важные задачи в области
информационной безопасности, соответствующие требованиям, которые
предъявляются к центрам обработки данных и многопользовательским
средам. Он позволяет управлять работой на основе политик безопасности,
проводить мониторинг работ с учетом характеристик виртуальной машины.
Виртуальный шлюз безопасности Cisco Virtual Security Geteway (VSG)
имеет следующие основные характеристики и преимущества [40]:
- позволяет выполнять зонирования на уровне виртуальных машин.
Кроме поддержки политики информационной безопасности в его состав
50
входит шлюз повышенной безопасности, позволяющий выполнять
управление политиками безопасности виртуальной сети, осуществлять ее
администрирование;
- обеспечить гибкость установки за счет использования менеджера
виртуальных сетей, который позволяет работать, как с виртуальными
машинами, в которых не используются ресурсы управления, так и во всей
виртуальной сети;
- имеет простоту развертывания и повышенную производительность за
счет интеграции с технологией Cisco vPath, обеспечивающей максимальную
производительность и масштабируемость сети;
- использует функции динамического контроля доступа,
интеллектуального управления сетевым трафиком в разрезе каждого
индивидуального потока;
- централизованное управление за счет интеграции с центром
управления виртуальными сетями в пределах центра обработки данных.
Он позволяет администратору создавать и выполнять контроль
многопользовательских профилей безопасности и распределять
масштабируемые ресурсы виртуальных шлюзов в безопасности с помощью
интерфейса API и в автоматическом режиме. Кроме того, его можно
интегрировать с предложенной облачной средой Windows Azure с
обеспечением необходимо необходимого уровня безопасности.
Для работы с виртуальным шлюзом Virtual Security Geteway (VSG)
необходимо использовать виртуальный коммутатор Cisco Nexus 1000v,
который соответствуют требованиям стандарта IEEE 802.1Q и работает в
облачной платформе Windows Azure, как это показано на рисунке 25.
51
Рисунок 25 – Схема организации работы виртуального коммутатора
Cisco Nexus 1000v в облачной среде Windows Azure
Коммутатор Cisco Nexus 1000v работает под управлением собственной
операционной системы, что позволяет поддерживать большой набор сетевых
функций и учитывать текущую безопасность виртуальных машин.
За счет установки в виртуальной сети ООО «Дон Баллон» коммутатора
Cisco Nexus 1000v будет:
- обеспечена возможность разработки и поддержки сетевых политик
для каждой виртуальной машины, которая установлена на центре обработки
данных;
- обеспечить динамическую настройку сетевых ресурсов на основе
политик, входящих в состав каждой виртуальной машины;
- обеспечить прозрачный и точный мониторинг, а также диагностику
сети в режиме реального времени;
- обеспечить простоту управления сетевыми подключениями
виртуальных машин, а также управлять различным типом трафика.