1. Основи будь-якого мережевого проекту і кращі способи мережевого проектування Проектування і побудова...
2. Типова мережа
3. Internet і брандмауери
4. Proxy-сервери
5. Внутрішня мережа
6. Віртуальні LAN
7. WAN
8. доступ
9. Рішення, рішення ...
10. ресурси
11. статті Microsoft
12. документація Microsoft
13. інші ресурси

Основи будь-якого мережевого проекту і кращі способи мережевого проектування

Проектування і побудова мережі, яка задовольняла б вимогам підприємства, - завдання нетривіальне. Широкий вибір наявних сьогодні технологічних можливостей означає, що в розпорядженні споживачів є і велика кількість різних рішень. Чи слід користуватися бездротовими технологіями? Які потрібно вибирати рішення - апаратні або програмні? Існує безліч реалізацій, які заслуговують на довіру, і вони можуть стати для адміністраторів практичним посібником для вирішення поставленого завдання і допомогти у виборі правильного поєднання технологій і проектних рішень, які будуть відповідати специфіці підприємства. Я почну з нагадування основ будь-якого мережевого проекту, після чого ми розглянемо деякі перевірені методи мережевого проектування.

модель OSI

Серйозний підхід до проектування мережі починається з моделі. Семиуровневая модель взаємодії відкритих систем, Open System Interconnection (OSI), - це промисловий стандарт, що описує мережевий стек протоколів і застосування моделі в практичних аспектах організації мережі. На рис. 1 показана модель OSI і перераховані приклади технологій, які відповідають кожному рівню.

При проектуванні мережі увагу найчастіше приділяється рівнями 2, 3 і 4. Такі пристрої, як мережеві карти (NIC), брандмауери (firewall), маршрутизатори (router) і комутатори (switch), працюють в основному з цими трьома рівнями (в рідкісних випадках з рівнем 5). Розібравшись, як різні технології співвідносяться один з одним для кожного рівня OSI, ви зможете краще спроектувати і надалі експлуатувати мережу підприємства.

Отже, рівень 2 описує тип топології для передачі мережевого трафіку (т. Е. Ethernet, Token Ring, Asynchronous Transfer Mode - ATM, DSL). Рівень 3 описує протокол передачі даних - зазвичай це IP, використовуваний для маршрутизації трафіку з однієї точки в іншу. І нарешті, рівень 4 описує протокол, який додатки більш високих рівнів (5-7 рівнів стека OSI) будуть використовувати для зв'язування один з одним по мережі. Якщо додатків потрібна гарантована доставка даних, використовується TCP. Коли гарантована доставка не є необхідною, протокол UDP зможе забезпечити швидку і нескладну передачу даних між додатками. Додаткові відомості про моделі OSI вказані в джерелах, перерахованих в урізанні «Ресурси». Тепер, озброєні цими базовими знаннями про OSI, давайте перейдемо до розгляду конкретних питань побудови типової мережі.

Типова мережа

Незважаючи на те що описати типову мережу досить важко, ризикну припустити, що підприємства з великою кількістю офісів, помірним використанням Web і числом користувачів не менше 1000 матимуть приблизно таку мережу, як зображена на рис. 2. Розберемо цю діаграму, починаючи з Internet. У міру просування по діаграмі я буду давати поради по кожному аспекту мережевого проекту. В результаті повинен сформуватися певний набір практичних рекомендацій для проектування мережі конкретного підприємства.

Internet і брандмауери

На підприємствах використовуються різні методи підключення до Internet. Для малого бізнесу цілком достатньо DSL-маршрутизатора і підключення до локального провайдера, але більшість підприємств середнього і великого масштабу для забезпечення відмовостійкості, як правило, потребують декількох надлишкових підключених для вхідного і вихідного Internet-трафіку. Телекомунікаційні компанії, такі як AT & T або Sprint, надають високошвидкісні канали зв'язку для підключення до Internet - діапазон пропозицій від T1 (1,544 Мбіт / с) до OC-12 (622 Мбіт / с). Зазвичай, коли встановлюється Internet-з'єднання, є деякий діапазон публічних IP-адрес для пристроїв, яким необхідний прямий доступ до Internet, - це можуть бути Web-сервери, пристрої VPN, proxy-сервери і маршрутизатори. Провайдер, що забезпечує підключення до Internet, також може забезпечити і підключення необхідного обладнання або ж може знадобитися наявність власних маршрутизаторів або пристроїв доступу до WAN.

Незалежно від швидкості підключення, для захисту внутрішньої мережі від «дикої» Всесвітньої павутини потрібен брандмауер. При проектуванні і побудові брандмауера можна використовувати кілька варіантів. На рис. 2 представлений один загальний метод, коли зовнішній маршрутизатор підключається до Internet безпосередньо, а внутрішній маршрутизатор підключений до внутрішньої мережі підприємства. У моделі OSI маршрутизатор, як правило, відповідає рівням 2 і 3. Приклад постачальників апаратних маршрутизаторів - Cisco Systems, 3COM і Nortel Networks. Маршрутизатор, як випливає з самого його назви, маршрутизує IP-трафік другого рівня на основі IP-адрес джерела і приймача. Крім того, маршрутизатор може фільтрувати пакети інформації рівня 3 (TCP і UDP). Наприклад, можна скласти списки доступу для більшості маршрутизаторів для захисту внутрішньої мережі від деяких видів вхідного трафіку. Крім того, можна заборонити внутрішнім користувачам звертатися до деяких служб (наприклад, до служби Network News Transfer Protocol - NNTP, необхідної для роботи з новинними групами). Списки доступу зазвичай мають наступну форму:

Наприклад, наведений нижче список доступу забороняє весь HTTP-трафік між внутрішнім IP-сегментом 10.1.1.0 і зовнішнім хостом 203.33.43.10:

10.1.1.0 203.33.43.10 deny tcp 80

Порт 80 - добре відомий TCP-порт для Web- або HTTP-трафіку.

Таким чином, брандмауер стає набором списків доступу, за допомогою яких дозволяється або забороняється входить або вихідний трафік. Мережа на рис. 2 має як зовнішні, так і внутрішні маршрутизатори, між якими розташовується мережевий сегмент, що містить кілька серверів, в тому числі Web-сервери, пристрої VPN і proxy-сервери для додатків. Цей проміжний мережевий сегмент часто називається демілітаризованою зоною (Demilitarized Zone, DMZ). Передбачається, що сервери і пристрої цього сегмента ненадійні, оскільки Internet-трафік безпосередньо замикається на пристроях DMZ. Таким чином, завдання внутрішнього маршрутизатора - захистити внутрішню мережу підприємства від забороненого трафіку, який насправді може виходити від зловмисника, який зумів скомпрометувати один з серверів DMZ і намагається проникнути у внутрішню мережу.

Брандмауери не завжди реалізуються за допомогою маршрутизаторів або будь-якої іншої апаратури. Програмні маршрутизатори можуть грати ту ж саму роль, що і апаратні рішення. Наприклад, компанія Check Point Software Technologies пропонує добре відомий продукт Firewall-1, Microsoft випускає RRAS для платформ Windows Server 2003 і Windows Server 2000. Багато з програмних рішень підтримують інтегрований сервер VPN, який хостірует підключення VPN між зовнішніми користувачами і внутрішньою мережею. Відповідь на питання про те, який задіяти брандмауер, апаратний або програмний, або скористатися маршрутизатором, залежить від вартості рішення (зазвичай програмні рішення дешевше апаратних при однаковій функціональності) і його продуктивності (апаратні рішення, як правило, більш продуктивні).

Ще одна функція, часто притаманна маршрутизаторів і пристроїв-брандмауерів, - трансляція мережевих адрес (Network Address Translation, NAT). NAT застосовується в ситуаціях, коли хости внутрішньої мережі з приватними (private), що не маршрутизуються в Internet IP-адресами потребують зв'язку з Internet-хостами, для яких встановлені публічні (public) IP-адреси. Надалі я буду більше розповідати про приватну IP-адресації, проте сервери NAT надають дуже потрібну функціональність і в даний час присутні в більшості пристроїв мережевого периметра. Цілком можливо, що вам можуть знадобитися такі пристрої з мережевого периметру для виконання функцій NAT. Найчастіше подібну функціональність надають proxy-сервери.

Proxy-сервери

Proxy-сервери, або просто proxy, - загальноприйнятий елемент мережі підприємства. Proxy - це, як правило, програмні рішення (але можуть бути і апаратні), які забезпечують щось на зразок інформаційної ланцюжка між хостами внутрішньої і зовнішньої мережі. Найпоширеніший тип proxy-сервера - HTTP-proxy (відомий також під назвою Web-proxy), проте proxy можна використовувати для самих різних типів прикладного трафіку, включаючи FTP, Telnet, RPC-додатки і навіть Internet Control Message Protocol (ICMP - Ping) . Багато читачів, ймовірно, добре знайомі з Web-proxy, оскільки від введення адреси proxy-сервера в Microsoft Internet Explorer (IE) нікуди не дітися, якщо необхідно звернутися в Internet з локальної мережі. Microsoft Internet Security and Acceleration (ISA) Server, що працює на базі Windows Server, - приклад іншого широко поширеного програмного proxy. Proxy діють як посередники між внутрішньою і зовнішньою мережею: запити з внутрішньої мережі в зовнішню замикаються на них. Наприклад, якщо я переглядаю http://www.microsoft.com зі своєї внутрішньої мережі, сторінковий запит насправді надходить на proxy-сервер. Proxy-сервер завершує даний запит, а потім посилає від мого імені новий запит на цільової Web-сайт. Таким чином, між внутрішньою і зовнішньою мережею (Internet) безпосереднє з'єднання відсутня: proxy-сервер виступає в ролі єднальної ланки. Коли цільової Web-сайт відповідає, proxy знову приймає відповідь і відсилає його назад мою Web-браузеру, за допомогою якого я ініціював оригінальне підключення. Крім того що тим самим досягається додаткова безпека роботи в мережі, proxy - зручне місце для реєстрації трафіку між внутрішньою мережею і Internet. Так, якщо якийсь співробітник зайшов на заборонений Web-сайт, не важко буде переглянути журнали proxy і встановити, хто і коли відвідував даний сайт. Оскільки proxy-сервери вимагають доступу до внутрішньої і зовнішньої мережі, вони зазвичай розміщуються в DMZ або іншому сегменті всередині мережевої топології. Тепер заглянемо в мережу і поговоримо про кращих рішеннях для розгортання комутаторів, маршрутизаторів, серверних фермах і сегментах робочих станцій.

Внутрішня мережа

Перше питання, яке необхідно вирішити при побудові внутрішньої мережі підприємства, - це яку схему IP-адресації слід використовувати. У більшості організацій частіше використовують приватний простір IP-адрес, а не публічне. Такий підхід виник через те, що публічне адресний простір IP обмежена. У міру того як Internet розростався, а назване обмеження викликало масу складнощів, приватна адресація знижувала гостроту проблеми. Інша причина широкого використання приватної адресації полягає в додатковій гнучкості при розширенні IP-мережі підприємства: не потрібно змінювати або розділяти адресний простір IP в міру його зростання. Приватна IP-адресація слід прийнятим стандартам Internet, описаним в документі Internet Engineering Task Force (IETF) Request for Comments 1918 (RFC 1918), з яким можна ознайомитися за адресою http://www.isi.edu/in-notes/rfc1918. txt . RFC 1918 описує наступні три адресних блоку, по одному для кожного класу адрес IP (А, В і С), як приватні:

(IP-клас адрес A) 10.0.0.0 - 10.255.255.255

(IP-клас адрес B) 172.16.0.0 - 172.31.255.255

(IP-клас адрес C) 192.168.0.0 - 192.168.255.255

Можна задіяти будь-який з цих трьох адресних блоків IP для розбиття внутрішньої мережі на сегменти. Звичайно, застосування одного або декількох адресних блоків всередині мережі означає, що необхідна присутність пристрою трансляції мережевих адрес, NAT, по периметру мережі. Пристрій NAT має транслювати приватні адреси в маршрутизовані публічні адреси; зазвичай це завдання покладається на маршрутизатор, proxy або багатофункціональний термінал.

Вибір приватного адресного блоку для використання на підприємстві залежить в основному від розміру мережі. Якщо підприємства з розгалуженою мережею - з великою кількістю пристроїв і безліччю маршрутизованих сегментів - в основному використовують адресний простір класу А (10.х), то в невеликих компаніях більш відповідним для приватної адресації може стати клас В. Багато що залежить від того, як сегментована внутрішня мережа. Коли в 80-х роках минулого століття маршрутизатори тільки з'явилися, було прийнято заводити в корпоративній мережі велике число маршрутизованих сегментів або широкомовних доменів (broadcast domains). Широкомовною домен називається тому, що широкомовний трафік потрапляє на всі пристрої, підключені через маршрутизатор (див. Рис. 3). Як правило, маршрутизатори не відсилаються широкомовний трафік. Тоді Ethernet теж був загальним протоколом другого рівня OSI, але більшість пристроїв Ethernet підключалися через концентратори (hub). Якщо в одному широкомовному домені чинився великий число пристроїв, продуктивність Ethernet істотно знижувалася, тому доводилося створювати безліч невеликих маршрутизованих сегментів.

В середині 90-х років на ринку стали переважати мережеві комутатори, і мережі стали «розширюватися» (т. Е. Число пристроїв в одному широкомовному домені збільшилася). Комутатори (switch) істотно відрізняються від концентраторів (hub) в одному: сервера або робочої станції, підключеної до порту комутатора, доступна вся смуга пропускання порту. Іншими словами, комутатор

100 Мбіт / с Ethernet забезпечує повну смугу пропускання 100 Мбіт / с для кожного пристрою, підключеного до кожного порту комутатора. Таким чином, комутатор дозволяє зробити широкомовний домен більш плоским за рахунок включення до його складу набагато більшого числа пристроїв. І типова локальна мережа потребуватиме меншої кількості маршрутизаторів і більшій кількості комутаторів.

Зазвичай комутатори в стані переміщати трафік по мережі у багато разів швидше, ніж маршрутизатори, оскільки комутатори працюють тільки на рівні 2 OSI - канальному рівні (data link layer) OSI. Так як комутатори не приймають рішень про маршрутизації на вищі рівні і не підтримують складних таблиць маршрутизації, вони можуть пересилати пакети дуже швидко.

Приймаючи рішення про побудову комутованої мережі, ви, ймовірно, будете орієнтуватися на різні смуги пропускання. Ethernet - самий загальний протокол другого рівня OSI, він може використовуватися на різних швидкостях, включаючи 1 Гбіт / с, 100 Мбіт / с і 10 Мбіт / с. Деякі виробники працюють над стандартом 10 Гбіт / с Ethernet. У кожному з цих випадків можуть використовуватися різні фізичні носії, включаючи традиційний мідний кабель і волоконно-оптичний кабель. У загальному випадку волоконно-оптичний кабель може забезпечити більш високу смугу пропускання на великі відстані, ніж мідний, - це теж може стати критерієм вибору того чи іншого рішення. Хтось може запитати: «Чому я не можу всюди прокласти Ethernet на 1Гбіт / с?». Очевидна відповідь - через ціни: чим більше смуга пропускання, тим вона дорожча. З цієї причини я дотримуюся правила закладати тільки ту смугу пропускання, яка, як я вважаю, мені знадобиться сьогодні і з урахуванням деякого її зростання завтра. Строк корисного використання більшої частини мережевого обладнання становить від трьох до п'яти років, тому є сенс планувати свої потреби на найближчий час, а не на далеку перспективу.

Зазвичай сервери потребують більшої смуги пропускання, ніж окремі робочі станції, оскільки сервери повинні відповідати на запити сотень, якщо не тисяч, робочих станцій. В даний час підключення серверів до комутованого Gigabit Ethernet вже перестало бути рідкістю, у всякому разі 100 Мбіт / с - це абсолютний мінімум, який слід розглядати.

Також необхідно вирішити, яку смугу пропускання надати настільним системам. З огляду на, що великі підприємства можуть мати у своєму розпорядженні сотнями або тисячами настільних систем, їх підключення до Gigabit Ethernet може виявитися неприйнятно дорогим задоволенням. Хороший підхід - стежити за використанням мережі і встановити, хто саме потребує максимальної смузі пропускання. Може виявитися, що в департаменті, де займаються графічними проектами, кожну робочу станцію потрібно підключати до мережі 100 Мбіт / с, тоді як центр обробки замовлень буде прекрасно працювати і на виділеному сегменті зі швидкістю 10 Мбіт / с.

Яке б рішення ви не прийняли щодо смуги пропускання, слід переконатися, що вбрання обладнання - комутатор, маршрутизатор або спільно використовуваний концентратор - дасть вам можливість в майбутньому розширити смугу пропускання і для цього не треба буде викидати старе обладнання і купувати нове. Більшість комутаторів середнього і високого класу спроектовані з урахуванням можливості заміни плат на розширюваному шасі, тому, коли прийде час модернізувати серверну ферму для підключення до Gigabit Ethernet, досить буде витягти плати на 100 Мбіт / с і встановити більш швидкі версії плат - і все це без колосальних витрат.

Даррен Мар-Еліа - редактор журналу Windows & NET Magazine. З ним можна зв'язати за адресою: [email protected]

ресурси

Статті в Windows & .NET Magazine / RE

«Практика усунення мережевих проблем »Windows & .NET Magazine / RE № 5 за 2003 рік http://www.winnetmag.com/article/ articleid / 9749 / 9749.html

статті Microsoft

Overview of the WPA Wireless Security Update in Windows XP

Wireless Choices

документація Microsoft

OSI Model

Router and Switch Design

інші ресурси

FAQ for Networking Basics