Билет 23.

В чём суть политики безопасности магистрального уровня сетевой системы?

Применение политики безопасности на магистральном уровне увеличивает задержку в сети, а оборудование и ПО маг.уровня должно передавать пакеты настолько быстро, насколько это возможно. Поэтому администратор системы должен стараться реализовать политику без-ти на более низких уровнях – уровне доступа и уровне распределения. А магистральный уровень должен полагаться на политику безопасности и фильтрования этих уровней.

Как используется список доступа для реализации политики безопасности уровня распределения?

Список доступа – список условий, задаваемый средствами ОС сетевого устройства, которые управляют доступом к коммутатору или маршрутизатору. Списки доступа для протоколов IP, AppleTalk, IPX управляют доступом к коммутатору или маршрутизатору. После того, как список доступа создан, он может применятся на входящем или исходящем интерфейсе. Всё, что не включено в список – запрещено. Список доступа обрабатывается в порядке его задания. Как только найдено совпадение, обработка списка прекращается.

Приведите пример средств защиты сетевой безопасности на уровне доступа.

Конфигурирование пользователей и паролей на физических устройствах. Пароли должны быть заданы для персонала служб администрации системы при любом способе доступа к коммутатору – через управляющую консоль или через эмуляторы консоли. Пароли должны быть зашифрованы средствами ОС коммутатора.

Ограничение доступа через программы эмуляции терминала (Telnet, SSH, HyperTerminal).

Ограничение безопасности порта. Подразумевает ограничение прав доступа к порту коммутатора (Port Based NetWork Access Control) и означает идентификацию пользователя и контроль доступа устройства к порту коммутатора на уровне доступа.

Ограничение доступа к средствам ОС коммутаторов с помощью уровней привилегий. Уровни привилегий могут быть назначены, чтобы разграничить функции администраторов системы. АС должен дать кому-то из группы администраторов системный уровень для полного доступа.

Внедрение средств управления. При первой установке ОС на коммутатора все порты коммутатора назначаются виртуальной сети VLAN1. Обычно эта виртуальная сеть сохраняется, как вртуальная сеть управления. В результате – если порты не были перенастроены, то любой пользователь, войдя в виртуальную сеть VLAN1, автоматически попадает в виртуальную сеть управления. Целесообразно переместить виртуальную управляющую сеть VLAN1 в другую виртуальную сеть.

Инструкция администратору системы при самых распространенных ошибках Ethernet.

1. Для начала необходимо провести одноминутную проверку Ethernet:

1. Если потери производительности пропускной способности канала составляют менее 1%, ошибок нет

2. Процент средней утилизации канала должен быть до 40%. При этом необходимо следить, чтобы не было долговременных всплесков утилизации 60%.

3. Средний процент коллизий должен быть больше 5% от числа общих переданных фреймов. Превышение означает либо проблемы физического уровня, либо превышение количества станций в коллизионном домене.

4. Широковещательный трафик не может составлять более 5-10% пропускной способности канала.

При обнаружении ошибки:

2. Проверить привязку ошибок к конкретным MAC-адресам.

• Если в сети наблюдаются ошибки, которые не связаны с конкретными MAC-адресами, администратору системы следует устранить дефекты кабельной системы или же устранить источники внешних шумов.

• Если же ошибки привязаны к конкретным MAC-адресам, то администратору системы следует выявить закономерность между местонахождением станций, передающих ошибочные кадры, расположением измерительного прибора и топологией сети.

3. Администратору системы следует учитывать, что тип и число ошибок, фиксируемых анализатором протоколов, зависят от места подключения измерительного прибора. Одна и та же помеха может вызвать фиксацию ошибки CRC, блика, удаленной коллизии или вообще не обнаруживаться в зависимости от взаимного расположения источника помех и измерительного прибора. Одна и та же коллизия может фиксироваться как удаленная или поздняя в зависимости от взаимного расположения конфликтующих станций и измерительного прибора. Кадр, содержащий ошибку CRC на одном концентраторе стека, может быть не зафиксирован на другом концентраторе того же самого стека. Если наблюдаемая статистика зависит от места подключения измерительного прибора, то источник ошибок, скорее всего, находится на физическом уровне данного домена сети, то есть необходимо устранить дефекты кабельной системы или шум внешнего источника.

5. Список самых распространенных ошибок Ethernet:

• Поздняя коллизия. Исправьте дефекты сетевого оборудования.

• Короткий фрейм. Проверьте исправность сетевой платы и конфигурацию сетевого драйвера.

• Неверная контрольная сумма. Исправьте неполадки в кабельной системе и проверьте версии драйвера NIC. Также следует проверить наличие электрических помех.

• Болтовня(Jabber). Проверьте корректность работы сетевого драйвера, а также исправность активного оборудования и наличие внешних помех.

• Привидения (Ghosts). Проверьте наличие электротехнических помех.

6. Проблему и способ ее решения следует документировать.