Вопросы к экзамену (не скрины учебника а сам текст) / !Объединённый файл. Администрирование информационных систем АИС. Вопросы к экзамену (очная форма)

Несмотря на то, что оба хоста правильно сконфигурированы, помешать установке соединения между ними может множество проблем маршрутизации. Маршрутизаторы, которые составляют IP-сеть, должны обмениваться между собой маршрутной информацией. Если при этом процессе возникает проблема, противоречивая информация в таблицах маршрутизации может помешать установлению сквозного соединения. Наиболее вероятные причины противоречивой информации в таблицах маршрутизации — это проблемы физического канала (проблемы «линка») и некорректная конфигурация маршрутизатора. Когда LAN- и WAN-соединения включаются и выключаются, маршрутизаторы посылают сообщения об обновлении маршрутной информации друг другу при обнаружении изменения статуса линка. Пока эта информация передается, некоторые маршрутизаторы не имеют корректного представления о сети. Попытки связи, совершенные в течение этого промежутка времени, могут потерпеть неудачу, потому что часть сети может быть временно недоступной. Такие проблемы маршрутизации обычно проявляют себя отсутствием ответа или появлением ICMP-сообщения «Удаленный хост недоступен. Сеть недостижима».

Утилита Traceroute очень эффективна для определения маршрутизатора, на котором произошла данная ошибка. Но не стоит полностью полагаться на результаты этой утилиты. Если маршрутизатор неправильно обрабатывает данные, то это не значит, что источник проблемы в нем. Часто виноват другой маршрутизатор, и это он посылает неверные данные в сеть.

Если у порта маршрутизатора или у подключенного LANили WANсегмента есть проблемы, также потребуется работа утилиты Traceroute. Если все сообщения от узлов до некоторой точки доходят нормально, а после этой точки пакеты начинают пропадать, следует проанализировать таблицы маршрутизации маршрутизаторов, которые находятся дальше этой точки. Если существует другой маршрут, необходимо, например, увеличить RIP — «стоимость» проблемного соединения. Это заставит маршрутизаторы искать новый маршрут к узлу на значения.

Другая проблема, связанная с маршрутизацией, заключается в том, что у маршрутизатора может быть некорректная ARP-таблица. Каждый маршрутизатор строит таблицу, показывающую соответствие IP-адреса MACадресу. Если хост присоединяется к локальному сегменту сети с дублируемым IP-адресом, то он заставляет изменяться таблицу маршрутизации. В соответствие этому IP-адресу вместо корректного MAC-адреса ставится MACадрес ошибочно сконфигурированного хоста. Трафик, который предназначался для настоящего хоста, пойдет ко второму, неверно сконфигурирован ному. Чтобы временно устранить неисправность, необходимо удалить существующую таблицу маршрутизации и создать новую. Если проблемы останутся, и ничего не изменится, нужно сократить время кэштаймаута ARP. Параметр кэш-таймаут ARP определяет, как долго маршрутизатор будет «доверять» данным в ARP-таблице. Маршрутизатор

отменит записи, которые существуют в таблице большее время, чем указанный кэш-таймаут ARP.

Утилита Traceroute очень эффективна для определения маршрутизатора, на котором произошла данная ошибка. Возможны случаи, когда ARP-таблица заполняется некорректно, тогда необходимо удалить ее и создать новую.

Кратко рассмотрим проблемы конфигурации сервера [51, 65].

После того как IP пакеты дошли до хоста назначения или сер вера, IPпротокол передает данные протоколам более высокого уровня модели OSI, таким как TCP или UDP. Эти протоколы передадут данные приложениям FTP или Telnet. Если сетевые приложения не ждут сообщений с данными от TCPили UDP портов, придет ICMP-сообщение «Узел назначения недоступен. Порт недостижим». Такие сообщения используют приложения для поиска неисправностей, например, утилита Traceroute. Если такие сообщения продолжают приходить, это часто означает, что сетевые процессы сервера разрушены и надо перезагружать сетевые процессы или перезапускать сервер.

8.9.6 Проблемы безопасности доступа

Так же как неисправные сегменты сети или отказавшее оборудование могут помешать IP-пакетам дойти до узла на значения, помешать соединению могут также конфигурации маршрутизатора или сервера. Часто в целях защиты от не санкционированного доступа службы администратора системы устанавливают множество фильтров или фаэрволов [8, 28], чтобы предотвратить возможность подключения к сети неавторизованных пользователей. Эти средства безопасности могут также мешать и зарегистрированному пользователю получать доступ к сети. Рассмотрим эти ситуации.

Фильтрование маршрутизатором. Ряд современных маршрутизаторов обладает возможностями фильтрации. Эти фильтры могут быть основаны на IP-адресах или на протоколах более высокого уровня и портах сервисов. Фильтрование маршрутизатором вероятно стоит на первом месте из всех средств контроля НСД в сети. Однако важно отметить, что они не используются для замены компьютерных или прикладных средств контроля безопасности.

Наиболее частая ошибка в установке фильтров — это не полное понимание иерархии фильтров и битового маскирования, что часто бывает необходимо. Правильно сконфигурированные и протестированные фильтры предназначены для того, чтобы обойти разрушение сетевых сервисов.

Утилиты Traceroute и Ping — это достаточно эффективные средства, чтобы определить, включено ли фильтрование в целях безопасности на маршрутизаторах или нет. Утилита Traceroute покажет, отбрасывает

(отвергает) ли маршрутизатор IP-пакеты. Утилита Ping удобна для рассылки IP-пакетов на разные интерфейсы маршрутизатора, чтобы определить на ка ких из них включены фильтры.

Часто контроль безопасности в результате ничего не запрещает неавторизованным пользователям. Такие утилиты, как Ping и Traceroute, являются эффективными методами тестирования фильтрования на IP-уровне в маршрутизаторах и позволяют удостовериться, что установленный контроль безопасности корректен.

Фильтрование на сервере. Так же как и маршрутизаторы, многие серверы, особенно серверы UNIX, могут фильтровать пакеты. Контроль доступа к данным в комбинации с другими методами контроля может эффективно отслеживать, кто подключился к системе и к каким именно приложениям он подключился.

Фильтрование по IP-адресу. Фильтры по адресу предоставляют список, показывающий, какие хосты или какие IP-сети разрешены для доступа. В этих списках, кроме того, можно отмечать, какие сетевые приложения разрешены, например, FTP. Так же как и в специализированных маршрутизаторах, наиболее распространенные ошибки возникают из-за отсутствия понимания, как правильно настроить фильтры.

Вход в систему или защита паролем. После того как IP-пакет пришел и был передан для обработки сетевой операционной системе, ОС запрашивает пароль или использует некоторые другие варианты авторизации и аутентификации пользователей (см. главу 6) до того, как будет предоставлен доступ. Фактически многие приложения, в свою очередь, предлагают похожую защиту с помощью пароля.

Многие сетевые операционные системы и системы управления разрешают администраторам блокировать пользователей, вводивших 2 и более раз подряд неверный пароль. Важно правильно поставить в NMS низкий уровень для сообщений о тревоге, чтобы администратор системы мог быстро обнаружить попытку взлома пользователя. Прежде чем подозревать умышленное нарушение правил, необходимо убедиться, что пользователь не испытывает проблем входа в систему, что пользователь действителен и не заблокирован.

17. Решение проблем в стеке TCP/IP. Часть 2.

8.9.7 Периодический отказ соединения

Если MAC-протокол работает корректно и хост работал нормально до появления периодических отказов соединения, необходимо выполнить

операции по устранению проблем установления соединения, перечисленные в подразделе 8.9.1.

Другими причинами периодического отказа соединения могут быть потери пакетов и колебания маршрута.

Потери пакетов. Когда теряются пакеты, протоколы верх них уровней пытаются повторно передать их хосту. Однако если связь не может быть восстановлена, соединение будет прервано. Чтобы выяснить, значительны ли потери пакетов, необходимо использовать непрерывный Ping-тест. Бывает, что IP-хост не в состоянии ответить на первый Ping, но на все по следующие пакеты Ping должен быть получен ответ.

Колебание маршрута. Если LAN- и WAN-линки (каналы) имеют серьезные проблемы, они будут постоянно включаться и выключаться каждые несколько секунд. Когда один из таких линков меняет свое состояние, он может вызвать изменения в протоколе маршрутизации. Как только сетевые протоколы покажут изменившийся маршрут, маршрутизаторы могут внести изменения в своей маршрутной информации, что приведет к появлению «черных дыр». Черные дыры — это части сети, которые в течение нескольких секунд могут быть недоступны для всей сети или для ее части. Через определенное время протокол маршрутизации выполняет трассирование сети и возвращение ее обратно к стабильному состоянию. Если сетевые сегменты (LAN или WAN) меняют свой статус линка каждые несколько секунд, сеть не стабильна и маршрутная информация постоянно противоречива. Это «колебание маршрутов» будет впустую тратить ресурсы центрального процессора маршрутизатора.

Для обнаружения этой неисправности АС необходимо про вести Traceroute-тест на разные станции в удаленных сегментах сети.

8.9.8Низкая производительности сети

Вработе сети обязательно есть узкие места. Иногда на них необходимо обращать внимание, например увеличивая пропускную способность канала от 64 Кбит/c до 1,5 или 2 Мбит/c. В правильно работающей (без сбоев) сети главными узкими местами будут пропускная способность WAN-каналов и производительность компьютерных систем. Не стоит предполагать, что низкая производительность сети объясняется медленным локальным соединением (Ethernet или Token Ring), и надеяться, что увеличение скорости локального соединения или установка нового коммутатора решит эту проблему. На самом деле наиболее частые причины низкой производительности — это рабочая станция или медленный WAN-канал.

При рассуждениях о производительности сети следует учитывать пропускную способность и задержки (латентность).

Пропускная способность — это количество бит, передаваемых по каналу в единицу времени.

Латентность — это задержка прохождения данных через компоненты системы или через систему в целом.

Выделенные ресурсы, такие как WAN-канал «точка—точка», имеют неизменную латентность. Однако общие ресурсы — локальные сети, компьютерные системы, маршрутизаторы и разделяемые ресурсы WAN — имеют изменяющуюся латентность. При высокой загрузке общих ресурсов время ожидания проходящих через них данных увеличивается, поскольку па кеты должны ожидать в очереди передачи или прохождения участка в системе.

Работа в направлении улучшения производительности сети без понимания причин может обойтись очень дорого и при этом не приведет к ее повышению. Выводы по улучшению производительности можно сделать только после тщательных и длительных измерений.

Рассмотрим факторы, влияющие на производительность сети.

Мониторинг использования протоколов. Основная задача при поиске ошибок заключается в определении, какие сете вые протоколы используются в сети и какой процент трафика сети создается каждым из протоколов. В то время как отдельная сеть может работать только с одним сетевым протоколом, крупные сети могут использовать множество протоколов.

Например, из-за ранней популярности ОС Novell NetWare большая часть серверов использует набор протоколов IPX/SPX. Однако по мере развития Internet добавился набор протоколов TCP/IP.

Кроме того, некоторые сети могут потребовать такие протоколы, как NetBEUI, AppleTalk или DLC. По существу, сеть может работать с множеством различных протоколов.

Если пользователи жалуются на низкую производительность сети, то администратору системы необходимо определить используемые протоколы и проанализировать, для чего каждый из них нужен. Несмотря на то что нет ничего критичного в использовании множества протоколов, сокращение их числа может повысить производительность сети.

Это особенно актуально в сетях, использующих операционные системы и сетевые утилиты Microsoft. Сетевое программное обеспечение Microsoft очень интенсивно пользуется сетью, чтобы составить список доступных сетевых ресурсов — browse list. Этот список пользователи могут увидеть, открыв сетевое окружение.

Результатом составления browse list является генерация значительного количества широковещательного трафика (broadcast traffic). Кроме того, отдельный browse list составляется для каждого протокола, используемого в сети. Так, если сеть имеет рабочие станции с операционной системой

Microsoft, использующей стеки протоколов TCP/IP, IPX/SPX и NetBEUI,

сетевое программное обеспечение создает три отдельных browse lists и зачастую генерирует три разных набора широковещательных пакетов. По этой причине АС должен уменьшить число протоколов, используемых в сети.

Выявление чрезмерного широковещательного трафика. Па кеты,

пересылаемые в сети, могут быть нескольких типов. Они могут быть однонаправленными (Unicast) и широковещательными (Broadcast).

Однонаправленные, или прямые пакеты посылаются в сети от одной станции к другой. Пакет содержит сетевой адрес отправителя и адрес получателя. Все сетевые адаптеры в сети получают пакеты, но только один адаптер компьютера получателя передает пакет сетевому программному обеспечению для обработки. Однонаправленные пакеты используются для связи компьютер—компьютер например, для операции со хранения файлов на сервере.

Широковещательные пакеты посылаются от станции источника всем станциям в сети. Все сетевые адаптеры полу чают пакет и передают его на обработку сетевому программному обеспечению. Широковещательные пакеты используются в различных контекстах. Например, когда компьютер включили первый раз, он подключается к сети и рассылает широковещательные пакеты, чтобы идентифицировать себя и зарегистрировать свое имя в сети. Сервера периодически рассылают широковещательные пакеты, информируя о своих сервисах. Когда пользователи хотят сохранить маршрут до конкретно го сервера, их компьютеры могут посылать широковещательные запросы для определения местоположения компьютеров в сети. Некоторые сетевые протоколы, такие как NetBEUI, полностью работают через Broadcastпакеты, чтобы установить соединение между компьютерами.

Недостаток широковещательных пакетов в том, что все компьютеры должны потратить время, обрабатывая каждый из них. Если значительный процент сетевого трафика составляют широковещательные пакеты, сетевые адаптеры на каждом компьютере могут быть настолько загружены обработкой Broadcast-трафика, что будут медленно рассылать или получать свой собственный трафик.

Большинство тестирующего оборудования имеет механизм измерения количества Broadcast-трафика. Допустимое количество широковещательного трафика варьируется в зависимости от конфигурации сети. Обычно Broadcastтрафик не превышает 5—10% всего трафика в сетях Ethernet [51].

При обнаружении в сети станции, которая генерирует большое количество широковещательного трафика, необходимо проанализировать ее конфигурацию. Поврежденный драй вер сетевого адаптера, неправильная работа оборудования могут быть вызваны неверной конфигурацией программного обеспечения, что в свою очередь ведет к чрезмерному росту Broadcast-трафика. Также необходимо проанализировать, ка кие протоколы

используются на этой станции и какие из них могут быть удалены. Кроме того, стек протоколов TCP/IP пре доставляет возможность рассылки multicastпакетов, где один пакет отправляется только группе компьютеров в сети, тем самым уменьшая широковещательный трафик.

Выбор протокола маршрутизации. Маршрутизаторы IP пакетов используют различные протоколы, чтобы обмениваться данными друг с другом и обеспечивать самый быстрый способ перемещения IP-пакетов по сети. Интерпретация сетевой топологии маршрутизирующим протоколом зачастую сильно влияет на производительность сети.

Одни протоколы маршрутизации, например RIP, используют метод дистанционно-векторной маршрутизации. При этом считается, что самый короткий путь, содержащий наименьшее число промежуточных маршрутизаторов, является лучшим путем. Но иногда это не лучший выбор, потому что пакеты на этом коротком пути могут пересылаться через один низкоскоростной и перегруженный WAN-канал, вместо, например, последовательной передачи через два свободных WAN-канала.

Другие протоколы, такие как OSPF и IGRP и EIGRP (см. на пример главу 4), рассматривают другие параметры оптимизации пути передачи, такие как скорость соединения, загруженность LANили WAN-сегментов. Протокол OSPF принимает во внимание и такие параметры, как надежность, задержка и пропускная способность. Как правило, эти протоколы принимают лучшие решения маршрутизации в сложных сетях.

Утилита Traceroute может показать путь IP-пакетов, про ходящих через сеть. Сравнение пути Traceroute со скоростями каналов может помочь в определении ошибок маршрутизации, возникающих из-за некорректного использования каналов передачи.

Низкая пропускная способность WAN-каналов. Локальные и глобальные сети, в которых периодически возникают проблемы физического уровня, могут создать проблемы низкой производительности во многих реализациях, разрушая паке ты. Потеря пакетов приводит к их повторной передаче, создает заторы на маршрутизаторах, т. е. очередь трафика на передачу в канал.

Кроме того, физические проблемы могут вызвать проблемы маршрутизации, называемые маршрутными колебаниями. Эта проблема уже упоминалась в подразделе 8.9.5. Если каналы (линки) постоянно включаются и выключаются, они часто меняют свой статус. Протоколы маршрутизации шлют обновления, реагируя на статус линка, и воздействуют на рабочие маршрутизаторы. Эти обновления могут негативно сказаться на производительности маршрутизатора и соответственно на производительности сети, так как процессор маршрутизатора будет все время пересчитывать маршруты.

Понимание топологии сети. Понимание топологии сети и пути, по которому IP-пакеты перемещаются из одной сети в другую, очень важно при распознавании проблем, связанных с производительностью.

Во многих сетях процесс соединения сегментов начинается с использования каналов с низкой скоростью. Этих «мед ленных» каналов может быть достаточно для начальных (простых) приложений и для небольшого числа пользователей. Однако чем больше установлено критических приложений и чем больше пользователей генерируют трафик, тем в большей степени использование низкоскоростных каналов становится узким местом для увеличения производительности. Утилита Traceroute может помочь идентифицировать медленные, перегруженные каналы. Тест покажет время ответа от каждой та блицы маршрутизации (hop) по пути к узлу назначения.

Перегруженные каналы. Пока трафик, проходящий по сегменту сети, меньше чем доступная пропускная способность, система должна справиться с нагрузкой без каких-либо проблем. Когда поступающая нагрузка становится больше, чем доступная пропускная способность, маршрутизаторы начнут формировать очередь пакетов для передачи их по мере освобождения канала. Пакеты будут отвергнуты, если буфер ввода вывода маршрутизатора переполнится данными очереди. Кроме того, приложения более высокого уровня, такие как NFS (см. главу 5) или TCP, приостановятся (timeout) и приготовятся по вторить передачу данных. Это может только усугубить проблему, так как в результате в сеть будет отправлено еще больше данных. Специальные усовершенствованные алгоритмы в реализациях TCP используются, чтобы замедлить ретрансляцию данных и предотвратить дополнительную загрузку.

Медленные маршрутизаторы. LAN- и WAN-маршрутизаторы являются очень важной частью сети TCP/IP. Относительно легко добавить функцию IPмаршрутизации персональному компьютеру или серверу. Это будет дешевое и простое решение. Однако передача IP-пакетов от одного интерфейса к другому требует затрат оперативной памяти и времени центрального процессора. Производительность будет ухудшаться, если эти ресурсы будут использоваться и другими приложениями. Всегда лучше пользоваться специализированными маршрутизаторами в виде отдельно стоящих устройств.

Когда несколько LAN- и/или WAN-каналов подсоединены к специализированному, отдельно стоящему маршрутизатору, ему почти всегда хватает оперативной памяти и ресурсов главного процессора для обработки трафика. В случаях, ког да один маршрутизатор имеет множество высокоскоростных LAN-интерфейсов с большим количеством трафика на них, центральный процессор или память маршрутизатора могут быть перегружены. Большинство таких проблем может быть решено с помощью мультиинтерфейсных карт, которые маршрутизируют трафик без дополнительной загрузки центрально го процессора.

Индикацией загрузки канала на маршрутизаторе является пакет протокола ICMP Source Quench Packets. Маршрутизатор отправляет эти пакеты хосту, сигнализируя, что хост должен понизить скорость передачи. Следует учитывать, что многие реализации TCP/IP игнорируют такие пакеты. Чтобы понять, отвергаются ли пакеты маршрутизатором из-за перегруженных каналов, наиболее полезны ICMP эхо-пакеты утилиты Ping.

8.9.9 Медленные хосты

Неважно насколько быстра сеть и насколько быстрыми являются сервера, если сам хост работает медленно. Необходимо убедиться, что хост может обеспечить требуемую производи тельность. Здесь возможны следующие проблемы.

Устаревшие интерфейсы и драйверы. Периодически необходимо проверять по спецификациям производителя, не внесены ли какие-нибудь значимые обновления по производительности в новом программном обеспечении. В таком случае нужно своевременно обновлять драйверы и программное обеспечение.

Перегруженный сервер. Сервер с более быстрым центральным процессором, с большим объемом оперативной памяти и быстрыми жесткими дисками может работать намного быстрее, чем слабая система. Однако важно понимать, что не все приложения одинаковы и, соответственно, имеют разные требования к производительности системы и сети. Администратор системы должен учитывать, что слабость даже небольшой части системы отражается на всей системе и будет ее узким местом. Возможна ситуация, когда более быстрая сетевая кар та или более быстрый интерфейс ввода-вывода (например, SCSI) улучшат производительность больше, чем замена цен трального процессора.

Необходим особый контроль над приложениями, к кото рым могут подключаться много пользователей, а также над приложениями, которые загружают систему намного больше, чем локальные приложения. Примером является приложение, которое позволяет пользователям удаленно управлять сервером (Х-окна). При этом конечный пользователь получает графическое отображение окон серверных приложений у себя на мониторе. Обычно приложение Х-окна задействует намного больше ресурсов центрального процессора и намного больше перегружает оперативную память, чем обычное удаленное управление через Telnet.

18. Типы серверов