46
надежность функционирования системы и позволяет конфигурировать множество
параметров. Существует express версия, предназначенная для небольших
компаний. Одним из преимуществ является техническая поддержка Cisco. При
наличии договора на техническую поддержку все проблемы решает корпорация
Cisco. Cisco Call Manager предназначен для компаний, которых интересует
отличное качество связи за не малые деньги.
Avaya IP Office. Система IP Office предназначена для средних сетей. Число
пользователей ограничено мощностью сервера и количеством лицензий. Платы
расширения, приложения должны быть лицензированы. Управлять сервером
можно множеством программ. Avaya IP Office Manager самое подходящее решение,
т.к. программа достаточно проста в использовании, возможно консольное
управление с помощью Avaya Terminal Emulator.
Asterisk является лучшим решением для развертывания сети, т.к.
поддерживает множество функций и является бесплатным продуктом. Так же
Asterisk прост в обслуживании.
1.4.2. Выбор программных средств реализации
Для реализации проекта лучшим решением является Asterisk — программное
обеспечение, находящееся в свободном доступе, не требующее обязательной
лицензии. Это является подходящим вариантом для малого и среднего бизнеса.
Число абонентов в сети может достигать 2000 и ограничено только мощностью
сервера.
Выбираем операционную систему Linux сборки CentOSx32, т.к. Linux
является надежной системой и является распространенной во многих
организациях. Версия обновляется каждые 6 месяцев для поддержки новых
аппаратных средств. Red Hat Enterprise Linux состоит из свободного программного
обеспечения с открытым кодом, но доступен в виде дисков с бинарными пакетами
только для лицензированных пользователей. Как требуется в лицензии GPL и
других, Red Hat предоставляет все исходные коды. Разработчики CentOS
используют данный исходный код для создания готового продукта, очень близкого
к Red Hat Enterprise Linux и находящегося в свободном доступе. Существуют и
47
другие клоны RedHatEnterprise Linux, созданные на основе этого кода. CentOS
использует программу yum (начиная с версии 7.0 используется пакетный менеджер
dnf) для скачивания и установки обновлений из репозитория CentOS Mirror
Network, тогда как Red Hat Enterprise Linux получают обновления с серверов
RedHatNetwork. CentOS до версии 5.0 для обновлений использовал программу
up2date. Putty– клиент для протоколов удаленного доступа, позволяет удаленно
управлять сервером. Для реализации проекта выбираем программу Asterisk,
операционную систему LinuxCentOS.
48
II ПРОЕКТНАЯ ЧАСТЬ
2.1. Реализация вычислительной сети IP телефонии на
предприятии
2.1.1. Выбор топологии и технологии построения сети IP телефонии
На данный момент сеть компании разнесена территориально и не имеет
единой структуры, большие траты на поддержание сети в рабочем состоянии
суммируются с тратами на абонентскую плату нескольким провайдерам, так как
подразделения используют услуги различных провайдеров.
Единая территориально разнесенная сеть требует больших вложений
включающих: стоимость кабелей, работ по их монтажу, закупку коммутационного
оборудования, а также затраты на поддержание его работоспособности.
Проектируемую систему предлагается создать на базе компании АО
“Северен-Телеком”, используя ее сеть, оборудование и услуги. Сеть предприятия
имеет смешанную структуру, применяется топология иерархическая звезда, в то
время как сеть компании АО “Северен-Телеком” внутри имеет произвольные связи
между устройствами в силу большого количества абонентов. Узлы, составляющие
основу сети АО “Северен-Телеком”, между собой связаны с использованием
технологии Ethernet и имеют пропускную способностью 10 Гбит/с.К
маршрутизаторам уровня ядра, находящимся внутри сети АО “Северен-Телеком”, с
помощью технологии Глобальных сетей IP-VPN MPLS подключаются сети
доступа. Сеть предприятия условно можно разбить на 3 типовых сегмента:
главный офис;
типовой филиал;
типовое подразделение.
В главном офисе находятся все сервера компании, наибольшее количество
компьютеров и телефонных аппаратов, управление сетью осуществляется из
главного офиса, исходя из вышеперечисленного, к оборудованию в этом сегменте
предъявляются повышенные требования по надежности, производительности,
управляемости и масштабируемости.
49
В каждом сегменте сети присутствует пограничный маршрутизатор, так как
сеть использует технологию MPLS VPN L3 для повышения скорости обработки
трафика за счет коммутации пакетов по меткам. Далее на типовой подстанции к
нему подключена непосредственно локальная сеть компании и через шлюз
телефонии телефонные аппараты и другое необходимое оборудование (например,
принтер или копир). В типовых подразделениях и паУправление социальных
объектовах к маршрутизатору подключены коммутаторы, так как количество
пользователей превышает количество предоставляемых маршрутизатором портов.
Этот центральный коммутатор осуществляет управление на втором
(канальном) уровне, в то время как маршрутизатор работает на третьем (сетевом)
уровне. В пределах одного здания клиенты имеют доступ к сети с помощью
оконечных устройств, выполняющих функции уровня доступа. Пропускная
способность Ethernet на данном уровне в большинстве случаев 100 Мбит/с, в
исключительных случаях достигает 1 Гбит/с.
2.1.2. Выбор протоколов реализации сети IP телефонии
Внедрение IP-технологии в телефонии требует ответственного расчёта,
который способствует надёжной и качественной работе сети, а также
высвобождает незадействованные ресурсы на другие задачи. Расчет зависит как от
данных снятых непосредственно с систем управления Ц-АТС, так и от прогнозов
рабочей нагрузки и необходимого качества услуг. Адаптивные алгоритмы работы
сетей пакетной коммутации после расчёта должны продемонстрировать своё
преимущество над коммутацией каналов, чем ещё раз подтвердить
целесообразность проведения модернизации.
За все время существования данного направления было разработано большое
количество кодеков, используемых для передачи аудио- и видеоинформации в
системах IР-телефонии. Наиболее популярными (по количеству пользователей и
поддержки в конечных устройствах) в настоящее время являются следующие
кодеки;
G711 - стандартизованный ITU-T кодек, используемый в устройствах ISDN
Требуемая пропускная способность - 64 кбит/сек. Существуют две разновидности
50
кодека a-law и u-law, отличающиеся алгоритмами кодирования. Кодек
поддерживается практически всеми устройствами 1Р-телефонии.
G729 - стандартизованный ITU-T кодек, предназначенный для передачи речи
с "хорошим качеством'1 при использовании небольшой пропускной способности (8
кбит/сек). Существуют две популярные (и несовместимые между собой) версии
данного стандарта; Annex А (более "простая" схема кодирования) и Annex В (с
использованием алгоритмов сжатия пауз) По субъективным оценкам, данный кодек
обладает качеством лучшим, чем у G 723, но худшим, чем G7I1. Поддерживается
практически всеми производителями оборудования,
G723.1 - кодек, стандартизованный ITU-T. Отличительной особенностью
является возможность работы при очень низком потоке (5.3, 6.3 кбит/сек). По
субъективными оценкам, обладает самым плохим качеством (среди
рассматриваемых кодеков) речи. Поддерживается значительной частью устройств
1Р-телефонии
GSM (RPE-LTP) - голосовой кодек, разработанный для использования в
системах сотовой связи стандарта GSM/
При кодировании кадра используется информация предыдущего кадра,
кодирование осуществляется блоками по 20 мс со скоростью 13 кбит/с.
Поддерживается производителями оборудования, в основном в шлюзах между
сотовыми и VoIP-сетями.
iLBC (Internet low bitrate codec) - открытый (не требуются лицензионные
отчисления) голосовой кодек. Предназначен для кодирования с потоком 13.33
кбит/сек (при размере кадра 30 мс) и 15.20 кбит/сек (при размере кадра 20 мс). По
субъективным оценкам экспертов, качество речи данного кодека превышает
G.729A. Кроме того, кодек более устойчив (по сравнению с g729) к потере кадров,
что позволяет эффективно использовать его при организации сеансов связи через
сеть Интернет Примером этому является популярная сеть IP- телефонии - Skype.
Поддерживается ограниченным числом производителей оборудования.
Сравнительные характеристики кодеков приводятся в таблице 6 и на рисунке 13.
[23]
Таблица 6
Характеристики популярных кодеков
51
Кодек
Ширина канала
Размер пакета
(мс.)
Алгоритмическая задержка
(мс)
G.711
64 кбит/с
20
0
G.729
8 кбит/с
20
15
G.723.I
6,3 кбит/с
30
37.5
G.723.I
5,3 кбит/с
30
37.5
GSM
13 кбит/с
20
20
iLBC
13,33 кбит/с
30
30
iLBC
15,2 кбит/с
20
30
Также немаловажным критерием при выборе кодека помимо ширины канала
является качество звучания. Оценка MOS (Mean Opinion Score, в русской
литературе встречается как усреднённая субъективная оценка) Принцип MOS
прост: специальной группе людей предоставляют возможность воспользоваться
системой связи и просят поставить оценю' от 1 до 5. Усредненные данные такого
исследования и называются MOS. Для приведенных кодеков график оценки
приводится на рисунке 13,
Рис. 13 – Усредненные характеристики Кодеков
Немаловажным параметром в данном частном случае также является размер
сэмпла. Этот параметр определяет «количество» голосовой информации в IP -
пакете — например, в один и тот же стандартных размеров пакет можно упаковать
один слог или два. Чем больше размер сэмпла, тем экономнее расходуется
52
пропускная способность, но тем больше в разговоре будет слышна задержка, как
следствие работы процессора по цифровой обработке сигнала У всех кодеков,
кроме iLBC это значение равно 20 мс., а у ILBC с уменьшенным потоком данный
критерий равен 30 мс.
Таким образом, исходя из различных критериев, можно выбрать два кодека,
которые поддерживаются производителями оборудования, так и соответствуют
критериям обеспечения качественной связи с минимальной полосой протекания.
Такими кодеками являются G.711 и G.729.
Трафик — это объем данных или количество сообщений, переданных через
канал за определенный промежуток времени. Трафик также включает отношение
между попытками вызова оборудования, чувствительного к трафику, и скоростью
выполнения этих вызовов. Анализ трафика дает возможность определить
необходимую ширину полосы протекания каналов передачи данных и голосовых
вызовов. Проектирование трафика направлено на решение проблем качества связи,
так как дает возможность определить уровень обслуживания и коэффициент
блокирования. Сеть, спроектированная надлежащим образом, имеет низкий
коэффициент блокирования и высокий уровень использования канала, т. е,
качество обслуживания повышается, а затраты уменьшаются.
Нагрузка сети обычно измеряется в час наибольшей нагрузки, потому что
этот период характеризуется максимальной интенсивностью трафика, которую
должна выдерживать сеть Результатом является величина интенсивности трафика,
которая обычно называется трафиком в час наибольшей нагрузки
2.1.3 Построение системы защиты IP телефонии предприятия
Система защиты информации представляет собой совокупность
технических, программных и программно-технических средств защиты
информации, а также организационных мер по защите информации
СЗИ обеспечивает безопасность информации, обрабатываемой в ВС.
СЗИ ВС обеспечивает защиту информации на всех технологических этапах
ее обработки и во всех режимах функционирования системы, в том числе при
проведении технического обслуживания.
СЗИ состоит из следующих подсистем:
53
подсистема защиты информации от НСД;
подсистема организационных мероприятий по защите информации.
Подсистема организационных мероприятий по защите информации
предназначена для защиты информации путём выработки определённых процедур,
правил и контроля их выполнения.
Защиты информации от НСД обеспечивается СрЗИ антивирусное ПО
Kaspersky.
Основная функция антивирусного ПО Kaspersky – обнаружение и
блокирование вредоносного программного обеспечения.
Антивирусная защита обеспечивается программными продуктами компании
«Лаборатория Касперского» из состава пакета программ «Kaspersky Total Security
для бизнеса».
В ВС реализуется следующая структура антивирусной защиты:
сервер администрирования;
модуль СУБД;
клиент антивирусной защиты;
агент администрирования;
консоль администрирования.
Сервер администрирования предназначен для:
формирования и хранения структуры групп администрирования
клиентских компьютеров;
централизованного управления клиентами;
сбора и хранения информации об установленных программах, об
обновлениях Microsoft Windows, об уязвимостях ПО, о реестре
оборудования;
организации хранилищ дистрибутивов программ «Лаборатории
Касперского»;
удаленной установки программ на компьютеры и их
деинсталляции;
получения и хранения обновлений антивирусных баз;
54
обновления антивирусных баз на клиентских компьютерах;
формирования политик защиты и задач управления
применительно к каждой группе администрирования и
распространения их на клиентские АРМ и серверы;
хранения информации о событиях;
формирования отчетов;
хранения и распространения лицензий программ компании
«Лаборатория Касперского» на клиентские АРМ и серверы.
Сервер администрирования взаимодействует с модулем СУБД для хранения
групповой структуры клиентских АРМ и серверов, политик защиты, задач,
архивных копий инцидентов, истории их изменений, правил реагирования на
инциденты, информации об агентах антивирусной защиты и антивирусных
средствах защиты, технической информации о клиентских АРМ и серверах.
Компонент «Консоль администрирования» устанавливается на сервер
администрирования и АРМ администратора и используется для удаленного
администрирования сервера администрирования антивирусной защиты.
Клиентами антивирусной защиты являются АРМ и серверы ВС с
установленной программой «Kaspersky Endpoint Security 10 для Windows»,
служащей для непосредственной защиты от вирусов и программой агента
администрирования, служащей для взаимодействия с сервером
администрирования.
Клиентские компоненты запускаются при старте операционной системы,
постоянно находится в оперативной памяти компьютера. Компонент защиты
проверяет все открываемые, сохраняемые и запускаемые файлы, а агент
администрирования обеспечивает связь с сервером администрирования.
Проверка файлов происходит с определенным набором параметров, который
называется уровнем безопасности. При обнаружении угроз антивирус выполняет
заданное в политиках действие.
Процесс проверки файла выполняется по следующему алгоритму:
антивирус перехватывает обращение пользователя или некоторой
программы к каждому файлу;
55
антивирус проверяет наличие информации о перехваченном файле в базах
iChecker и iSwift и на основании полученной информации принимает решение о
необходимости проверки файла.
Если проверка необходима, то файл анализируется на присутствие вирусов.
Распознавание объектов происходит на основании антивирусных баз. Базы
содержат описание всех известных в настоящий момент вредоносных программ,
угроз, сетевых атак и способов их обезвреживания. В результате анализа
выполняются следующие действия:
если в файле обнаружен вредоносный код, антивирус блокирует
файл, помещает его копию в резервное хранилище и пытается
провести лечение; в результате успешного лечения файл
становится доступным для работы; если же лечение провести не
удалось, файл удаляется;
если в файле обнаружен код, похожий на вредоносный, то файл
подвергается лечению и помещается в специальное хранилище –
карантин;
если в файле не обнаружено вредоносного кода, он сразу же
становится доступным для работы.
Обновление антивирусных баз на сервере администрирования и дальнейшее
их распространение на клиентские АРМ и серверы производится сервером
администрирования автоматически по специально созданной для этого задаче. В
качестве источника обновлений антивирусных баз используется ресурс,
выделенный на файловом сервере и периодически обновляемый с сайта компании
«Лаборатория Касперского» в соответствии с установленной для этого процедурой
через воздушный зазор. Процедура обновления производится один раз в неделю.
Перечень программного обеспечения, устанавливаемого в рамках
реализации антивирусной защиты, приведен в таблице 7.