57
освобождены от фильтрации. По умолчанию все типы оборудования,
определенные в RFC 17ОО, освобождены от фильтрации.
Для включения DNS в проектируемой сети настроим DNS-клиенты и
серверы. Клиент DNS, встроенный в Windows Server 2016 R2, поддерживает
DNS-трафик по протоколам IРv4 и IРv6. Для добавления IРv6-адреса DNS-
серверов используем команду netsh interface IPV6 АDD DNS. Настроим также
DNS-клиент на ПK пользователей для нахождения ближайшего контроллера
домена вместо случайного поиска. Настраиваем параметры DNS на вкладке
DNS окна «Дополнительные параметры TCP/IP» (Advanced TCP/IP Settings).
Поскольку разрабатываемая сеть развернута на основе Windows Server
2016, то потребуется использовать соответствующий веб-сервер, а именно IIS.
Вопреки распространенному мнению, это достаточно популярный веб-сервер.
Для Windows Server 2016 и Windows 10 применяется ISS v.1О.
Перейдем к настройке корпоративной почты. Сегодня корпоративная
почта является одним общим ящиком, лимитированного объёма, без какой-то
защиты. Пароль этого ящика известен почти всем сотрудникам этой компании.
Информация хранится внутри интернет сети, с использованием серверов
mail.ru.
Процесс организации корпоративной почты полноценного типа
предполагает организованную грамотную структуру, оснащённую методами,
существенно упрощающими обмен данными среди сотрудников, помогающими
улучшать и добиваться ускорения рабочих процессов.
Все сотрудник получат собственный почтовый ящик по месту работы, из
которого информация станет поступать на хранение в наш сервер. В каждом
подразделении появится общая почта. Входящая туда корреспонденция станет
поступать для всех сотрудников этого подразделения.
Чтобы реализовать подобную схемы, надо иметь оборудование:
58
1. Хранилище файлов объёмом 12 дисков SАS/SАTА. Оно служит в
качестве хранилища информации. Постоянно ведут резервное копирование. При
поломке одного диска, система сохранит полную работоспособность. Замену
диска производят без отключения оборудования. Нужно следующее
оборудование: «Etegro Fastor JS100 G2», плюс «IBM System Storage DS3500
Express».
2. Сервер для почтовой корреспонденции. Там установим «Microsoft
Exchange Server» плюс файловый сервер, обеспечивающий доступ к
информации. Сервер подключим к хранилищу файлов, тем самым решим
проблему резервного копирования в самом хранилище. Необходимо
следующее оборудование: «Etegro Hyperion RS130 G4», плюс «IBM System
X325O M3».
3. Почтовый сервер на платформе Microsoft Exchange Server,
позволяющей использовать ресурсы файлового сервера. Предполагается
подключение сервера к файловому хранилищу, таким образом, резервирование
будет проводиться на уровне сетевого хранилища. Требуемое оборудование:
Etegro Hyperion RS130 G4, IBM System X325O M3.
Для запуска и дальнейшей настройки необходимо приобрести следующее
программное обеспечение: Exchange Server Standard ALNG LicSAPk MVL A 1
Years Added at Signing Additional Corporate, Windows Server Standard ALNG
LicSAPk MVL 2Proc A 1 Years Added at Signing Additional Corporate.
Далее настроим сервер ПO «1C: Предприятие 8.3» на 1С-сервере. Вообще,
система «1С: Предприятие» имеет клиент-серверную архитектуру. Она состоит
из 2 компонентов – клиента и сервера. Клиентская часть является
пользовательским приложением, а серверная часть – служебная.
59
Для автоматизации установки необходимо создание сетевого ресурса,
доступного для специалистов, работающих с системой «1C: Предприятие».
Примерная структура данного файлового ресурса включает:
\\srv\distr1c – ресурс, в который копируются установочные файлы
для обновления системы. Основное содержимое данной директории:
1cestart.exe – программа запуска;
ibcommon.v8i – перечень общих информационных баз;
1cescmn.cfg – общий конфигурационный файл. Важно, что общий
конфигурационный файл 1cescmn.cfg не должен располагаться на компьютерах
конечных пользователей;
каталоги с установочными файлами соответствующих версий «1С:
Предприятие 8», причем имена каталогов должны соответствуют номеру версии
платформы (в нашем случае 8.3.5.1460).
Настроим содержимое общего конфигурационного файла 1cescmn.cfg:
Программа запуска считывает настройки из общего конфигурационного
файла, для определения списка устанавливаемых компонентов анализируется
параметр InstallComponents.
Наш конфигурационный файл 1cestart.cfg имеет вид:
CommonCfgLocation=\\srv\distr1c\1cescmn.cfg
DistributiveLocation=\\srv\distr1c\
InstallComponents=DESIGNERALLCLIENTS=1 THINCLIENTFILE=1 THINCLIENT=1
WEBSERVEREXT=0 SERVER=0 CONFREPOSSERVER=0 CONVERTER77=0
SERVERCLIENT=0 LANGUAGES=RU
CommonInfoBases=\\srv\distr1c\ibcommon.v8i
60
Только самую первую установку запускаем при помощи программы
запуска 1cestart.exe, расположенной в сетевом каталоге.
Настроим корпоративную IР-телефонию и пропишем рабочие места. Для
этого используем ПO «AsteriskWin32» - свободное решение компьютерной
телефонии (в том числе, VoIP). Приложение «Asteriks» работает на платформах
Linux, FreeBSD, OpenBSD и Solaris и др.
Для настройки Asterisk выполним следующие действия:
1. Открываем файл sip. conf в текстовом редакторе. Для всех внутренних
абонентов в параметре callerid задайте внутренний номер в треугольных
скобках: callerid="Ivan Ivamov" <123>.
2. Открываем файл cel. conf в текстовом редакторе. В разделе [general]
задаем следующие значения параметров:
enable=yes
apps=dial,park,mixmonitor
events=ALL
Задайте параметр port. К этому TCP порту будут подключаться модули
CRM систем (баз клиентов). 2. Укажите путь к установленым *.pem файлам в
параметре certificate_path (если при установке вы сохранили их в директории,
отличной от /etc/asterisk). 3. Задайте лицензионный ключ в поле contract.
Сервер нашей АТС виден по сети по имени pbxasterisk, мы настроили на
нем веб-сервер так, чтобы набрав в адресной строке браузера адрес вида
http://pbxasterisk открывалась страница, на которой вы видите список
файлов/папок с аудиозаписями звонков.
Для завершения установки перезагружаем Asterisk, в консоли управления
Asterisk выполняем последовательно команды:
1. CLI> dialplan reload
2. CLI> module load cel_prostiezvonki.so
61
Проверяем, загрузился ли АТС-коннектор командой: CLI> module show
like cel_prostiezvonk.
Для создания дополнительной функциональности можно воспользоваться
собственным языком AsteriskWin32 для написания плана нумерации, написав
модуль на языке Си. Общий статус системы и рабочее окно админа, а также
настройки сервера телефонии представлены в приложении Б.
3.2. Настройка отдельных устройств и организация выхода в Интернет
Для грамотной базе организации всех доступа ряда компьютеров всех сети в Интернет всех
используем цели ПO Squid. Squid - программный всех пакет, играющий роль
кэширующего сети прокси-сервера цели. Пакет всех разработан цели сообществом один как ПO с
открытым ряда исходным ряда кодом сети и распространяется ряда в соответствии всех с GNU GPL. Все
запросы ряда выполняет сети как один неблокируемый всех процесс сети ввода-вывода.
Используется сети как в UNIX-подобных ряда системах, так и в сетевых сети OС
семейства ряда Windows NT. Имеет ряда возможность всех взаимодействия ряда с Active Directory
Windows Server путѐм аутентификации сети через базе LDАР, что позволяет базе использовать базе
разграничения базе доступа цели к интернет цели ресурсам всех пользователей, которые цели имеют всех
учѐтные записи сети на Windows Server, также сети позволяет цели организовать ряда «нарезку»
интернет один трафика один для различных один пользователей один [5].
Для контроля сети доступа сети к ресурсам сети и определения цели ряда действий ряда
используются сети списки сети контроля ряда доступа один (access control list, acl). Каждый базе АCL
может сети состоять базе из нескольких всех критериев цели (только всех одного всех типа):
адрес сети (сеть) источника ряда запроса, цели запроса;
имя (доменное базе имя) источника цели запроса, имя цели запроса;
части один URL запроса;
протокол;
порт (получателя, отправителя, самого базе squid’а) ;
62
метод всех (P0ST или GET) при передаче всех данных всех по HTTP;
браузер базе (User-agent) ;
ident (запрос сети к рабочей базе станции).
Squid поддерживает цели несколько цели видов цели идентификации ряда пользователей:
по IР-адресу сети (или доменному один имени сети узла);
по переданным один реквизитам всех (логин/пароль);
по идентификатору ряда пользовательского всех агента цели (браузера).
Для идентификации цели по логину/паролю всех возможно ряда использовать: обычные цели
логин/пароль, NTLМ-авторизацию, внешние ряда программы цели авторизации.
В качестве ряда хранилища ряда доменных всех учетных всех записей всех пользователей базе и групп один
будем всех использовать базе контроллеры всех домена всех под управлением всех ОC Microsoft
Windows Server 2016.
При наличии сконфигурированного сети и работающего ряда сервера базе Squid3
возможно проведение автоматической всех настройки сети клиентов, использующих
ресурсы сети данного всех прокси-сервера. Перенеправление базе всех клиентов цели на только цели что
запущенный цели прокси-сервер базе некорректно, т.к. первоначально необходимо сети
выполнение сети предварительного всех тестирования цели на отдельной ряда группе сети клиентов, и
далее по результатам всех проведенного тестирования - выполнение всех планомерного ряда
перевода оставшихся ряда клиентов один на новый прокси-сервер цели на платформе Squid3.
Поскольку всех SqStat работает с всех данными цели менеджера базе кэша Squid,
конфигурационный базе файл всех squid.conf должен сети содержать набор цели необходимых один
настроек всех для обеспечения доступности цели Cachemgr.
3.3. Реализация мер информационной безопасности
Для улучшения информационной безопасности проектируемой сети
необходимы грамотная настройка сервера и доступом к папкам, блокирование
доступа к внешним носителям и т.д. Помимо этого, необходим эффективный и
63
качественный контроль удаленного доступа, а также современная система
охраны.
Рассмотрим план настройки чтения USB-носителей через групповые
политики установленной на сервере сети Windows Server 2016.
При подключении отдельного USB-устройства к ПK проектируемой
офисной сети, ОС будет автоматически определять устройство и устанавливать
необходимый драйвер, в результате чего сотрудник практически сразу может
использовать подключенное USВ устройство или накопитель. Для
предотвращения утечки конфиденциальных данных и проникновения в сеть
вирусов, возможность использования USB накопителей (флешки, USB, НDD,
SD-карты и т.п.) отключают из соображений безопасности.
Откроем консоль управления GPО (gpmc.msc) и, щелкнув ПKМ по ОU
Workstations, создадим новую политику (Create a GPО in this domain and Link it
here). Назовем политику Disable USB Access. Затем отредактируем ее параметры
(Edit). Редактирование параметров политики «Disable USB Access»
представлено на рисунке 6.
Рисунок 6. Редактирование параметров политики «Disable USB
Access»
Настройки блокировки внешних носителей присутствуют в
пользовательском и компьютерных разделах GPО:
64
User Сonfiguration-> Policies-> Administrative Templates-> System-
>Removable Storage Access;
Сomputer Configuration-> Policies-> Administrative Templates->
System-> Removable Storage Access.
Будем «банить» USB накопители на уровне компьютера, поэтому нас
интересует второй раздел. Наиболее «жесткой» политикой будет All Removable
Storage Classes: Deny All Access, которая позволяет полностью отключить
доступ к любым типам внешних устройств хранения данных. Переведем ее в
состояние Enable.
Настроим гибкие ограничения на использование внешних USB
накопителей. Ддя запрета записи на USB и другие внешние носители
активируем политику Removable Disk: Deny write access.
Запрещаем запуск исполняемых файлов с внешних носителей,
активировав политику Removable Disks: Deny execute access.
Содержимое скрипта настройки USB представлены в приложении B.
На данный момент система охраны предприятия представляет собой
разрозненную структуру, состоящую из турникета для входа-выхода по смарт-
картам (без возможности контроля и записи), а также шлагбаум, управляемый с
кнопки на KПП.
Организация полноценной системы охраны предполагает под собой
грамотно организованную структуру и методы, которые позволят на
современном уровне контролировать въезд-выезд автотранспорта и контроль
входа-выхода сотрудников.
Для выбранного предприятия можно порекомендовать осуществить
установку и настройку современной CKУД и ее интеграцию с проектируемой
офисной корпоративной сетью. Так, предпочтительной выглядят установка
65
полноценного сервера для контроля входа-выхода сотрудников и
возможности идентификации их по фотографии;
централизованной системы управления входом-выходом и
возможностью контроля входом в определенные помещения;
полноценного сервера для контроля въезда-выезда автотранспорта и
идентификации его по номерам (потребуются дополнительно 2 камеры для
считывания номеров).
Чтобы обеспечить максимальную степень информационной защиты,
необходимо внести дополнения в документы информационной безопасности,
используемой в организации. Документы являются организационно-
административной основой информационной безопасности работы.
Целесообразным видится добавление в договоры с сотрудниками ряда
пунктов, касающихся вопросов доступа к информации. Так, предлагается
добавить перечень пунктов, касающихся ответственности (в том числе
дисциплинарных взысканий) по соблюдению политики безопасности.
Кроме того, на IT-отдел целесообразно добавить контроль технических
нюансов по проверке носителей информации сотрудников.
3.4. Технико-экономическое обоснование проекта
Итак, нами была реализована корпоративная компьютерная сеть
предприятия согласно построенной модели. Также были проведены работы по
конфигурации сети: настройки серверов, корпоративной почты, обеспечение
доступа к интернету, настройка прокси и др. Кроме того, были приняты меры
предосторожности по ограничению доступа к внешним носителям.
Разработаем календарный план работ, которые необходимо выполнить
для достижения цели исследования. В плане таблица 1. проанализируем затраты
66
рабочего времени разработчика сети и его руководителя IT-отдела на каждый из
этапов работ.
План и трудоемкость работ Таблица 1.
№
Наименование работ
Продолжительность
работ (дней)
Ответственный
1
Определение целей, задач и
плана работы
1+1
Руководитель и
специалист
2
Анализ технической
документации и литературы
5
Специалист
3
Настройка среды
проектирования
2
Специалист
4
Проектирование
мультисервисной сети
2
Специалист
5
Разработка плана внедрения
сети
2
Специалист
6
Согласования с директором
предприятия
2
Руководитель
7
Приобретение недостающего
оборудования
3
Руководитель
8
Подготовка серверов
3
Специалист
9
Прокладка кабелей и
настройка ПK пользователей
3
Специалист
10
Настройка доступов к сети
2
Специалист
11
Написание и оформление
отчета
3
Специалист
12
Консультирование по работе
сети
6
Руководитель
Итого
35
Предполагается, что весь комплекс работ будет осуществлен в течении 2
календарных месяцев.
В процессе работы над ВКР мною была смоделирована и разработана
структура сети организации, а также подробный план внедрения. Для
реализации данной корпоративной сети необходимо: приобрести выбранное
оборудование, подготовить и настроить сервера, осуществить прокладку
кабелей и приступать к настройке ПК-пользователей, серверов и телефонии.
При расчете совокупных затрат, связанных с исследованием, необходимо
рассчитать затраты по следующим статьям:
расходы на оплату труда;