Проектирование корпоративной сети с подключением удаленных филиалов по технологии VPN. Часть 2

Страницы 1 2 3

Сетевое оборудование

Коммутатор Симанитрон SWME-48GT-4XG

Сетевой коммутатор Симанитрон SWME-48GT-4XG — устройство промышленного исполнения RACKMOUNT, обеспечивающее широкополосное подключение оконечных устройств на скорости 10/100/1000 Мбит/с, подключение к верхней ступени сети агрегации или ядру на скорости Gigabit Ethernet или 10 Gigabit Ethernet (10 GbE).

Ключевые особенности:

Высокоскоростная маршрутизация трафика

Обеспечивает высокопроизводительную маршрутизацию трафика IP. Программное обеспечение SMI поддерживает статическую, RIPv1 и RIPv2 маршрутизацию, а EMI – еще и OSPF, IGRP, EIGRP, а также маршрутизацию multicast трафика (PIM, DVMRP, IGMP snooping)

Высокая безопасность

Поддержка протокола 802.1x, функциональность Identity-Based Networking Services (IBNS), списки доступа для трафика, коммутируемого на втором уровне (VLAN ACL), на третьем и четвертом уровнях (Router ACL), а также Port-based ACLs (PACL) и Time-based ACL. Для обеспечения безопасности при администрировании поддерживаются протоколы SSH и SNMPv3, а также централизованная аутентификация на TACACS+ и RADIUS серверах.

Высокая доступность

Для защиты от сбоев внутренних блоков питания коммутаторы Симанитрон SWME-48GT-4XG поддерживают резервную систему питания, протоколы 802.1D, 802.1s, 802.1w, функциональность UplinkFast, HSRP, UDLD, Aggressive UDLD, Switch port Auto-recovery.

Поддержка качества обслуживания (QoS)

Классификация трафика по полям DSCP или 802.1p (CoS), стандартные и расширенные списки доступа для выделения заданного типа трафика, WRED, очередность Strict Priority, Shaped Round Robin. Существует возможность определения максимальной полосы для определенного вида трафика, а также выделения гарантированной полосы CIR.

Отличная управляемость

Внедренное в коммутатор ПО CMS, поддержка управления с помощью SNMP-платформ, поддержка SNMP версий 1, 2, 3, Telnet, RMON, SPAN, RSPAN, NTP, TFTP.

Технические характеристики

Варианты программного обеспечения

• Standard Multilayer Software Image (SMI). Включает расширенную поддержку QoS, списки доступа, возможность статической маршрутизации и маршрутизации с помощью протокола RIP.
• Enhanced Multilayer Software Image (EMI). Помимо функциональности SMI также обеспечивает расширенную функциональность корпоративного класса, включая аппаратную маршрутизацию одноадресного (unicast) и многоадресного (multicast) IP трафика, PBR, протокол WCCP.

Межсетевое оборудование

Маршрутизаторы Eltex ESR-3100 — это устройства, представляющие собой универсальную аппаратную платформу и способные выполнять широкий круг задач, связанных с сетевой защитой, шифрованием передаваемых данных, терминированием пользователей и т.д.

В линейке представлены модели, ориентированные на применение в сетях различных масштабов — от сетей предприятий различного масштаба до сетей операторов связи и дата-центров.

Ключевыми элементами серии являются средства для программной и аппаратной обработки данных. За счет оптимального распределения функций обработки данных между частями устройства достигается максимальная производительность.

Интерфейсы

• 8хEthernet 10/100/1000BASE-T (LAN/WAN)
• 8х10GBASE-R SFP+/1000BASE-X SFP (LAN/WAN)
• 1xConsole (RJ-45)
• 2хUSB 3.0
• 1 слот для SD-карт

Подключаемые интерфейсы

• USB 3G/4G/LTE модем
• E1 TopGate SFP

Системные характеристики

• Количество VPN-туннелей — 500
• Статические маршруты — 11000
• Количество конкурентных сессий — 512000
• Поддержка VLAN — до 4k активных VLAN в соответствии с 802.1Q
• Количество маршрутов BGP — 5000000
• Количество BGP-соседей — 1000
• Количество маршрутов OSPF — 500000
• Количество маршрутов RIP — 10000
• Количество маршрутов ISIS — 500000
• Таблица MAC-адресов — 2000 записей на бридж
• Размер базы FIB — 1700000
• VRF — 32

Клиенты Remote Access VPN

• PPTP/PPPoE/L2TP/OpenVPN/IPsec XAUTH

Сервер Remote Access VPN

• L2TP/PPTP/OpenVPN/IPsec XAUTH

Site-to-site VPN

• IPSec: режимы «policy-based» и «route-based»
• DMVPN
• Алгоритмы шифрования DES, 3DES, AES, Blowfish, Camelia
• Аутентификация сообщений IKE MD5, SHA-1, SHA-2

Туннелирование

• IPoGRE, EoGRE
• IPIP
• L2TPv3
• LT (inter VRF routing)

Функции L2

• Коммутация пакетов (bridging)
• Агрегация интерфейсов LAG/LACP (802.3ad)
• Поддержка VLAN (802.1Q)
• Логические интерфейсы
• LLDP, LLDP MED
• VLAN на основе MAC

Функции L3 (IPv4/IPv6)

• Трансляция адресов NAT, Static NAT, ALG
• Статические маршруты
• Динамические протоколы маршрутизации RIPv2, OSPFv2/v3, IS-IS, BGP
• Фильтрация маршрутов (prefix list)
• VRF
• Policy Based Routing (PBR)
• BFD для BGP, OSPF, статических маршрутов

BRAS (IPoE)1

• Терминация пользователей
• Белые/черные списки URL
• Квотирование по объёму трафика, по времени сессии, по сетевым приложениям
• HTTP/HTTPS Proxy
• HTTP/HTTPS Redirect
• Аккаунтинг сессий по протоколу Netflow
• Взаимодействие с серверами ААА, PCRF
• Управление полосой пропускания по офисам и SSID, сессиям пользователей
• Аутентификация пользователей по MAC- или IP-адресам

Функции сетевой защиты 

• Система обнаружения и предотвращения вторжений (IPS/IDS)¹
• Взаимодействие с Eltex Distribution Manager для получения лицензируемого контента — наборы правил, предоставляемые Kaspersky SafeStream II
• Web-фильтрация по URL, по содержимому (cookies, ActiveX, JavaScript)
• Zone-based Firewall
• Фильтрация на базе L2/L3/L4-полей и по приложениям
• Поддержка списков контроля доступа (ACL) на базе L2/L3/L4-полей
• Защита от DoS/DDoS атак и оповещение об атаках
• Логирование событий атак, событий срабатывания правил

Качество обслуживания (QoS)

• До 8-ми приоритетных или взвешанных очередей на порт
• L2- и L3-приоритизация трафика (802.1p (cos), DSCP, IP Precedence (tos))
• Предотвращение перегрузки очередей RED, GRED
• Назначение приоритетов по портам, по VLAN
• Средства перемаркирования приоритетов
• Применение политик (policy-map)
• Управление полосой пропускания (shaping)
• Иерархический QоS
• Маркировка сессий

Управление IP-адресацией (IPv4/IPv6)

• Статические IP-адреса
• DHCP-клиент
• DHCP Relay Option 82
• Встроенный сервер DHCP, поддержка опций 43, 60, 61, 150
• DNS resolver
• IP unnumbered

Средства обеспечения надежности сети

• VRRP v2,v3
• Tracking на основании VRRP или SLA теста
  • Управление параметрами VRRP
  • Управление параметрами PBR
  • Управление административным статусом интерфейса
  • Активация и деактивация статического маршрута
  • Управление атрибутом AS-PATH и preference в route-map
• Балансировка нагрузки на WAN-интерфейсах, перенаправление потоков данных, переключение при оценке качества канала
• Резервирование сессий firewall

Мониторинг и управление

• Поддержка стандартных и расширенных SNMP MIB, RMONv1
• Встроенный Zabbix agent
• Аутентификация по локальной базе пользователей, RADIUS, TACACS+, LDAP
• Защита от ошибок конфигурирования, автоматическое восстановление конфигурации. Возможность сброса конфигурации к заводским настройкам
• Интерфейсы управления CLI
• Поддержка Syslog
• Монитор использования системных ресурсов
• Ping, traceroute (IPv4/IPv6), вывод информации о пакетах в консоли
• Обновление ПО, загрузка и выгрузка конфигурации по TFTP, SCP, FTP, SFTP, HTTP(S)
• Поддержка NTP
• Netflow v5/v9/v10 (экспорт статистики URL для HTTP, host для HTTPS)
• Локальное управление через консольный порт RS-232 (RJ-45)
• Удаленное управление, протоколы Telnet, SSH (IPv4/IPv6)
• Вывод информации по сервисам/процессам
• Локальное/удаленное сохранение конфигураций
  маршрутизатора

MPLS

• Поддержка протокола LDP
• Поддержка L2VPN VPWS
• Поддержка L2VPN VPLS Martini Mode
• Поддержка L2VPN VPLS Kompella Mode
• Поддержка L3VPN MP-BGP

2.4 Анализ сетевого и клиентского программного обеспечения

В состав операционной системы входят сервисные программы – утилиты, позволяют обслуживать диски (проверять, сжимать, дефрагментировать и так далее), выполнять операции с файлами (архивировать и т.д.), работать в компьютерных сетях и так далее.

Сейчас практически все ОС поддерживают работу с сетью и обеспечивают выход как в локальную сеть, к общим ресурсам рабочей группы, так и во всемирную глобальную сеть Интернет. Каждая из ОС требует для своей работы определенных ресурсов, таких как объем оперативной памяти, объем винчестера, тип процессора и его производительность. 

Для того что бы определиться в качестве выбранных сетевых серверных решений необходимо сравнить представленные аналоги бесплатных Linux систем, платных систем семейства Windows Server и Unix подобных платных систем Solaris. Сравнение представлено в таблице 2

С точки зрения производительности, безопасности и ориентированности на пользователя операционная система Windows Server 2016 является оптимальной. Затраты на операционную систему составляют 48961р.  Клиентское программное обеспечение включает в себя программы, которые позволяют вычислительной системе работать в составе локальной вычислительной сети и выполнять вычисления и позволять пользователю работать с прикладными программами, которые ему необходимы для работы.

Таблица 2 – Сравнение сетевых серверных операционных систем

Сравнение операционных систем представлено в таблице 3. 

Исходя из выбора пользовательского ПО наиболее оптимальным и распространенным программным обеспечением операционной системы является Windows 10. 

Пользовательское программное обеспечение для выполнения повседневной работы и автоматизации управленческих задач состоит из служебного ПО и пользовательского.

Таблица 3 – Сравнение клиентских операционных систем

К служебному программному обеспечению относятся: 

Squid – прокси-сервер;

Dovecot – агент доставки почты (MDA);

Postfix – агент передачи почты (MTA);

OpenVPN — Свободная реализация технологии виртуальной частной сети (VPN);

Active Directory;

DNS-сервер — приложение, предназначенное для ответов на DNS-запросы по обращению к хостам;

DHCP-сервер;

SMB-сервер.

К специальному программному обеспечению относят автоматизированные средства:

операционная система рабочих станций MS Windows 10. 

пакет офисных программ Microsoft Office 2016;

антивирусное программное обеспечение Kaspersky Endpoint Security;

интернет-браузер Mozilla Firefox.

Adobe Reader;

Microsoft SQL Server Experess.

Для обеспечения безопасности необходимо использовать отдельные аппаратные средства защиты, или специальное программное обеспечение.

Существуют специализированные программные средства, которым помогают предотвратить проникновения, утечки, изменения и взлом. 

Firewalls — брандмауэры (дословно firewall — огненная стена). Между локальной и глобальной сетями создаются специальные промежуточные сервера, которые инспектируют и фильтруют весь проходящий через них трафик сетевого/транспортного уровней. 

NAT («преобразование сетевых адресов») — это механизм в сетях TCP/IP, позволяющий преобразовывать IP-адреса транзитных пакетов. Также имеет названия IP Masquerading, Network Masquerading и Native Address Translation. Когда весь исходящий из локальной сети трафик посылается от имени сервера, скрывая тем самым внутреннюю структуру локальной сети [7].

Антивирусное ПО — программа для обнаружения вредоносных компьютерных программ, удаления их и восстановления зараженных (модифицированных) такими программами файлов, а также для профилактики — предотвращения заражения (модификации) файлов или операционной системы вредоносным кодом [4].

В программную архитектуру локальной вычислительной сети входят операционные системы и всё программное обеспечение, которое установлено на компьютерах, входящих в техническую архитектуру. Сервера работают под управлением Windows Server 2016, а рабочие станции под управлением
Windows 10. 

3. Практический раздел 

3.1 Обоснование выбора средств разработки 

 

Рисунок 11 – Модель сети

Для моделирования ЛВС на рынке представлены многочисленные программные средства такие как Packet Tracer, NetCrunch, Dynamips, NetCracker. При выполнении этого проекта была использована программа Packet Tracer. Модель сети представлена на рисунке 11.

Проверка работоспособности сети осуществлялась путем передачи пакетов:

— между рабочими станциями;

— между рабочими станциями и серверами;

Для проверки работоспособности сети были задействованы все комнаты каждого этажа, а именно все рабочие станции и офисное оборудование.

На первом этапе в данной программе была построена модель сети и выполнена настройка оборудования. Для построения сети в программе использовались ее инструменты и наборы применяемого оборудования, 

На втором этапе были проведены модельные эксперименты с использованием построенной модели и с применением средств Cicso Tracker Packet, а именно встроенной утилиты Traffic Generator (Рисунок 3.2-3.4). Ее запуск на компьютерах сети позволил имитировать обмен информацией в сети и применять для измерения характеристик сети и отображения результатов прохождения отправляемых эхо-запросов (ping) с изменяемыми параметрами.

В ходе модельных экспериментов проверялась доступность с одного из компьютеров одной подсети «дальних» узлов другой подсети. Результат проверки положительный. Данный эксперимент повторялся, но с нагрузкой на сеть с помощью утилиты Traffic Generator. При этом количество в поле size генератора размер пакета устанавливался 500 байт. Далее размер пакета увеличивался с шагом 500 байт, пока значение не достигало максимального размера пакета 1500 байт.

 

Рисунок 12 – Применение утилиты Traffic Generator

 

Рисунок 13 – Применение утилиты Traffic Generator

 

Рисунок 14 – Применение утилиты Traffic Generator

В результате моделирования нагрузка первой подсети составляет 17%, а нагрузка второй подсети — 10%, при этом нагрузка сети в каждой комнате 1%.

Полученные при моделировании данные позволяют сделать вывод о возможности существовании данной сети.

3.2 Описание реализации сетевой инфраструктуры 

Для реализации проекта потребуется построить структурированную кабельную систему в каждом из филиалов.

Передача и обмен данными в сети между рабочими станциями производится с помощью коммутаторов (switch), а обработка данных должна производиться рабочими станциями и серверами. В данной сети используется топология «иерархическая звезда». Веб-сервер, сервер электронной почты входят в состав демилитаризованной зоны и подключены к Интернет через маршрутизатор и брандмауэр. Сервера приложений, файловый сервер, сервер баз данных и центральный сервер подключены к главному коммутатору, который связан с другими коммутаторами, расположенные на этажах, и к ним подключены по отдельности рабочие компьютеры. Сервер печати размещается в центре печати, сервер потоков мультимедиа располагается в центре видеообработки и обеспечивают работу соответствующих отделов предприятия.

Объединение узлов сети, а также разделение сетей на VLAN осуществлять с использование коммутаторов.

Объединение узлов сети из разных VLAN осуществить с использованием маршрутизатора, кроме того на маршрутизаторе планируется обеспечить функционирование сервера DHCP, маршрутизацию трафика между VLAN, разграничение доступа пользователей с использование ACL, подключение к Интернет во взаимодействии с провайдером по технологии 10 GigabiteEthernet, организацию VPN.

Для формирования данной сети с целью сокращения широковещательных доменов, обеспечения возможностей по управлению разграничением трафика и сетевой безопасности предлагается разделить проектируемые сети филиалов на VLAN по числу отделов и планировать отдельную подсеть – для сетевого оборудования.

 

Рисунок 15 — Функциональная схема сети

 

Рисунок 16 — Функциональная схема сети филиалов на 60 рабочих мест

 

Рисунок 17 — Функциональная схема сети филиала на 20 рабочих мест

 

Рисунок 18 — Функциональная схема сети филиала на 10 рабочих мест

 

Рисунок 19 — Функциональная схема сети филиала на 90 рабочих мест

 Рисунок 20 — Функциональная схема сети филиала на 4 рабочих места

Страницы 1 2 3