
- •3. Политика безопасности сетей и ее обеспечение.......................................................... 23
- •1. Иерархические топологии
- •1.1. Преимущества иерархической топологии
- •1.1.1. Масштабируемость
- •1.1.2. Управляемость
- •1.1.3. Производительность
- •1.1.4. Стоимость
- •1.2. Трехуровневая иерархическая модель
- •1.2.1. Уровень ядра
- •1.2.2. Уровень распределения
- •1.2.3. Уровень доступа
- •2. Обеспечение безопасности сети
- •2.1. Чем вызвана необходимость обеспечения безопасности сетей
- •2.2. Основные определения безопасности сетей
- •2.5. Исследование сети
- •2.5. Взлом системы доступа
- •2.5.1. Неавторизованное получение данных
- •2.5.2. Неавторизованный доступ к системе
- •2.5.3. Неавторизованное расширение полномочий
- •3. Политика безопасности сетей и ее обеспечение
- •4. Списки управления доступом
- •4.1.Чем вызвана необходимость обеспечения безопасности сетей
- •4.2. Принцип работы списков управления доступом
- •4.3. Конфигурирование списков управления доступом
- •Interface ethernet 0
- •Ip address 1.1.1.1 255.0.0.0 ip access-group 1 in
- •Ip access-group 2 out
- •4.4. Стандартные списки acl
- •2 Deny 172.16.1.1
- •2 Permit 192.168.1.0 0.0.0.255 2 deny 172.16.0.0 0.0.255.255
- •2 Permit 10.0.0.0 0.255.255.255
- •4.5. Расширенные списки управления доступом
- •5. Преобразование сетевых адресов (nat) и адресов портов (pat)
- •5.1. Терминология nat
- •5.2. Принцип работы nat
- •5.3. Преимущества nat
- •5.4. Недостатки nat
- •5.5. Функции nat
- •5.5.1. Преобразование внутренних локальных адресов
- •5.5.2. Совмещение внутренних глобальных адресов
- •5.5.3. Применение распределения нагрузки tcp
- •5.5.4. Перекрытие сетей
- •5.6. Настройка статического преобразования сетевых адресов
- •5.7. Настройка динамической трансляции nat, совмещения внутренних глобальных адресов и распределения нагрузки tcp
- •5.8. Протокол pat
- •5.8. Недостатки pat
- •5.10. Настройка pat
- •6. Сегментация локальных сетей
- •6.1. Сегментация локальных сетей с помощью повторителей
- •6.1.1. Совместное использование пропускной способности
- •6.1.2.Количество станций в одном сегменте
- •6.1.3. Расстояние между дальними концами сети
- •6.2. Сегментация локальных сетей с помощью мостов
- •6.5. Три функции коммутации уровня 2
- •6.5.1. Изучение адресов
- •6.5.2. Решение о фильтрации
- •6.6. Типы переключателей локальных сетей
- •6.6.1. Режим сохранить и передать
- •6.6.2. Сквозной режим
- •6.6.3. Бесфрагментный режим
- •7. Виртуальные локальные сети
- •7.2. Доказательство необходимости применения сетей vlan
- •7.2.1. Проблема 1: безопасность в сети
- •7.2.2. Проблема 2: распространение широковещательных сообщений
- •7.2.3. Проблема 3: использование пропускной способности
- •7.2.4. Проблема 4: задержки при передаче данных через маршрутизаторы
- •7.2.5. Проблема 5: сложные списки контроля доступа
- •7.3. Статические сети vlan
- •7.4. Динамические сети vlan
- •7.5. Идентификация сетей vlan
- •7.6. Маркировка кадров
- •7.7. Методы идентификации vlan
- •7.8. Достоинства виртуальных сетей
- •7.10. Управление широковещанием
- •7.11. Обеспечение безопасности сети
- •7.12. Конфигурирование сетей vlan в коммутаторах Catalyst
- •7.12.1. Планирование сетей vlan
- •7.12.2. Создание сетей vlan
- •7.12.3. Удаление сетей vlan
- •8. Основы протокола распределенного связующего дерева
- •8.2. Схема разрешения конфликтов в stp
- •8.3. Состояния портов в stp
- •8.4. Изменения stp-топологии
- •8.5. Усиление стабильности протокола stp
- •8.6. Пример функционирования протокола stp
- •8.7. Конфигурирование протокола stp
- •9. Протокол магистральных каналов виртуальных локальных сетей
- •9.1. Режимы протокола vtp
- •9.1.1. Отправка vtp-сообщений
- •9.1.2. Создание сетей vlan
- •9.1.3. Хранение vlan-информации
- •9.1.4. Распространение сети vlan с помощью протокола vtp
- •9.2. Принцип действия протокола vtp
- •9.3. Настройка протокола vtp
- •9.3.1. Настройка домена
- •9.3.2. Настройка режима vtp
8.5. Усиление стабильности протокола stp
· Служба STP Root Guard (служба защиты корневого моста) может быть полезна
при выборе местоположения корневого моста и при подержании его уникально-сти в коммутируемой сети. Когда данная функция включена на каком-либо порту, при получении лучшего BPDU-блока порт отключается, что препятствует другим коммутаторам незапланированно становиться корневыми.
· Служба STP Root Guard должна быть включена на всех портах, где не следует обнаруживать корневой мост. Это позволяет сохранить текущий выбор основного и дополнительного корневых мостов.
· Обнаружение однонаправленной передачи в канале (Unidirectional Link Detection — UDLD) — способ обнаружения канала, в котором передача осуществляется только в одном направлении, что позволяет предотвратить возникновение мостовых петель и "черных дыр" для трафика, которые обычно не обнаруживаются и не предотвращаются протоколом STP.
· Механизм UDLD функционирует на втором уровне путем отправки пакетов, содержащих идентификаторы устройства и порта, соседям, подключенным к портам коммутатора. Также любые UDLD-пакеты, получаемые от соседнего устройства, отражаются для того, чтобы данное устройство получило подтверждение о том, что оно опознано. UDLD-сообщения отправляются в течение интервалов сообщений (message interval), стандартная длительность которых обычно равна 15 секундам.
· Механизм UDLD функционирует в двух режимах.
· Обычный режим. Однонаправленные каналы обнаруживаются и объявляются ошибочными, но никакие действия не предпринимаются.
· Агрессивный режим. Однонаправленные каналы обнаруживаются, объявляются ошибочными и отключаются после восьми попыток (по одной в секунду в те-чение восьми секунд) переустановки канала. Отключенные порты необходимо включать вручную.
· Функция STP Loop Guard обнаруживает отсутствие BPDU-блоков на корневом и альтернативном корневом портах. Неназначенные порты временно отключаются, что препятствует их переходу в назначенные порты и состояние передачи.
· Функцию STP Loop Guard необходимо включить на корневом и альтернативном корневом портах (оба неназначенные) для всех возможных вариантов активной STP-топологии.
89
8.6. Пример функционирования протокола stp
В качестве примера функционирования протокола STP рассмотрим сеть, состоящую из трех коммутаторов Catalyst, подключенных по схеме треугольника (рис. 42).
Корневые порты отмечаются литерами RP, назначенные порты — DP, метки F соот-ветствуют портам в состоянии передачи, а X — портам, которые находятся в состоянии блокировки.
Рассмотрим
выполнение
алгоритма
распределенного
связующего
дерева.
1.
Выбор
корневого
моста.
Все
три коммутатора имеют равные значения приоритета моста (стандартный приоритет равен 32786). В то же время коммутатор Catalyst А имеет наименьший МАС-адрес (00-00-00-00-ОО-Оа), поэтому он ста-новится корневым мостом.
2. Выбор корневых портов. На
каждом коммутаторе вычисляются
ис 42. труктура сети для примера функциониров ия протокола STP
стоимости корневых маршрутов. На коммутаторе Catalyst В порт 1/1 имеет стоимость корневого маршрута 0+19. Порт 1/1 коммутатора Catalyst С также имеет стоимость корне-вого маршрута, равную 0+19.
3. Выбор назначенных портов. По определению все порты корневого моста становятся назначенными портами для своих сегментов. Следовательно, порты 1/1 и 1/2 коммутатора Catalyst А являются назначенными. Порт 1/2 коммутатора Catalyst В и порт 1/2 коммутатора Catalyst С совместно используют один сегмент. Требуется, чтобы один из указанных портов стал назначенным. Стоимость корневого маршрута для каждого из портов равна 0+19+19, или 38, что делает невозможным выбор одного из них. Наименьший отправляемый идентификатор моста позволяет решить эту проблему, и порт 1/2 коммутатора Catalyst В (имеющего наименьший адрес из двух) становится назначенным.
4. Все порты, не являющиеся ни корневыми, ни назначенными, переводятся в состоя-ние блокировки. Единственный порт, который не является ни корневым, ни назначенным, — это порт 1/2 коммутатора Catalyst С. Порт переводится в состояние блокировки (отмеченное на схеме литерой X).
90