Администрирование в среде unix/linux

После того как физическая сеть собрана, администратор должен собственноручно назначить на каждой машине адреса интерфейсам. Обычно это делается с консоли того компьютера, который настраивается для работы в сети. Существует возможность динамической настройки с одного рабочего места всех машин сети. Однако, кроме явных преимуществ, к такого подхода есть срытые недостатки. Главный из них – это учёт статистики работы с каждой из машин системы. При динамическом назначении адресов машина может в разное время получать разные адреса, что не позволяет по адресу проидентифицировать машину. Многие же системы анализа трафика основываются на том, что соответствие между адресом и компьютером неизменно. Именно на этом принципе построены многие системы защиты от несанкционированного доступа.

Другой причиной, заставляющей жёстко назначать адреса компьютерам сети, является необходимость организации информационных сервисов на серверах сети. TCP/IP не имеет механизма оповещения рабочих мест о месте нахождения сервиса. Широковещание вообще не очень распространено в сетях TCP/IP, в отличие от сетей Novell или Microsoft. Каждый хост знает о наличии того или иного сервиса из файла своей настройки (например, указываются шлюз в другие сети или сервер доменных имен), или из файлов настроек прикладного ПО. Так, например, сервер WWW не посылает никакого широковещательного сообщения о том, что он установлен на данном компьютере в данной сети. Преимущество такого подхода заключается в низком трафике, порождаемом сетью TCP/IP. Этот трафик иногда значительно отличается, например, от трафика Novell. Кроме этого практически любое оборудование позволяет фильтровать трафик TCP/IP, что сильно облегчает сегментацию сети и делает её легко структурируемой. Для монтирования удалённой файловой системы нет необходимости в использовать межсетевой протокол для доставки протоколов локальной сети, так как стек TCP/IP сам реализует этот межсетевой обмен.

В рамках организации сети TCP/IP уделяется внимание организации удалённых рабочих мест программистов и других сотрудников, использующих электронную связь для оперативного обмена информацией, доступа к информационным ресурсам, обмена электронной почтой и др. Организовать такие рабочие места в рамках сетей TCP/IP можно без особых проблем.

Подключение локальной сети TCP/IP к Интернет осуществляется через местного провайдера. Обычно это та же организация, у которой был получен блок адресов для локальной сети.

Назначение и функционирование брандмауэра

При всех достоинствах сети TCP/IP имеют один врожденный недостаток – в них отсутствуют встроенные способы защиты информации от несанкционированного доступа, поскольку информация при способе доступа – удалённый терминал – передаётся по сети открыто. Это означает, что кто-то может найти способ просмотреть передаваемые по сети пакеты, а значит получить коллекцию идентификаторов и паролей пользователей TCP/IP сети. Способов совершить подобные действия множество. Сходные проблемы возникают при организации доступа к архивам FTP и серверам WWW. Поэтому одним из основных принципов администрирования TCP/IP сетей является выработка общей политики безопасности: администратор определяет правила типа “кто, куда и откуда имеет право использовать те или иные информационные ресурсы”.

Эти проблемы в сетях обычно решаются путём установления специальных защитных программных и программно-технических средств – брандмауэров (FireWall – межсетевых фильтров, “стен”).

Управление безопасностью начинается с управления таблицей маршрутов. При статическом администрировании маршрутов включение и удаление последних производится вручную, в случае динамической маршрутизации эту работу выполняют программы поддержки динамической маршрутизации. Следующий этап – управление системой доменных имен, определение разрешений на копирование описания домена и контроля запросов на получение IP-адресов. Следующий барьер – системы фильтрации TCP/IP трафика. Наиболее распространённым средством такой борьбы являются системы FireWall. Используя эти программы можно определить номер протокола и номер порта, по которым можно принимать пакеты с определённых адресов и отправлять пакеты на определённые адреса. Наконец, последнее средство защиты – шифрация трафика. Для этой цели используется различное программное обеспечение, разработанное для организации защищённого обмена через общественные сети.