ПротоколыQ.931 иH.245
Если на первой фазе проверяется готовность сети, то на второй фазе проверяется готовность вызываемого терминала и устанавливается соединение с вызываемым терминалом с помощью сообщений протокола Q.931. После чего устанавливается логический канал для передачи сообщенийH.245.
На третьей фазе используется управляющий канал H.245 для:
определения ведущего и ведомого, чтобы разрешить конфликты, когда два устройства терминал 1 и терминал 2 одновременно пытаются открыть двунаправленный логический канал;
обмена данными о функциональных возможностях терминалов (согласуется набор кодеков, используемых в терминалах на передаче и приеме);
открытия и закрытия логических каналов передачи информации. Если логический канал открывается для передачи речи и видео, то принимающая сторона должна указать свой транспортный адрес RTCP, на который передающая сторона будет передавать пакет.
Для того, чтобы открыть логический канал передачи, нужно знать адреса (номера, порты) протоколов RTPиRTCP. В данном случае порт – это не физический порт, а это номер очереди, который назначается операционной системой для протоколаRTP(RTCP). После того, как обе стороны узнают транспортные адресаRTPиRTCP, возможен обмен информацией.
Организация узлаInternet
Узел, предоставляющий услуги Internet, включает:
центральный маршрутизатор;
серверы доступа;
серверы IP-телефонии;
КЭШ-сервер;
межсетевой экран;
служебные серверы;
серверы приложений.
Центральный маршрутизатор является основным компонентом узлаInternetи выполняет следующие функции:
связь с провайдерами Internetболее высокого уровня;
связь с точками обмена Internet-трафиком;
передача трафика между различными компонентами узла;
фильтрация трафика и отражение атак на узел на первичном уровне;
регулировка полосы пропускания (ПП) между клиентами узла и серверами приложений;
регулировка ПП между серверами приложений и сетью Internet;
перенаправление трафика КЭШ-сервера.
Серверы доступаотвечают за базовые услуги доступа вInternet. С их помощью подключаются клиенты, использующие выделенные линии для доступа вInternet. Также серверы доступа обслуживают агрегированный трафик от пользователей коммутируемого доступа.
Серверы IP-телефонииобеспечивают дополнительную услугу:Internet-телефонию.
КЭШ-сервер обеспечивает кэширование (запись в памяти) содержимогоWEB-серверов. Кэширование информации позволяет улучшить производительность узлаInternet, потому что снижается нагрузка на каналы провайдера, используемые для выхода вInternet, и уменьшается время ожидания загрузки страниц для клиентов провайдера.
Межсетевой экран обеспечивает защиту служебных серверов и офисной сети от возможных сетевых атак.
Служебные серверы: сервер биллинга,Radius-сервер и сервер-привратникIP-телефонии.
Покажем на рисунке 46 схему узла Internet:
Рис.46. Логическая структура узла предоставления Интернет услуг, предложенная фирмой Lucent Technologies.
Организация виртуальной сети
Технология виртуальной частной сети (VPN) обеспечивает взаимодействие между удаленными филиалами через открытуюIP-сеть с гарантированным уровнем целостности и защищенности передаваемых данных.
Для организации VPNиспользуются следующие продукты:
клиентское программное обеспечение (ПО) IPSecClient;
маршрутизаторы VPN;
шлюзы и межсетевые экраны VPN;
система централизованного управления, обеспечивающая настройку и контроль за VPN.
Клиентское программное обеспечениеIPSecClientотвечает за аутентификацию пользователя и выполнение правил безопасности. Эти правила могут разрешать или запрещать установление соединения, определять соединения с передачей по защищенному каналу или с передачей открытых текстов. Клиентское ПО используется на мобильных аппаратах и в компонентах удаленного офиса. Клиентское ПО включает средства шифрования и аутентификации и поддерживает аутентификационные системыRadius.
Шлюзы VPNвключают:
межсетевой экран, обеспечивающий фильтрацию пакетов по заданному условию;
средства аутентификации и контроля доступа;
аппаратные средства шифрования данных.
Маршрутизаторы VPN имеют встроенный межсетевой экран, обеспечивают маршрутизацию, туннелирование, шифрование по протоколуIPSecи аутентификацию. Обычно маршрутизаторыVPNиспользуют для региональных офисов.
Сервер управления безопасностью представляет собой средство для централизованного обеспечения безопасности предприятия. Этот сервер управляет шлюзамиVPNи клиентамиIPSec. Сервер управления безопасностью взаимодействует с серверами аутентификацииRadius, отвечает за обработку открытых ключей и цифровых сертификатов. Сервер также предусматривает широкие возможности аудита безопасности и аварийную сигнализацию и может иметь встроенную систему обнаружения атак.
Покажем на рисунке 47
принципиальную схему построения VPN:
Рис.47. Принципиальная схема построения VPN.