62
лежащие
предназначен
в основе предложенной
данных
модели, в частности:
кэшированию
входной
пуассоновский
избежать
поток заявок
предшествующим
на открытие сессий,
маршрутизатор
независимость времен
каждая
обслуживания пользовательских
оптимального
сессий др. от др. и т.д.
Приблизительно
нного
с 7:30 пользователи
объединить
начинают приходить
маршрутизации
на работу,
характер
которые
сетевого трафика
предоставляет
резко изменяется:
целью
интенсивность поступления
процессор
запросов на обслуживание
которые
пользовательских сессий
способ
возрастает. Средняя
позволяет
скорость передачи
который
данных увеличивается.
К 9:00 среднее
корпоративную
значение скорости
administrator
передачи данных
получить
резко возрастают
дублироваться
за
счет увеличения
оптимального
среднего размера
пользователями
FTP сессий.
производителем
Вероятно,
маршрутизатор
это вызвано
посредством
тем,
что
корпоративной
первые пользователи
бенно
стремятся загрузить
времени
большие объемы
тарифицировать
данных до
наступления
открывает
перегрузки в сети.
После 9:00 начинает
оммутация
расти интенсивность
пользователями
потока запросов
вычисляемая
на
обслуживание.
проводка
Среднее значение
этом
времени обслуживания
каждая
пользовательской
сессии
перенаправляет
слегка возрастает
ежедневный
по сравнению с предшествующим
который
периодом (это
корпоративной
вызвано тем,
стандарте
что увеличивается
антивирусный
количество пользователей
приподключения
других сетей,
программных
подключенных к тому
интернет
же поставщику услуг Интернет) – Средняя
файл
скорость
передачи
виде
данных сети
использование
остается приблизительно
важными
на том же уровне. Сеть
доступность
все
еще
открывает
находится в незагруженном
которой
режиме работы.
К 11:00,
которые
с еще большим
рамках
возрастанием интенсивности
способы
потока заявок
вине
на
обслуживание, сеть
бенно
переходит в режим
файл
перегрузки и находится
избежать
в этом
состоянии
доступ
до 12:30. Между 12:30 и 13:30 (обеденное
имеют
время) сеть
сеть
возвращается в незагруженное
базе
состояние, из которого
рамках
снова приходит
провайдерами
в
состояние перегрузки,
приподключения
продолжающееся до 15:00. С 17:00 количество
цель
пользователей в сети
интернет
уменьшается, о чем
рамках
можно судить
обладают
по уменьшающейся
интенсивности
проводные
поступления запросов
ускоряет
на обслуживание пользовательских
подключение
сессий.
Таким образом, с 11:00 до 15:00 подключение
идут
сети к Интернету
рамках
характеризуется состоянием
сбои
перегрузки, в связи
сети
с чем можно
средняя
сделать вывод
местоположение
о необходимости изменения
которые
скорости подключения
оптического
к Интернет.
63
Для расчета среднематематического ожидания
средняя
на основе имеющихся
работы
статистических данных (вероятность) составим
маршрутизаторы
таблицу 5 для L-длина
находится
пользовательской сессии
влять
в мегабайтах.
Таблица 5 – Таблица вероятностного распределения длины
пользовательской сессии
L
2730
2950
2300
P
0,7
0,2
0,1
Математическое ожидание, отражающее среднее значение длины
средней пользовательской сессии в корпоративной сети можно рассчитать по
следующей формуле:
M(L) = L1·P1 + L2·P2 + L3·P3 (1)
где M(L) – математическое ожидание;
L1 – первая длинна пользовательской сессии;
L2 – вторая длинна пользовательской сессии;
L3 – третья длинна пользовательской сессии;
P1 – вероятность для первой длинны пользовательской сессии;
P2 – вероятность для второй длинны пользовательской сессии;
P3 – вероятность для третьей длинны пользовательской сессии.
Подставив значения из таблицы 5 в формулу (1), получим
M(L)=2730·0,7+2950·0,2+2300·0,1=2731 Мб.
Рассчитаем математическое ожидание для M(W) – средняя
продолжительность пользовательской сессии в секундах (таблица 6).
Таблица 6 –Таблица вероятностного распределения времени
пользовательской сессии
W
1890
2170
930
P
0,6
0,3
0,1
Среднюю продолжительность пользовательской сессии можно
рассчитать по следующей формуле:
64
M(W) = W1·P1 + W2·P2 + W3·P3 (2)
где M(W) – средняя продолжительность пользовательской сессии;
W1 – первая пользовательская сессия;
W2 – вторая пользовательская сессия;
W1 – третья пользовательская сессия;
P1 – вероятность для первой пользовательской сессии;
P2 – вероятность для второй пользовательской сессии;
P3 – вероятность для третьей пользовательской сессии.
Подставив значения из таблицы 4 в формулу (2), получим
M(W)=1890·0,6+2170·0,3+930·0,1=1878 сек.
Учитывая 8ми часовой рабочий день, найдем минимальную скорость
подключения к Интернету по формуле:
М(Vn)= [M(L) ·8]/ M(W) (3)
Подставив полученные выражения для M(L) и M(W) в формулу 3
получим:
М(Vn)= [2731·8]/ 1878 = 11,64Мбит/сек.
Таким образом, предприятию необходима минимальная скорость
подключения к Интернет – 11,6 Мбит/сек. В настоящее время используется
тариф 10 Мбит/сек, это и приводит к перегрузке при работе в Интернет в
отдельные временные (пиковые) периоды.
Не будем учитывать варианты тарифов с меньше скоростью
подключения к Интернету.
В таблице 7 приведены возможные тарифы и стоимость подключение
Интернета.
Таблица 7 – Тарифы и стоимость подключение Интернета
Тарифы
Ю-
Unlimited
time (15
Мбит/сек)
Ю-
Unlimited
time (20
Мбит/сек)
Ю-
Unlimited
time (25
Мбит/сек)
1
2
3
Абонентская плата (в месяц) (руб)
3000
3500
4300
Цена подключения
26300
28400
29320
65
Объем потребляемого трафика
∞
∞
∞
Так как минимальная необходимая пропускная скорость 11,7мбит/с,
то оптимален вариант Ю-Unlimited time (15 Мбит/сек), однако, возможно
появление новых РС, расширение сети, поэтому оптимально выбрать вариант
2 со скоростью подключения 20 Мбит/сек без ограничений по трафику и с
месячным тарифом 3500 руб.
Кроме этих рекомендаций необходимо повысить скорость работы
Интернета за счет замены браузеров. Самые быстрые–это GoogleChrome,
MozillaFirefox, Opera.
Данными браузерами рекомендуется заменить IE и Yandex. Лучше
использовать на всех РС браузер Opera, передаваемые данные сжимаются до
80%, что позволяет увеличить скорость.
Важное значение имеет регулярная проверка компьютеров на вирусы
РС. Зараженность вирусами тормозит работу РС в Интернете.
2.3.2 Схема IP-адресации и распределение VLAN
Приборы и оборудование, расположенное на ЛВС для обеспечения
бесперебойной работы подключается к источнику бесперебойного питания.
Для того чтобы, система была отказоустойчивой надо объединить
коммутаторы, объединяются в стек Stacking Switch.
Узел ЛВС включает:
- активное оборудование уровня коммутации ЛВС;
- пассивное оборудование кроссирования портов;
- пассивное оборудование для организации размещения патч-кордов;
- пассивное оборудование для монтажа.
Подключение надо сделать из независимых каналов связи – L2
(основной канал) и VPN через интернет (резервный). Схема представлена на
рисунке 18.
66
2.3.3 Последняя миля и связь с ТфОП
Для обеспечения наибольшей отказоустойчивости операторы L2 и
оператор сети интернет используется независимое (различное) активное
оборудование оператора. Доступ к сети интернет для ПК, принтеров, IP-
телефонов, сети устройств Wi-Fi и других устройств происходит
посредством данного подключения к сети интернет.
Если основной канал L2 пропадает по каким-либо причинам, то
происходит переключение таблицы маршрутизации на коммутаторе третьего
уровня, и трафик начинает проходить через резервный канал – VPN-канал.
Данное переключение происходит посредством динамического протокола
маршрутизации RIP версии 2.
Рисунок 18 – Схема подключения резервного канала
При потере канала с доступом в интернет, основной канал остается в
работе. Пропадает возможность поднятия резервного VPN-канала, а также
доступ в сеть интернет для пользователей ПК и устройств Wi-Fi сети.
Организация VPN канала происходит посредством существующего
подключения к сети интернет через оператора связи. Защищенный VPN
67
организуется посредством аппаратной реализации, используя оборудование
Cisco ASA5505-K8, задействовав технологии Site-to-site, IPsec.
2.3.4 Расчет основных технических характеристик сети
Рассмотрим существующие программы тестирования сетей.
‒ Nagios;
‒ LAN SpeedTest;
‒ FTest;
‒ Essential NetTools;
‒ Zenoss;
‒ Aggre Gate Network Manager.
Zenoss — распространяемая под свободной лицензией GPL система
мониторинга сетевой инфраструктуры, позиционируемая в качестве
открытой альтернативы продуктам IBMTivoli, HPOpenView, BMC Patrol.
Программанаписана на языке Python с использованием Zope, в качестве
СУБД используется MySQL 5.0.x. В web-интерфейсе присутствуют элементы
Ajax.
В программе можно использоватьмодули мониторинга от системы
Nagios. Также поддерживается получение информации о состоянии объектов
через SNMP, SNMP Trap, Ping/ICMP, SSH/Telnet, Syslog, WMI, XML/RPC
интерфейс.
Aggre Gate Network Manager – система мониторинга ИТ-
инфраструктуры и управления сетями. Система разрабатывается и
поддерживается российским R&D офисом компании TibboTechnology. Aggre
Gate Network Manager является единственной российской системой
мониторинга сетей, составляющей конкуренцию продуктам крупнейших
мировых вендоров.
Сравнение рассмотренных программ приведено в таблице 8.
В результате сделанного сравнение выбираем программу FTest, так как
68
она обладает большим функционалом для тестирования сети, а не только ее
мониторинга.
Таблица 8 - Сравнение программных средств тестирования сети
Nagios
LAN
Speed
Test
FTest
Essential
NetTools
Zenoss
AggreGate
Network
Manager
Диаграммы
Да
Да
Да
Да
Да
Да
Отчёты SLA
Да
Через
плагин
Да
(Ограниче
нные)
Да
Да
Да
Логическая
группировка
Да
Да
Да
Да
Нет
Да
Агент
Нет
Да
Да
Да (не
обязател
ен)
Да
(поддержи
вается)
Поддержи
вается
SNMP
Да
Через
плагин
Да
Да
Да
Да
Syslog
Через
плагин
(Syslog)
Через
плагин
Да
Да
Нет
Да
Внешние
скрипты
Да
Да
Да
Да
Да
Да
Плагины
Да
Да
Да
Да
Да
Да
Инвентаризац
ия
Нет
Через
плагин
Да
Через
агент
Да
(ограничен
о)
Да
Метод
хранения
данных
RRDtool,
MySQL,
PostgreSQL
Плоска
я база
данных
,SQL
PostgreSQL
,MongoDB
Плоская
база
данных,
SQL
RRDtool,
PostgreSQL
SQL
Карты
Через
плагин
(Weatherma
p)
Динами
ческие
и
настра
иваемы
е
Да
Да
Да
Да
Стоимость данной программы – около 55000 рублей, в тоже время она
позволяет провести нагрузочное тестирование локальной сети среднего
размера с формированием отчетов о всех показателях ЛВС. Поэтому для
использования в сети выберем данную программу.
Тестируемая сеть состоит из следующих компонентов:
‒ около 50 рабочих станций;
‒ маршрутизатор;
‒ 2 коммутатора;
69
‒ 3 сервера различного назначения;
‒ соединительные линии;
‒ программное обеспечение.
Обмен данными с активным сетевым оборудованием исполняется через
информационное пространство благодаря протоколам и методикам обмена
данными. В качестве основных протоколов из канального уровня OSI-модели
выделяют: 10 Gigabit Ethernet или Gigabit Ethernet. Основными протоколом
сетевого уровня на базе модели OSI выступает IP-протокол.
Активное аппаратное обеспечение сети для отправки данных включает
коммутаторы уровня доступа, коммутаторы ядра и маршрутизатор для
взаимодействия с сетями извне.
Коммутаторами уровня доступа становятся управляемые коммутаторы
2 уровня (Layer 2) в рамках модели OSI. Эти коммутаторы помогают
отправлять данные со скоростью передачи до 100 Мбит/с к каждому ПК, а
также помогают поддерживать технологии и протоколы: VOICE VLAN, VTP,
Rapid PVST, IEEE 802.1Q, PAgP, PVST. Число портов считается исходя из
совокупного числа мест, прибавляется 20% для масштабируемости и все эти
данные указываются на этапе проектирования. Соединение с коммутаторами
уровня ядра происходит по магистральным линиям связи и состоит из
стабильной архитектуры на базе 2 независимых линий связи.
Обычно коммутаторами уровня ядра выступает оборудование 3 уровня
(Layer 3) следуя модели OSI. Эти коммутаторы построены на модульной
основе и имеют режим стекирования (StackWise, FlexStack, StackWise Plus).
Для внедрения коммутаторов уровня доступа, серверов и подобного
активного сетевого оборудования используются порты более 100 Мбит/с. Эти
коммутаторы также имеют поддержку технологий и протоколов типа:
EIGRP, VTP, IEEE 802.1Q, PVST, Rapid PVST, RIPv2, PAgP. Контроль
реализуется посредством HTTP, Telnet, HTTPS, SSH. Коммутаторы уровня
ядра включают в себя особенности коммутаторов ядра и коммутаторов
уровня доступа.
70
Для работы с внешними сетями, к примеру, Internet, используется
маршрутизатор, работающий с протоколами и технологиями типа: OSPF,
EIGRP, GRE, IEEE 802.1Q. Соединение с сетью Internet выполняется в
рамках технических условий, описанных Заказчиком. Модель
маршрутизатора выбирается в процессе проектирования и исходя из
требуемой функциональности и скорости работы, определяемой
максимальным числом пользователей ЛВС.
2.4 Организация сети с географически разнесенными филиалами
Физическая топология CKC выступает в виде топологии «звезда» без
уровней иерархии.
Если же для одного объекта создается более одного узла СКС, все
зональные коммутационные узлы соединяются сразу с основным
коммутационным узлом СКС своими магистральными линиями.
Последовательное подключение коммутаторов не допускается.
Основной узел СКС выбирается исходя из минимизации кабельного
соединения до этажных кроссов. Часто применяется телекоммутационный
кросс серединного этажа.
Схема реализации СКС на всех местах выполняет идентично. Любой
телекоммуникационный разъем на месте сотрудника соединяется
горизонтальным кабелем сразу с телекоммуникационным кроссом.
В процессе реализации по функциональным признакам, СОБИ
разделяется на подсистемы, которые выступают как отдельные службы
безопасности, поддерживающие реализацию целевых задач по защите ИР:
1. Подсистема поддержки проверенной среды нужна для контроля
целостной программно-аппаратной среды ИС, соблюдения гарантий
доверительности пользователей ИС к включенным в систему данным и
сервисам. В совокупности подсистема состоит из следующих средств:
антивирусная защита, лицензионный контроль, проверка отказоустойчивости
71
аппаратных платформ и каналов связи, отслеживание целостности
системного ПО и т.п.;
2. Подсистема определения пользователи необходима для
реализации процедур идентификации пользователей, приложений, СУБД и
т.д. на каждом этапе анализа при обращении к данным в ИС. Подсистема
поддерживается механизмами аутентификации, которые встроенные в СЗИ.
Подсистема активно работает с СКУД;
3. Подсистема СКУД нужна для контроля и контроля доступом
сотрудников к станциям, серверам, ПО, сервисам и другим компонентам,
включенным в ИС, в рамках многоуровневой политики безопасности.
Подсистема поддерживается механизмами деления полномочий,
включенными в системное ПО и СЗИ. Важной задачей подсистемы
становится создание политики «единой отслеживаемой точки входа» в
систему;
4. Подсистема защиты потоков нужна для реализации проверенных
каналов связи между частями одной ИС. Подобная подсистема поддерживает
защиту данных, отправляемых как по открытым методом, так и по секретным
каналам связи. Для выполнения функций, возложенных на эту подсистему,
применяются методики криптографического преобразования данных и
проверки их целостности;
5. Подсистема аудита и регистрации реализует получение и
хранение данных по совокупному положению программных и технических
компонентов, работающих отдельно или включенных в состав системы
безопасности, и нужна эта подсистема для начального анализа этих данных.
Подсистема, в требуемым момент, реализует оперативное оповещение СБ о
состоянии применяемого оборудования и ПО, работающего в рамках ИС, и
корректировках, работе администраторов и пользователей по изменению
оборудования и ПО, явной активности пользователей, произошедших
событиях по безопасности и т.п.;