По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Привет! В предыдущей статье, посвященной основам WLAN, вы узнали о беспроводных клиентах, формирующих ассоциации с беспроводными точками доступа (AP) и передающих данные по Wi-Fi. В сегодняшней статье мы рассмотрим анатомию защищенного соединения в беспроводных сетях.
Основы защищенного соединения в беспроводных сетях.
Все клиенты и точки доступа, которые соответствуют стандарту 802.11, могут сосуществовать на одном канале. Однако не всем устройствам, поддерживающим стандарт 802.11, можно доверять. Нужно понимать, что данные передаются не как в проводной сети, то есть непосредственно от отправителя к получателю, а от приемника до ближайшей точки доступа, располагаемой в зоне досягаемости.
Рассмотрим случай, изображенный на рисунке ниже. Беспроводной клиент соединяется с каким-либо удаленным объектом с использованием зашифрованного пароля. В сети так же присутствуют два не доверенных пользователя. Они находятся в пределах диапазона сигнала клиента и могут легко узнать пароль клиента, перехватив данные, отправленные по каналу. Особенности беспроводной связи позволяют легко перехватывать пересылаемые пакеты злоумышленниками.
Если данные передаются по беспроводным каналам, как их можно защитить от перехвата и взлома? В стандарте 802.11 предусмотрены механизмы безопасности, которые используются для обеспечения доверия, конфиденциальности и целостности беспроводной сети. Далее более подробно разберем методы беспроводной безопасности.
Аутентификация.
Для того чтобы начать использовать беспроводную сеть для передачи данных, клиенты сначала должны обнаружить базовый набор услуг (BSS), а затем запросить разрешение на подключение. После чего клиенты должны пройти процедуру аутентификации. Зачем это делать? Предположим, что ваша беспроводная сеть позволяет подключиться к корпоративным ресурсам, располагающим конфиденциальной информацией. В этом случае доступ должен предоставляться только тем устройствам, которые считаются надежными и доверенными. Гостевым пользователям, если они вообще разрешены, разрешается подключиться к другой гостевой WLAN, где они могут получить доступ к не конфиденциальным или общедоступным ресурсам. Не доверенным клиентам, вообще рекомендуется запретить доступ. В конце концов, они не связаны с корпоративной сетью и, скорее всего, будут неизвестными устройствами, которые окажутся в пределах досягаемости вашей сети.
Чтобы контролировать доступ, WLAN могут аутентифицировать клиентские устройства, прежде чем им будет разрешено подключение. Потенциальные клиенты должны идентифицировать себя, предоставив информацию учетных данных для точки доступа. На рисунке ниже показан основной процесс аутентификации клиента.
Существует много методов аутентификации по «воздуху». Есть методы, которые требуют ввода только кодового слова, которое является общим для всех доверенных клиентов и AP. Кодовое слово хранится на клиентском устройстве и при необходимости передается непосредственно в точку доступа. Что произойдет, если устройство будет утеряно или похищено? Скорее всего, любой пользователь, владеющий данным устройством, сможет аутентифицироваться в сети. Другие, более строгие методы аутентификации требуют взаимодействия с корпоративной базой данных пользователей. В таких случаях конечный пользователь должен ввести действительное имя пользователя и пароль.
В обычной жизни, при подключении к любой беспроводной сети, мы неявно доверяем ближайшей точке доступа проверку подлинности нашего устройства. Например, если вы на работе, используя устройство с беспроводной связью, найдете WI-Fi, скорее всего, подключитесь к ней без колебаний. Это утверждение верно для беспроводных сетей в аэропорту, торговом центре, или дома - вы думаете, что точка доступа, которая раздает SSID, будет принадлежать и управляться организацией, в которой вы находитесь. Но как вы можете быть уверены в этом?
Как правило, единственная информация, которой вы владеете- это SSID транслируемый в эфир точкой доступа. Если SSID знаком, вы, скорее всего, подключитесь к ней. Возможно, ваше устройство настроено на автоматическое подключение к знакомому SSID, так что оно подключается автоматически. В любом случае, есть вероятность невольно подключиться к тому же SSID, даже если он рассылается злоумышленником.
Некоторые атаки, организованные злоумышленником, осуществляются посредством подмены точки доступа. «Поддельная» точка доступа, аналогично настоящей, так же рассылает и принимает запросы, и затем осуществляет ассоциацию клиентов с АР. Как только клиент подключается к «поддельной» AP, злоумышленник может легко перехватить все данные передаваемые от клиента к центральному узлу. Подменная точка доступа может также отправлять поддельные фреймы управления, которые деактивируют подключенных клиентов, для нарушения нормального функционирования сети.
Чтобы предотвратить этот тип атаки, называемой «man-in-the-middle», клиент должен сначала идентифицировать точку доступа, и только потом подключиться, используя логин и пароль (пройти аутентификацию). На рисунке ниже показан простой пример данного защищенного подключения. Также, клиент, получая пакеты управления, должен быть уверен, что они отправлены с проверенной и доверенной точки доступа.
Конфиденциальность сообщений.
Предположим, что клиент изображенный на рисунке 3, должен пройти аутентификацию перед подключением к беспроводной сети. Клиент должен идентифицировать точку доступа и её фреймы управления для подключения перед аутентификацией себя на устройстве. Отношения клиента с точкой доступа могли бы быть более доверительными, но передача данных по каналу все еще подвергается опасности быть перехваченной.
Чтобы защитить конфиденциальность данных в беспроводной сети, данные должны быть зашифрованы. Это возможно кодированием полезной нагрузки данных в каждом фрейме, пересылаемым по WI-Fi, непосредственно перед отправкой, а затем декодирования ее по мере поступления. Идея заключается в использование единого метода шифрования/дешифрования как на передатчике, так и на приемнике, чтобы данные могли быть успешно зашифрованы и расшифрованы.
В беспроводных сетях каждый WLAN может поддерживать только одну схему аутентификации и шифрования, поэтому все клиенты должны использовать один и тот же метод шифрования при подключении. Вы можете предположить, что наличие одного общего метода шифрования позволит любому клиенту сети перехватывать пакеты других клиентов. Это не так, потому что точка доступа при подключении к клиенту высылает специальный ключ шифрования. Это уникальный ключ, который может использовать только один клиент. Таким образом точка доступа рассылает каждому клиенту свой уникальный ключ. В идеале точка доступа и клиент- это те два устройства, которые имеют общие ключи шифрования для взаимодействия. Другие устройства не могут использовать чужой ключ для подключения. На рисунке ниже конфиденциальная информация о пароле клиента была зашифрована перед передачей. Только точка доступа может успешно расшифровать его перед отправкой в проводную сеть, в то время как другие беспроводные устройства не могут.
Точка доступа также поддерживает «групповой ключ» (group key), когда ей необходимо отправить зашифрованные данные всем клиентам ячейки одновременно. Каждый из подключенных клиентов использует один и тот же групповой ключ для расшифровки данных.
Целостность сообщения
Шифрование данных позволяет скрыть содержимое от просмотра, при их пересылке по общедоступной или ненадежной сети. Предполагаемый получатель должен быть в состоянии расшифровать сообщение и восстановить исходное содержимое, но что, если кто-то сумел изменить содержимое по пути? Получатель не сможет определить, что исходные данные были изменены.
Проверка целостности сообщений (MIC)- это инструмент безопасности, который позволяет защитить от подмены данных. MIC представляет собой способ добавления секретного штампа в зашифрованный кадр перед отправкой. Штамп содержит информацию о количестве битов передаваемых данных. При получении и расшифровке фрейма устройство сравнивает секретный шифр с количеством бит полученного сообщения. Если количество бит совпадает, то соответственно данные не были изменены или подменены. На рисунке ниже изображен процесс MIC.
На рисунке показано, что клиент отправляет сообщение точке доступа через WLAN. Сообщение зашифровано, «741fcb64901d». Сам процесс MIC заключается в следующем:
Исходные данные –«P@ssw0rd».
Затем вычисляется секретный шифр MIC (штамп).
После вычисления штампа происходит шифрование данных и MIC завершается.
На стороне получателя следует расшифровка, вычисление MIC и сравнение штампов.
Сегодня хотим поговорить о подключении телефонных линий в офис и сравнить, что лучше - SIP или подключение по PRI?
Корпоративные системы телефонии давно отошли от использования обычных аналоговых линий в пользу АТС (автоматическая телефонная станция) в паре с подключением к ISDN по стандарту PRI. Но, не так давно, появился современный, более дешевый и гибкий вариант подключения офисных АТС, который называется «SIP – транкинг». В этой статье мы сравним подключение по PRI с подключение по SIP, отметим преимущества и недостатки.
PRI (Primary Rate Interface) — стандартный интерфейс сети ISDN. В рамках данного интерфейса функционируют такие стандарты как E1 и T1
Цифровая телефония
Важно понимать, что мы ведем разговор исключительно о цифровой передаче сигнала, не аналоговой. Оба стандарта PRI и SIP используют цифровую модель сигнала, с единственной разницей в том, что стандарт ISDN PRI это формат с коммутацией каналов, а SIP это коммутация пакетов.
Функциональность
С точки зрения функциональности, при условии правильной настройки, обе системы демонстрируют высокие показатели. Почти все IP – АТС на рынке поддерживают стандарты PRI и SIP. Основная идея интерфейса PRI (потоки E1 или T1) в том, что в рамках одной цифровой линии может передаваться 32 или 24 канала, по которым передаются как голосовые сообщения, так и информация о сигнализации и синхронизации. Интерфейс T1 состоит из 23 голосовых каналов и 1 канала для синхронизации. В свою очередь Е1 поддерживает 30 голосовых каналов и 2 канала выделяется для сигнализации.
Масштабируемость PRI
Если вам требуется расширить число каналов, то есть сделать их больше 30, то необходимо добавить еще одну PRI линию. Ситуация, в которой у компании на АТС используется от 1 до 4 PRI линий (потоков Е1) является достаточно распространенной.
SIP в корпоративной сети Применение протокола SIP в корпоративных сетях расширяет инструментарий администратора. SIP - транк позволяет объединить два удаленных офиса так, будто их соединяет физическая линия. Одним из важнейших преимуществ SIP – транков является возможность сосуществования трафика сети передачи данных и трафика от телефонии (VoIP) в одной сетевой среде передачи – такая сеть называется конвергентной.
Почему SIP?
«SIP транкиг», как видно из названия, оперирует на базе протокола SIP (Session Initiation Protocol). По правилам протокола, телефонная сигнализация и голосовые сообщения формируются в пакеты и передаются в одной сети передачи данных. Использование протокола SIP предлагает более широкий по сравнению с ISDN PRI спектр возможностей, а так же, позволяет расширить параметры отказоустойчивости к падению каналов передачи. Важно отметить, что выбор провайдера SIP телефонии является ответственной задачей, так как уровень обслуживания варьируется от ISP к ISP.
ISP - Internet Service Provider
Внешние вызовы PRI
При высоких сетевых нагрузках имеет смысл подключать две отдельные линии для телефонии и передачи данных. Это уменьшает риск и позволяет использовать дешевые высокоскоростные каналы (без гарантии определенного уровня задержек и прочих параметров канала) вместе с использованием канала с максимально высоким качеством обслуживания. При этом все равно остается возможность совместить корпоративную сеть и дать АТС право маршрутизировать звонки, в том числе и внешние вызовы через PRI транк.
Но к чему использовать E1 PRI для подключения IP- телефона вместо использования на 100% возможностей VoIP? Самым простым объяснением является то, что в мире далеко не все используют VoIP или даже оператора интернет услуг (провайдера) ISP. На текущий момент, единственной, по-настоящему универсальной системой является ТфОП, через которую можно дозвониться до любого телефона в мире. Корпоративная VoIP АТС может дать хорошую экономию на внутренних звонках внутри вашей сети, более того, можно купить SIP - транк для подключения к телефонному оператору связи через интернет.
Но, что происходит при наборе внешнего номера через PRI? Правильно, вызов пойдет через ISDN PRI линии, которые подключены к публичной телефонной сети.
Внешние вызовы SIP
Вместо использования PRI интерфейса, можно использовать SIP – транк. В зависимости от кодеков, полосы пропускания и схемы подключения, в рамках подключения по SIP предоставляется возможность использовать намного больше каналов, чем в E1 (PRI), то есть больше тридцати. Вы можете подключить десятки телефонных аппаратов к своей АТС в зависимости от полосы пропускания канала к провайдеру.
Качество обслуживания
Отметим, что в телефонной сети общего пользования, под телефонный вызов резервируется вся полоса пропускания канала передачи. В отличие от PRI, VoIP пакеты могут быть обслуживаться наравне с трафиком от других приложений. В данном случае, голосовые пакеты буду чувствительны к таким параметрам как задержка, потеря пакетов или джиттер. При ненадлежащем качестве обслуживания трафика VoIP, эффект может быть аналогичным ситуации, в которой наш мобильный имеет низкий уровень сигнала сотовой сети.
Защищенность
Сама по себе концепция ISDN PRI предоставляет изолированный канал передачи данных от точки до точки. Конечно, SIP можно передавать по защищенным VPN сетям, но в базовой архитектуре, пакеты SIP передаются по открытой сети Интернет.
Итоги
Безусловно, выбор всегда формируется под воздействием множества факторов, таких как требования к безопасности, количеству каналов, масштабируемости, бюджету и качеству обслуживания. Протокол SIP – это современный и очень гибкий стандарт, обладающий большим количеством функций, в то время как ISDN PRI доказал свою надежность на протяжении 20 лет использования. Выбор за вами!
Сегодня в статье мы расскажем как перезапустить Агентов Управления (Management agents) в ESXi.
Это может быть необходимо в случае если невозможно подключение напрямую к хосту ESXi или управление с помощью vCenter Server или если vCenter Server отображает сообщение об ошибке: Virtual machine creation may fail because agent is unable to retrieve VM creation options from the host (создание ВМ может потерпеть неудачу, из-за невозможности получения параметров создания виртуальных машин с хоста).
Решение
Для устранения неполадок с подключением ESXi перезапустите Агентов Управления на хосте ESXi
Предупреждение: если LACP настроен на сеть VSAN не перезагружайте Агентов Управления при хостах ESXi под управлением vSAN.
Перезапуск Агентов Управления может повлиять на задачи, которые выполняются на хосте ESXi в момент перезапуска
Проверьте наличие каких-либо проблем с хранилищем перед перезапуском службы host deamon hostd или services.sh
Перезапустите Агентов Управления ESXi используя Direct Console User Interface (DCUI)
Подключитесь к консоли вашего ESXi хоста.
Нажмите F2, чтобы настроить систему.
Войдите в систему с правами администратора.
Используйте стрелки вверх/вниз, чтобы перейти к устранению неполадок Troubleshooting Options -> Restart Management Agents (Функции -> Перезапустить Management Agents).
Нажмите Enter.
Нажмите F11 для перезапуска сервера.
После перезапуска сервера, нажми Enter.
Нажмите Esc для выхода
Примечание: Вы можете также перезапустить службы с помощью Host Client. В Host Client выберите Host>> Manage>> Services и Restart (Хост >> Управление >> Услуги) и выберите услугу перезапуска.
Перезапуск Агентов Управления с помощью ESXi Using ESXi Shell или Secure Shell (SSH)
Войдите в систему ESXi Shell или SSH с правами администратора
Перезапустите службы host deamon ESXi и vCenter Agent с помощью следующих команд:
/etc/init.d/hostd restart
/etc/init.d/vpxa restart
Или
Чтобы сбросить сеть управления на определенном интерфейсе VMkernel, по умолчанию vmk0 выполните команду:
esxcli network ip interface set -e false -i vmk0; esxcli network ip interface set -e true -i vmk0
Примечание: Использование точки с запятой ; между двумя командами гарантирует то, что интерфейс VMkernel будет отключен, а затем снова включен. Если интерфейс управления не работает на vmk0, измените приведенную выше команду в соответствии с используемым интерфейсом VMkernel.
Чтобы перезапустить все Агенты Управления на хосте, выполните команду:
services.sh restart
Внимание:
Если LACP включен и настроен, не перезапускайте службы управления с помощью команды services.sh. Вместо этого перезапустите независимые службы, используя команду
/etc/init.d/module restart
Если проблема не устранена, и вы перезапускаете все службы, которые являются частью сценария services.sh, подождите, прежде чем переходить к сценарию.
Если NSX настроен в среде, не запускайте для перезапуска команду /sbin/services.sh restart, поскольку это перезапустит все службы на хосте ESXi. Если вам нужно перезапустить management agents на хосте ESXi, перезапустите vpxa, host.d и fdm по отдельности. Если вам также необходимо выполнить команду перезапуска /sbin/services.sh restart, поскольку перезапуск каждого management agent не работает, то перенесите все VM с хоста ESXi и переведите хост в режим обслуживания, если это возможно.
Если вы не уверены в том, что NSX для vSphere установлен на хосте ESXi, выполните эту команду, для проверки:
esxcli software vib list --rebooting-image | grep esx-*
Найдите следующие VIB, чтобы определить, установлен ли NSX на хосте ESXi:
vsip-esx
esx-vxlan
Если вы используете общую графику в среде View (VGPU, vDGA, vSGA), не используйте services.sh. Это отключит службу xorg, которая отвечает за графику на уровне гостевого ОС. Отключив графику из гостевого уровня ОС, вы вызовете сбой нагрузки VDI с использованием общей графики. Убедитесь, что вы используете общую графику для перезапуска только hostd и vpxa, если вы не в режиме обслуживания.