32
Помимо вышеописанных подсетей и виртуальных ЛВС требуется
выделить отдельные служебные подсети (Таблица 7).
Таблица 7
Распределение адресного пространства для служебных нужд
№
VLAN
Подсеть
Наименование и описание
200
172.16.10.0/26 (62 ip-адреса)
BB.HC.200 Магистральная подсеть для
подключения коммутаторов уровня доступа и ядра
сети.
Также требуется выделить ряд служебных VLAN и подсетей для
соединения устройств ЛВС.
2.2. Организация маршрутизации в ЕСПД
Архитектура сети предусматривает использование маршрутизации на
третьем уровне модели OSI. В качестве протокола динамической
маршрутизации внутри КСПД используется протокол EIGRP.
Протокол EIGRP – это гибридный протокол маршрутизации,
использующий свойства как векторных протоколов маршрутизации, так и
протоколов, основанных на состоянии соединения. Он обеспечивает
быструю сходимость и отличную масштабируемость. Из достоинств этого
протокола следует отметить возможность балансировки нагрузки через
соединения с разл ично й пропускной способностью и низкое время
сходимости. Есл и сравнивать время сходимости оптимально построенного
дизайна сети на втором уровне модели OSI (с использованием петель или
без них) и дизайна сети построенного на третьем уровне модели OSI с
использованием протокола EIGRP, то можно отметить четырехкратное
уменьшение время сходимости сети у дизайна, построенного на третьем
уровне модели OSI, с использованием протокола OSPF по сравнению
дизайном сети, построенном на втором уровне модели OSI (200
миллисекунд у дизайна с использованием маршрутизации на третьем
33
уровне против 800-900 миллисекунд у дизайна с использованием
маршрутизации на втором уровне). [19]
2.2.1. Маршрутизация в ЛВС головной клиники
Маршрутизация между IP-сетями в ЛВС ЦО реализована следующим
образом:
- маршрутизация между различными VLAN в пределах каждого из
коммутаторов уровня доступа осуществляется на самих
коммутаторах. Для этого настроены IP-адреса на интерфейсах
(interface VLAN) коммута тор ов;
- на рабочих станциях пользователей настроен маршрут по
умолчанию (маршрут на сеть 0.0.0.0 0.0.0.0) на IP-адрес
соответствующего интерфейса VLAN;
- на серверах ЛВС ЦО настроен маршрут по умолчанию на VRRP-
IP-адрес соо тветствую щ его интерфейса VLAN коммутатора
уровня ядра/распределения;
- маршрутизация глобальных VLAN (принтеры, управление
активными сетевыми устройствами) осуществляется на
коммутаторах ядра, в качестве маршрута по умолчанию для
сетевых устройств используется VRRP-IP-адрес соответствующего
интерфейса VLAN на коммутаторах ядра;
- для того чтобы автоматически распростран ялась м аршрутн ая
информация и осуществлялась балансировка нагрузки по
параллельным каналам связи, настроен протокол динамической
маршрутизации EIGRP. А втономная система 100 настроена на всех
коммутаторах уровня доступа и ядра/распределения. На
коммутаторах уровня доступа для уменьшения времени
сходимости протокол а маршрутизации протокол EIGRP
настраивается в режиме STUB.
34
2.2.2. Маршрутизация между ЛВС головной клиники и
филиалами
Маршрутизаторы головной клиники HC-C2951-M-1 и HC-C2951-M-1
обеспечивают подключение к сети Интернет для пользователей ЕСПД, а
также обеспечивают подключение филиалов к ЕСП Д через туннели,
организуемые по технологии DMVPN (Dynamic Multipoint VPN). На
маршрутизаторах филиалов и маршрутизаторах головной клиники
настраивается протокол IP маршрутизации EIGRP. Для выбора основного и
резервного GRE туннеля будет использоваться метрика протокола EIGRP
(по умолчан ию метрика протокола EIGRP уч ит ыв ает только два параме тра
Bandwidth + Delay). На основной туннель назначается Bandwidth=2000, на
резервный туннель назначается Bandwidth=1000. Таким образом задается
приоритет основного туннеля.
На Интернет маршрутизаторах в филиалах настраивается протокол
EIGRP в режиме STUB.
2.2.3. Конфигурация протокола VRRP на устройствах
Протокол VRRP (Virtual Routing Redundancy Protocol) - сетевой
протокол, предназначенный для увеличения доступности маршрутизаторов,
выполняющих роль шлюза по умолчанию. Это достигается путём
объединения группы маршрутизаторов в один виртуальный маршрутизатор
и назначения им общего IP-адреса, который и будет использоваться как
шлюз по умолчанию для компьютеров в сети. [25]
В каждый момент времени только один маршрутизатор группы
выполняет м аршрутизацию трафика (VRRP Master Router), если по каким-
то причинам этот маршрутизатор становиться недоступным, другой
маршрутизатор группы (VRRP Master Router) начинает выполнять
маршрутизацию.
35
2.2.4. Протокол динамической маршрутизации BGP
Для обеспечения надежности связи между головной клиникой и
филиалами требуется обеспечить резервирования подключения ЛВС
клиники к сети интернет. Т .к. подключение к сети интернет с использован ие
канала одного провайдера является един ой точкой отказа, предполагается
использовать два независимых канала связи для подключения через двух
провайдеров. При реализации сданной схемы подключения к сети интернет
встает вопрос о маршрутизации.
Сеть интернет является независимым объединением автономных
сетей (систем), в глобальной сети не существует единой точки
маршрутизации. Каждая организация может организовывать произвольное
количество подключений своей сети (авто ном но й системы ) к сетям других
организаций. Для обмена информацией о маршрутах в глобальной сети
Рисунок 3 - Схема работы VRRP
36
используется протокол BGP (анг л. Border Gateway Protocol, протокол
граничного шлюза). [8]
Подключение ЛВС к сети интернет как автономной системы имеет
ряд преимуществ:
- резервирование каналов связи за счет множественного
подключения к сетям провайдеров;
- собственные «публичные» IP-адреса (PI – Provider Independent),
которые н е изменяются вне зависимости от маршрута
прохождения трафика;
- возможность управления маршрутизацией входящего и
исходящего внешнего трафика.
Маршрутизаторы головной клиники подключаются к сети Интернет
через операторов GLOBUS и ЦИФРА-1 двумя каналами связи - один канал
связи организуется непосредственно оператором GLOBUS, второй канал
организуется на уровне L2 модели OSI через сеть оператора ЦИФРА-1.
Шлюз между сетями операторов GLOBUS и ЦИФРА-1 организуется на узле
связи «М9».
Между маршрутизаторами оператора GLOBUS и маршрутизаторами
ЕСПД поднимается протокол динамической маршрутизации BGP.
Оператор GLOBUS обеспечивают объявление «маршрута по умолчанию»
(default route) в сторону маршрут изат оро в КС П Д.
Оператор GLOBUS выделяет для КСПД IPv4 prefix размерности /28
из своего PI (Provider Independent) адресного пространства. Интернет
маршрутизаторы КСПД объявляют выделенный IPv4 prefix /28 чер ез
протокол BGP.
Для маршрутизаторов КСПД выделяется номер BGP AS (65500) из
приватного диапазона 64512-65535. Между маршрутизаторами Е СПД также
устанавливается BGP соединение (iBGP).
37
Для управления исходящим трафиком из ЕСПД в сеть Интернет в
протоколе BGP используется атрибут «Local Preference». Для управления
входящим трафиком из сети Интернет в сеть КСПД в протоколе BGP
используется атрибут «AS PATH».
Большее значение атрибута «Local Preference» соответствует более
приоритетному направлению для трафика. По умолчанию данный атрибут
имеет значение 100.
Наименьшая длина пути, указанная в атрибуте «AS PATH» позволяет
выбрать основной путь для входящего трафика из сети Интернет. Для
резервного канала связи длина пути «AS PATH» искусственно удлиняется
через добавление параметра AS-PATH prepend.
Настройка маршрутизатора HC-C2951-M-1 (Основной канал в сеть
GLOBUS)
router bgp 65500
neighbor 82.198.173.169 remote-as 30733
neighbor 82.198.173.169 route-map outside-traffic in
route-map outside-traffic permit 10
set local-preference 150
Настройка маршрутизатора HC-C2951-M-2 (резервный канал):
router bgp 65500
neighbor 82.198.173.61remote-as 30733
neighbor 82.198.173.61 route-map only_my_AS out
route-map only_my_AS permit 10
match as-path 10
set as-path prepend 65500 65500 65500
38
2.3. Организация коммутации ЕСПД
Организация надежной связи на втором уровне модели OSI является
не менее актуальной задачей. На канальном уровне в сетях Ethernet не
допустимы множественные связи между коммутаторами, т.к. такие
подключения приводят к возникновению «петель коммутации» и
неработоспособности сегмента сети.
Для решения проблемы резервирования каналов на физическом
уровне с корректной организацией связи на канальном уровне в ЕСПД
предполагается использование протокола STP (англ. Spanning Tree Protocol
- протокол остовного дерева).
Протокол канального уровня STP (spanning tree protocol)
предназначен для предотвращения образования петель комм утации в
локальных сетях. За счет обмена служебными фреймами коммутаторы, на
которых запущен STP, стро ят топологию, в которой между д в ум я любыми
устройствами существует только один активный на данный момент
маршрут (на втором уровне семиуровневой модели OSI). Логиче ск им
центром полученной топологии является корневой коммутатор (root switch).
Протокол STP настраивается и работает на интерфейсах,
соединяющих коммутаторы доступа между собой, а также на интерфейсах,
соединяющих коммутаторы доступа и ком мутатор ы уровня
ядра/распределения. [26]
Для обеспечения максимально быстрого переключения между
маршрутами канального уровня используется модификация протокола STP
— RSTP (rapid spanning tree), описанная в стандартах IEEE 802.1w и IEEE
802.1D-2004. [27]
На всех коммутаторах ЛВС используется поддержка расширенного
режима (extended system ID) идентификатора комм ута тор ов (bridge ID) на
основе расширений протокола STP в стандарте IEEE 802.1t. Данный режим
всегда включен по умолчанию, и его нельзя принудительно отключить. В
39
этом режиме работы часть битов значения параметра priority протокола STP
используется для обозначения номера VLAN, что необход и м о для работы
отдельной сущности протокола STP для каждого VLAN (функциональность
PVST+).
На коммутаторах доступа, на интерфейсах, к которы м подключены
конечные устройства (ПК, принтеры, медицинское обор у до в ан и е),
настраивается режим работы протокола STP «Port Fast».
В режиме «Port Fast» отключается приём и отсылку служебных
BPDU-пакетов протокола STP, т. е. контроль наличия петель в Ethernet-
топологии сети. В результате становится возможным избежать 30-
Рисунок 4 - Схема работы STP
40
секундной задержки между появлением несущей н а интерфейсе
оборудования и моментом начала пересылки пакетов. Включение данного
режима допускается только на интерфейсах коммутатора, к которым
подключены конечные пользовательские устройства. Использование
режима «Port Fast» на портах, подключенных к мостам и коммутаторам,
может приводить к образованию петель топологии и, как следствие, к
неработоспособности ЕСПД. Для упрощ е н и я конфигурац и и оборудован и я
и уменьшения числа возможных ош ибок выполняется настройка режима
«Port Fast» для всех портов в состоянии «access».
Основным понятием протокола STP является понятие «корневого
коммутатора» (root bridge), через который проходят маршруты канального
уровня. Для VLAN головной клиники, в качестве «корневого ком мутатора»
используются центральные коммутаторы уровня ядра/распределения.
На коммутаторах доступа, для упрощения конфигурации
оборудования и ум еньшения числа возможных ошибок, выполняется
настройка «BPDU Guard» для всех интерфейсов в состоянии «Access».
Данная функция отключает порт при получении BPDU пакета. Появление
BPDU на порту, предназначенном для подключения конечных устройств
возможно в случае подключения к нему коммутатора или с поддержкой
STP, которое мож ет н а ру шить тополог ию.
Для автоматического включения порта после срабатывания защиты
«BPDU Guard» устанавливается соответствующий таймер в 120 секунд.
Сеть медицинского центра строится с использованием оптических
каналов связи на физическом уровне. П ри работе протокола STP поверх
волоконно-оптических каналов существует проблема односторонней связи,
возникающей при выходе из строя одного из двух волокон линии. В случае
выхода из строя всего одного волокна из двух, отказ будет обработан
некорректно средствами протокола STP. Т.к. св язь в одном направлении
сохраниться, один из коммутаторов некоторое время продолжит получать
41
BPDU по поврежденной линии и ввода резерва не произойдет.
Однонаправленные соединения могут служить причиной различных
проблем в локальной сети — в частности, петель коммутации. Для
предотвращения проблем, вызываемых односторонней связью применяется
протокол UDLD (англ. UniDirectional Link Detection – обнаружение
односторонней связи).
Протокол UDLD позволяет коммутаторам Cisco, соединенным между
собой опти ческими каналами связи, контролировать физическое состояние
канала и отслеживать возникновение однонаправленных соединений. Для
корректной работы протокола необходимо чтобы все устройства
поддерживали протокол UDLD. При обнаружении однонаправленного
соединения протокол UDLD блокирует соответствующий порт
коммутатора.
2.3.1. Настройка интерфейсов коммутаторов
Подключение конечных устройств ЕСПД производится на
интерфейсах коммутаторов уровня доступа на втором уровне МВОС (OSI).
Для предотвращения образования каналов связи в режиме работы
«Trunk» интерфейсы подключения пользователей принудительно
переводятся в статических режим работы «Access».
Для исключения задержек, возникающих при подключении
компьютера к сети, на портах пользователей настраивается ф ункция «Port
Fast”, котора я отключает прото ко л определения кол ьц ев ы х маршрутов STP.
При подключении серверов к ЕСПД требуется обеспечить
отказоустойчивость соединения, что возможно при помощи дублирования
физических каналов связи. Технология Etherchannel, поддерживаемая
коммутаторами Cisco, позволяет обеспечить избыточность соединения
путем объединения нескольких физических портов в один логический канал
связи 2-го уровня модели OSI. Помимо обеспечения избыточности,
Etherchannel позволяет повысить скорость передачи данных, т.к. все