36
1. Internet MIB - база данных объектов для обеспечения диагностики
ошибок и конфигураций. Включает в себя 171 объект (в том числе и объекты
MIB I).
2. LAN manager MIB - база из 90 объектов - пароли, сессии, пользователи,
общие ресурсы.
3. WINS MIB - база объектов, необходимых для функционирования WINS
сервера (WINSMIB.DLL).
4. DHCP MIB - база объектов, необходимых для функционирования
DHCP сервера (DHCPMIB.DLL), служащего для динамического выделения IP
адресов в сети.
Все имена MIB имеют иерархическую структуру. Существует десять
корневых алиасов: 1) System - данная группа MIB II содержит в себе семь
объектов, каждый из которых служит для хранения информации о системе
(версия ОС, время работы и т.д.). 2) Interfaces - содержит 23 объекта,
необходимых для ведения статистики сетевых интерфейсов агентов
(количество интерфейсов, размер MTU, скорость передачи, физические адреса
и т.д.). 3) AT (3 объекта) - отвечают за трансляцию адресов. Более не
используется. Была включена в MIB I. Примером использования объектов AT
может послужить простая ARP соответствия физических (MAC) адресов
сетевых карт IP адресам машин. В SNMP v2 эта информация была перенесена в
MIB для соответствующих протоколов. 4) IP (42 объекта) - данные о
проходящих IP пакетах (количество запросов, ответов, отброшенных пакетов).
5) ICMP (26 объектов) - информация о контрольных сообщениях
(входящие/исходящие сообщения, ошибки и т.д.). 6) TCP (19) - все, что касается
одноименного транспортного протокола (алгоритмы, константы, соединения,
открытые порты и т.п.). 7) UDP (6) - аналогично, только для UDP протокола
(входящие/исходящие датаграммы, порты, ошибки). 8) EGP (20) - данные о
трафике Exterior Gateway Protocol (используется маршрутизаторами, объекты
хранят информацию о принятых/отосланных/отброшенных кардах). 9)
Transmission - зарезервирована для специфических MIB. 10) SNMP (29) -
37
статистика по SNMP - входящие/исходящие пакеты, ограничения пакетов по
размеру, ошибки, данные об обработанных запросах и многое другое.
2.2. DHCP
DHCP (англ. Dynamic Host Configuration Protocol — протокол
динамической настройки узла) — сетевой протокол, посредством которого
сетевые устройства автоматически настраиваются для получения доступа к
сети. Как правило передаются ip-адрес и адрес шлюза, кроме того могут
передаваться дополнительные данные - это адрес DNS,
Рассмотрим работу DHCP в сетях ipv4. Настроенный клиент отправляет
широковещательное сообщение, в котором передаЁт свой MAC, сообщение
называется DHCPDISCOVER. Так как клиент не настроен, адрес назначения
указывается 255.255.255.255, адрес отправителя 0.0.0.0. Когда сервер получает
это сообщение, он резервирует ip-адрес и передает своё сообщение,
называющиеся DHCPOFFER на MAC-адрес со своего MAC-адреса. Клиент,
получив сообщение DHCPOFFER, отправляет серверу сообщение
DHCPREQUEST, которое оповещает сервер что клиент принял настройки.
Причем сообщение широковещательное, чтобы другие DHCP-сервера в сети
знали, что клиент зарегистрировался. Когда серврер получает DHCPREQUEST
он отправляет клиенту последнее сообщение DHCPACK, получив которое
клиент закрепляет настройки.
В современных сетях сложно представить сеть без DHCP-сервера. В
домашних условиях DHCP помогает подключать мобильные устройства к
интернету, в больших корпоративных сетях DHCP облегчает жизнь системным
администраторам.
2.3. DNS
38
DNS (англ. Domain Name System «система доменных имён») —
компьютерная распределённая система для получения информации о доменах.
Чаще всего используется для получения IP-адреса по имени хоста (компьютера
или устройства). Можно провести аналогию с телефонной книгой. Кроме
очевидного применения DNS может использоваться для борьбы со спамом
путем добавления подписи для почтовых серверов или путем проверки ip-
адреса на соответствие домену. Работает на порту 53 UDP и TCP.
Существует несколько типов записей DNS, рассмотрим некоторые из
них:
● A Адрес «сайта» соответствующего доменного имени для ipv4
● AAAA тоже для ipv6.
● MX Адрес почтового сервера в соответствующем домене
● CNAME Псевдоним описываемого домена. Здесь можно указать, что
доменное имя www.server.ru является псевдонимом доменного имени server.ru.
● NS Здесь указывается доменные имена DNS-серверов, обслуживающих
описываемый домен. Например, ns1.1cloud.ru и ns2.1cloud.ru
● TXT Любое текстовое примечание.
● PTR Обратная запись, используется для узнавания ip-адреса по имени
домена.
Работа DNS описана в документе RFC 1034 [15] и RFC 1035 [16]. Как и
большинство технологий, DNS постоянно дорабатывается. В последнее время
одним из главнейших нововведений являются наборы правил для повышения
безопасности сервиса, носящие общее название DNSSEC (Domain Name System
Security Extensions). Принцип работы связан тем, что все сервера имеют
цифровую подпись, заверенную цепочкой доверия, восходящей к корневой зоне
(.). 11 октября 2018 года в интернете произошла первая ротация ключей с 2010
года.
Также стоит упомянуть о возможности размещать несколько доменных
имен на одном ip-адресе, так как ipv4 адреса закончились. Эта технология
сейчас широко используется хостинг-провайдерами для размещения не очень
39
крупных интернет-сайтов. В этом случае сервер в зависимости от имени
перенаправляет запрос к тому или иному серверу внутри собственной сети. По
аналогии можно вспомнить спаренный телефон, когда по одному номеру
доступно несколько человек.
DNS имеет иерархическую структуру, и стоит отметить что все главные
сервера расположены в западных странах, а дублирующие сервера в России
имеют низкий приоритет. Сейчас правительством Российской Федерации
ведется работа, чтобы приоритет Российских серверов был повышен, сейчас
часто упоминается “автономный интернет”, ключевым фактором которого
(если верить сообщениям в прессе) станут именно Российские DNS - сервера.
2.4. VPN
VPN (Virtual Private Networks), или как их называют по-русски
“виртуальные частные сети”, это “тунель” между ip-адресами, когда в ip-пакеты
вкладываются (инкапсулируются) все данные внутренней сети и отправляются
удаленному узлу, который также отправляет все данные о себе или своей сети
обратно. Разные типы туннелей могут работать на сетевом, канальном и
транспортном уровнях модели OSI, на практике используются уровень доступа
и сетевой уровень TCP/IP.
Проще говоря, различные типы туннелей упаковывают в ip-пакеты либо
кадры ethernet либо пакеты из внутренней сети. Инкапсуляция нарушает
иерархию сетевой модели, и в различных реализациях VPN очень большая
путаница в уровнях, например когда сам протокол работает на втором уровне, а
шифрование уже на третьем, и во всем этом еще инкапсулированы кадры
второго уровня.
Соединения VPN обычно классифицируют на 2 вида - site-to-site vpn и
remote access vpn, то есть для соединения сеть с сетью, либо для удаленного
подключения одного рабочего места к защищенной корпоративной сети.
Реализаций тоннелей очень много. Рассмотрим некоторые из них.
40
2.4.1. GRE туннель.
Начать несомненно стоит с протокола GRE, который лёг в основу многих
других. GRE - Generic Routing Encapsulation — общая инкапсуляция
маршрутов. Протокол предложенный компанией Cisco. Суть технологии в том,
что в сети маршрутизаторов два маршрутизатора, не связанные напрямую,
могут создать такой “туннель”, через который будут видеть друг друга как
связанных напрямую. Это протокол сетевого уровня, он полностью занимает ip-
адрес и не использует порты, (ни UDP, ни TCP), поэтому через NAT GRE
работать не будет. В современных реалиях в чистом виде в интернете
используется редко и как правило совместно с IPSec.
2.4.2. PPTP туннель.
Популярный протокол, не ратифицированный IETF, широко
распространен т.к. по умолчанию поддерживается ОС Windows. Получился
благодаря слиянию технологий PPP и GRE. PPP - канальный протокол point-to-
point, точка-точка, есть реализация PPPoE, когда соединение устанавливается
поверх Ethernet. PPP и реализация PPPoE поддерживает шифрование, за счет
этого и PPTP может его использовать. PPTP устанавливает связь по PPPoE и
занимает TCP- порт 1723 для управления соединением.
Шифрование и аутентификация используются от компании Microsoft,
MSPPE (Microsoft Point-to-Point Encryption) и MSCHAP (Microsoft Challenge
Handshake Authentication Protocol), в настоящее время считаются ненадежными
методами, подверженными взлому. На многих маршрутизаторах возможны
проблемы совместимости, т.к. протоколы совершенствуются. Несмотря на
небольшую устойчивость к взлому, PPTP широко применяется в областях не
требующих повышенных требований к безопасности из-за простоты настройки
и распространенности (во многих ОС встроен и не требует установки
стороннего ПО).
41
2.4.3. L2TP туннель.
L2TP — Layer 2 Tunneling Protocol. Несмотря на название, в ip сети он
работает на сеансовом уровне, то есть l3, но может использоваться вне ip-сетей.
Описан в RFC 2661 [17]. Разработан совместными усилиями cisco и microsoft,
считается, что взял лучшее от Использует в работе udp порт 1701, как правило
применяется совместно с IPSEC (IP Security). IPSEC это набор протоколов по
безопасности в сетях IP, что предполагает третий уровень стандартной модели.
[37]
На сегодня L2TP совместно с IPSEC также обрел широкую поддержку и в
общем случае является предпочтительной техникой для создания тоннеля.
2.4.4. OpenVPN туннель.
Необходимо отметить существование этой реализации VPN, получившей
широкое распространение в unix-системах. Является невероятно гибким
решением с множеством настроек. Работает поверх NAT без проблем.
Использует транспортный уровень, это TCP или UDP пакеты, причем UDP
предпочтителен, так как для клиента OpenVPN будет канальным или даже
физическим уровнем, и при необходимости надёжность передачи будет
регулироваться верхними уровнями внутри туннеля. Для шифрования
использует широко распространенные библиотеки OpenSSL, применяемые в
HTTPS.
В настоящее время поддерживается множеством ОС и некоторыми
маршрутизаторами, считается быстрой и защищенной, в случае программного
маршрутизатора на OC Linux можно считать предпочтительной реализацией.
2.5. SIP
SIP (англ. Session Initiation Protocol — протокол установления сеанса) —
протокол передачи данных, описывающий способ установки и завершения
42
пользовательского интернет-сеанса, включающего обмен мультимедийным
содержимым (IP-телефония, видео- и аудио-конференции, мгновенные
сообщения, онлайн-игры).
Собственно протокол описан в RFC 3261 [18]. Использует порт 5060 TCP
или UDP, и служит для управления передачей данных аудио- и видео-
форматов. Главная задача протокола - установить канал передачи данных,
поверх которого уже и будет производится передача. Имеет клиент-серверную
архитектуру. После установки соединения включается протокол передачи
данных более высокого уровня, например RTP или SRTP. Запросы SIP
специально разрабатывались простыми и читаемыми, здесь можно провести
аналогию с HTTP, но со временем протокол модернизировали, и как отмечается
в литературе, простота потерялась. Протокол нашел широчайшее применение в
ip-телефонии, видеозвонках и других случаях онлайн-общения.
2.6. NTP
NTP (Network Time Protocol) –сетевая служба точного времени. Описана
в RFC 5905 [19]. Основана на алгоритме Марзулло для оценки точности разных
источников, работает на порту UDP 123 и в работе учитывает время передачи.
В простых устройствах, где точность времени не важна, получил
распространение протокол SNTP.
Система серверов точного времени имеет иерархическую структуру,
каждый уровень в ней называется «Слой», первичные серверы, Слой-1,
синхронизируются с национальными службами. Серверы Слоя-2 существуют в
открытом доступе в интернете.
Время передается числом в 64 бита, 32 бита из них – секунды, 32
остальных бита – доли секунды. 2 в 32 степени секунды составляет 136 лет,
поэтому получатель должен знать приблизительное время с точностью 68 лет.
43
В небольшой локальной сети желательно настроить хотя бы один сервер
NTP, который получал бы точное время из интернета и раздавал локальным
пользователям.
2.7. Прочие сервисы пользовательского уровня.
На пользовательском уровне у программистов есть полная свобода,
поэтому существует огромное множество программ и используемых ими
портов для передачи данных. Все перечислять нет никакого смысла, более того
многие порты не стандартизованы и могут повторяться в разных программах.
Отметим интересную деталь, на этом уровне системные программисты могут
написать свою сетевую модель, например поверх UDP приделать оповещение о
приеме и написать свой протокол установления связи, и использовать этот
протокол исключительно в своих программах. Конечно таким программам
далеко до стандарта, и на начальных этапах разработки выявляется множество
багов, но возможность такая есть, и некоторые разработчики ее используют.
2.8. Защита информации.
Как уже упоминалось, защита информации в сетях может строиться
практически на каждом уровне сетевой модели. [1] Начиная с физического,
защищая разъем физическими методами. При передаче, на канальном уровне,
когда отсылающие-принимающие устройства кодируют и декодируют
информацию. На транспортном уровне, где уже можно идентифицировать
отправителя и получателя, ну и конечно на высоких уровнях, где уже
пользователи идентифицируют себя и сами шифруют передаваемую
информацию. Есть несколько типов проверки пользователей, можно
классифицировать их как локальные, когда устройство сверяет их со своей
внутренней базой, и с помощью доверенных центров, когда устройство
44
проверяет пользователей через главный сервер, где пользователи и заведены [5]
[31].
В Российской федерации методы шифрования передачи данных
определены законодательно, что подробнее рассмотрено в проектной части.
2.9. Экологический фактор.
В современном мире стоит учитывать защиту окружающей среды,
уменьшение производимого оборудованием загрязнения. Многие компании
усовершенствуют выпускаемое оборудование, уменьшают энергопотребление,
переводят производство на экологически-чистые источники энергии
(солнечные батареи, ветряные электростанции), выпускают продукты из
переработанных материалов и материалов, поддающихся переработке. Часто
бывает что улучшение энергопотребления устройства уменьшают выпуская
новую прошивку. Энергопотребление уменьшают самыми разными способами,
от самых простых, когда по команде выключаются световые индикаторы, что
конечно немного, но когда портов более 500, а на каждый порт используется
два-три светодиода, то уже экономия становится видна. Индикаторный
светодиод потребляет не больше 20мА, при напряжении в 3В можно получить
0,06 Вт, за год выйдет около 0,5 кВт при непрерывном горении. Если таких
светодиодов тысяча, то можно и сэкономить 50 кВт в год, что тоже немного в
масштабах предприятия, но совместно с другими методами экономии энергии
можно добиться существенных результатов. Следующий шаг-автоматическое
отключение неиспользуемых модулей и узлов в оборудовании, погружение в
«сон». Также как и современные компьютеры, коммутаторы умеют
погружаться в сон и «просыпаться» при обращении. Уже разработаны системы,
позволяющие измерять длину кабеля и уменьшать мощность сигнала передачи
в соответствующем порту. Если настроить систему интеллектуального
энергосбережения, при котором центральное устройство отключает
45
управляемые устройства по времени, по использованию и другим факторам,
можно добиться уже очень существенной экономии.
В IEEE 802.3az [26] описаны методы создания «Energy Efficient Ethernet»,
которые активно внедряют производители сетевого оборудования, добавляя и
усовершенствуя.
Для примера можно привести энергосберегающую технологию cisco -
Cisco EnergyWise, у D-Link – Green Ethernet.