По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
NTP (Network Time Protocol) - протокол, определяющий синхронизацию времени на вашем устройстве с публичным или частным сервером, который предоставляет данную информацию. На первый взгляд, установленное время на маршрутизаторе не играет большой роли, но, такие протоколы как IPSec или Kerberos постоянно обмениваются ключами и токенами, которые обладают тайм-стампами - т.е, если на одном роутере время не синхронизировано с другим с небольшой погрешностью, то ключи будут экспайрится быстрее и туннели будут постоянно менять свое состояние. Если же время кардинально отличается на двух устройствах, то IPSec туннели могут вообще не подняться - поэтому настройка NTP очень важна. Кроме того, необходимо настраивать NTP и для того, чтобы в случае взлома или проникновения злоумышленника в вашу сеть вы всегда могли определить точное время события, то есть в логах всегда должна быть точная информация.
Настройка NTP
Для настройки NTP серверов есть несколько вариантов - хостить NTP сервер в вашей сети, использовать публичный или приватный внешний NTP сервер или использовать сразу оба. В данной статье будет использован только один внешний NTP сервер, который хостится проектом NTP.org - данным сервером пользуются миллионы пользователей.
С помощью простой команды ниже вы сможете синхронизировать время на ваших маршрутизаторах с сервисом pool.ntp.org, который балансируется по нагрузке и крайне надежен:
/system ntp client set enabled=yes server-dns-names=time.google.com,0.pool.ntp.org,1.pool.ntp.org,2.pool.ntp.org,3.pool.ntp.org
Ваш маршрутизатор синхронизирует время с ближайшим NTP сервером, который находится в вышеуказанных пулах, и продолжит делать регулярные небольшие корректировки, если появится данная необходимость.
Учтите, что если в момент настройки NTP у вас активны IPSeс сессии, то, они, вероятно, могут быть ненадолго прерваны.
Временные зоны
Необходимо упомянуть важность настройки различных временных поясов - в зависимости от вашей конфигурации, мы бы советовали установить везде одинаковый часовой пояс - в нашем случае Europe/Moscow. В этом случае вы можете быть уверены, что проблем с различным временем на ваших девайсах не возникнет. Итого, команда, которой устанавливается временной пояс:
/system clock set time-zone-name=UTC
Скорее всего, в момент установки часового пояса, ваши VPN туннели претерпят кратковременные падения.
Система хранения данных - это программно-аппаратное решение для надежного и безопасного хранения данных, а также предоставления гарантированного доступа к ним.
Так, под надежностью подразумевается обеспечение сохранности данных, хранящихся в системе. Такой комплекс мер, как резервное копирование, объединение накопителей в RAID массивы с последующим дублированием информации способны обеспечить хотя бы минимальный уровень надежности при относительно низких затратах. При этом также должна обеспечиваться доступность, т. е. возможность беспрепятственной и непрерывной работы с информацией для санкционированных пользователей. В зависимости от уровня привилегий самих пользователей, система предоставляет разрешение для выполнения операций чтения, записи, перезаписи, удаления и так далее.
Безопасность является, пожалуй, наиболее масштабным, важным и труднореализуемым аспектом системы хранения данных. Объясняется это тем, что требуется обеспечить комплекс мер, направленный на сведение риска доступа злоумышленников к данным к минимуму. Реализовать это можно использованием защиты данных как на этапе передачи, так и на этапе хранения. Также важно учитывать возможность самих пользователей неумышленно нанести вред не только своим, но и данным других пользователей.
Топологии построения систем хранения данных
Большинство функции, которые выполняют системы хранения данных, на сегодняшний день, не привязаны к конкретной технологии подключения. Описанные ниже методы используется при построении различных систем хранения данных. При построении системы хранения данных, необходимо четко продумывать архитектуру решения, и исходя из поставленных задач учитывать достоинства и недостатки, присущие конкретной технологии в конкретной ситуации. В большинстве случаев применяется один из трех видов систем хранения данных:
DAS;
NAS;
SAN.
DAS (Direct-attached storage) - система хранения данных с прямым подключением (рисунок ниже). Устройство хранения (обычно жесткий диск) подключается непосредственно к компьютеру через соответствующий контроллер. Отличительным признаком DAS является отсутствие какого-либо сетевого интерфейса между устройством хранения информации и вычислительной машиной. Система DAS предоставляет коллективный доступ к устройствам хранения, однако для это в системе должно быть несколько интерфейсов параллельного доступа.
Главным и существенным недостатком DAS систем является невозможность организовать доступ к хранящимся данным другим серверам. Он был частично устранен в технологиях, описанных ниже, но каждая из них привносит свой новый список проблем в организацию хранения данных.
NAS (Network-attached storage) - это система, которая предоставляет доступ к дисковому пространству по локальной сети (рисунок выше). Архитектурно, в системе NAS промежуточным звеном между дисковым хранилищем и серверами является NAS-узел. С технической точки зрения, это обычный компьютер, часто поставляемый с довольно специфической операционной системой для экономии вычислительных ресурсов и концентрации на своих приоритетных задачах: работы с дисковым пространством и сетью.
Дисковое пространство системы NAS обычно состоит из нескольких устройств хранения, объединенных в RAID - технологии объединения физических дисковых устройств в логический модуль, для повышения отказоустойчивости и производительности. Вариантов объединения довольно много, но чаще всего на практике используются RAID 5 и RAID 6 [3], в которых данные и контрольные суммы записываются на все диски одновременно, что позволяет вести параллельные операции записи и чтения.
Главными преимуществами системы NAS можно назвать:
Масштабируемость - увеличение дискового пространства достигается за счет добавления новых устройств хранения в уже существующий кластер и не требует переконфигурации сервера;
Легкость доступа к дисковому пространству - для получения доступа не нужно иметь каких-либо специальных устройств, так как все взаимодействие между системой NAS и пользователями происходит через сеть.
SAN (Storage area network) - система, образующая собственную дисковую сеть (рисунок ниже). Важным отличием является то, что с точки зрения пользователя, подключенные таким образом SAN-устройства являются обычными локальными дисками. Отсюда и вытекают основные преимущества системы SAN:
Возможность использовать блочные методы хранения - базы данных, почтовые данные,
Быстрый доступ к данным - достигается за счет использования соответствующих протоколов.
Системы резервного копирования данных
Резервное копирование - процесс создания копии информации на носителе, предназначенном для восстановления данных в случае их повреждения или утраты. Существует несколько основных видов резервного копирования:
Полное резервное копирование;
Дифференциальное резервное копирование;
Инкрементное резервное копирование.
Рассмотрим их подробнее.
Полное резервное копирование. При его применении осуществляется копирование всей информации, включая системные и пользовательские данные, конфигурационные файлы и так далее (рисунок ниже).
Дифференциальное резервное копирование. При его применении сначала делается полное резервное копирование, а впоследствии каждый файл, который был изменен с момента первого полного резервного копирования, копируется каждый раз заново. На рисунке ниже представлена схема, поясняющая работу дифференциального резервного копирования.
Инкрементное резервное копирование. При его использовании сначала делается полное резервное копирование, затем каждый файл, который был изменен с момента последнего резервного копирования, копируется каждый раз заново (рисунок ниже).
К системам резервного копирования данных выдвигаются следующие требования:
Надежность - обеспечивается использованием отказоустойчивого оборудования для хранения данных, дублированием информации на нескольких независимых устройствах, а также своевременным восстановлением утерянной информации в случае повреждения или утери;
Кроссплатформенность - серверная часть системы резервного копирования данных должна работать одинаково с клиентскими приложениями на различных аппаратно-программных платформах;
Автоматизация - сведение участие человека в процессе резервного копирования к минимуму.
Обзор методов защиты данных
Криптография - совокупность методов и средств, позволяющих преобразовывать данные для защиты посредством соответствующих алгоритмов.
Шифрование - обратимое преобразование информации в целях ее сокрытия от неавторизованных лиц. Признаком авторизации является наличие соответствующего ключа или набора ключей, которыми информация шифруется и дешифруется. Криптографические алгоритмы можно разделить на две группы:
Симметричное шифрование;
Асимметричное шифрование.
Под симметричным шифрованием понимаются такие алгоритмы, при использовании которых информация шифруется и дешифруется одним и тем же ключом. Схема работы таких систем представлена на рисунке ниже.
Главным проблемным местом данной схемы является способ распределения ключа. Чтобы собеседник смог расшифровать полученные данные, он должен знать ключ, которым данные шифровались. Так, при реализации подобной системы становится необходимым учитывать безопасность распределения ключевой информации для того, чтобы на допустить перехвата ключа шифрования.
К преимуществам симметричных криптосистем можно отнести:
Высокая скорость работы за счет, как правило, меньшего числа математических операций и более простых вычислений;
Меньшее потребление вычислительной мощности, в сравнении с асимметричными криптосистемами;
Достижение сопоставимой криптостойкости при меньшей длине ключа, относительно асимметричных алгоритмов.
Под асимметричным шифрованием понимаются алгоритмы, при использовании которых информация шифруется и дешифруется разными, но математически связанными ключами - открытым и секретным соответственно. Открытый ключ может находится в публичном доступе и при шифровании им информации всегда можно получить исходные данные путем применения секретного ключа. Секретный ключ, необходимый для дешифрования информации, известен только его владельцу и вся ответственность за его сохранность кладется именно на него. Структурная схема работы асимметричных криптосистем представлена на рисунке ниже.
Ассиметричные криптосистемы архитектурно решают проблему распределения ключей по незащищенным каналам связи. Так, если злоумышленник перехватит ключ, применяемый при симметричном шифровании, он получит доступ ко всей информации. Такая ситуация исключена при использовании асимметричных алгоритмов, так как по каналу связи передается лишь открытый ключ, который в свою очередь не используется при дешифровании данных.
Другим местом применения асимметричных криптосистем является создание электронной подписи, позволяющая подтвердить авторство на какой-либо электронный ресурс.
Достоинства асимметричных алгоритмов:
Отсутствует необходимость передачи закрытого ключа по незащищенного каналу связи, что исключает возможность дешифровки передаваемых данных третьими лицами,
В отличии от симметричных криптосистем, в которых ключи шифрования рекомендуется генерировать каждый раз при новой передаче, в асимметричной их можно не менять продолжительное время.
Подведём итоги
При проектировании таких систем крайне важно изначально понимать какой должен получиться результат, и исходя из потребностей тщательно продумывать физическую топологию сети хранения, систему защиты данных и программную архитектуру решения. Также необходимо обеспечить резервное копирование данных для своевременного восстановления в случае частичной или полной утери информации. Выбор технологий на каждом последующем этапе проектирования, зачастую, зависит от принятых ранее решений, поэтому корректировка разработанной системы в таких случаях, нередко, затруднительна, а часто даже может быть невозможно.
Допустим нам нужно отправить почтой посылку куда-то в Лондон. Что мы делаем? Идем в почту, берём специальный бланк и заполняем соответствующие поля. Отправитель Вася Пупкин, адрес: ул. Тверская, дом 40, кв. 36., Москва, Россия. Кому: Шерлок Холмс, Baker Street 221B, London, United Kingdom. То есть мы отправили посылку конкретному лицу, проживающему по конкретному адресу. Как и в реальном мире, в мире информационных технологий тоже есть своя адресация. В данном случае получателем выступает компьютер, за которым закреплён соответствующий IP адрес. IP aдрес это уникальный идентификатор устройства, подключённого к локальной сети или интернету.
p>
Видео про IP - адрес
На данный момент существуют две версии IP адресов: IP версии 4 (IPv4) и IP версии 6 (IPv6). Смысл создания новой версии заключается в том, что IP адреса в 4-ой версии уже исчерпаны. А новые устройства в сети появляются с огромной скоростью и им всем нужно выделать свой уникальный адрес.
IPv4 представляет собой 32-битное двоичное число. Удобной формой записи IP-адреса (IPv4) является запись в виде четырёх десятичных чисел (от 0 до 255), разделённых точками, например, 192.168.0.1. Но так как компьютеры понимают только двоичную систему исчисления, то указанный адрес преобразуют в двоичную форму - 11000000 10101000 00000000 00000000.
Длина же IPv6 адресов равна 128-битам. IPv6 адрес представляется в виде строки шестнадцатеричных цифр, разделенной двоеточиями на восемь групп, по 4 шестнадцатеричных цифрр в каждой. Например: 2003:00af:café:3daf:1000:edaf:1001:afad. Каждая группа равна 16 битам в двоичном представлении.
IP адреса принято делить на публичные и приватные. Публичный адрес это адрес, который виден в Интернете. Все сайты в глобальной сети имеют публичный или "белый" IP адрес. Для merionet.ru он равен 212.193.249.136. Да и ваш компьютер тоже имеет публичный адрес, который можете просмотреть либо на роутере, либо на специальных сайтах, например 2ip.ru. Но в вашем случае под одним IP адресом в Интернет могут выходить 10, 50, 100 пользователей из вашей же сети. Потому что на самом деле это адрес не конкретного компьютера в сети, а маршрутизатора, через который вы выходите в сеть. Публичные адреса должны быть уникальны в пределах всего Интернета.
Приватные же адреса это такой тип адресов, которые используют в пределах одной локальной сети и не маршрутизируются в Интернет. Существуют следующие диапазоны приватных IP адресов: 10.0.0.0-10.255.255.255, 172.16.0.0-172.31.255.255, 192.168.0.0-192.168.255.255. Посмотреть свой локальный приватный адрес можете либо в свойствах сетевого адаптера, либо в командной строке набрав команду ipconfig.
В начале зарождения Интернета IP адреса было принято делить на классы:
Класс
Начальный IP
Конечный IP
Число сетей
Число хостов
Класс A
0.0.0.0
127.255.255.255
126
16777214
Класс B
128.0.0.0
191.255.255.255
16382
65536
Класс C
192.0.0.0
223.255.255.255
2097150
254
Класс D
224.0.0.0
239.255.255.255
Класс E
240.0.0.0
254.255.255.255
При этом адрес 0.0.0.0 зарезервирован, он назначается хосту, когда он только что подключен к сети и не имеет IP адреса. Если в сети имеется DHCP сервер, то хост в качестве адреса источника отправляет адрес 0.0.0.0. Адрес 255.255.255.255 это широковещательный адрес. А адреса начинающиеся на 127 зарезервированы для так называемой loopback адресации.
Адреса класса D зарезервированы для мультикаст соединений, адреса класса E для исследований (не только крысы страдают от исследований).
IP адрес хоста имеет две части адрес сети и адрес узла. Где адрес сети, а где адрес узла - определяется маской сети. Маска сети это 32-битное число, где подряд идущие биты всегда равны 1. На самом деле каждое десятичное число IP адреса - это не что иное, как сумма степеней числа 2. Например, 192 это 1100000. Чтобы получить это значение переводим десятичное число в двоичное. Хотя это азы информатики, но подойдет любой калькулятор, даже встроенный в Windows:
А теперь посмотрим как мы получаем 192 из суммы степеней двойки:
1 * 27+1*26+0*25+0*24+0*23+0*27+0*21+0*20 = 1*27+1*26 = 128 + 64 = 192. И так каждый октет может включать в себя следующие числа:
128 64 32 16 8 4 2 1. Если в IP адресе есть место одной из указанных чисел, то в двоичном представлении на месте этого числа подставляется 1, если нет 0. В маске сети все подряд идущие биты должны быть равны 1.
Первый октет
Второй октет
Третий октет
Четвёртый октет
255
255
255
0
11111111
11111111
11111111
00000000
Принадлежность адреса классу определяется по первым битам. Для сетей класса A первый бит всегда равен 0, для класса B 10, для класса С 110.
При классовой адресации за каждым классом закреплена своя маска подсети. Для класса А это 255.0.0.0, класса B 255.255.0.0, а для класса C 255.255.255.0.
Но со временем стало ясно, что классовая адресация не оптимально использует существующие адреса. Поэтому перешли на бесклассовую адресацию, так называемую Classless Inter-Domain Routing (CIDR), где любой подсети можно задать любую маску. Отличную от стандартной. При это, маску подсети можно увеличивать, но никак не уменьшать. Наверное не раз встречали адреса типа 10.10.121.25 255.255.255.0. Этот адрес по сути является адресом класса А, но маска относится к классу C.
Но даже в случае бесклассовой адресации наблюдается перерасход IP адресов. В маленьких сетях, где всего один отдел с 40-50 компьютерами это не очень заметно. Но в больших сетях, где нужно каждому отделу выделить свой диапазон IP адресов этот вопрос стоит боком. Например, бухгалтерии вы выделили сеть с адресом 192.168.1.0/24, а там всего 25 хостов. В указанной сети же 254 адресов. Значит 229 адреса остаются не используемыми.
На самом деле здесь 256 адресов, но первый 192.168.1.0 является адресом сети, а последний 192.168.1.255 широковещательнымадресом. Итого в распоряжении администратора всего 254 адреса. Существует формула расчета количества хостов в указанной сети. Выглядит она следующим образом:
H=2n 2
Где H число хостов, n число бит отведенных под номер хоста. Например, 192.168.1.0 маска 255.255.255.0. Здесь первый 24 бит определяют номер сети, а оставшиеся 8 бит номер хоста. Исходя из этого, H=28-2 = 254.
Тут и вспоминаем про деление сетей на подсети. Кроме экономии адресного пространства, сабнеттинг дает еще и дополнительную безопасность. Трафик между сетями с разной маской не ходит, а значит пользователи одной подсети не смогут прослушать трафик пользователей в другой. Это еще и упрощает управление разрешениями в сети, так как можно назначать списки доступа и тем самым ограничивать доступ пользователей в критически важные сегменты сети.
С другой стороны, сегментирование сети позволяет увеличивать количество широковещательных доменов, уменьшая при этом сам широковещательный трафик.
В сегментировании сети используется такой подход как маска подсети с переменной длиной VLSM (Variable Length Subnet Mask). Суть состоит в том, что вам выделяют диапазон IP адресов, и вы должны распределить их так, чтобы никто не мог проснифить трафик другого и всем досталось хотя бы по одному адресу.
Выделением блоков IP адресов занимается организация IANA (Internet Assigned Numbers Authority ). Она делегирует права региональным регистраторам, которые в свою очередь выделяют блоки адресов национальным. Например, региональным регистратором для Европы является RIPE. А последние в свою очередь делят адреса, имеющиеся у них, между провайдерами.
Например, нам выделили адрес 192.168.25.0 с маской подсети 255.255.255.0.
Маску подсети можно указывать сокращенно: 192.168.25.0/24. 24 это число единиц в маске.
Нам как администраторам предприятия предстоит разделить их между четырьмя отделами, в которых по 50 хостов. Начинаем вычисления. Нам нужно 5 * 50 = 250 уникальных адресов. Но основная задача, пользователи должны быть в разных подсетях. Значит необходимо четыре подсети. Для определения количества подсетей в сети есть специальная формула:
N = 2n
Где N число подсетей, а n число бит заимствованных из хостовой части IP адреса. В нашем случае мы пока не позаимствовали ничего значить подсеть всего одна: 20 = 1. Нам же нужно четыре подсети. Простая математика нам подсказывает, что должны позаимствовать минимум 2 бита: 22 = 4. Итак, маска у нас становиться 255.255.255.192 или /26. Остальные 6 битов нам дают количество адресов равных 64 для каждой подсети, из которых доступны 62 адреса, что полностью покрывает нужду наших подсетей:
Сеть №
Число хостов
Маска подсети
Первый IP
Последний IP
Номер подсети
Широковещательный адрес
Сеть 1
50
255.255.255.192
192.168.25.1
192.168.25.62
192.168.25.0
192.168.25.63
Сеть 2
50
255.255.255.192
192.168.25.65
192.168.25.126
192.168.25.64
192.168.25.127
Сеть 3
50
255.255.255.192
192.168.25.129
192.168.25.190
192.168.25.128
192.168.25.191
Сеть 4
50
255.255.255.192
192.168.25.193
192.168.25.254
192.168.25.192
192.168.25.255
Тестировать будем в виртуальной среде Cisco Packet Tracer. Как видно из рисунка, здесь три разных хоста маски у всех одинаковые, но маршруты по умолчанию разные. По умолчанию, трафик между всеми этими подсетями идет, так как у нас в сети существует маршрутизатор, который занимается передачей трафика из одной подсети в другую. Чтобы ограничить трафик нужно прописать соответствующие списки доступа Access Lists. Но мы не будем заниматься этим сейчас, так как тема статьи совсем другая.
Чтобы определить к какой подсети относится хост, устройство выполняет операцию побитового "И" между адресом узла и маской подсети. Побитовое "И" это бинарная операция, действие которой эквивалентно применению логического "И" к каждой паре битов, которые стоят на одинаковых позициях в двоичных представлениях операндов. Другими словами, если оба соответствующих бита операндов равны 1, результирующий двоичный разряд равен 1; если же хотя бы один бит из пары равен 0, результирующий двоичный разряд равен 0.Покажем на примере:
192
168
1
125
1
1
0
0
0
0
0
0
1
0
1
0
1
0
0
0
0
0
0
0
0
0
0
1
0
1
1
1
1
1
0
1
1
1
1
1
1
1
1
1
1
1
1
1
1
1
1
1
1
1
1
1
1
1
1
1
0
0
0
0
0
0
0
0
255
255
255
0
1
1
0
0
0
0
0
0
1
0
1
0
1
0
0
0
0
0
0
0
0
0
0
1
0
0
0
0
0
0
0
0
192
168
1
0
На рисунке выше маска подсети для всех сетей одинаковая 255.255.255.192. Но давайте представим ситуацию, когда у нас подсетей так же 4, но количество хостов разное:
Сеть 1
120
Сеть 2
60
Сеть 3
25
Сеть 4
12
В принципе, можно оставить и предыдущую маску, но мы провайдер, у нас много клиентов и мы не можем позволить себе тратить IP адреса впустую. Итак, в первой сети на нужно 120 IP адресов, значит маска сети должна быть где-то в районе 120. Мы могли бы выбрать маской 120, но это невозможно, так как 120 не является степенью двойки, поэтому выбираем 128. Для второй подсети первая доступная маска 64. Но так как первые 128 адресов выделены под Сеть 1, то выбираем следующие 64 адреса, а маска будет 192, потому что именно эта маска даст нам нужное количество адресов. Третья сеть у нас состоит из 25 хостов. Ближайший возможный блок адресов это 32. А маска 224 как раз даст эти 32 адреса. В четвёртой же сети нам нужно 16 адресов. Маска будет равна 240.
Лайфхак: Чтобы быстро вычислить маску подсети из количества доступных адресов вычитываем необходимое. Например, в этой подсети 256 адресов, нам нужно 32 адреса. Производим простое вычисление: 256 32 = 224. Это число и будет в последнем октете.
Сеть №
Число хостов
Маска подсети
Первый IP
Последний IP
Номер подсети
Широковещательный адрес
Сеть 1
120
255.255.255.128
192.168.25.1
192.168.25.126
192.168.25.0
192.168.25.127
Сеть 2
60
255.255.255.192
192.168.25.129
192.168.25.190
192.168.25.128
192.168.25.191
Сеть 3
25
255.255.255.224
192.168.25.193
192.168.25.222
192.168.25.192
192.168.25.223
Сеть 4
12
255.255.255.240
192.168.25.225
192.168.25.238
192.168.25.224
192.168.25.239
А сейчас каждому интерфейсу маршрутизатора присвоен IP подсетей с масками разной длины. При этом в каждой подсети у нас остались как минимум 2 свободных адреса на случай добавления новых хостов.
На самом деле в сети уже есть готовые таблицы, где уже произведены все подсчеты и прописаны маски для разных сетей. Но умение самому вычислять не помешает, так как на экзаменах по сетевой сертификации попадаются такие задания.