Транспортный, сеансовый, представительский и прикладной уровни стека протоколов технологии atm

В дополнение к протоколам, входящим в стек сети ATM, ATM-форумом определены три дополнительных протокола: ILMI, PNNI и Q.2931, информационной единицей которых является пакет данных. Эти протоколы могут быть реализованы в сети ATM на транспортном, сеансовом, представительском или прикладном уровнях модели ЭМВОС. На уровне адаптации пакеты данных, сформированные при помощи протоколов ILMI, PNNI и Q.2931 обрабатываются только протоколом AAL5. Рассмотрим каждый из этих протоколов более подробно.

Протокол Q.2931 предназначен для установления и закрытия коммутируемых виртуальных соединений в сети ATM и полностью аналогичен протоколу сетевого уровня стека сети Frame Relay - Q.933. Значения параметров коммутируемых виртуальных соединений устанавливаются при помощи пакетов данных, сформированных при помощи протокола Q.2931. Они включают в себя: АТМ-адреса терминального оборудования отправителя и получателя, между которыми устанавливается виртуальное соединение (схема адресации в ATM-сетях будет рассмотрена ниже); параметры качества обслуживания данных, передаваемых через устанавливаемое соединение, и др.

Протокол ILMI используется в сети ATM для автоматизированной регистрации адресов терминального оборудования пользователей в АТМ-коммутаторах. Рассмотрим особенности протокола ILMI на примере определения адресов терминального оборудования пользователей, подключённого к одному из ATM-коммутаторов сети (рис. 10.7).

Рисунок 10.7 - Схема взаимодействия ATM-коммутатора терминального оборудования пользователей посредством протокола ILMI

На первом этапе ATM-коммутатор отправляет подключенному к нему терминальному оборудованию пользователей пакет данных cold-Start, извещающий о начале процедуры регистрации АТМ-адресов.

Далее ATM-коммутатор отправляет каждому терминальному оборудованию пользователя пакет данных ILMI, содержащий префикс АТМ-сети, к которой подключён ATM-коммутатор. Префикс ATM-сети представляет собой числовой идентификатор сети и в данном случае выступает в роли первой части ATM-адреса каждого терминального оборудования пользователя, подключённого к АТМ-коммутатору.

Получив префикс ATM-сети, терминальное оборудование пользователей отправляет ATM-коммутатору пакет данных ILMI, содержащий ATM-адрес терминального оборудования. При этом отправляемый АТМ-адрес формируется путём соединения значения префикса ATM-сети со значением, формируемым терминальным оборудованием пользователя. Таким образом, ATM-адреса всего терминального оборудования пользователей, подключённого к ATM-коммутатору, будут иметь одинаковый префикс (см. табл.10.3).

Таблица 10.3. ATM-адреса, полученные терминальным оборудованием пользователей посредством протокола ILMI

Номер терминального оборудования пользователя	ATM-адрес терминального оборудования пользователя
1	39.840F.80.809134.000424F8A416.000000000001.01
2	39.840F.80.809134.000424F8A416.000000000001.02
3	39.840F.80.809134.000424F8A416.000000000001.03
4	39.840F.80.809134.000424F8A416.000000000001.04

Протокол PNNI предназначен для передачи между АТМ-коммутаторами сообщений, содержащих информацию управления, а именно информацию о топологии сети. Информация о топологии сети ATM включают в себя сведения об ATM-коммутаторах, текущей нагрузке магистральных каналов связи, доступных адресных префиксах и др. На основе полученной информации о топологии сети ATM-коммутаторы определяются оптимальный маршрут передачи ячеек.

Рисунок 10.8 – Структура сети АТМ с ведущими коммутаторами (черные круги обозначают ведущие коммутаторы на различных уровнях иерархии сети АТМ)

Для повышения эффективности использования протокола PNNI все ATM-коммутаторы могут быть объединены в одноранговые группы. Каждый ATM-коммутатор, входящий в одну из таких групп, имеет полную информацию о топологии своей группы и не обладает информацией о топологии других. Для обеспечения взаимосвязи между различными одноранговыми группами в каждой такой группе выбирается так называемый ведущий ATM-коммутатор (Peer Group Leader, PGL). При этом все ведущие ATM-коммутаторы связываются между собой логическими каналами связи, по которым и осуществляется взаимодействие коммутаторов, принадлежащих разным одноранговым группам.

Использование ведущих ATM-коммутаторов, входящих в состав одноранговых групп, позволяет существенно сократить объём информации ₀ топологии сети, хранимой в ATM-коммутаторах. В этом случае все АТМ-коммутаторы, кроме ведущих, содержат информацию только о топологии своих одноранговых групп.

Ведущие ATM-коммутаторы могут объединяться в новые логические группы, в которых также может быть определён ведущий коммутатор (рис. 10.8).

Выбор ведущего ATM-коммутатора осуществляется при помощи специального пакета данных HELLO, формируемого на основе протокола PKNI. Все ATM-коммутаторы, входящие в определенную одноранговую группу, должны периодически обмениваться пакетами данных HELLO, содержащими следующие параметры:

• адреса отправителя и получателя пакета данных;

• информационные флаги;

• адрес ATM-коммутатора, который, по мнению отправителя, должен стать ведущим. При этом в качестве ведущего может быть определен и ATM-коммутатор самого отправителя пакета данных;

• приоритет лидерства ATM-коммутатора, который, по мнению отправителя, должен стать ведущим (leadership priority).

В процессе обмена пакетами данных HELLO в одноранговой группе ATM-коммутаторов происходит «голосование», и ведущим становится тот из коммутаторов, который наберет большинство голосов. В случае, если несколько ATM-коммутаторов наберут одинаковое количество голосов, то выбирается тот из них, у которого выше приоритет лидерства.

Воздействия нарушителя, направленные на активизацию уязвимостей протоколов ILMI, PNNI и Q.2931

ВН, направленные на активизацию уязвимостей протокола ILMI, могут быть использованы для выполнения несанкционированных действий от имени другого терминального оборудования пользователей АТМ-сети, например для получения НСД к услугам АТМ-сети. Для реализации воздействий этого типа нарушитель должен несанкционированно зарегистрировать в ATM-коммутаторе, к которому подключено его терминальное оборудование, ложные ATM-адреса, с которых нарушитель сможет в дальнейшем выполнять несанкционированные действия (рис. 10.9). Рассмотрим алгоритм реализации данных ВН более подробно.

Первоначально нарушитель ожидает от ATM-коммутатора пакета данных coldStart, указывающую на начало процедуры регистрации ATM-адресов. Вслед за этим нарушитель получает от АТМ-коммутатора другой пакет данных ILMI, который содержит числовой префикс АТМ-сети, к которой подключён коммутатор. Получив префикс ATM-сети, нарушитель формирует серию пакетов данных ILMI, в которых он указывает ряд ложных ATM-адресов, с которых в последствии нарушитель может выполнять несанкционированные действия (табл. 10.4).

Рисунок 10.9 – Схема несанкционированного получения нарушителем

АТМ-адресов

Таблица 10.4. ATM-адреса, полученные терминальным оборудованием, подключённым к ATM-коммутатору посредством протокола ILMI

Номер терминального оборудования пользователей	АТМ-адрес
1 (нарушитель)	39.840F.80.809134.000424F8A416.000000000001.01 (первый ложный АТМ-адрес) 39.840F.80.809134.000424F8A416.000000000001.05 (второй ложный АТМ-адрес) 39.840F.80.809134.000424F8A416.000000000001.06 (третий ложный АТМ-адрес)
2	39.840F.80.809134.000424F8A416.000000000001.02
3	39.840F.80.809134.000424F8A416.000000000001.03

В приведённом примере реализации воздействия, направленного на активизацию уязвимостей протокола ILMI, нарушитель несанкционированно получает три АТМ-адреса.

Воздействия, направленные на активизацию уязвимостей протокола PNNI, могут быть использованы нарушителем для несанкционированного управления маршрутами передачи ячеек в одноранговой группе, куда входит ATM-коммутатор нарушителя. Для реализации ВН данного типа нарушитель должен сделать так, чтобы его ATM-коммутатор был выбран ведущим в его одноранговой группе. Для этого нарушитель должен в течение определенного времени рассылать всем ATM-коммутаторам, входящим вместе с ним в одну одноранговую группу, пакеты данных HELLO, сформированные при помощи протокола PNNI. В этих пакетах данных нарушитель в качестве адреса ведущего ATM-коммутатора указывает адрес своего коммутатора, а также назначает ему наивысший приоритет лидерства. После того как ATM-коммутатор нарушителя будет выбран в качестве ведущего, он получит возможность управлять маршрутами передачи ячеек между одноранговыми группами. Управление здесь осуществляется путём формирования ATM-коммутатором нарушителя сообщений, содержащих информацию управления, а именно, информацию о топологии сети, на базе которой другие ATM-коммутаторы, входящие в одноранговую группу, строят свои таблицы маршрутизации. Последствием данного ВН может являться блокирование процесса передачи сообщений пользователя.

ВН, направленные на активизацию уязвимостей протокола Q.2931, полностью аналогичны воздействиям, направленным на активизацию уязвимостей протокола сетевого уровня стека сети Frame Relay - Q.933.