Организация сети TCP/IP

Организация сети TCP/IP

Прежде, чем организовывать сеть TCP/IP следует достаточно хорошо разбираться в принципах ее функционирования. В отличии от многих других сетей, в TCP/IP практически на каждой машине следует иметь массу информации необходимой для ее настройки, которая по сети не передается. В этом есть как свои преимущества, так и свои недостатки.

Недостатки сводятся к довольно большой ручной работе по настройке каждой машины, каждого  сетевого интерфейса. При этом предварительно должна быть продумана топология  сети, ее физическая и логическая схемы, определено оборудование. Обязательным условием для организации TCP/IP сети является получение блока адресов  Internet для всего множества сетевых интерфейсов. Данную процедуру принято называть "получение сетки".

Блок адресов, обычно, выделяется провайдером, через  которого локальная сеть подключается к Internet.

При организации  локальной сети, которая не будет  подключена к Internet можно официально никакой сетки не получать, а ее номер придумать, но если позже возникнет необходимость подключения к Internet, получить адреса все равно придется, но при этом придется также производить изменения во всех машинах локальной сети, меняя настройки сетевых интерфейсов.

После того как  физическая сеть собрана, администратор  должен собственноручно назначить  на каждой машине адреса интерфейсам. Обычно это делается с консоли  того компьютера, который настраивается  для работы в сети. В последнее  время появилась возможность  динамической настройки с одного рабочего места всех машин сети. Однако, как и в любом деле, кроме явных преимуществ есть и срытые недостатки такого подхода. Главный из них - это учет статистики работы с каждой из машин системы. При динамическом назначении адресов  машина может в разное время получать разные адреса, что не позволяет  по адресу проидентифицировать машину. Многие же системы анализа трафика основываются на том, что соответствие между адресом и компьютером неизменно. Именно на этом принципе построены многие системы защиты от несанкционированного доступа.

Другой причиной, заставляющей жестко назначать адреса компьютерам сети, является необходимость  организации информационных сервисов на серверах сети. TCP/IP не имеет механизма  оповещения рабочих мест о месте  нахождения сервиса. Широковещание  вообще не очень распространено в  сетях TCP/IP, в отличии от сетей Novell или Microsoft. Каждый хост знает о наличии того или иного сервиса либо из файла своей настройки (например, указываются шлюз в другие сети или сервер доменных имен), либо из файлов настроек прикладного программного обеспечения. Так, например, сервер World Wide Web не посылает никакого широковещательного сообщения о том, что он установлен на данном компьютере в данной сети.

Преимущество  такого подхода заключается в  низком трафике, порождаемом сетью TCP/IP. Этот трафик иногда очень значительно  отличается от трафика Novell, например. Кроме этого практически любое оборудование позволяет фильтровать трафик TCP/IP, что сильно облегчает сегментацию сети и делает ее легко структурируемой.

Сеть TCP/IP обладает практически теми же базовыми сервисами, что и другие локальные сетевые  технологии. Система позволяет работать в режиме удаленного терминала, организовывать распределенную файловую систему, сетевую  печать и т.п.

Иногда приходится слышать, что обмен в рамках TCP/IP, например, при копировании файлов с локального диска на удаленный, смонтированный на данный локальный  компьютер происходит медленнее, чем  скажем в сети Microsoft или Netware. Во-первых, это сильно зависит от прикладного программного обеспечения, а во-вторых, в отличии от Netware или Microsoft для сети TCP/IP нет разницы между машинами, которые стоят в соседней комнате, или установлены на разных континентах. Для монтирования удаленной файловой системы нет необходимости в использовании межсетевого протокола для доставки протоколов локальной сети, т.к. стек TCP/IP сам по себе реализует этот межсетевой обмен.

В рамках организации  сети TCP/IP в последнее время все  больше внимание уделяется организации  удаленных рабочих мест. Особенно это характерно для организаций, которые используют труд надомников. Здесь имеются в виду не старушки, которые вяжут носки, а потом  продают их на вещевых рынках, и  не телефонистки, которые принимают  сообщения для мелких коммерческих организаций. Речь идет о программистах  или других сотрудниках, которые  используют модемную связь для оперативного обмена информацией, доступа к информационным ресурсам, или обмена электронной  почтой.

Развитие средств  коммуникации и наличие специального набора протоколов и программного обеспечения, их реализующего, позволяет организовать такие рабочие места в рамках сетей TCP/IP без особых проблем.

1.2. Подключениe локальной или корпоративной сети к Internet

Подключение локальной  сети TCP/IP к Internet осуществляется через местного провайдера. Обычно это та же организация, у которой был получен блок адресов для локальной сети.

Администратор локальной сети должен определить, какая машина локальной сети будет  выполнять функции шлюза, именно так называется устройство, которое  используется для соединения двух сетей. В настоящее время, все шире и  шире, вместо машин используются специальные  устройства, маршрутизаторы. Маршрутизаторы - это спец. компьютеры, которые распознают массу различных протоколов и способны правильно направлять пакеты информации из одной сети в другую. Стоит маршрутизатор столько же, сколько стоит самый "накрученный" персональный компьютер. Если подключаемая сеть большая и требуется мощное устройство для обслуживания ее внешнего трафика, то приобретение маршрутизатора оправдано, если же сеть небольшая, то можно обойтись персональным компьютером, на который следует установить соответствующее программное обеспечение.

Задача подключения  локальной сети довольно простая, если только это не сеть распределенная в пространстве, т.е. не Wide Area Network (WAN). Здесь проблема подключения к Internet приобретает как бы два направления:

• Собственно подключение различных сегментов к Internet;
• Организация сети компании средствами Internet.

Если говорить о подключении сегментов, то здесь  для каждого из сегментов следует  выполнить весь комплекс работ, который  был описан в предыдущем разделе, т.е. получить блок адресов, сконфигурировать машины каждой из сетей, организовать сбор статистики и, если необходимо, систему  динамической настройки машин.

При организации  сети компании распределенной по большой  площади средствами Internet, то здесь нужно позаботиться о надежной маршрутизации, своевременном обмене информацией и о защите этой информации от несанкционированного доступа. Кроме того следует организовать информационное обслуживание, единое для всех частей такой распределенной структуры.

Организация распределенной структуры может быть выполнена  либо путем использования своих  собственных возможностей (аренда физической сети передачи данных), либо за счет использования  существующей сети российских Internet-провайдеров. При выборе того или иного решения, как правило, во внимание принимается  множество факторов, главными из которых  могут быть факторы, не связанные  с техническими решениями.

Понимание способов обмена данными через Internet важно и в том случае, когда организуют виртуальные локальные сети на базе протоколов, отличных от TCP/IP, но когда протоколы TCP/IP используются в качестве средства транспорта исходных сообщений из одного сегмента сети в другой.

Приведенный в  разделе 4 перечень Internet-провайдеров  и предоставляемых ими услуг  призван упорядочить представление  о возможностях российского сектора  Internet и определить основные направления деятельности российских компаний, которые эти возможности предоставляют.

1.3. Маршрутизация в  сетях TCP/IP

До тех пор  пока вся локальная сеть представляет из себя простой сегмент сети Ethernet, не возникает проблем с приемом и передачей сообщений в рамках этой сети. Однако, стоит сеть разбить на несколько сегментов и установить шлюзы между ними, как сразу возникает проблема маршрутизации сообщений в этой сети.

Здесь уместно  остановиться на том факте, что сеть Internet - это сеть коммутации пакетов. Это значит, что прежде чем отправить сообщение по сети, это сообщение "нарезается" на более мелкие части, которые называются пакетами, и вот эти самые пакеты и отправляются по сети. Сеть Internet интересна тем, что информацию о месте назначения каждый пакет несет в себе самом. Решение о том, в какую сторону направлять пакет принимается шлюзом в момент прохождения пакета через этот шлюз. Если в один момент времени некоторый путь от места отправления к месту назначения существует, то шлюз отправит пакет, который в этот момент времени через него проходит по этому пути. Если в следующий момент времени путь по какой-либо причине исчезнет, то шлюз отправит пакет по другому пути. При этом оба пакета могут принадлежат одному и тому же сообщению. В месте назначения пакетов не имеет значения последовательность получения пакетов, т.к. пакеты в себе несут также и информацию о своем месте внутри сообщения.

Такое свойство Internet обеспечивает надежную доставку сообщений в любую точку сети даже при ее неустойчивой работе. Однако, все это достигается не просто так, а за счет специального механизма, который называется маршрутизация. Основа маршрутизации - это таблица маршрутов на каждом из компьютеров в сети и правила изменения этой таблицы в случае изменения состояния самой сети.

Маршрутизация - это средство не только прокладки  маршрутов, но и средство блокирования маршрутов пересылки пакетов  по сети. Если таблицы настроены  неправильно, то в лучшем случае пакеты будут доставляться медленно, а в  худшем случае они будут доставляться не туда куда следует, что может привести к нарушению безопасности сети передачи данных. Очень часто средства маршрутизации  используют для атак на системы, включенные в Internet. Известны, так называемые, ICMP-штормы, когда пакеты определенного вида могут блокировать прием/передачу информации по сети.

Если администратор  по тем или иным причинам должен закрыть часть своей сети от доступа  с других машин Internet, то в этом случае также можно использовать таблицу маршрутов, удаляя из нее определенные пути, или блокируя их другими средствами контроля сетевого трафика.

В разделе посвященном проблемам маршрутизации мы специально подробно остановимся на понятиях внутренней сети и автономной системы, а также на различиях в дисциплине прокладки маршрутов, базирующихся на этих понятиях.

И последнее  замечание о проблемах маршрутизации  связано с тем, что если администратор  хочет, чтобы его система была видна из Internet, т.е. чтобы информационными ресурсами данной сети можно было пользоваться как внутри сети, так и за ее пределами, он должен данную сеть прописать в таблицах маршрутов провайдеров, к которым данная сеть подключена. Это взаимодействие носит не столько технический, сколько организационный характер и может занимать гораздо больше времени, чем доставка пакета из Москвы в Нью-Йорк.

1.7. Проблемы безопасности  сетей TCP/IP

При всех своих  достоинствах сети TCP/IP имеют один врожденный недостаток - отсутствие встроенных способов защиты информации от несанкционированного доступа. Дело в том, что информация при таком способе доступа  как удаленный терминал, передается по сети открыто. Это означает, что  если некто найдет способ просмотреть  передаваемые по сети пакеты, то он может  получить коллекцию идентификаторов  и паролей пользователей TCP/IP сети. Способов совершить такое действие огромное множество. Аналогичные проблемы возникают и при организации доступа к архивам FTP и серверам World Wide Web. Поэтому одним из основных принципов администрирования TCP/IP сетей является выработка общей политики безопасности, которая заключается в том, что администратор определяет правила типа "кто, куда и откуда имеет право использовать те или иные информационные ресурсы".

Управление безопасностью  начинается с управления таблицей маршрутов. При статическом администрировании  маршрутов включение и удаление последних производится вручную, в  случае динамической маршрутизации  эту работу выполняют программы  поддержки динамической маршрутизации.

Следующий этап - это управление системой доменных имен и определение разрешений на копирование описания домена и контроля запросов на получение IP-адресов. Нашумевшая история с сервером InfoArt - это типичная атака на этот вид информационного сервиса Internet.

Следующий барьер - это системы фильтрации TCP/IP трафика. Наиболее распространенным средством  такой борьбы являются системы FireWall (межсетевые фильтры или, в просторечье, "стены"). Используя эти программы можно определить номер протокола и номер порта, по которым можно принимать пакеты с определенных адресов и отправлять пакеты на также определенные адреса. Одним из нетипичных способов использования этого типа систем являются компьютерные сетевые игры, например, F-19. "Стена" позволяет поражать противника, т.к. пропускает ваши пакеты, и быть одновременно неуязвимым для противника, т.к. его пакеты отфильтровываются системой.

И, наконец, последнее  средство защиты - это шифрация трафика. Для этой цели также используется масса программного обеспечения, разработанного для организации защищенного  обмена через общественные сети.

В рамках нашего курса мы будем рассматривать  только такие способы, которые базируются на принципах организации обмена информацией в рамках технологии TCP/IP, например, фильтрация, и не будем  рассматривать способы, общие для  всех систем защиты информации, например, шифрация трафика.

Кроме того, в  рамках анализа способов передачи информации по сети нами будут рассмотрены средства изучения трафика, которыми обычно и  пользуются злоумышленники при поиске конфиденциальной информации.

2. Основы межсетевого  обмена в сетях  TCP/IP

Сеть Internet - это сеть сетей, объединяющая как локальные сети, так и глобальные сети типа NSFNET. Поэтому центральным местом при обсуждении принципов построения сети является семейство протоколов межсетевого обмена TCP/IP.

Под термином "TCP/IP" обычно понимают все, что связано  с протоколами TCP и IP. Это не только собственно сами проколы с указанными именами, но и протоколы построенные на использовании TCP и IP, и прикладные программы.

Главной задачей  стека TCP/IP является объединение в  сеть пакетных подсетей через шлюзы. Каждая сеть работает по своим собственным  законам, однако предполагается, что  шлюз может принять пакет из другой сети и доставить его по указанному адресу. Реально, пакет из одной сети передается в другую подсеть через  последовательность шлюзов, которые  обеспечивают сквозную маршрутизацию  пакетов по всей сети. В данном случае, под шлюзом понимается точка соединения сетей. При этом соединяться могут  как локальные сети, так и глобальные сети. В качестве шлюза могут выступать  как специальные устройства, маршрутизаторы, например, так и компьютеры, которые имеют программное обеспечение, выполняющее функции маршрутизации пакетов. Маршрутизация - это процедура определения пути следования пакета из одной сети в другую.