По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
В статье пошагово расскажем о том, как интегрировать Active Directory (AD) с Cisco Unified Communications Manager (CUCM). Подобная интеграция поможет централизовать управление пользователями и позволит синхронизировать пользовательские атрибуты от LDAP (Lightweight Directory Access Protocol) сервера.
Одной из наиболее популярных LDAP баз является Microsoft Active Directory (AD), с ней мы и будем производить наш опыт :)
Создаем учетную запись в AD
Безусловно, особый акцент в этой статье будет сделано на работе с CUCM. Мы предполагаем, что в вашей организации существует отдел поддержки серверных решений, который сделает эту часть работ за вас. Энивэй, мы хотим очень рассказать о том, как сделать нужную учетную запись. Порядок следующий:
Подключаемся к Windows Server;
Запускаем Active directory users and computers;
Переходим в Active Directory → Users;
Выбираем пользователя Administrator;
Нажимаем на него правой кнопкой мыши и жмем Copy;
Даем пользователю новое имя и пароль - например, ldap.cucm@domain.ru;
Включаем сервис DirSync
Переходим в интерфейс Cisco Unified Service Ability → Tools → Service Activation:
Включаем сервис DirSync и нажимаем Save. Статус должен быть Activated. Идем дальше.
Включаем синхронизацию LDAP
Возвращаемся в интерфейс Cisco Unified CM Administration. Идем по пути System → LDAP → LDAP System:
Делаем следующие опции:
Отмечаем галочкой Enable Synchronization from LDAP Server
LDAP Server Type: Microsoft Active Directory
LDAP Attribute of User ID: sAMAccountName
Нажимаем Save.
Конфигурация директории LDAP
В интерфейсе Cisco Unified CM Administration переходим в System → LDAP → LDAP Directory:
Нажимаем Add New и указываем следующие параметры:
LDAP Configuration Name - LDAP_CUCM;
LDAP Manager Distinguished Name - ldap.cucm@domain.ru (создавали ранее);
LDAP Password: пароль для ldap.cucm@domain.ru;
Confirm password - еще раз пароль;
LDAP User Search Space - OU=SOME, DC=TEST, DC=COM. Указываем, где искать запроса для пользователей;
LDAP User Search Space - OU=SOME, DC=TEST, DC=COM. Указываем, где искать запроса для пользователей;
Phone number - выбираем как ipPhone;
Внизу указываем адрес LDAP – сервера:
Сохраняем.
Делаем LDAP аутентификацию
Делаем аутентификацию. Переходим в раздел System → LDAP → LDAP Authentication и добавляем новое подключение:
Use LDAP Authentication for End Users - отмечаем галочкой;
LDAP Manager Distinguished Name - ldap.cucm@domain.ru (создавали ранее);
LDAP Password: пароль для ldap.cucm@domain.ru;
Confirm password - еще раз пароль;
LDAP User Search Space - OU=SOME, DC=TEST, DC=COM. Указываем, где искать запроса для пользователей;
Host Name or IP Address for ServerRequired Field - адрес;
Сохраняем.
Синхронизация
Делаем аутентификацию. Переходим в раздел System → LDAP → LDAP Directory и нажимаем Perform Full Sync Now:
Отлично. Давайте проверим, что у нас получилось: переходим в раздел User Management → End User и нажимаем на Find:
Прежде чем перейти к более сложным темам, мы завершим эту серию статей об основах OSPF. Здесь мы рассмотрим типы LSA, типы областей и виртуальные ссылки (LSA types, area types, и virtual links). Протокол маршрутизации OSPF: LSA, области и виртуальные ссылки
OSPF LSA ТИПЫ
Link State Advertisements (LSA) — Объявления состояния канала — это основа работы сетей на OSPF. Наполнение этих обновлений позволяют сети OSPF создать карту сети. Это происходит с помощью алгоритма кратчайшего пути Дейкстры.
Не все LSA OSPF равны. Ниже представлен каждый их них:
Router (Type 1) LSA - мы начинаем с того, что многие называют «фундаментальным» или «строительным блоком» Link State Advertisements. Type 1 LSA (также известный как Router LSA) определен в пределах области. Он описывает интерфейсы локального маршрутизатора, которые участвуют в OSPF, и соседей, которых установил локальный спикер OSPF.
Network (Type 2) LSA - вспомните, как OSPF функционирует на (широковещательном) Ethernet сегменте. Он выбирает Designated Router (DR) and Backup Designated Router (BDR), чтобы уменьшить количество смежностей, которые должны быть сформированы, и хаос, который будет результатом пересечением этих отношений. Type 2 LSA отправляется назначенным маршрутизатором в локальную область. Этот LSA описывает все маршрутизаторы, которые подключены к этому сегменту.
Summary (Type 3) LSA – напоминаем вам, что Type 1 LSA и Type 2 LSA ретранслируются в пределах области. Мы называем их intra-area LSA. Теперь пришло время для первого из наших inter-area LSA. Summary (Type 3) LSA используется для объявления префиксов, полученных из Type 1 LSA и Type 2 LSA в другой области. Маршрутизатор границы области (ABR) — это устройство OSPF, которое разделяет области, и именно это устройство рекламирует Type 3 LSA.
Изучите топологию OSPF, показанную на рисунке 1 ниже.
Топология OSPF
Рис. 1: Пример многозональной топологии OSPF
Область 1 ABR будет посылать Type 3 LSA в область 0. ABR, соединяющий область 0 и область 2, отправил эти Type 3 LSA в область 2, чтобы обеспечить полную достижимость в домене OSPF. Type 3 LSA остаются Type 3 LSA во время этой пересылки.
ASBR Summary (Type4) LSA - есть особая роль маршрутизатора OSPF, который называется пограничный маршрутизатор автономной системы Autonomous System Boundary Router (ASBR). Задача этого маршрутизатора заключается в том, чтобы ввести внешнюю префиксную информацию из другого домена маршрутизации. Для того чтобы сообщить маршрутизаторам в различных областях о существовании этого специального маршрутизатора, используется Type 4 LSA. Эта Summary LSA предоставляет идентификатор маршрутизатора ASBR. Таким образом, еще раз, Area Border Router отвечает за пересылку этой информации в следующую область, и это есть еще один пример inter-area LSA.
External (Type 5) LSA - Таким образом, ASBR — это устройство, которое приносит префиксы из других доменов маршрутизации. Type 4 LSA описывает это устройство. Но какой LSA используется для реальных префиксов, поступающих из другого домена? Да, это Type 5 LSA. OSPF ASBR создает эти LSA, и они отправляются к Area Border Routers для пересылки в другие области.
NSSA External (Type 7) LSA - в OSPF есть специальный тип области, называемый Not So Stubby Area (NSSA). Эта область может выступать заглушкой, но она также может вводить внешние префиксы из ASBR. Эти префиксы передаются как Type 7 LSA. Когда ABR получает эти Type 7 LSA, он отправляет по одному в другие области, такие как Type 5 LSA. Таким образом, обозначение Type 7 предназначено только для этой специальной области NSSA.
Другие типы LSA. Существуют ли другие типы LSA? Да. Но мы не часто сталкиваемся с ними. Например, Type 6 LSA используется для многоадресной (Multicast) передачи OSPF, и эта технология не прижилась, позволяя Protocol Independent Multicast передаче победить. Для завершения ниже показан полный список всех возможных типов LSA:
LSA Type 1: Router LSA
LSA Type 2: Network LSA
LSA Type 3: Summary LSA
LSA Type 4: Summary ASBR LSA
LSA Type 5: Autonomous system external LSA
LSA Type 6: Multicast OSPF LSA
LSA Type 7: Not-so-stubby area LSA
LSA Type 8: External Attribute LSA for BGP
LSA Type 9, 10, 11: "Opaque" LSA типы, используемые для конкретных прикладных целей
OSPF ТИПЫ LSA И ТИПЫ AREA
Одна из причин, по которой вы должны освоить различные типы LSA, заключается в том, что это поможет вам полностью понять потенциальную важность multi-area, особенно такого, который может включать специальные области. Ключом к важности специальных типов областей в OSPF является тот факт, что они инициируют автоматическую фильтрацию определенных LSA из определенных областей.
Например, подумайте о области 1, присоединенной к основной области области 0. Type 1 LSA заполнил область 1. Если у нас есть широковещательные сегменты, мы также имеем Type 2 LSA, циркулирующие в этой области. Area Border Router посылает LSA Type 3 в магистраль для суммирования префиксной информации из области 1.
Этот ABR также принимает эту информацию от магистрали для других областей, которые могут существовать. Если где-то в домене есть ASBR, наша область 1 получит LSA Type 4 и LSA Type 5, чтобы узнать местоположение этого ASBR и префиксы, которыми он делится с нами. Обратите внимание, что это является потенциальной возможностью для обмена большим количеством информации между областями. Именно поэтому у нас есть специальные типы зон!
OSPF LSAS И STUB AREA (ЗАГЛУШКА)
Для чего предназначена Stub Area? Мы не хотим слышать о тех префиксах, которые являются внешними для нашего домена OSPF. Помните, у нас был такой случай? Конечно, это LSA Type 5. На самом деле, мы даже не хотим слышать о тех LSA Type 4, которые используются для вызова ASBR в сети. Таким образом, Stub Area заполнена LSA Type 1, Type 2 и Type 3. На самом деле, как эта область могла бы добраться до одного из этих внешних префиксов, если бы это было необходимо? Для этого мы обычно используем очень специальный LSA Type 3. Этот LSA представляет маршрут по умолчанию (0.0.0.0 / 0). Именно этот удобный маршрут позволяет устройствам в этой области добраться до всех этих внешних объектов. На самом деле именно этот маршрутизатор используется для получения любого префикса, специально не определенного в базе данных маршрутизации (RIB).
OSPF LSA И TOTALLY STUBBY AREA (ПОЛНОСТЬЮ КОРОТКАЯ ОБЛАСТЬ)
Использование этой области имеют малые перспективы LSA. Использование этой области имеет смысл тогда, когда мы хотим снова заблокировать Type 4 и 5, но в данном случае мы блокируем даже LSA Type 3, которые описывают информацию префикса из других областей в нашем домене OSPF. Однако здесь имеется одно большое исключение. Нам нужен LSA Type 3 для маршрута по умолчанию, чтобы мы действительно могли добраться до других префиксов в нашем домене.
OSPF LSAS И NOT SO STUBBY AREA И TOTALLY NOT SO STUBBY AREA
Запомните, что Not So Stubby Area должна иметь LSA Type 7. Эти LSA Type 7 допускают распространение тех внешних префиксов, которые входят в ваш домен OSPF благодаря этой созданной вами области NSSA. Очевидно, что эта область также имеет Type 1, Type 2 и Type 3 внутри нее. Type 4 и Type 5 будут заблокированы для входа в эту область, как и ожидалось. Вы также можете создать Totally Not So Stubby Area, ограничив Type 3 из этой области.
VIRTUAL LINKS
Вспомните из нашего более раннего обсуждения OSPF, что все области в автономной системе OSPF должны быть физически связаны с основной областью (область 0). Там, где это невозможно, вы можете использовать виртуальную связь (virtual link) для подключения к магистрали через область, не являющуюся магистралью.
Учтите следующие факты о virtual link:
Они никогда не должны рассматриваться в качестве цели проектирования в ваших сетях. Они являются временным "исправлением" нарушения работы OSPF.
Вы также можете использовать virtual link для соединения двух частей секционированной магистрали через область, не являющуюся магистралью.
Область, через которую вы настраиваете virtual link, называемую транзитной областью, должна иметь полную информацию о маршруте.
Транзитная зона не может быть stub area (заглушкой).
Вы создаете virtual link с помощью команды в режиме конфигурации OSPF:
area 1 virtual-link 3.3.3.3
Эта команда создает virtual link через область 1 с удаленным устройством OSPF с идентификатором маршрутизатора (Router ID) 3.3.3.3. Вы также настраиваете это удаленное устройство OSPF с помощью команды virtual-link. Например, если наше локальное устройство OSPF находится в Router ID 1.1.1.1, то соответствующая удаленная команда будет:
area 1 virtual-link 1.1.1.1
Примечание: virtual link — это всего лишь один из способов наладки нарушений в работе OSPF. Вы также можете использовать туннель GRE для исправления сбоев в работе OSPF.
Если вы только думаете о том, чтобы заняться информационной безопасностью, вам не помешает знать эти аббревиатуры. Мы также поговорим о том что это, каковы их задачи и в чем их отличия.
Отличия IPS от IDS
IPS – Intrusion Prevention System, а IDS – Intrusion Detection System. То есть, первый помогает предотвращать вторжения, а второй помогает их обнаруживать. Но что интересно – они используют ну очень похожие технологии.
При всей похожести названий и технологий, это два абсолютно разных инструмента, которые используются в очень разных местах, разными людьми и выполняют очень разные задачи. /
Когда мы говорим про IPS/, то первое что приходит на ум – функционал фаервола, или межсетевого экрана – в нем всегда есть определенное количество правил: десятки, сотни, тысячи и иже с ними – в зависимости от требований. Большинство этих правил – разрешающие, т.е разрешить такой-то трафик туда-то, а в конце правила – все остальное запретить. Как вы наверное догадались, такой функционал реализуется с помощью ACL (листов контроля доступа).То есть, если трафик или его источник неизвестен – МСЭ его просто дропнет и все.
IPS в свою очередь повторяет историю про определенное количество правил – только эти правила в основном запрещающие: заблокировать такую-то проблему безопасности и т.д. Так что когда появляется пакет, IPS рассматривает свои правила свеху вниз, пытаясь найти причины дропнуть этот пакет. В конце каждого списка правил стоит скрытое «пропускать все остальное, что не попадает под критерии выше». Таким образом, в отсутствие повода или известной сигнатуры атаки, IPS просто пропустит трафик.
То есть МСЭ и IPS – устройства контроля. Они обычно находятся на периметре сети и следятпропускают только то, что соответствует политикам безопасности. И самой логичной причиной использования IPS является наличие огромного количества известных атак в сети Интернет – и каждое IPS устройство обладает набором сигнатур (типичных признаков атак), которые должны непрерывно обновляться, чтобы вас не могли взломать с помощью новомодного, но уже известного производителям ИБ средства.
Что такое UTM?
Очевидная мысль о том, что неплохо было бы оба этих устройства поместить в одну железку, породили нечто, называемое UTM – Unified Threat Management, где IPS уже встроен в МСЭ. Более того, сейчас в одно устройство очень часто помещается гигантское количество функций для обеспечения безопасности – IPS/IDS, защита DNS, защита от угроз нулевого дня (с облачной песочницей), возможность осуществления URL фильтрации и многое другое. В случае Cisco и их МСЭ ASA/FirePOWER, к примеру, если вы купите просто железку, без подписок – вы получите только функционал stateful firewall-а и возможность смотреть в приложения, то есть распаковывать пакет до 7 уровня. А дополнительные возможности, вроде описанных выше – становятся доступными только после покупки подписок.
Опять же, какой бы сладкой не казалась мысль об унифицированной чудо-коробке, которая защитит вас от хакеров, нужно признать, что такой дизайн подходит далеко не всем.Очень часто из-за высокой нагрузки или специфической задачи данные решения требуется разносить по отдельным устройствам. Опять же – если у вас на периметре будет стоять только одно UTM – устройство, то это будет самым слабым местом вашей сети, так что всегда нужно думать о резервировании подобных вещей.
Что такое IDS?
Если IPS – это определенно средство контроля, то IDS это средство для повышения видимости в вашей сети. IDS мониторит трафик в различных точках вашей сети и дает понимание того, насколько хорошо обстоят дела с точки зрения защищенности. Можно сравнить IDS с анализатором протоколов (всем известный Wireshark) – только в этом случае анализ направлен на оценку состояния безопасности.
В руках аналитика по ИБ в не очень большой и серьезной организации, IDS обычно служит как бы окном в сеть и может показать следующие вещи:
Нарушения политик безопасности – например системы или пользователи, которые запускают приложения, запрещенные политиками компании
Признаки заражения систем вирусами или троянами, которые начинают пытаться захватить полный или частичный контроль для дальнейшего заражения и атак
Работающее шпионское ПО или кейлоггеры, «сливающие» информацию без уведомления пользователя
Некорректно работающие фаерволы или их политики, некорректные настройки и т.д – все, что может повлиять на производительность и целостность сети
Работающие сканеры портов, «левые» службы DNS и DHCP, внезапные средства для подключения к удаленному рабочему столу и пр.
Итак:
IDS и IPS смогут замечать и предотвращать как автоматизированные вторжения, так и преднамеренные – но вместе они дают вам большую ценность, а именно – большую видимость и
Что же купить?
Если вы небольшая организация, мы бы посоветовали смотреть в сторону наборов «все-в-одном», а именно UTM решений. Опять же, многие вендоры сейчас выпускают гибридные продукты, которые совмещают в себе видимость IDS с возможностями контроля IPS. /
На всякий случай – IPS это не то, что один раз настроил и забыл. IPS систему нужно постоянно тюнинговать, чтобы она была заточена под именно вашу организацию и сеть. Если же этого не сделать, то возможно большое количество ложно-положительных и ложно-отрицательных срабатываний – то есть или пострадают какие-нибудь ваши сервисы, или вы пропустите много атак.
А если говорить про IDS, то важна не «крутость» и объем собираемых данных, а вид и удобство пользования системой конечным пользователем (скорость навигации через предоставленную IDS ценную информацию быстро и легко) – будь то системный администратор или аналитик.
Мы написали эту статью исключительно с целью общего понимания что такое IDS, IPS и UTM – конечно, есть огромное количество разнообразных типов этих систем и механизмов работы, но мы решили рассказать для начала очень кратко – чтобы дальше можно было уже глубже погружаться в подобные материи. И не забывайте, что существует огромное количество бесплатных IPS/IDS решений – каждый при должном желании и старании может попробовать скачать, установить и настроить подобное решение для более глубого понимания механизмов работы.