22
совершили разработчики компании RiverBed Technology, представив миру свой
локальный оптимизатор SteelHead (на данный момент продукт эволюционировал
в SteelCentral).
Оптимизатор трафика – ранее и по сей день бывает в программном или
аппаратном исполнении. Цель и задачи любого оптимизатора – снизить объём
трафика, пропускаемого по локальной сети или через интернет, посредством
кэширования (сохранения и последующего воспроизведения). Это нужно для
уменьшения нагрузки на сеть. Актуально для малобюджетных сетей и сетей,
использующих лимитированные тарифы подключения к «Интернет» или
выделенные каналы.
Бывает так, что различные недоброжелатели не смогли обойти защиту и
устроить саботаж изнутри, но не оставляют попыток навредить организации. И
прибегают к другому способу понизить производительность корпоративной сети
извне, а то и вовсе свести к нулю. Одним из таких способов является DDoS-атаки
(от англ. «Distributed Denial of Service» - распределенная атака типа «отказ в
обслуживании»). Бывают различные типы DDoS-атак: одни генерируют
огромный трафик, посылая его на корпоративную сеть в целом, тем самым
забивая пропускную способность каналов связи, другие воздействуют точечно,
загружая определённые ресурсы сети дублирующими или различными
запросами. Для решения такой проблемы были разработаны сетевые фильтры.
Сетевой фильтр – это устройство, работающее по принципу анализа
сетевого трафика, использующее различные алгоритмы обработки. Так же, как и
оптимизаторы, бывают в виде софта либо сетевого оборудования. Суть защиты
состоит в том, чтобы сначала проанализировать легитимный трафик, а после
анализа избавляться от нелегитимного трафика и штормов. Алгоритмы
обработки и принятия решений известны только разработчикам, иначе бы и эту
защиту смоли обойти.
23
1.3 Дизайн корпоративной сети
1.3.1 Методология сетевого дизайна
Проектирование сетей — это сложный процесс, требующий особого
внимания. Если сеть будет спроектирована поспешно и по принципу «работает
и ладно» или «и так сойдёт», то ни о какой безболезненной интеграции или
вообще о её возможности не может быть и речи. Но это не только интеграция, а
также и отказоустойчивость, и гибкость сети, все усилия будут напрасны или
затратны, как в плане финансов, так и в плане трудоёмкости. Поэтому
большинство вендоров и сетевых интеграторов рекомендуют придерживаться
“best practices” или узкопрофильных руководств. Компанией Cisco была
разработана определённая методика проектирования и построения сетей.
PPDIOO Network Lifecycle Influences Design – влияние жизненного цикла
сети на её дизайн. PPDIOO – это аббревиатура состоящая из первых букв шести
стадий жизни сети: [21, с. 62]
Prepare (Подготовка) – эта фаза включает в себя анализ требований к
сети и разработку сетевой модели;
Plan (Планирование) - фаза включает в себя идентификацию сетевых
требований, которые основываются на целях создания сети;
Design (Дизайн) – фаза в которой специалисты проектируют сеть согласно
начальным требованиям, включая любые дополнительные данные,
собранные во время сетевого анализа и сетевого аудита (при обновлении
существующей сети) и посредством обсуждения пожеланий с
менеджерами и сетевыми пользователями;
Implement (Реализация или Внедрение) – на данном этапе начинается
монтаж, установка ПО, настройка и коммутация оборудования;
Operate (Управление) – завершающая фаза проектирования сети,
включает в себя введение в эксплуатацию, тестирование сети на
профпригодность, определение неисправностей и недочётов;
Optimize (Оптимизация) – фаза основывается на превентивном
управлении сетью, цель которого состоит в том, чтобы идентифицировать
24
и решить вопросы и ошибки, прежде чем настоящие проблемы возникнут
и затронут организацию.
Итак, на фазе планирования происходит анализ требований к сети и
разработка сетевой модели с высокоуровневой архитектурой, определение
технологий, подходящих под данную архитектуру. Так же необходимо
обосновать затраты на то или иное оборудование. После чего составляется план-
проект, который помогает определить задачи, обязанности, критические этапы и
реализацию необходимых изменений в сети. План-проект должен основываться
на объеме ресурсов, затрат и параметров сети, установленных в оригинале заказа.
На этапе дизайна определяется спецификация проектируемой сети,
определяется дизайн с учётом всесторонних деталей, которые удовлетворяют
текущим требованиям бизнеса и запрашиваемым техническим характеристикам.
Т.е. техническая модель сопоставляется с бизнес моделью, на основании чего
проектируется сеть, которая должна так же отвечать таким характеристикам, как
доступность, надёжность, безопасность, масштабируемость и
производительность. Соблюдение всех спецификаций проекта обеспечивает
основание для дальнейшей реализации.
Реализация и проверка начинаются после того, как дизайн-проект был
утвержден. Сеть и любые дополнительные компоненты, устанавливаются
согласно план-проекту и спецификации, основанной на возможности интеграции
устройств, не разрушая существующую сеть или отсутствии точек отказа в
каком-либо сегменте.
На стадии управления, происходит тестирование сети на доступность,
проверяется пропускная способность, задержки и т.п. Идёт выявление ошибок и
неисправностей при повседневной эксплуатации. После сбора полной
информации составляется отчёт об ошибках, который обрабатывается и
решается на этапе оптимизации. Быстрое обнаружение неисправностей и
исправление (поиск и устранение неисправностей) необходимы в условиях
превентивного управления, чтобы избежать, предсказать и смягчить отказы в
сети, после завершения реализации проекта. В процессе PPDIOO фаза
25
оптимизации может привести к сетевой модернизации. Если возникает слишком
много сетевых проблем или ошибок, если производительность не оправдывает
надежды, или если технологии и оборудование не поддерживаются
организацией и не отвечают техническим требованиям, цикл PPDIOO
начинается сначала.
1.3.2 Архитектура корпоративной сети
Корпоративная сеть — это сложная структура, включающая в себя
множество подразделений, удалённые объектов, пользовательское и серверного
оборудования. Трёхуровневая Иерархическая Модель не даёт нам полного
представления о сети, она лишь показывает структуру высокоуровневого
взаимодействия. Поэтому был введён модульный подход, то есть разграничение
сети, помимо трёх уровней, на отдельные модули, которые в свою очередь
принадлежат различным сайтам (подразделениям) (рисунок 7): [23]
Рисунок 7 – Архитектура корпоративной сети
26
Кампус предприятия (Enterprise Campus – комплекс зданий предприятия)
– сайт, ограничивающийся пределами головного офиса и подразумевает
пользовательский сегмент. В данном сайте располагаются такие модули
как Campus Infrastructure (Инфраструктура кампуса) и Server Farm and
Data Center (Серверная ферма и ЦОД);
Граница предприятия (Enterprise Edge) – сайт, также находится в
головном офисе, но определяет в себе не пользовательские сегменты, а
взаимодействие с провайдерами и различными технологиями удалённого
доступа. Содержит модули: E-Commerce (Electronic Commerce –
электронная коммерция), Internet Connectivity (Интернет-подключения),
Remote Access and VPN (Удалённый доступ и Виртуальные частные сети),
WAN and MAN Site-to-Site VPN (Доступ к удалённым точкам);
Граница сети оператора связи (Service Provider Edge). Данный модуль
обеспечивает охват больших географических областей; объединяет
сервисы голосовой связи, видео и данных через единую сеть IP-связи;
осуществляет поддержку QoS и SLA (Service Level Agreement -
соглашение об уровне обслуживания); поддерживает функции
безопасности с использованием VPN (IPsec/MPLS) по двух- и
трехуровневым сетям WAN.
Филиал предприятия (Enterprise Branch) – сайт, который не содержит
модулей, поскольку его архитектура не предполагает их наличия.
Представляет собой небольшое отделение или офис предприятия, и
находящийся вдалеке от головного офиса;
ЦОД предприятия (Enterprise Data Center) – сайт, который физически
располагается у сервис-провайдера, на логически обслуживается и
эксплуатируется организацией;
Мобильные пользователи (Enterprise Teleworkers) – сайт, объединяющий
в себе всех сотрудников, которые работают вне офиса или отделения.
Архитектура сайта Кампуса комбинирует базовую инфраструктуру
интеллектуального переключения и маршрутизацию с тесно интегрированными,
27
улучшающими производительность, технологиями, мобильность и
усовершенствованную безопасность. Проектируется таким образом, чтобы
предоставить предприятию высокую доступность через эластичный
многоуровневый проект, избыточные аппаратные средства и программные
функции, а также автоматизированное перенаправления маршрутов, если
случится сбой на каком-то из участков сети. Возможности многоадресного IP-
пространства обеспечивают оптимизированное потребление пропускной
способности за счёт функции QoS, которая гарантирует что трафик в реальном
времени (такой как видео, голос или критические данные) не будет отброшен или
задержан. Интегрированная безопасность защищает сеть от влияния червей,
вирусов и других атак на сеть, включая уровни доступа на портах коммутатора.
Дизайн Инфраструктуры Кампуса состоит из нескольких уровней,
соединенных через Ядро Кампуса. Модуль Инфраструктуры Кампуса соединяет
устройства с граничными модулями, серверной фермой и ЦОД, а также включает
в себя три уровня, соответствующих по названию и назначению иерархической
модели: уровень Доступа, уровень Распределения и Базовый уровень Кампуса.
Модуль серверной фермы имеет большую емкость и предоставляет
пользователям доступ к внутренним ресурсам. Обычно поддерживает службы
управления сетью предприятия, включая контроль, авторизацию,
аутентификацию и другие общие функции управления. Модуль серверной
фермы предоставляет внутренним пользователям доступ к сетевым дискам и
файлам, печать через сетевой принтер, доступ в электронную почту организации
к службе системы доменных имен (DNS). Доступ к этим серверам очень важен и
как рекомендуют специалисты, серверная ферма обычно соединяются с двумя
различными коммутаторами, чтобы обеспечить полное резервирование или
разделение нагрузки. Кроме того, коммутаторы модуля серверной фермы
перекрестно соединены с Базовым уровнем Кампуса, таким образом обеспечивая
высокую надежность и доступность всех серверов.
Компанией Cisco была разработана инструкция по проектированию
Кампуса предприятия, которая содержит 7 шагов:
28
Шаг 1 – определить какие модули в кампусе необходимы для работы сети,
включая уровни распределения и доступа;
Шаг 2 – определить число и расположение коммутаторов доступа и каким
образом они будут подключены в коммутаторы уровня распределения;
Шаг 3 – определить необходимые модели коммутаторов уровня
распределения, принимая во внимание число коммутаторов доступа и
конечных пользователей. Необходимо использовать по крайней мере два
коммутатора уровня распределения для избыточности сети;
Шаг 4 – подключать коммутаторы доступа к коммутаторам
распределения необходимо двумя линиями связи;
Шаг 5 – определить, где будут расположены серверы и подключить их по
крайней мере к двум коммутаторам распределения, чтобы обеспечить
полное резервирование;
Шаг 6 – дизайн Ядра Кампуса включает по крайней мере два коммутатора
и предусматривает ожидаемый объем передачи данных между модулями;
Шаг 7 - обеспечить всем модулям Кампуса Предприятия соединение с
ядром кампуса избыточным способом. Т.е. обеспечить не только
резервирование, но и максимально необходимую пропускную
способность между модулями.
Итак, при проекте распределенной сети необходимо учитывать и
обеспечить ей условия масштабируемости, структурированности, безопасности,
надежности, доступности, управляемости и модульности. Грамотно
спланированная структура и масштабируемость сети легко позволяет менять
размеры сети, внедрять оборудование или целые модули, снимать старое без
рисков простоев уровня сегментов. Безопасность обеспечивает
спроектированную сеть санкционированным доступом к сайтам, базам данных,
сервисам сети, а надежность – устойчивость к нарушениям в каналах связи и
передаче данных. Модульность сети, правила (ACL) и настройки QoS
предоставляют пользователям свободный доступ к предусмотренным для них
29
ресурсам сети как локально, так и удаленно, в любое время, не перегружая
каналы связи и оборудование и не мешая остальным пользователям. Грамотная
адресация снижает нагрузку на сеть, а программы удаленного доступа и
мониторинга обеспечивают слежение за ее состоянием и оперативно реагировать
на изменения в ее работе.
Выводы по главе 1
В результате выполнения данной главы ВКР был проведен анализ
концепции сетевого дизайна. Приведены основные понятия и термины в
локальных и глобальных сетях. Рассмотрена иерархическая модель
корпоративной сети, приведены типы и модели сетевого оборудования.
Выполнен анализ дизайна при проектировании корпоративной сети, ее
архитектуры и влияние жизненного цикла сети на ее дизайн.
30
Глава 2. Проектирование сети для организации АО «Интауголь»
2.1 Анализ специфики предприятия, сбор данных
2.1.1 Организационная структура предприятия, задачи, требования
АО «Интауголь» - организация, занимающаяся добычей и реализацией
энергетического угля марки «Д» в районах Крайнего Севера. Потребителями
являются различные энергетические компании на территории Российской
Федерации и ближнего зарубежья, а также местная ТЭЦ. Предприятие состоит
из нескольких технических единиц (Приложение 1):
шахта «Интинская», на которой происходит добыча угля подземным
способом;
групповая обогатительная фабрика (ГОФ) «Интинская», где происходит
дробление горной массы и процесс обогащения добытого угля;
ремонтно-механический завод (РМЗ), на котором производится сложный
ремонт горнодобывающего оборудования;
автобаза (АТХ), на которой проводится ремонт и обслуживание
служебного транспорта поверхности.
Штат сотрудников ограничивается в 1600 человек: 1200 шахта (включая
спецаппарат), 160 ГОФ, 200 на заводе, 40 на автобазе.
Парк оборудования составляет приблизительно 260 хостов
(персональные компьютеры, камеры видеонаблюдения, сетевые принтеры и т.д.)
и 12 физических серверов (сервер баз данных, файловые сервера, система
хранения данных, доменные контроллеры и т.д.):
155 единицы на шахте, 10 серверов;
32 единицы на ГОФ;
до 50 единиц на заводе, 1 сервер;
до 20 единиц на автобазе.
Географически объекты предприятия размещены следующим образом:
Шахта: располагается за пределами города, состоит из нескольких
корпусов;
ГОФ: находится в пределах 500 метров от шахты;
31
РМЗ: находится в черте города, состоит из административного корпуса,
нескольких цехов, склада.
Автобаза: находится в зоне прямой видимости завода.
Рассмотрим типы, а также количество, используемого пользовательского
оборудования для каждого объекта:
Шахта: размещает 120 ПК, 20 серверов; 1 конференц-зал с проектором, 1
переговорную, 2 контрольно-пропускных пункта с телефоном в каждом
помещении; 21 сетевой принтер, 12 ip-камер видеонаблюдения, 1
регистратор видеонаблюдения;
ГОФ: 25 рабочих мест, 6 камер наблюдения, 1 ip-видеорегистратор.
Завод – 30 рабочих мест, 1 физический сервер в качестве виртуальных
файлового сервера и RODC (Read Only Domain Controller), 1 контрольно-
пропускной пункт, 3 сетевых принтера, 12 ip-камер, 1 видеорегистратор.
Автобаза – 13 рабочих мест, 1 контрольно-пропускной пункт, 6 ip-
видеокамер, 1 видеорегистратор.
Старая сеть представляет собой комбинацию оборудования от различных
вендоров, большинство из которого морально и физически устарело.
Руководству АО «Интауголь» было предложено провести модернизацию
текущей сети, спроектировав новую, т.к. начали происходить периодические
сбои в работе сети. Дирекция предприятия одобрила инициативу и дала добро на
проект указав, что в ближайшем будущем вероятен переход на IP-телефонию.
Таким образом, требования к проектируемой сети включают в себя:
1) Обеспечение возможности централизованного доступа сотрудников
организации в интернет;
2) Обеспечение бесперебойной работы серверов, сервисов, сайтов;
3) Управление оборудованием должно происходить только через SSH и
только ответственными сотрудниками отдела информационных
технологий через аутентификацию в Active Directory;
4) Обеспечение сбора статистики через протокол SNMP программами
мониторинга сети;