55
В проектируемой сети необходима замена двух морально устаревших
серверов на более современные. Для этого разберем сервера, представленные
на рынке и их технические характеристики (таблица 2.5).
Таблица 2.5 Технические характеристики различных серверов
Сервер
Процессор
Оперативная
память
RAID
Контроллер
Жесткий
диск
Стоимост,
руб.
Сервер Dell
PowerEdge
peT310 Intel
Xeon X3470
2. 93 Ghz
4C(8/ 1333)/
2x2048(1333)/
4x250 7. 2K
HS/ percS300/
bmc/
DVDRW/
1x375W/
3nbd
Intel Xeon
X3470
(Lynnfield,
2.93 GHz,
8Mb,
LGA1156)
2 x 2 Гб
DDR3 1333
МГц
PERC S300
(на основе
ПО)
4 x 250
Гб
(SATA
II)
61 467
Сервер Dell
PowerEdge
T410 2xXeon
E5620 2. 40
4C(12/ 5. 86
GT/ s)/
2x8192(1333)/
4x500Gb 7.
2K 3. 5"
SATA HS/
percH700
512Mb/
iDRAC6
Expres
2 x Intel
Xeon
E5620
(Westmere
2.40 ГГц,
LGA1366,
L3 12 Мб,
QPI)
2 x 8 Гб
DDR3 1333
МГц
PERC H700
(6 Гбит/с) с
кэшем 512
Мбайт
4 x 500
Гб
(SATA
II, 7200
об./мин)
122 413
Office Server
TX3000R16
>Xeon E3-
1240/ iC204/
2x4096ECC/
2x500Gb HS/
SVGA/
Intel Xeon
E3-1240
(Sandy
Bridge, 3.3
ГГц, 8Мб,
S1155)
2 x 4 Гб
DDR3 1333
МГц ECC
Intel Matrix
Storage
(Support
Software
RAID
0,1,5,10 )
2 x 500
Гб
(SATA
II, 7200
об./мин,
64Мб)
52 010
56
DVD±RW/
4xGbLan/
500W
Office Server
TC100 >Core
i3-2100/
iC202/
2x2048ECC/
2x500Gb/
SVGA/
DVD±RW/
2xGbLan/
300W
Intel Core
i3-2100
(Sandy
Bridge, 3.1
ГГц, 3Mb
L3)
2 x 2 Гб
DDR3 1333
МГц ECC
Intel Matrix
Storage
(Support
Software
RAID
0,1,5,10 )
2 x 500
Гб
(SATA
III, 7200
об./мин,
16Мб)
39 109
Исходя из запросов проектируемой сети и соотношения
цена/производительность, выбираем сервер Office Server TX3000R16 >Xeon
E3-1240/ iC204/ 2x4096ECC/ 2x500Gb HS/ SVGA/ DVD±RW/ 4xGbLan/ 500W.
2.2 Разработка программной структуры компьютерной сети
Для повышения уровня информационной безопасности необходимо
применить технологию ViPNet.
Технология ViPNet осуществляет функции межсетевого экрана как для
открытых соединений, так и для защищенных, системы обнаружения
вторжений (IDS), IM-клиента, почтовой службы (защищенной от спама и
несанкционированного доступа), назначения виртуальных адресов
видимости[13].
Принципиальным отличием технологии ViPNet от большинства
современных VPN-систем, которые главным образом предназначены для
безопасного соединения локальных сетей и удаленного доступа к их
ресурсам, является наличие специальных протоколов динамической
57
маршрутизации VPN-трафика. Эти протоколы позволяют обеспечить в
автоматическом режиме защищенный обмен информацией не только с VPN-
шлюзом, установленным на границе локальной сети, но и непосредственно
между конечными потребителями информации[11].
Важным свойством технологии ViPNet является использование для
VPN симметричной ключевой структуры, что позволяет избавиться от
периодических сеансов аутентификации сетевых узлов и процедур
выработки ключей. Эти операции необходимы в системах с открытым
распределением ключей, однако они затрудняют использование VPN в
локальных сетях и снижают помехозащищенность сеанса связи из-за
возможности его нарушения на этапе синхронизации[12]. В сетях ViPNet не
требуется разворачивать сложную инфраструктуру PKI, необходимую для
безопасного использования ассиметричной ключевой структуры. Отличием
ViPNet-решений от большинства современных VPN-систем, в которых также
возможна работа с симметричными ключами, является наличие
автоматизированной системы управления симметричной ключевой
информацией[26].
Для внедрения ViPNet сети достаточно будет установить на рабочие
станции соответствующее программное обеспечение ViPNet. Также не нужно
будет менять топологию уже созданной сети или покупать дополнительное
оборудование. Технология ViPNet при организации защищенного соединения
использует схему с автоматически распределенными симметричными
ключами шифрования и автоматического их обновления на этапах установки
ПО. Любой пакет, которые отправляется в сеть, шифруется с использованием
уникального ключа без каких-то процедур установления соединения. Это
помогает успешно организовать передачу информации по незащищенным
каналам, а также по каналам, которые характеризуются большими потерями
трафика (спутниковые, модемные), а также позволяет обеспечить
58
постоянную работу ЛВС, для которой недопустимы задержки при установке
соединения[25].
Криптопровайдер ViPNet CSP является средством криптозащиты
данных, предназначенным для реализации криптографических операций,
доступ к которым может быть осуществлен встраиванием криптопровайдера
в само приложение через специализированный интерфейс. ViPNet CSP
поддерживает криптографические алгоритмы, полностью соответствующие
российским стандартам[22].
ViPNet SafeDisk используется для реализации технологии безопасного
хранения секретной информации и удобной работы с ней на обычном ПК.
Версия 4, утверждённая ФСБ и ФСТЭК России, поддерживает высокий
уровень безопасности любых данных и может успешно применяться в
государственных структурах и компаниях в качестве СКЗИ и средства
безопасности против несанкционированного доступа к данным[24].
ViPNet OFFICE является комплексным ПО для развертывания
виртуальных частных защищенных сетей (VPN) стандартных моделей —
защищенных сетей ViPNet. В свою очередь ViPNet OFFICE также
используется в небольших локальных и распределенных IP-сетях и позволяет
обеспечить безопасную работу удаленных пользователей с разными типами
Интернет-соединения.
ViPNet Office Firewall представляет собой программный межсетевой
экран, который используется в небольших и средних организациях и является
сертифицированным ФСБ России средством защиты от незаконных действий
с конфиденциальными данными[12].
ViPNet Office Firewall пдает возможность реализовать защиту ЛВС от
любых атак из Интернета, а также имеет механизмы гибкого управления
доступом к Интернет-ресурсам и поддержки виртуальных локальных сетей.
59
ViPNet Personal Firewall является надежным средством защиты рабочей
станции и персональных данных от сетевых атак и хищения личных данных
при подключении к Интернету или ЛВС[23].
ViPNet Personal Firewall одобрен ФСБ России в качестве средства
защиты данных от НСД и может применяться в государственных структурах
и на предприятиях.На каждой рабочей станции требуется установка
следующего программного обеспечения:
ViPNet SafeDisk (сертифицированный)
ViPNet OFFICE
ViPNet Personal Firewall (сертифицированный)
Также требуется закупить сервер для установки следующего ПО:
ViPNet CSP
ViPNet Office Firewall (сертифицированный)
Схема технического обеспечения с учетом элементов
спроектированной системы информационной безопасности между зданиями
приведена на рисунке 2.9.
Генеральный
директор
Отел рекламы
Отдел по
работе с
клиентами
Транспортный
отдел
Интернет-
сервер
Файловый
сервер-2
Internet
Коммутатор HP 2520-
24
Концентратор
D-Link DES-
1008A
Концентратор
D-Link DES-
1008A
4 ПЭВМ
….
10 ПЭВМ
15 ПЭВМ
11 ПЭВМ
Отдел
производства
14 ПЭВМ
Юридический
отдел
Служба
безопасности
Отдел
кадров
Концентратор
D-Link DES-
1008A
Коммутатор HP
ProCurve 2510G-48
Концентратор
D-Link DES-
1008A
12 ПЭВМ
12 ПЭВМ
Бухгалтерия
16 ПЭВМ
….
….
….
22 ПЭВМ
….
Internet
Файловый
сервер-1
ИТ-отдел
16 ПЭВМ
….
Здание 1 Здание 2
Сервер
1С Бухгалтерия
ViPNet
Client
ViPNet
Client
ViPNet
Client
ViPNet
Client
ViPNet
Client
ViPNet
Client
ViPNet
Client
ViPNet
Client
ViPNet
Client
Сервер VPN
АРМ администратора СЗИ
Рисунок 2.6 Схема ЛВС с учетом элементов системы VPN
Программный комплекс ViPNet CUSTOM позволяет сформировать
среду безопасного обмена информацией по общедоступным каналам связи
различных типов[22].
Типовая схема сети ViPNet (электронный документооборот)
представлена на рисунке 2.10.
Internet
Рабочие станции Рабочие станции
VipNet
Administrator
Рабочие станции
Рабочие станции
VipNet Деловая почта
VipNet
Administrator
VipNet Деловая почта
VipNet
CryptoServise
VipNet
CryptoServise
Защищенный
документооборот
Рисунок 2.7 Типовая схема сети ViPNet
Второй тип контура сети ViPNet модифицируется из первого методом
добавления нужных лицензий и установкой необходимого ПО. Этот вид
контура позволяет использовать частные виртуальные сети различных
конфигураций, поддерживающих наглядное взаимодействие ПК в сети
ViPNet независимо от места, способа и типа IP-адреса при их соединении с
сетью. При этом весь трафик, передаваемый по виртуальному контуру этой
сети, шифруется криптографическими методами[21].
Для поддержания полноценной безопасности корпоративной ЛВС
нужна установка ПО ViPNet, которое помогает сохранить не только письма,
передаваемые по сети, но и весь сетевой трафик, а также данные,
сохраненные локально на ПК. При этом доступ к такому ПК с небезопасных
62
или других защищенных компьютеров так ил иначе ограничивается и
контролируется[15].
Для организации такой защиты необходимы следующие базовые
элементы сети[19]:
Рабочее место администратора ViPNet сети с установленным ПО:
o ViPNet Administrator, состоящий из двух компонентов:
ViPNet Центр управления сетью (ЦУС),
ViPNet Удостоверяющий и ключевой центр (УКЦ);
ViPNet Client или ViPNet CryptoService для организации обмена
служебной информацией с другими узлами сети ViPNet.
Сервер(ы) с установленным ПО ViPNet Coordinator,
размещенный на границе сети или на границах участков сети. В зависимости
от своей роли в сети координатор может выполнять различные функции[12].
Компьютеры пользователей с установленным клиентским ПО
ViPNet Client или ViPNet CryptoService.
2.3 Контрольный пример реализации проекта и его описание
Рассмотрим существующие программы тестирования сетей.
‒ Nagios;
‒ LAN Speed Test;
‒ FTest;
‒ Essential NetTools;
‒ Zenoss;
‒ AggreGate Network Manager.
Zenoss — распространяемая под свободной лицензией GPL система
мониторинга сетевой инфраструктуры, позиционируемая в качестве
открытой альтернативы продуктам IBM Tivoli, HP OpenView, BMC Patrol.
63
Программа написана на языке Python с использованием Zope, в
качестве СУБД используется MySQL 5.0.x. В web-интерфейсе присутствуют
элементы Ajax.
В программе можно использовать модули мониторинга от системы
Nagios. Также поддерживается получение информации о состоянии объектов
через SNMP, SNMP Trap, Ping/ICMP, SSH/Telnet, Syslog, WMI, XML/RPC
интерфейс.
AggreGate Network Manager – система мониторинга ИТ-
инфраструктуры и управления сетями. Система разрабатывается и
поддерживается российским R&D офисом компании Tibbo Technology.
AggreGate Network Manager является единственной российской системой
мониторинга сетей, составляющей конкуренцию продуктам крупнейших
мировых вендоров.
Сравнение рассмотренных программ приведено в таблице 8.
В результате сделанного сравнение выбираем программу FTest, так как
она обладает большим функционалом для тестирования сети, а не только ее
мониторинга.
Таблица 2.6 Сравнение программных средств тестирования сети
Nagios
LAN
Speed
Test
FTest
Essential
NetTools
Zenoss
AggreGate
Network
Manager
Диаграммы
Да
Да
Да
Да
Да
Да
Отчёты SLA
Да
Через
плагин
Да
(Ограничен
ные)
Да
Да
Да
Логическая
группировка
Да
Да
Да
Да
Нет
Да
Агент
Нет
Да
Да
Да (не
обязател
ен)
Да
(поддержи
вается)
Поддерж
ивается
SNMP
Да
Через
плагин
Да
Да
Да
Да
Nagios
LAN
Speed
Test
FTest
Essential
NetTools
Zenoss
AggreGate
Network
Manager
64
Syslog
Через
плагин
(Syslog)
Через
плагин
Да
Да
Нет
Да
Внешние
скрипты
Да
Да
Да
Да
Да
Да
Плагины
Да
Да
Да
Да
Да
Да
Инвентаризаци
я
Нет
Через
плагин
Да
Через
агент
Да
(ограничен
о)
Да
Метод
хранения
данных
RRDtool,
MySQL,
PostgreSQL
Плоска
я база
данных
,SQL
PostgreSQL
,MongoDB
Плоская
база
данных,
SQL
RRDtool,
PostgreSQL
SQL
Карты
Через
плагин
(Weatherma
p)
Динам
ически
е и
настра
иваемы
е
Да
Да
Да
Да
Стоимость данной программы – около 55000 рублей, в тоже время она
позволяет провести нагрузочное тестирование локальной сети среднего
размера с формированием отчетов о всех показателях ЛВС. Поэтому для
использования в сети выберем данную программу.
Тестируемая сеть состоит из следующих компонентов:
‒ около 50 рабочих станций;
‒ маршрутизатор;
‒ 2 коммутатора;
‒ 3 сервера различного назначения;
‒ соединительные линии;
‒ программное обеспечение.
Обмен данными с активным сетевым оборудованием исполняется через
информационное пространство благодаря протоколам и методикам обмена
данными. В качестве основных протоколов из канального уровня OSI-модели
выделяют: 10 Gigabit Ethernet или Gigabit Ethernet. Основными протоколом
сетевого уровня на базе модели OSI выступает IP-протокол.
Активное аппаратное обеспечение сети для отправки данных включает