Администрирование_в_информационных_системах_Беленькая_М_Н_

Рис. 10.5. Добровольное туннелирование

Сервер LNS — это узел, который функционирует в качестве терминирующей точки сеансов протокола PPP, проходящих по туннелю, инициированному LAC.

При принудительном туннелировании LAC располагается в непосредственной близости от удаленного пользователя. Это делается для уменьшения расходов на обслуживание междугородного или международного трафика. Оборудование пользователя не поддерживает протокол L2TP, оно лишь устанавливает соединение с сервером NAS (он же концентратор LAC). При этом IP-дейтаграммы пользователя инкапсулируются в пакеты протокола PPP.

Концентратор доступа LAC осуществляет обмен пакетами протокола PPP c удаленным пользователем и устанавливает туннель протокола L2TP с сервером LNS. Пакеты от удаленного пользователя принимаются точкой присутствия POP интернет-оператора, преобразуются в кадры протокола L2TP и пересылаются по соответствующему туннелю. Концентратор LAC может выполнять аутентификацию конечных пользователей.

Сервер LNS представляет собой шлюз к корпоративной сети. Он является выходной точкой туннеля и в его функции входит удаление инкапсуляции протокола L2TP c предоставлением доступа к корпоративной сети.

При добровольном туннелировании функции LAC выполняются на компьютере пользователя. Соединение про-

токола L2TP инициируется им же. Пользователь получает IP-соединение с сервером NAS от оператора Интернет или соединение с локальной сетью. После этого он инициирует соединение с сервером LNS.

Выбор технологии работы определяется администратором системы совместно с локальным оператором Интернет. Однако администратор системы должен помнить, что протокол L2TP не обеспечивает криптографический туннель. Данные передаются открыто в форматах пакетов L2TP и PPP. Поэтому администратору системы следует сочетать использование протокола L2TP с протоколами IPSec.

Традиционные сетевые службы удаленного доступа поддерживают только зарегистрированные IP-адреса, что сужает круг приложений, которые могут быть реализованы по виртуальным частным сетям. Протокол L2TP поддерживает несколько протоколов, а также не зарегистрированные, исправляемые частным образом IP-адреса при работе в Интернет. Это позволяет использовать уже существующую инфраструктуру доступа, такую как модемы, серверы доступа и терминальные адаптеры. Он также позволяет осуществлять внешнюю поддержку удаленного доступа, тем самым уменьшая служебную нагрузку, расходы на поддержку аппаратного обеспечения.

Существует специальная опция работы VPN, называемая виртуальным удаленным доступом VPDN. При этом подругому выполняется авторизация пользователей, выделение IP-адресов и учет пакетов (рис. 10.6).

Авторизация. При предоставлении традиционной службы удаленного доступа Интернет-оператор поддерживает отдельные профайлы для каждого пользователя, которые определяют авторизацию. На основе этого сервер безопасности, взаимодействуя с сервером сетевого доступа NAS, предоставляет доступ на основе политик использования и подсоединения пользователей. Характер этих политик может меняться от простых фильтров по источнику/получателю для небольшой группы сайтов до сложных алгоритмов, учитывающих конкретный характер используемых приложений, часы суток, в которые происходит удаленный доступ, а также длинные списки разрешенных или, наоборот, запрещенных пунктов назначения. Этот процесс может потребовать значительных вычислительных ресурсов от оператора, особенно если ему требуется обе-

Рис. 10.6. Этапы установления соединения

между удаленным клиентом VPN и корпоративной локальной сетью

спечить доступ удаленных пользователей от имени компаний, которым требуется постоянно изменять свою политику. При использовании службы виртуального удаленного доступа вся тяжесть подробной авторизации, основанной на политиках, возлагается непосредственно на компанию удаленного пользователя. В условиях, когда между удаленными пользователями и их корпоративным шлюзом устанавливается сквозное соединение, все операции по авторизации могут быть выполнены так, как если бы удаленные пользователи осуществляли непосредственный доступ к своей корпоративной сети. Такой подход освобождает оператора от необходимости поддержания большой базы данных профайлов индивидуальных пользователей многих компаний. Это следует учесть администратору

системы, если он работает в компании — операторе Интернет. При этом служба виртуального удаленного доступа становится более безопасной и для компании-заказчика услуги. Служба виртуального удаленного доступа позволяет компаниям также быстро реагировать на изменение состава сообщества своих удаленных пользователей.

Выделение адресов. При использовании традиционной службы удаленного доступа IP-адрес выделяется динамически из набора доступных адресов оператора. В этом случае удаленные пользователи имеют ограниченный доступ к ресурсам своей корпоративной сети или вообще его не имеют, поскольку брандмауэры и политики безопасности запрещают доступ с внешних IP-адресов к корпоративной сети.

При использовании службы виртуального удаленного доступа корпоративный шлюз может выделять адреса, которые являются внутренними адресами корпоративной сети и могут быть адресами, зарезервированными для частных сетей. Поскольку туннели протокола L2TP оперируют исключительно на уровне преобразованных (инкапсулированных) пакетов, реальные политики управления адресами (для корректировки службы виртуального удаленного доступа, для всех целей обработки протокола РРР, для пользователя удаленного доступа) выглядят так, как будто он соединен непосредственно с корпоративным шлюзом.

Учет. Сервер NAS и корпоративный шлюз могут подсчитывать число пакетов, байтов и число созданных и разорванных соединений.

Поскольку виртуальный удаленный доступ является службой доступа, учет попыток доступа, особенно неудачных, представляет значительный интерес. Корпоративный шлюз может отвергнуть попытки создания новых соединений на основе информации аутентификации, собранной оператором Интернет, с внесением соответствующих записей в файл учета. Возможны случаи, когда корпоративный шлюз принимает соединение и продолжает аутентификацию, однако впоследствии отсоединяет пользователя. В таких случаях сообщение об отключении, направляемое в обратном направлении оператору, может также включать в себя указание причины отсоединения. Поскольку корпоративный шлюз может отказать в создании соединения, основываясь на информации, собран-

ной оператором, такой учет позволяет легко отличить серию неудачных попыток создания соединения от серии коротких успешных соединений. Без такой услуги корпоративному шлюзу приходится всегда принимать запросы на соединения и обмениваться многочисленными РРР-пакетами с удаленной системой.

Все эти технологии должны быть согласованы администратором системы с оператором связи.

Организационная безопасность сети. Физический доступ ко всем устройствам сети должен быть включен в политику доступа. Требования физической безопасности подразумевают: запирание на замок телекоммуникационного помещения (ER), где находятся сетевые устройства, запирание телекоммуникационного шкафа с устройствами, защиту резервных источников питания. Администратор системы должен обеспечить надлежащий контроль за вентиляцией и температурой в помещении, отключить неиспользуемые или ненужные порты в сети.

Дополнительная информация

1.www.ietf.org

a)RFC2284 — PPP Extensible Authentication Protocol (EAP)

b)RFC 2716 — PPP EAP TLS Authentication Protocol

c)RFC 2689 — Providing Integrated Services over Low-bitrate Links

d)RFC 2138 — Remote Authentication Dial In User Service (RADIUS)

e)RFC 2139 — RADIUS Accounting

f)RFC 2661 — Layer Two Tunneling Protocol L2TP

g)RFC 3193 — Securing L2TP using IPSec

2.csrc.nist.gov/publications/fips/fips46-3/fips46-3.pdf — алгоритм DES

3.www.vpnc.org — Virtual Private Network Consortium

Контрольные вопросы

1.Перечислите задачи учета.

2.Кем осуществляются преднамеренные угрозы безопасности?

3.Какие события можно отнести к непреднамеренным угрозам?

4.Перечислите виды преднамеренных угроз безопасности?

5.Каковы средства и мероприятия по обеспечению безопасности ИС?

6.Приведите пример обычных мер организационной защиты ИС.

7.Приведите пример аппаратных средств защиты от НСД для системы поддержки банкоматов

8.В чем суть политики безопасности магистрального уровня сетевой системы?

9.Как используется список доступа для реализации политики безопасности уровня распределения?

10.Приведите пример средств защиты сетевой безопасности на уровне доступа.

11.Каковы средства обеспечения защиты сетевой безопасности при удаленном доступе к сети предприятия?

12.Каковы типы VPN сетей?

13.Какие ключевые вопросы безопасности обеспечивает протокол IPSec?

14.Каковы мероприятия администратора системы по реализации VPN cети?

Глава 11

АДМИНИСТРИРОВАНИЕ ПРОЦЕССА КОНТРОЛЯ ПРОИЗВОДИТЕЛЬНОСТИ СИСТЕМЫ

Если производительность ИС ниже определенного уровня, производственные функции организации могут выполняться не достаточно эффективно: сотрудники не могут вовремя выполнять задания, страдает регулярность выполнения операций в ИС. В модели FCAPS проблема производительности выделена отдельно. Однако ее целесообразно рассматривать в составе проблемы управления отказами (Fault), поскольку обе эти проблемы решаются выявлением причин, из-за которых сократилась производительность ИС. При этом выявление причин потери производительности осуществляется практически теми же средствами, что и выявление причин неработоспособности системы. Однако есть разница в том, как потеря производительности по сравнению с отказами влияет на систему. В последнем случае просто «не работает» какоелибо устройство или программный продукт. Проблема же потери производительности не является столь явной и может сказаться через длительный период времени после возникновения причины. Кроме того, эта проблема достаточно сложна с точки зрения ее количественной оценки (метрик).

11.1. Понятие производительности информационной системы. Основные этапы управления производительностью

В зависимости от вида приложений производительность может определяться различными параметрами: временем отклика приложения, общим временем работы или временем ввода-вывода (total time, I/O time, system time, CPU time) [64]. Для сетевой подсистемы ИС производительность может опре-

288

Рис. 11.1. Этапы управления производительностью системы

11 Глава

деляться временем задержки на сетевых устройствах или утилизацией канала. Причем производительность нужно определять тогда, когда наблюдается средняя пиковая нагрузка, т.е. в дневное время.

Измерение производительности администратором системы должно проводиться в течение определенного промежутка времени. Нет стандарта на длительность этого промежутка, но обычно измерения проводят в течение месяца.

Выделяют четыре этапа по управлению производительностью [64] (рис.11.1):

—определение базовой (номинальной) производительности ИС;

—контроль отклонений от нее;

—создание отчетов о производительности;

—коррекция производительности ИС.

Рассмотрим эти шаги.

Определение базовой производительности является первым шагом в управлении производительностью ИС. Для определения базовой или номинальной производительности конкретной ИС необходимо установить топологию системы и взаимосвязь компонент (документировать функциональную схему ИС), сделать оценку производительности критических приложений, наиболее влияющих на производительность ИС в целом, спланировать и оценить требуемую производительность системы. Пример типичной топологии сетевой системы приведен на рис. 11.2.

В процессе передачи информации от сервера к пользователю в каждой точке маршрута (на сетевых устройствах ИС или устройствах глобальной сети) она будет задерживаться для обработки. Если хотя бы одно соединение будет неверно сконфигурировано (например, с низкой скоростью передачи данных), оно может существенно изменить общее время работы системы. Такая схема может быть получена администратором системы с помощью средств инвентаризации NMS или вручную. Для определения оценки производительности ИС необходимо выяснить приемлемые для пользователей параметры работы сети, показанной на рис. 11.2, в условиях нормальной обычной работы. И эти параметры будем называть базовыми. Такими параметрами для ИС могут быть время инициализации приложения, время получения информации, время запи-

Рис. 11.2. Пример типичной топологии сетевой системы (Fierwall — устройство защиты от внешних угроз)

си информации на диск сервера, время отклика приложения и пр. Полученные оценки можно фиксировать и специфицировать как номиналы в специальном документе «Оценка готовности системы» (SRA — System Readiness Assessments). Там же администратор системы может фиксировать, например, характеристики использования протоколов TCP/IP: задержку пакетов или потерю пакетов в качестве номинальных значений технических метрик. Эти сетевые метрики могут повлиять на время отклика приложений как в корпоративной сети, так и при работе с филиалом через глобальную сеть. Затем можно перейти к следующему шагу планирования требуемой производительности при увеличении количества обрабатыва-