Протокол STP и виртуальные сети

Протокол STP может быть применен в виртуальных сетях. Но в этом случае единственный путь, предлагаемый протоколом STP, не может удовлетворить все множество виртуальных сетей в данной физической топологии.

Тем не менее, фирмой Cisco предложен метод, позволяющий протоколу STP работать в виртуальных сетях. Этот метод называется Autonomous Spanning Tree (автономное остовое дерево). Он также позволяет повысить гибкость и расши­ряемость виртуальных сетей. Например, виртуальные сети, построенные на его основе, могут использовать разные пути для передачи данных «туда» и «обрат­но». Коммутаторы виртуальных сетей фирмы Cisco могут объединяться между собой несколькими линиями связи. При этом без поддержки механизма вирту­альных сетей протокол STP автоматически отключит все линии связи, кроме одной, устраняя таким образом возможные петли. При использовании механиз­ма виртуальных сетей протокол STP будет работать независимо в каждой вир­туальной сети.

Протокол STP: заключение

Применение протокола STP в корпоративных сетях позволяет создавать боль­шие и сложные сети на коммутаторах (их называют плоскими сетями), не опа­саясь широковещательного шторма. Кроме того, реализуется только один путь передачи данных между любыми двумя станциями, что:

q гарантирует доставку данных в том порядке, в котором они были отправ­лены;

q предотвращает размножение широковещательных пакетов;

q устраняет их бесконечную циркуляцию;

q запрещает распространение пакетов с неизвестным адресом назначения.

Перечислим достоинства протокола STP:

q позволяет строить локальные сети на коммутаторах в особо ответствен­ных случаях со значительным повышением общей надежности сети;

q работает прозрачно для конечных станций;

q использует небольшую ширину полосы пропускания;

q принят большинством производителей коммутационного оборудования;

q совместим с виртуальными сетями.

К недостаткам протокола можно отнести:

q повышенная стоимость коммутаторов STP;

q резервирование оборудования существенно увеличивает стоимость сети в целом;

q на время переконфигурации сети прекращается работа пользователей.

Протокол STP используется главным образом в сетях, где главным требова­нием является надежность передачи данных.

Маршрутизаторы

Довольно часто в компьютерной литературе дается следующее обобщенное определение маршрутизатора: «маршрутизатор — это устройство сетевого уров­ня эталонной модели OSI, использующее одну или более метрик для определе­ния оптимального пути передачи сетевого трафика на основании информации сетевого уровня». Из этого определения вытекает, что маршрутизатор, прежде всего, необходим для определения дальнейшего пути данных, посланных в боль­шую и сложную сеть. Пользователь такой сети отправляет свои данные в сеть и указывает адрес своего абонента. И все данные проходят по сети и в точках с разветвлением маршрутов поступают на маршрутизаторы, которые как раз и устанавливаются в таких точках. Маршрутизатор выбирает дальнейший наилуч­ший путь. То, какой путь лучше, определяется количественными характеристи­ками, которые называются метриками. Лучший путь — это путь с наименьшей метрикой. В метрике может учитываться несколько показателей, например, длина пути, время прохождения и т. д.

Маршрутизаторы реализуются по-разному. Маршрутизаторы делят на устройства верхнего, среднего и нижнего классов.

Высокопроизводительные маршрутизаторы верхнего класса служат для объ­единения сетей предприятия. Они поддерживают множество протоколов и ин­терфейсов, причем не только стандартных, но, подчас, и весьма экзотических. Устройства данного типа могут иметь до 50 портов локальных или глобальных сетей.

С помощью маршрутизаторов среднего, промежуточного, класса формиру­ются менее крупные сетевые объединения масштаба предприятия. Стандартная конфигурация включает два-три порта локальных сетей и от четырех до восьми портов глобальной сети. Такие маршрутизаторы поддерживают наиболее рас­пространенные протоколы маршрутизации и транспортные протоколы.

Маршрутизаторы нижнего класса предназначаются для локальных сетей под­разделений; они связывают небольшие офисы с сетью предприятия. Типичная конфигурация: один порт локальной сети (Ethernet или Token Ring) и два порта глобальной сети, рассчитанные на низкоскоростные выделенные линии или коммутируемые соединения. Тем не менее, подобные маршрутизаторы пользуются большим спросом у администраторов, которым необходимо расширить имеющи­еся межсетевые объединения.

Маршрутизаторы для базовых сетей и удаленных офисов имеют разную ар­хитектуру, поскольку к ним предъявляются разные функциональные и операци­онные требования. Маршрутизаторы базовых сетей обязательно должны быть расширяемыми. Маршрутизаторы локальных сетей подразделения, для которых, как правило, заранее устанавливается фиксированная конфигурация портов, содержат только один процессор, управляющий работой трех или четырех ин­терфейсов. В них используются примерно те же протоколы, что и в маршрути­заторах базовых сетей, однако программное обеспечение больше направлено на облегчение инсталляции и эксплуатации, поскольку в большинстве удаленных офисов отсутствуют достаточно квалифицированные специалисты по сетевому обслуживанию.

Маршрутизатор базовой сети состоит из следующих основных компонентов: сетевых адаптеров, зависящих от протоколов и служащих интерфейсами с локальными и глобальными сетями; управляющего процессора, определяюще­го маршрут и обновляющего информацию о топологии; основной магистрали. После поступления пакета на интерфейсный модуль он анализирует адрес на­значения и принимает команды управляющего процессора для определения вы­ходного порта. Затем пакет по основной магистрали маршрутизатора передается в интерфейсный модуль, служащий для связи с адресуемым сегментом локаль­ной сети или портом глобальной сети.

В роли маршрутизатора может выступать рабочая станция или сервер, име­ющие несколько сетевых интерфейсов и снабженные специальным программ­ным обеспечением. Маршрутизаторы верхнего класса — это, как правило, специализированные устройства, объединяющие в отдельном корпусе множест­во маршрутизирующих модулей.

По определению, основное назначение маршрутизаторов — это маршрутиза­ция трафика сети. Процесс маршрутизации можно разделить на два иерархичес­ки связанных уровня:

q Уровень маршрутизации. На этом уровне происходит работа с таблицей маршрутизации. Таблица маршрутизации служит для определения адреса (сетевого уровня) следующего маршрутизатора или непосредственно получателя по имеющемуся адресу (сетевого уровня) получателя. После определения адреса передачи выбирается определенный выходной фи­зический порт маршрутизатора. Этот процесс называется определением маршрута перемещения пакета. Настройка таблицы маршрутизации ве­дется протоколами маршрутизации. На этом же уровне определяется пе­речень необходимых предоставляемых сервисов;

q Уровень передачи пакетов. Перед тем как передать пакет, необходимо: проверить контрольную сумму заголовка пакета, определить адрес (ка­нального уровня) получателя пакета и произвести непосредственно от­правку пакета с учетом очередности, фрагментации, фильтрации и т. д. Эти действия выполняются на основании команд, поступающих с уровня маршрутизации.

Обобщенная функциональная схема маршрутизации представлена на рис. 5.17.

Определение маршрута передачи данных происходит программно. Соответст­вующие программные средства носят названия протоколов маршрутизации. Логика их работы основана на алгоритмах маршрутизации. Алгоритмы марш­рутизации вычисляют стоимость доставки и выбирают путь с меньшей стои­мостью. Простейшие алгоритмы маршрутизации определяют маршрут на основании наименьшего числа промежуточных (транзитных) узлов на пути к адресату. Более сложные алгоритмы в понятие «стоимость» закладывают несколько показателей, например, задержку при передаче пакетов, пропускную способность каналов связи или денежную стоимость связи. Основным результа­том работы алгоритма маршрутизации является создание и поддержка таблицы маршрутизации, в которую записывается вся маршрутная информация. Содер­жание таблицы маршрутизации зависит от используемого протокола маршру­тизации, В общем случае таблица маршрутизации содержит следующую информацию:

q действительные адреса устройств в сети;

q служебную информацию протокола маршрутизации;

q адреса ближайших маршрутизаторов.

Основными требованиями, предъявляемыми к алгоритму маршрутизации, являются:

q оптимальность выбора маршрута;

q простота реализации;

q устойчивость;

q быстрая сходимость;

q гибкость реализации.

Оптимальность выбора маршрута является основным параметром алгоритма, что не требует пояснений.

Алгоритмы маршрутизации должны быть просты в реализации и использо­вать как можно меньше ресурсов.

Алгоритмы должны быть устойчивыми к отказам оборудования на первона­чально выбранном маршруте, высоким нагрузкам и ошибкам в построении сети.

Сходимость — это процесс согласования между маршрутизаторами информа­ции о топологии сети. Если определенное событие в сети приводит к тому, что некоторые маршруты становятся недоступны или возникают новые маршруты, маршрутизаторы рассылают сообщения об этом друг другу по всей сети. После получения этих сообщений маршрутизаторы производят переназначение оп­тимальных маршрутов, что в свою очередь может породить новый поток со­общений. Этот процесс должен завершиться, причем достаточно быстро, иначе в сетевой топологии могут появиться петли, или сеть вообще может перестать функционировать. Алгоритмы маршрутизации должны быстро и правильно учитывать изменения в состоянии сети (например, отказ узла или сегмента сети).

Достоинства гибкой реализации не требуют комментариев.

Алгоритмы маршрутизации могут быть:

q статическими или динамическими;

q одномаршрутными или многомаршрутными;

q одноуровневыми или иерархическими;

q внутридоменными или междоменными;

q одноадресными или групповыми.

Для статических (неадаптивных) алгоритмов маршруты выбираются заранее и заносятся вручную в таблицу маршрутизации, где хранится информация о том, на какой порт отправить пакет с соответствующим адресом. Протоколы, разработанные на базе статических алгоритмов, называют немаршрутизируемы­ми протоколами. Примерами немаршрутизируемых протоколов могут служить LAT (Local Area Transport, транспортный протокол для локальных областей) фирмы DEC, протокол подключения терминала и NetBIOS. Обычно с этими протоколами работают мосты, так как они не различают протоколы сетевого уровня.

При использовании динамических алгоритмов таблица маршрутизации авто­матически обновляется при изменении топологии сети или трафика в ней. Динамические алгоритмы различаются по способу получения информации о состоянии сети, времени изменения маршрутов и используемым показателям оценки маршрута.

Одномаршрутные алгоритмы определяют только один маршрут. Он не всегда оказывается оптимальным. Многомаршрутные алгоритмы предлагают несколько маршрутов к одному и тому же получателю. Такие алгоритмы позволяют пере­давать информацию получателю по нескольким каналам одновременно, что оз­начает повышение пропускной способности и надежности сети.

Алгоритмы маршрутизации могут работать в сетях с одноуровневой или иерархической архитектурой. В одноуровневой сети все ее фрагменты имеют одинаковый приоритет, что, как правило, обусловлено схожестью их функцио­нального назначения. Иерархическая сеть содержит подсети (фрагменты сети). Маршрутизаторы нижнего уровня служат для связи фрагментов сети. Маршрутизаторы верхнего уровня образуют особую часть сети, называемую магист­ралью (опорная часть). Маршрутизаторы магистральной сети передают пакеты между сетями нижнего уровня.

Иерархическая структура в больших и сложных сетях позволяет значительно упростить процесс управления сетью, облегчает изоляцию сегментов сети и т. д. Например, логическая изоляция сегментов сети допускает установку бранд­мауэров.

Некоторые алгоритмы маршрутизации действуют только в пределах своих доменов (внутридоменная маршрутизация), другие — как в пределах своих до­менов, так и в смежных с ними (междоменная маршрутизация). В данном случае домен означает область маршрутизации, в которой работает один или несколь­ко протоколов маршрутизации. В разных доменах работают разные протоколы. Если необходима связь доменов, используется междоменная маршрутизация.

Одноадресные алгоритмы маршрутизации предназначены для передачи кон­кретной информации (по одному или нескольким маршрутам) только одному получателю. Многоадресные (или групповые) алгоритмы способны передавать информацию многим получателям одновременно.

Когда маршрутизатор получает пакет, он считывает адрес назначения и опре­деляет, по какому маршруту отправить пакет. Обычно маршрутизаторы хранят данные о нескольких возможных маршрутах. Выбор маршрута зависит от не­скольких факторов в том числе:

q применяемой системы измерения длины маршрута (его метрики);

q маршрутизируемого протокола высокого уровня;

q топологии сети.

На уровне маршрутизации существуют три основные группы протоколов маршрутизации (деление на группы определяется типом реализуемого алгорит­ма определения оптимального маршрута):

q протоколы вектора расстояния;

q протоколы состояния канала;

q протоколы политики маршрутизации.

Протоколы вектора расстояния — самые простые и самые распространенные. Протоколы данной группы включают RIP IP, RIP IPX, AppleTalk RTMP и Cisco IGRP. Свое название этот тип протокола получил от способа обмена информа­цией. Маршрутизатор с определенной периодичностью извлекает адреса получа­телей информации и метрику из своей таблицы маршрутизации и помещает эти данные в рассылаемые соседям сообщения об обновлении. Соседние маршрути­заторы сверяют полученные данные со своими собственными таблицами марш­рутизации и вносят необходимые изменения. После этого они сами рассылают сообщения об обновлении. Таким образом каждый маршрутизатор получает ин­формацию о маршрутах во всей сети. При очевидной простоте алгоритма гово­рить о полной его надежности нельзя. Он может работать эффективно только в небольших сетях. Это связано с тем, что в крупных сетях поток сообщений между маршрутизаторами резко возрастает. При этом большинство из них явля­ются избыточными (так как изменения сетевой топологии происходят довольно редко). Как следствие — действительно необходимая информация подчас долго гуляет по всей сети, и маршрутизаторы обновляют свои таблицы с большой задержкой. Так, более несуществующий маршрут может довольно долго оста­ваться в таблицах маршрутизации. Трафик, направленный по такому маршруту, не достигнет своего адресата.

Протоколы состояния канала были впервые предложены в 1970 году Эдсгером Дейкстрой. Эти протоколы значительно сложнее, чем протоколы вектора расстояния. Вместо рассылки соседям содержимого своих таблиц маршрутиза­ции, каждый маршрутизатор осуществляет широковещательную рассылку спис­ка маршрутизаторов, с которыми он имеет непосредственную связь, и списка напрямую подключенных к нему локальных сетей. Эта информация является частью информации о состоянии канала. Она рассылается в специальных сооб­щениях. Кроме того, маршрутизатор рассылает сообщения о состоянии канала только в случае его изменения или по истечении заданного интервала времени. Протоколы состояния канала трудны в реализации и нуждаются в значительном объеме памяти для хранения информации о состоянии каналов. Примерами этих протоколов служат OSPF, IS-IS, Novell NLSP и Cisco EIGRP.

По Дейкстре, топология сети представляется в виде неориентированного графа. Каждому ребру приписывается некоторое значение. В процессе работы алгоритма вычисляется сумма показателей для ребер, сходящихся в каждом узле графа. Эта оценка называется меткой узла. При определении пути подсчитыва­ется сумма меток на возможном пути и выбирается путь с наименьшей суммар­ной меткой.

К третьей группе протоколов относятся протоколы политики (правил) маршрутизации. Эти протоколы наиболее эффективно решают задачу доставки получателю информации. Эта категория протоколов используется при маршру­тизации в Internet и позволяет операторам получать информацию о маршрути­зации от соседних операторов на основании специальных критериев. То есть в процессе обмена вырабатывается список разрешенных маршрутов (путей). Алго­ритмы политики маршрутизации опираются на алгоритмы вектора расстояния, но информация о маршрутах базируется на списке операторов сети Internet. Примерами протоколов данной категории могут служить BGP и EGP.

Все вышесказанное относилось к уровню маршрутизации. Уровень передачи пакетов (см. выше) реализуется на алгоритмах коммутации и, как правило, оди наков для большинства протоколов маршрутизации. Промежуточный маршру­тизатор, имея адрес следующего маршрутизатора, посылает ему пакет, адресо­ванный специально на физический адрес (МАС-уровня) этого маршрутизатора, но с адресом (сетевого уровня) получателя (МАС-адрес маршрутизатора опре­деляется с помощью специальных протоколов, например ARP, см. ниже). По ад­ресу получателя маршрутизатор определяет, знает ли он, как передать пакет следующему маршрутизатору в пути. Если знает, то пакет отсылается следую­щему маршрутизатору путем замены физического адреса получателя на физи­ческий адрес следующего маршрутизатора. Если маршрутизатор этого не знает, пакет игнорируется. На следующем маршрутизаторе все повторяется. По мере прохождения пакета через сеть, его физический адрес меняется, но адрес сетево­го уровня остается неизменным. Этот процесс проиллюстрирован на рис. 5.18.

Основная задача уровня передачи пакетов — это коммутация пакетов от раз­ных пользователей. Общая схема передачи пакетов такова: выбирается один из возможных транзитных узлов (эта информация поступает с уровня маршрутиза­ции, на котором она вычисляется по адресу получателя), формируется выходной заголовок канального уровня и осуществляется посылка пакета. Кроме того, на этом этапе может производиться фрагментация пакетов, проверка контрольной суммы и т. д.

Маршрутизаторы (точнее — уровень маршрутизации) работают на сетевом уровне эталонной модели OSI (рис. 5.19). Уровень продвижения пакетов функ­ционирует на канальном уровне.

Работа на сетевом уровне позволяет производить интеллектуальную обработ­ку пакетов. Поскольку маршрутизаторы в основном работают с протоколом IP, они должны поддерживать связь без создания логического соединения между абонентами. При этом каждый пакет обрабатывается и отправляется получателю независимо.

Производители при создании маршрутизаторов используют три основных типа архитектуры:

q однопроцессорная;

q усиленная однопроцессорная;

q симметричная многопроцессорная.

При однопроцессорной архитектуре на центральный процессор маршрутиза­тора возлагается вся нагрузка по обработке трафика: фильтрация и передача пакетов, модификация заголовков пакетов, обновление таблиц маршрутизации, выделение служебных пакетов, работа с протоколом SNMP, формирование управляющих пакетов и т. д. Это приводит к тому, что маршрутизатор может стать узким местом в сети при увеличении нагрузки. Даже применение мощных RISC-процессоров не решает проблему.

Для преодоления недостатков такой архитектуры применяют усиленную од­нопроцессорную архитектуру. В функциональной схеме маршрутизатора выде­ляют модули, ответственные за выполнение тех или иных специальных задач. Каждый такой модуль маршрутизатора оснащается своим (периферийным) про­цессором. При этом происходит частичная разгрузка центрального процессора. Центральный процессор отвечает только за те задачи, которые нельзя поручить периферийному. В целом, и эта архитектура не способна решить все вопросы, связанные с производительностью.

Симметричная многопроцессорная архитектура лишена перечисленных недо­статков, так как происходит равномерное распределение нагрузки на все модули. Но теперь каждый модуль содержит свой процессор, который выполняет все задачи маршрутизации и имеет свою копию таблицы маршрутизации. Преиму­щества такой архитектуры признаны всеми производителями маршрутизаторов. Данная архитектура позволяет достичь теоретически неограниченной произво­дительности маршрутизаторов.

В заключение нашего анализа маршрутизаторов можно сказать, что они об­ладают несомненными достоинствами. Маршрутизаторы не вносят никаких ограничений в топологию сети. Петли, возникающие в сетях с коммутаторами, не представляют проблемы для маршрутизаторов.

Тем не менее, маршрутизаторы по сравнению с коммутаторами и мостами требуют гораздо больше усилий по администрированию. Администраторам сетей необходимо задать целое множество конфигурационных параметров для маршрутизаторов. При этом параметры каждого маршрутизатора должны быть согласованы с параметрами других маршрутизаторов в сети.

Сегодня многие организации реализуют межсетевой обмен через маршрути­заторы. Большое число компаний модернизируют свои системы, устанавли­вая коммутаторы между маршрутизаторами и сетями, которые обслуживаются этими маршрутизаторами. При этом коммутаторы повышают производитель­ность сети, а маршрутизаторы обеспечивают защиту информации и выполняют более сложные задачи, такие как трансляция протоколов.

Сегодня четко обозначилась тенденция к вытеснению сложных высокопроиз­водительных маршрутизаторов и увеличению роли маршрутизаторов начально­го класса, а ведущие фирмы-производители пришли к выводу, что одним из основных требований покупателей к маршрутизатору является простота его ис­пользования.

Брандмауэры

Брандмауэр можно определить как набор аппаратно-программных средств, пред­назначенных для предотвращения доступа в сеть извне и за контролем над дан­ными, поступающими в сеть или выходящими из нее. Брандмауэры получили всеобщее признание с начала 1990-х годов, что связано, в основном, с быстрым развитием сети Internet. Начиная с этого времени, разработано и используется на практике множество разнообразных продуктов, называемых брандмауэрами. Брандмауэры могут защищать корпоративную сеть от несанкционированного доступа из Internet или из другой корпоративной сети. Брандмауэр устанав­ливается на границе защищаемой сети и фильтрует все входящие и выходные данные, пропуская только разрешенные пакеты и предотвращая попытки про­никновения в сеть. Правильно настроенный брандмауэр пропустит (или не пропустит) конкретный пакет и позволит (или не позволит) организовать конк­ретный сеанс связи в соответствии с установленными правилами. Для эффек­тивной работы брандмауэров важно соблюдение трех условий:

q весь трафик должен проходить через одну точку;

q брандмауэр должен контролировать и регистрировать весь проходящий трафик;

q сам брандмауэр должен быть «неприступен» для внешних атак.

Если рассматривать работу брандмауэров по отношению к уровням модели OSI, то их условно можно разделить на следующие категории:

q брандмауэры с фильтрацией пакетов (packet-filtering firewall);

q шлюзы сеансового уровня (circuit-level gateway);

q шлюзы прикладного уровня (application-level gateway);

q брандмауэры экспертного уровня (stateful inspection firewall).

Наибольшее распространение получили брандмауэры с фильтрацией паке­тов, реализованные на маршрутизаторах и сконфигурированные таким образом, чтобы фильтровать входящие и исходящие пакеты.

Фильтры пакетов просматривают поля поступающих IP-пакетов, а затем про­пускают или удаляют их в зависимости, например, от IP-адресов отправителя и получателя, номеров портов отправителя и получателя протоколов TCP или UDP и других параметров. Фильтр сравнивает полученную информацию со списком правил фильтрации для принятия решения о разрешении или за­прещении передачи пакета. Список правил фильтрации содержит разрешенные IP-адреса, типы протоколов, номера портов отправителей и номера портов полу­чателей. Фильтр пакетов проверяет только заголовок пакета, но не данные внут­ри него.

Технология фильтрации пакетов является самым «дешевым» способом реа­лизации брандмауэра. Такой брандмауэр может проверять пакеты различных протоколов, причем с большой скоростью, так как он просто просматривает ин­формацию о пакете (заголовок пакета), чтобы принять решение о его дальней­шей судьбе. Фильтр анализирует пакеты на сетевом уровне и не зависит от используемого приложения. Именно эта «свобода» обеспечивает хорошую про­изводительность.

К недостаткам такого брандмауэра можно отнести невозможность идентифи­кации пакетов при имитации IP-адресов и невозможность слежения за конкрет­ным сетевым сеансом.

Имитация означает, что если воспользоваться IP-адресом законного пользо­вателя, то можно беспрепятственно проникнуть в защищаемую сеть и получить доступ к ее ресурсам. Фильтр пакетов пропустит этот пакет в сеть вне зависи­мости от того, откуда инициирован сеанс и кто скрывается за адресом. Сущест­вует усовершенствованная версия фильтрации пакетов, которая называется динамической фильтрацией пакетов. При этом анализируется адрес, с которого производится попытка доступа (возможно, затем она будет признана несанкци­онированной), и производится ping по этому адресу для его проверки. Как легко понять, если внутренний IP-адрес используется извне, то ping не достигнет от­правителя пакета. В этом случае попытка доступа будет отвергнута, и сеанс не будет установлен. В настоящее время фильтры пакетов заняли достаточно за­метное место в системе безопасности сети. Они мало подходят для внешней защиты сети. Но из-за того, что такие фильтры обеспечивают высокую произво­дительность и имеют низкую цену, они хорошо подходят для обеспечения без­опасности внутри сети. Организация с их помощью может разбить сеть на сегменты и установить брандмауэр в каждом из сегментов, отделив таким обра­зом, например, бухгалтерию от отдела продаж.

ЧАСТЬ II

СТЕК ПРОТОКОЛОВ ТСР/IP