1. Понятие администрирования в ИС. Об-ты. информационного менеджмента

1. Понятие администрирования в ИС. Об-ты. информационного менеджмента
Под администрированием ИС будем понимать целенаправленную
деятельность по обеспечению функционир-я и повышенияю надежноси и
безопасности различных технич. систем, предназначенных для сбора, хранения,
обработки и выдачи информации.
Администрирование – непрерывный процесс, который позволяет сделать
информационную систему:
∙ более понятной руководству организации и пользователям;
∙ более прозрачной;
∙ управляемой;
∙ более защищенной от внешних угроз (вирусы, атаки);
∙ стабильно функционирующей;
Администрирование также позволяет уменьшить время восстановления
после инцидента. (Инцидент – какое-либо событие, приведшее к неисправности,
аварии и/или потере функциональности в информационной системе (заражения
вирусами, хакерская атака, авария систем электроснабжения и др).)
Администрирование позволяет:
+ предотвратить инциденты в ИС;
+ снизить время восстановления систем после инцидентов;
+ сократить потери и убытки, связанные с информационной системой.
"Информационные технологии (ИТ)— это технологии, применяемые для
обработки информации. В частности, они используют компьютеры и программное
обеспечение для преобразования, хранения, защиты, передачи и извлечения
информации в любом месте и в любое время".
С учетом этого определения ИТ-менеджмент охватывает управление всеми
компьютерными и коммуникационными ресурсами предприятия. Его основная
задача состоит в создании и поддержке в работоспособном состоянии приложений и
инфраструктуры, на которой они исполняются. Подобный менеджмент можно
разделить на три уровня: операционный, тактический и стратегический. На
стратегическом уровне обеспечивается установление соответствия между
информационными функциями системы и ее контентом, что сводится к
определению содержания информационных функций и ИТ-поддержке. На
операционном и тактическом уровнях ИТ-менеджмента должны обеспечиваться
заданные уровни работоспособности и надежности эксплуатации приложений ИС на
протяжении всего жизненного цикла системы.
Создание системы управления ИТ предполагает определение управляемых
объектов и управляющих воздействий (рис. 1.1).
1
Рис. 1.1. Объекты информационного менеджмента
Объектами ИТ-менеджмента являются:




инфраструктура;
приложения;
организационная структура службы ИС;
ИТ-проекты.
Инфраструктура ИТ включает техническое и системное программное
обеспечение. Техническое обеспечение ИТ состоит из серверов, персональных
компьютеров, систем хранения данных, сети и коммуникационных приложений.
Программное обеспечение характеризуется операционными системами,
инструментальными средами разработки, программами поддержки ИТменеджмента и средствами обеспечения информационной безопасности.
Приложения обеспечивают поддержку бизнес-процессов предприятия и
работоспособность отдельных автоматизированных рабочих мест.
Организационная структура службы ИТ определяет состав подразделений,
распределение между ними функций и задач. Служба ИТ должна обеспечивать
разработку, ввод в действие и эксплуатацию информационной системы
посредством координированных действий, которые обеспечивают непрерывность
функционирования существующей системы в соответствии с согласованными
правилами и процедурами на протяжении жизненного цикла ИТ.
ИТ-проекты
представляют
собой
проекты
внедрения
новых
информационных систем, а также модернизацию существующих. При этом
модернизация (изменения, дополнения) рассматривается как результат действий,
выполненных по запросу и относящихся к функциональным или
нефункциональным требованиям, которые не были специфицированы изначально,
при разработке и внедрении системы.
2. Факторы, влияющие на информационные системы предприятий. Понятие ИТсервиса. Примеры корпоративных ИТ-сервисов
2
В настоящее время бизнес характеризуется высокой динамикой (слияния,
поглощения, смена стратегических целей). Это обуславливает тот факт, что
информационные системы предприятий находятся в условиях постоянных
изменений, вызванных следующими факторами:
перемены как внутри предприятий, так и в окружающей среде;
развитие технологий, появление принципиально новых технических


решений;
появление новых информационных технологий;
социальные изменения.


Кроме того, современное состояние бизнеса в отношении информационных
технологий характеризуется достаточно жестким контролем инвестиций,
выделяемых на ИТ, и возросшими требованиями к ИТ со стороны бизнеса. С
учетом этого, на первый план выходят требования к информационным системам,
которые определяют систему информационного менеджмента, способную
видоизменять ИТ предприятия или организации синхронно с изменением бизнеса.
В соответствии с этими требованиями основная роль ИТ на предприятии
определяется как информационное обслуживание её подразделений с целью
повышения эффективности бизнеса. Информационное обслуживание бизнеса
состоит в предоставлении информационных сервисов (ИТ-сервисов) заданного
качества подразделениям предприятия.
ИТ-сервис в корпоративной среде – это ИТ-услуга, которую ИТ-подразделение
(департамент, отдел, служба) или внешний исполнитель предоставляет бизнесподразделениям предприятия для поддержки их бизнес-процессов.
Примерами корпоративных ИТ-сервисов могут быть электронная почта, сетевая
инфраструктура, системы хранения данных, бизнес-приложения (начисление
заработной платы, формирование счетов), бизнес-функции (списание/начисление
денежных средств на счете клиента).
Набор ИТ-сервисов, необходимых организации, индивидуален и в значительной
степени зависит от отрасли, размеров организации, уровня автоматизации,
квалификации персонала, стратегии развития и т. п.
3. Классификация корпоративных ИТ-сервисов. Параметры ИТ-сервисов
Корпоративные ИТ-сервисы можно разбить на три большие группы:



поддержка ИТ-инфраструктуры;
поддержка бизнес-приложений;
поддержка пользователей.
В общем случае ИТ-сервис характеризуется рядом параметров:

функциональность;
3







время обслуживания;
доступность;
надежность;
производительность;
конфиденциальность;
масштаб;
затраты.
Функциональность определяет решаемую задачу (информатизацию бизнесоперации, бизнес-функции, бизнес-процесса) и предметную область её использования.
Время обслуживания определяет период времени, в течение которого ИТподразделение поддерживает данный сервис, т.е. несет ответственность за его
непрерывное функционирование. Время обслуживания измеряется долей суток и
долей календарной недели, в течение которых ИТ-подразделение поддерживает ИТсервис. Например, время обслуживания 24×7 означает, что ИТ-сервис поддерживается
24 часа в сутки 7 дней в неделю, 8×5 - 5 дней в неделю по рабочим дням по 8 часов в
день, т.е. в течение рабочего дня.
Доступность определяет долю согласованного времени обслуживания, которая
измеряется в процентах, и характеризует в течение какого времени ИТ-сервис
доступен;. Например, доступность 95% при согласованном времени обслуживания 8×5
означает, что сервис простаивает 2 часа в неделю (5% от 40 часов).
Надежность определяется средним временем наработки на отказ ИТ-сервиса,
т.е. средним периодом времени между двумя сбоями в предоставлении ИТ-сервиса.
Например, если в условиях предыдущего примера (время обслуживания 8×5,
доступность 95%) в неделю в среднем происходит два сбоя ИТ-сервиса, среднее время
наработки на отказ составляет 19 часов.
Производительность характеризует способность информационной системы
соответствовать требованиям своевременности. Для различных ИТ-сервисов
показателями производительности могут быть время реакции (время выполнения
бизнес-транзакции) или пропускная способность системы. Например, при задании
времени реакции системы пользователь может потребовать, чтобы время проводки по
счету клиента было не более 5 сек., а при задании производительности – количество
транзакций по счету клиента было не менее 20 в течении 1 часа, т.е. 20 транзакции/ч.
Конфиденциальность определяет вероятность несанкционированного доступа к
данным и/или их несанкционированное изменение. ИС, обеспечивающие ИТ-сервис,
классифицируются по степени конфиденциальности.
Масштаб характеризует объем и сложность работ по поддержке ИТ-сервиса. К
его показателям относятся число рабочих мест, количество удаленных сайтов,
сложность используемых приложений и т.п.
Затраты - стоимость всей совокупности ресурсов, вовлеченных в
сопровождение ИТ-сервиса, а также потерь от простоев ИТ-сервиса. В ресурсы
включаются стоимость оборудования, ПО, используемых ресурсов СКС и каналов
связи, внешних услуг, заработная плата сотрудников организации (включая связанные
с ней расходы) и т.д.
Параметры сервиса определяются не только свойствами ИС, которые его
обеспечивают. Существенное значение имеет качество работы самой службы ИС, а
4
также уровень регламентации деятельности службы ИС и конечных пользователей
ИТ-сервисов.
Важным фактором эффективности деятельности службы ИС является
инструментальная
поддержка
автоматизации
процессов
управления
информационными технологиями предприятия, которая в значительной степени может
способствовать снижению затрат на управление и мониторинг ИС с целью
предоставления ИТ-сервисов требуемого качества.
4. Функциональные направления работы службы ИС предприятия
Информационная система предприятия предназначена для информационной
поддержки бизнес-процессов.
Основная задача службы ИС - обеспечение бизнес-процессов информационным
обслуживанием
заданного
качества
с
использованием
соответствующих
информационных
технологий.
Поддержка
информационных
процессов
осуществляется посредством ИТ-сервисов с заданными характеристиками.
2 способа:
- подстраивание системы под требования предприятия;
- подстраивание работы предприятия под структуру программы.
Служба ИС предприятия, как правило, организует свою работу по четырем
функциональным направлениям:
٠ планирование и организация;
٠ разработка, приобретение и внедрение;
٠ предоставление и сопровождение ИТ-сервиса;
٠ мониторинг.
В рамках направления "Планирование и организация" решаются задачи
разработки стратегии в области ИТ, координации развития ИТ организации,
планирования ресурсов службы ИС (бюджет, человеческие ресурсы, внешние услуги и
др.), управления рисками, управления качеством.
Основная задача направления "Разработка, приобретение и внедрение" внедрение новых ИС.
Функциональное направление "Предоставление и сопровождение сервиса ИТ"
обеспечивает формализацию требований подразделений-заказчиков к ИТ-сервисам,
согласование требований к сервисам с соответствующими ресурсами службы ИС и
предоставление конечным пользователям сервисов ИТ, соответствующих
согласованным требованиям.
Основная задача направления "Мониторинг" – аудит (процедура независимой
оценки деятельности организации, системы, процесса, проекта или продукта. Чаще
всего термин употребляется применительно к проверке бухгалтерской отчётности
компаний.
5
5. Факторы, влияющие на организационную структура службы ИС.
Организационная структура службы ИС для малых предприятий
Факторы, определяющие организационную структуру:
- масштаб службы ИС - более крупные службы ИС обычно имеют более сложную и
разветвленную организацией структуру;
- отраслевую принадлежность, с которой связано наличие (или отсутствие)
определенных структурных подразделений;
- распределение организации по территории - наличие территориально удаленных
подразделений и филиалов.
Для малых предприятий организационная структура службы ИС, представлена на рис.
1.2.
Рис. 1.2. Пример плоской структуры службы ИС
Непосредственно подчиняются директору ИС управление разработкой,
выполняющее функции разработки, приобретения и внедрения информационных
систем, и управление сопровождением, функции предоставления и сопровождения
ИТ-сервисов.
Организационное разделение разработки и эксплуатации имеет
принципиальное значение. Успешная эксплуатация ИС в течение сколько-нибудь
длительного времени возможна лишь тогда, когда она не требует постоянного
вмешательства разработчика. Это обеспечивается соблюдением существующих
методологий разработки и тестирования ИС, а также надлежащей пользовательской
и эксплуатационной документацией. Тестирование ИС и документации на нее на
соответствие требованиям устойчивой эксплуатации обеспечивается в ходе
6
передачи системы в эксплуатацию. Этот процесс и определяет важность разделения
двух функциональных направлений.
В результате в нашем примере выделены два отдела разработки - отдел офисных
систем и отдел распределенных систем. Офисные системы представляют собой
разработки в среде пакета MS Office, распределенные системы многопользовательские системы, специализированные для выполнения отдельных
задач. В малых организациях типичным примером таких задач и соответственно ИС
являются бухгалтерские системы. Отдел офисных систем решает задачи "малой
автоматизации" задач пользователей в среде MS Office. Отдел распределенных
систем занимается внедрением бухгалтерской системы, а после того как внедрение
завершено, расширением ее функциональности - внедрением дополнительных
модулей, написанием отчетов и других программ в среде данной распределенной
системы. Наконец, в штате управления разработкой необходим хотя бы один
менеджер проектов. В простейшем случае им может быть руководитель управления
разработкой, однако совмещение этих двух позиций может стать узким местом
проектов этого управления. Таким образом, директор ИС должен отслеживать
ситуацию с управлением проектами и при необходимости расширить управление
разработкой за счет одного или нескольких менеджеров проектов.
В управлении сопровождением выделяют группы специалистов сходной
квалификационной базы. Отделами, состоящими из сотрудников сходной
квалификации, проще управлять, поскольку однородность упрощает найм
персонала, диспетчирование работ, бюджетирование и др. Типичный набор отделов
в управлении сопровождением в плоской структуре включает отдел ЛВС (локальной
вычислительной сети), отдел распределенных систем, отдел связи и
телекоммуникаций, отдел офисных приложений. Первый отдел осуществляет
поддержку локальной сети, включая сервер и его ОС, второй - поддержку
распределенных систем, например бухгалтерской, третий - связь, телефонизацию и
доступ в Интернет, четвертый - поддержку оборудования рабочих мест компьютеров, принтеров и т.д., а также офисных приложений.
Функции мониторинга в плоской структуре выполняет отдел мониторинга
(Service Desk), непосредственно подчиненный директору ИС. Функции мониторинга
более высокого уровня - контроль планов работ, графиков проектов, бюджета
службы ИС в целом и отдельных ее подразделений - выполняет директор ИС.
6. Недостатки функциональной организации службы ИС
Между функциями службы ИС и параметрами ИТ-сервиса нет прямого и
однозначного соответствия. Качество ИТ-сервиса в целом и каждый параметр
сервиса ИТ в частности определяются несколькими функциями ИТ. Одна и та же
функция службы также может относиться к нескольким сервисам ИТ или даже ко
всем сервисам ИТ, существующим в организации. Это обстоятельство создает для
управления службой ИС, организованной по чисто функциональному принципу,
целый ряд проблем.
Во-первых, обеспечение конечного результата - качества ИТ-сервиса требует координации различных функций службы ИС. В ряде случаев эту
координацию может осуществить вышестоящий руководитель. Однако многие
задачи по такой координации требуют полномочий высокого уровня, вплоть до
7
уровня директора ИТ. В результате руководители высокого уровня оказываются
перегруженными большим потоком задач, не имеющих отношения к их постоянной
деятельности и непосредственным обязанностям.
Во-вторых, управление подразумевает ответственность, и коль скоро
параметры сервиса определяют качество последнего, следует назначить лиц,
ответственных за эти параметры. При этом сфера ответственности не должна
превышать полномочий ответственного лица. В целом содержание, доступность,
надежность, производительность и конфиденциальность ИТ-сервиса находятся
исключительно в сфере полномочий директора ИТ. Такой объем обязанностей
директора ИТ возможен в плоской структуре службы ИС, но абсолютно
нереалистичен для развернутой или дивизиональной структуры. В результате лицо,
ответственное за качество сервиса, при функциональной организации службы ИС
отсутствует.
В-третьих, проблемой является "точка контакта" - телефон и/или адрес
электронной почты, по которому следует обращаться в случае необходимости.
"Точка контакта" может быть использована не только для регистрации запроса
пользователя, но и для обработки его - назначения запроса специалисту, контроля
хода выполнения работ, информации пользователя. Однако в функциональной
организации эту дополнительную обработку организовать затруднительно.
Специалисты, обрабатывающие запрос пользователя, не находятся в подчинении
службы мониторинга (Service Desk) и не ответственны перед этой службой.
Таким образом, функциональная организация обеспечивает лишь текущую
деятельность службы ИС, а не решение всех необходимых управленческих задач. С
точки зрения обеспечения конечного результата - ИТ-сервиса необходимого
качества - основными проблемами являются:
٠ координация функций;
٠ трудности обеспечения ответственности;
٠ трудности обеспечения единой "точки контакта".
Эти трудности успешно преодолеваются при процессном подходе к управлению
службой ИС.
7. Общая характеристика процессного подхода к управлению службой ИС.
Основные шаги управления процессами
Процесс подразумевает наличие цели, критерия результата, ресурсов и
определенной последовательности работ (т.е. шагов процесса). Применительно к
процессам службы ИТ целью является предоставление заказчику ИТ-сервиса
приемлемого уровня качества. Эта общая задача может быть разделена на две более
частных:
٠ определение и согласование параметров ИТ-сервиса;
٠ обеспечение соответствия фактических параметров ИТ-сервиса достигнутым
соглашениям.
Каждая из этих целей, в свою очередь, распадается на несколько целей
следующего порядка, каждой из которых соответствует свой процесс.
Управление процессами предполагает следующие шаги:
8
٠ определение цели процесса и показателей достижения этой цели
(количественных или качественных);
٠ назначение ответственного за процесс, задачей которого является достижение
цели процесса;
٠ регламентация процесса в целом и составляющих его работ;
٠ при необходимости - автоматизация процесса посредством инструментальных
средств, разработанных в самой организации либо закупленных извне.
Управление процессами изменяет лишь управленческие функции службы ИС, не
затрагивая функции собственно разработки и сопровождения ИТ-сервисов. Изменения
состоят в систематическом целенаправленном решении задач координации функций в
ходе выполнения процессов службы ИС. Для этого достаточно формализовать
соответствующий процесс, т.е. назначить менеджера процесса, определить роли
участников процесса и установить правила его выполнения, т.е. последовательность
выполнения операций процесса, обязанности в рамках ролей и т.д.
8. Процессы, функции, роли в процессной модели управления
Проблемы ответственности за результат процесса и координации разрешается в
явном виде посредством назначения ответственного лица – менеджера процесса.
Управление процессами изменяет лишь управленческие функции службы ИС, не
затрагивая функции собственно разработки и сопровождения ИТ-сервисов. Изменения
состоят в систематическом целенаправленном решении задач координации функций в
ходе выполнения процессов службы ИС.
Как следствие переход к процессной модели управления обычно не требует ни
дополнительного персонала, ни изменений в организационной структуре. Участники
процесса выполняют свои должностные обязанности в рамках существующей
организационной структуры; часть этих обязанностей, относящаяся к данному
процессу, формализована в виде ролей процесса. Если все процессы службы ИС
формализованы, то совокупность ролей совпадает с должностными обязанностями
сотрудника (рис. 1.3).
Рис. 1.3. Процессы, функции, роли в процессной модели управления
9
В такой системе менеджер процесса является начальником без подчиненных: он
координирует деятельность не подчиненных ему сотрудников, относящихся к
различным подразделениям существующей организационной структуры. Сам
менеджер процесса тоже имеет должность в рамках существующей организационной
структуры.
Использование процессов в рамках существующей функциональной структуры
весьма удобно. В ходе работы по этой схеме процессная модель и функциональная
структура организации взаимодействуют между собой и усиливают преимущества
друг друга.
Совместное использование обеих моделей также упрощает внедрение процессной
модели. Процессная модель влияет не на полномочия функциональных менеджеров, а
на формы осуществления этих полномочий. Процессные менеджеры принимают на
себя задачу координации функций, которая в чисто функциональной модели решается
на излишне высоком уровне.
9. Пути перехода к процессной модели. Общая характеристика ITIL/ITSM.
Преимущества ITSM
Переход к процессной модели можно осуществить двумя путями:
٠ первый состоит в формализации опыта данной организации;
٠ второй предполагает использование передового опыта управления службой
ИС, который реализован в типовых моделях бизнес-процессов этой службы.
На сегодняшний день общей методологической основой таких моделей является
подход ITIL/ITSM, основанный на сборе и систематизации передовой практики
управления службой ИС.
Модель ITSM, разработанная в рамках проекта ITIL (IT Infrastructure Library библиотека инфраструктуры информационных технологий), описывающая
процессный подход к предоставлению и поддержке ИТ-услуг. Данная модель
получила наибольшую известность в силу того, что предоставление и поддержка ИТуслуг является первичной задачей ИТ-службы предприятия.
Отражением трансформации роли и места ИТ-службы в структуре предприятий
является концепция и модель управления качеством информационных услуг
(Information Technology Service Management – ITSM, управление ИТ-услугами)
Модель ITSM является открытой для изменения со стороны пользователей и
описывает совокупность процессов службы ИС. Это позволяет настраивать процессы
ITSM
для
конкретного
применения.
Существует
большое
количество
инструментальных средств, реализующих модели процессов ITSM, разработанных
компаниями-консультантами и производителями программного обеспечения
управления инфраструктурой ИТ. Модель ITSM не дает ИТ-менеджеру службы ИС
однозначных рекомендаций как конкретно строить систему управления
информационной инфраструктурой предприятия. В то же время концепция ITSM
содержит модель типовых процессов службы ИС, понятийный аппарат, на основе
которых целесообразно строить модели процессов для ИТ-службы.
10
По проекту ITIL была разработана библиотека, описывающая лучшие из
применяемых на практике способов организации работы подразделений (или
компаний), занимающихся предоставлением услуг в области ИТ.
Особенностью проекта является свобода использования его результатов:
٠ ограничений на использование нет;
٠ материалы модели могут быть использованы полностью или частично;
٠ модель может быть использована в точном соответствии с текстом книг ITIL
либо адаптирована пользователем.
Использование типовых моделей бизнес-процессов службы ИС имеет целый ряд
преимуществ:
1) типовая модель представляет в концентрированном виде опыт управления
службой ИС в тысячах и даже десятках тысяч компаний. Соответственно, отказ от
использования этого массива знаний по меньшей мере нецелесообразен.
2) переход к процессной модели управления для всех задач службы ИС
одновременно, в рамках одного проекта маловероятен. В этом случае процессная
модель дает менеджеру образ будущего, который становится ориентиром в ходе
отдельных шагов внедрения.
3) типовая модель процессов службы ИС всегда опирается на некую систему
понятий, на некий язык. Использование этого языка значительно облегчает
достижение взаимопонимания участников процесса.
4) типовая модель процессов поддержана разработчиками программного
обеспечения автоматизации управления службой ИС и инфраструктурой ИТ. В
результате программное обеспечение реализует именно эти процессы. Реализация
собственных процессов потребует разработки собственного ПО.
5) стандартная модель процессов обычно внедряется во многих организациях. В
результате образуется сообщество пользователей, которое является ценным
источником информации по внедрению модели.
10. Состав ITIL. Основные разделы управления ИТ-сервисами
По проекту ITIL была разработана библиотека, описывающая лучшие из
применяемых на практике способов организации работы подразделений (или
компаний), занимающихся предоставлением услуг в области ИТ.
Библиотека ITIL создавалась по заказу британского правительства. В настоящее
время она издается британским правительственным агентством Office of Government
Commerce и не является собственностью ни одной коммерческой организации. В семи
томах библиотеки описан набор процессов, необходимых для того, чтобы обеспечить
постоянное высокое качество ИТ-сервисов и повысить степень удовлетворенности
пользователей.
Текущая версия библиотеки ITIL включает 7 книг по основным разделам
управления ИТ-сервисами :
٠ Service Delivery (предоставление услуг) – содержит описание типов ИТуслуг, предоставляемых предприятием;
٠ Service Support (поддержка услуг) – представляет собой описание процессов,
позволяющих обеспечить пользователям доступ к ИТ-услугам,
необходимым для выполнения бизнес-задач;
11
٠ Information & Computing Technology Infrastructure Management (управление
ИТ-инфраструктурой). В книге представлено общее описание методики
организации работы ИТ-службы по управлению ИТ-инфраструктурой
компании;
٠ Application Management (управление приложениями) указывает, как
обеспечить соответствие программных приложений изменениям в
потребностях бизнеса, а также рассматривает общий жизненный цикл
приложений, включающий разработку, внедрение и сопровождение;
٠ The Business Perspective (бизнес-перспектива) – рассматривается, как работа
ИТ-инфраструктуры может влиять на бизнес компании в целом;
٠ Planning to Implement Service Management (планирование внедрения
управления услугами) – посвящена проблемам и задачам планирования,
реализации и развития ITSM, необходимым для реализации поставленных
целей;
٠ Security Management (управление безопасностью) – посвящена проблемам
безопасности. В ней рассматриваются проблемы разграничения доступа к
информации и ИТ-сервисам, особенности оценки, управления и
противодействия рискам, инциденты, связанные с нарушением
безопасности и способы реагирования на них.
Блок процессов поддержки ИТ-сервисов включает следующие процессы:
٠ управление инцидентами;
٠ управление проблемами;
٠ управление конфигурациями;
٠ управление изменениями;
٠ управление релизами.
Процесс управления инцидентами предназначен для обеспечения быстрого
восстановления ИТ-сервиса. При этом инцидентом считается любое событие, не
являющееся частью нормального функционирования ИТ-сервиса. К инцидентам
относятся, например, невозможность загрузить операционную систему, сбой
электропитания, сбой жесткого диска на рабочей станции пользователя, появление
компьютерного вируса в локальной сети офиса, отсутствие тонера или бумаги для
печатающего устройства и т.д.
Процесс управления проблемами предназначен для минимизации негативного
влияния инцидентов на бизнес и уменьшения количества инцидентов, за счет
предотвращения возможных причин инцидентов. В данном контексте под проблемой
понимают инцидент или группу инцидентов, имеющих общую неизвестную причину.
Процесс управления конфигурациями предназначен для оказание помощи в
управлении экономическими характеристиками ИТ-сервисов (комбинация требований
клиентов, качества и затрат) за счет поддержания логической модели инфраструктуры
ИТ и ИТ-сервисов, а также предоставление информации о них другим бизнеспроцессам.
Процесс управления изменениями предназначен для обеспечения уверенности ИТменеджера в том, что все изменения необходимы, запланированы и согласованы.
Данный процесс предполагает регистрацию всех существенных изменений в среде ИС
предприятия, разрешает изменения, разрабатывает график работ по изменениям и
12
организует взаимодействие ресурсов, всесторонне оценивает воздействие изменения
на среду ИС и связанные с ним риски.
Процесс управления релизами предназначен для обеспечения согласованности
изменений, вносимых в ИТ-инфраструктуру предприятия. Под релизом понимается
набор новых и/или измененных позиций конфигурации, которые тестируются и
внедряются совместно.
Процесс управления релизами предполагает структурирование и оптимизацию
всех изменений или обновлений, а также снижение риска при переводе сервиса на
новый качественный уровень.
11. Процессы поддержки ИТ-сервисов. Показатели качества процесса.
Функции процесса
Процесс управления инцидентами предназначен для обеспечения быстрого
восстановления ИТ-сервиса. При этом инцидентом считается любое событие, не
являющееся частью нормального функционирования ИТ-сервиса. К инцидентам
относятся, например, невозможность загрузить операционную систему, сбой
электропитания, сбой жесткого диска на рабочей станции пользователя, появление
компьютерного вируса в локальной сети офиса, отсутствие тонера или бумаги для
печатающего устройства и т.д. Показателями качества реализации процесса
являются:
٠ временная продолжительность инцидентов;
٠ число зарегистрированных инцидентов.
При реализации процесса должны выполняться следующие функции:
٠ прием запросов пользователей;
٠ регистрация инцидентов;
٠ категоризация инцидентов;
٠ изоляция инцидентов;
٠ отслеживание развития инцидента;
٠ разрешение инцидентов;
٠ уведомление клиентов;
٠ закрытие инцидентов.
Необходимым элементом обеспечения эффективного функционирования
процесса является создание службы поддержки пользователей (Help Desk), единой
точки обращения по поводу различных ситуаций в ИТ-инфраструктуре, обработки и
разрешении пользовательских запросов. Следует отметить, что роль службы
поддержки пользователей в последнее время возрастает, что отражается в её
модифицированном названии – Service Desk.
Процесс управления проблемами предназначен для минимизации негативного
влияния инцидентов на бизнес и уменьшения количества инцидентов за счет
предотвращения возможных причин инцидентов. В данном контексте под проблемой
понимают инцидент или группу инцидентов, имеющих общую неизвестную причину.
При реализации процесса должны выполняться следующие функции:
٠ анализ тенденций инцидентов;
٠ регистрация проблем;
٠ идентификация корневых причин инцидентов;
٠ отслеживание изменений проблем;
13
٠ выявление известных ошибок;
٠ управление известными ошибками;
٠ решение проблем;
٠ закрытие проблем.
Процесс управления конфигурациями предназначен для оказания помощи в
управлении экономическими характеристиками ИТ-сервисов (комбинация требований
клиентов, качества и затрат) за счет поддержания логической модели инфраструктуры
ИТ и ИТ-сервисов, а также предоставление информации о них другим бизнеспроцессам. Это реализуется путем идентификации, мониторинга, контроллинга и
обеспечения информации о конфигурационных единицах (CI – Configuration Item) и их
версиях. Конфигурационные единицы описывают системные компоненты с их
конфигурационными атрибутами.
Процесс Управления конфигурациями отвечает за поддержание информации о
взаимоотношениях между CI и за стандартизацию CI, мониторинг информации о
статусе CI, их местоположении и всех изменениях CI. Информация о CI хранится в
базе данных конфигурационных единиц (Configuration Management Data Base –
CMDB).
При реализации процесса управления конфигурациями должны выполняться
следующие функции:
٠ планирование – определение стратегии, правил и целей для реализации
процесса, определение инструментария и ресурсов, определение
интерфейсов с другими процессами, проектами, поставщиками;
٠ идентификация – разработка модели данных для записи в базу конфигураций
всех компонент инфраструктуры ИТ, отношений между ними, а также
информации о владельцах этих компонент, их статусе и соответствующей
документации.
Процесс управления изменениями предназначен для обеспечения уверенности
ИТ-менеджера в том, что все изменения необходимы, запланированы и согласованы.
Данный процесс предполагает регистрацию всех существенных изменений в среде ИС
предприятия, разрешает изменения, разрабатывает график работ по изменениям и
организует взаимодействие ресурсов, всесторонне оценивает воздействие изменения
на среду ИС и связанные с ним риски.
Основная задача данного процесса - проведение только обоснованных изменений
в ИТ-инфраструктуре и отсев непродуманных или потенциально рискованных
изменений. Для этого каждое изменение конфигурации ИС организации в
обязательном порядке оформляется запросом на изменение. Запрос на изменение
проходит стандартную процедуру одобрения. В зависимости от масштаба изменения
решение принимается на уровне менеджера процесса, комитета по оценке изменений в
рамках службы ИС, правления организации.
Конечный результат процесса — набор изменений, согласованных между собой и
с существующей конфигурацией информационной системы и не нарушающих
функционирования уже существующих сервисов. Все изменения в обязательном
порядке регистрируются процессом управления конфигурацией.
Процесс управления изменениями выполняет следующие функции:
٠ обрабатывает запросы на изменения;
٠ оценивает последствия изменений;
٠ утверждает изменения;
14
٠ разрабатывает график проведения изменений, вкл. восстановление при сбое;
٠ устанавливает процедуру обработки запроса на изменение;
٠ устанавливает категории и приоритеты изменений;
٠ управляет проектами изменений;
٠ организует работу комитета по оценке изменений;
٠ осуществляет постоянное улучшение процесса.
Процессы управления изменениями и конфигурациями обеспечивают целостность
и согласованность информационной системы предприятия. В процессе управления
изменениями эта задача решается посредством процесса одобрения изменений,
предусматривающего всесторонний контроль за изменениями со стороны сотрудников
ИС-службы, а при значительных изменениях - и руководства предприятия в целом.
Процесс управления конфигурациями регистрирует все изменения в ИТинфраструктуре организации и обеспечивает все остальные процессы данными об
установленных позициях оборудования и программного обеспечения, включая данные
о произведенных настройках.
Процесс управления релизами предназначен для обеспечения согласованности
изменений, вносимых в ИТ-инфраструктуру предприятия. Под релизом понимается
набор новых и/или измененных позиций конфигурации, которые тестируются и
внедряются совместно.
Процесс управления релизами предполагает консолидацию (~слияние, сведение,
систематизация), структурирование и оптимизацию всех изменений или обновлений, а
также снижение риска при переводе сервиса на новый качественный уровень.
Процесс управления релизами состоит из трёх этапов:
٠ разработка;
٠ тестирование;
٠ распространение и внедрение.
Процесс управления релизами выполняет следующие функции:
٠ планирование релиза;
٠ проектирование, разработка, тестирование и конфигурирование релиза;
٠ подписание релиза в развертывание;
٠ подготовка релиза и обучение пользователей;
٠ аудит оборудования и ПО до начала внедрения изменений и по завершении
такового;
٠ размещение эталонных копий ПО в DSL;
٠ установка нового или усовершенствованного оборудования и ПО;
٠ постоянное улучшение процесса.
12. Соглашение об уровне сервиса (Service Level Agreement – SLA).
Разделы, входящие в SLA
Основным документом, регламентирующим взаимоотношения ИС-службы и
бизнес-подразделений предприятия, является соглашение об уровне сервиса (Service
Level Agreement – SLA). В данном документе дается качественное и количественное
описание ИТ-сервисов, как с т.зр. службы ИС, так и с т.зр. бизнес-подразделений.
15
Соглашение об уровне сервиса определяет взаимные ответственности поставщика
ИТ-сервиса и пользователей этого сервиса.
Типовая модель SLA должно включать следующие разделы:
٠ определение предоставляемого сервиса, стороны, вовлеченные в соглашение,
и сроки действия соглашения;
٠ доступность ИТ-сервиса;
٠ число и размещение пользователей и/или оборудования, использующих
данный ИТ-сервис;
٠ описание процедуры отчетов о проблемах;
٠ описание процедуры запросов на изменение.
Спецификации целевых уровней качества сервиса, включают:
٠ средняя доступность, выраженная как среднее число сбоев на период
предоставления сервиса;
٠ минимальная доступность для каждого пользователя;
٠ среднее и максимальное время отклика сервиса;
٠ средняя пропускная способность;
٠ описания расчета приведенных выше метрик и частоты отчетов;
٠ описание платежей, связанных с сервисом;
٠ ответственности клиентов при использовании сервиса (подготовка,
поддержка соответствующих конфигураций оборудования, программного
обеспечения или изменения только в соответствии с процедурой
изменения);
٠ процедура разрешения споров, связанных с предоставлением сервиса.
Существенной частью SLA является каталог сервисов. Каталог ИТ-сервисов
представляет собой документ, в котором сформулированы все ИТ-сервисы,
предоставляемые пользователям, при необходимости указывается цена услуги, общий
порядок обращения за услугой.
SLA позволяет установить формализованные критерии оценки результатов
деятельности ИС-службы, установить единообразные и обязательные для всех
участников процесса процедуры оценки результатов деятельности ИС-службы.
17. Компоненты ИС предприятия. СКС – основа ИС. Стандарты СКС
Можно выделить базовые компоненты компьютерной информационной системы
(ИС): информация; информационные технологии; организационные единицы
управления; функциональные компоненты.
16
Для работы организации требуется локальная сеть, объединяющая компьютеры,
телефоны, периферийное оборудование.
Структурированная кабельная система это универсальная телекоммуникационная
инфраструктура здания или комплекса зданий, обеспечивающая передачу сигналов
всех типов, включая речевые, информационные, видео. СКС может быть установлена
прежде, чем станут известны требования пользователей, скорость передачи данных,
тип сетевых протоколов.
Структурированная кабельная система (СКС) — физическая основа
инфраструктуры здания, позволяющая свести в единую систему множество сетевых
информационных сервисов разного назначения: локальные вычислительные и
телефонные сети, системы безопасности, видеонаблюдения и т. д. Как правило, эти
сервисы рассматриваются в рамках определенных служб предприятия.
Термин «структурированная» означает, с одной стороны, способность системы
поддерживать различные телекоммуникационные приложения (передачу речи, данных
и видеоизображений), с другой — возможность применения различных компонентов и
продукции различных производителей, и с третьей — способность к реализации так
называемой мультимедийной среды, в которой используются несколько типов
передающих сред — коаксиальный кабель, UTP, STP и оптическое волокно
Рекомендуемые стандартами рамки СКС составляют 50 – 50 000 пользователей, 1
млн.м2 офисной площади. СКС может быть построена на этаже или в части здания,
занимаемой отдельным арендатором.
СКС создает основу компьютерной сети, интегрированной с телефонной сетью.
Совокупность телекоммуникационного оборудования здания / комплекса зданий,
соединенного с помощью структурированной кабельной системы, называют локальной
сетью.
СКС представляет собой иерархическую кабельную систему, смонтированную в
здании или в группе зданий, которая состоит из структурных подсистемы. Её
17
оборудование состоит из набора медных и оптических кабелей, кросс-панелей,
соединительных шнуров (патч кордов), кабельных разъёмов, модульных гнезд,
информационных розеток. Все элементы СКС интегрируются в единый комплекс и
эксплуатируются согласно определённым правилам.
Структурированная кабельная система строится таким образом, чтобы каждый
интерфейс (точка подключения) обеспечивал доступ ко всем ресурсам сети. При этом
на рабочем месте достаточно двух линий. Одна линия является компьютерной, вторая
– телефонной. Линии взаимозаменяемы.
Стандарты определяют структуру СКС, рабочие параметры конструктивных
элементов, принципы проектирования, правила монтажа, методику измерения,
правила администрирования, требования телекоммуникационного заземления.
Администрирование СКС включает маркировку портов, кабелей, панелей,
шкафов, других элементов, а также систему записей, дополняемую ссылками. СКС
определяются международными, европейскими и национальными стандартами.
Стандарты СКС адресованы строителям-профессионалам. В России СКС чаще
создают организации, специализирующиеся на компьютерных сетях, системах
безопасности.
Россия является членом Международной организации стандартизации (ISO),
поэтому руководствуется международными стандартами.
В настоящее время действуют 3 основных стандарта в области СКС:
٠ EIA/TIA-568С Commercial Building Telecommunications Wiring Standard
(американский стандарт);
٠ ISO/IEC IS 11801-2002 Information Technology. Generic cabling for customer
premises (международный стандарт) ;
٠ CENELEC EN 50173 Information Technology. Generic cabling systems
(европейский стандарт).
В стандарте EIA/TIA-568С для кабельных линий и для компонентов (кабелей и
разъемов) определены следующие категории: категория 3, пропускающая сигнал в
полосе частот до 16 МГц, категория 5e — полоса частот до 100 МГц, категория 6 —
полоса частот до 250 МГц, категория 6A — полоса частот до 500 МГц. В стандарте
ISO 11801-2002 и EN 50173 определены классы для кабельных линий: в полосе частот
до 16 МГц класс С, в полосе до 100 МГц класс D, в полосе до 250 МГц класс E, в
полосе до 500 МГц класс E(A), в полосе до 600 МГц класс F(A).
В целом, проект на СКС должен отвечать требованиям стандартов: ЕIА/ТIА-568C
и/или ISO/IEC 11801-2002, ЕIА/ТIА-569А, ЕIА/ТIА-606A, национальных и местных
нормативов.
В Российской Федерации с 01.01.2010 г. введены в действие ГОСТ Р 53246-2008 и
ГОСТ Р 53245-2008, которые определяют общие требования к основным узлам СКС и
методику испытания, соответственно.
Кабельная инфраструктура должна отвечать требованиям стандартов ANSI
ТIА/ЕIА-568C и ANSI ТIА/ЕIА-569.
18. Подсистемы СКС
Стандарт ISO/IEC 11801 подразделяет структурированную кабельную систему на
три подсистемы:
18
٠ магистральную подсистему комплекса зданий - соединяет кабельные системы
зданий;
٠ магистральную подсистему здания - соединяет распределительные пункты
этажей;
٠ горизонтальную подсистему.
Магистральная подсистема включает информационную и речевую подсистемы
СКС. Основная среда передачи информационной подсистемы – оптоволокно
(одномодовое или многомодовое), дополняемое симметричными четырехпарными
кабелями. Если длина магистральной линии не превышает 90 метров, применяют
симметричные кабели категории 5 и выше. При большей длине для информационных
приложений, т.е. компьютерной сети, требуется прокладывать оптоволоконный
кабель.
Горизонтальная подсистема СКС включает распределительные панели,
коммутационные кабели распределительных пунктов этажа, горизонтальные кабели,
точки консолидации, телекоммуникационные разъемы. Горизонтальная подсистема
обеспечивает локальную сеть для абонентов, предоставляет доступ к магистральным
ресурсам.
В горизонтальной подсистеме СКС преобладает компьютерная сеть. Отсюда
вытекает ограничение максимальной длины канала – 100 метров независимо от типа
среды. Чтобы продлить срок службы без модификаций, горизонтальная подсистема
СКС должна обеспечить избыточность, резерв параметров.
Рабочая область СКС – помещения (часть помещений), где пользователи работают с
терминальным (телекоммуникационным, информационным, речевым) оборудованием.
Рабочая область не относится к горизонтальной подсистеме СКС. Функциональным
элементом горизонтальной подсистемы СКС является телекоммуникационный разъем
– ТР.
Более 90% кабелей СКС приходится на горизонтальную подсистему. Кабели
горизонтальной подсистемы максимально интегрированы в инфраструктуру здания.
Любые изменения в горизонтальной подсистеме влияют на работу организации.
Поэтому так важна избыточность горизонтальной подсистемы, обеспечивающая
беспроблемную длительную эксплуатацию локальной сети.
Существует два метода прокладки кабелей — скрытый и открытый. Для скрытой
прокладки используют конструкцию стен, полов, потолков. Однако, это не всегда
возможно. Наиболее распространенный вариант кабель каналов – пластиковые короба.
Варианты открытой прокладки кабельных жгутов включают лотки, короба,
миниколонны. Скрытая прокладка кабелей предусматривает установку встроенных
розеток, монтаж напольных лючков.
19. Рабочие станции – назначение, типы, жизненный цикл
При правильном обслуживании рабочих станций (как настольных компьютеров, так
и ноутбуков) у новых сотрудников с первого дня на работе будет все необходимое,
включая основную инфраструктуру, в том числе электронную почту. Остальные
19
сотрудники даже не заметят появления новой рабочей станции (сотрудника).
Развертывание новых приложений не будет прерывать рабочий процесс. Исправление
всех ошибок будет производиться своевременно.
Обслуживание операционных систем на рабочих станциях сводится к выполнению
трех основных задач: первоначальная установка системного ПО и приложений,
обновление системного программного обеспечения и приложений, настройка
сетевых параметров.
Рабочая станция - компьютерное оборудование, выделенное для работы одного
пользователя. Как правило, имеется в виду настольный компьютер или ноутбук
пользователя. В современной сети у нас также есть среди прочего компьютеры с
удаленным доступом, виртуальные машины и ноутбуки с док-станциями (для
расширения функциональных возможностей портативного компьютера. Основная идея
использования данных устройств такова: человек берет с собой компактный и легкий
ноутбук с минимумом возможностей (коммутации, функциональности). По приходу
домой или на рабочее место он подсоединяет ноутбук к док-станции или портурепликатору и сразу же получает практически полноценный компьютер).
Рабочие станции, как правило, используются в больших количествах и отличаются
долгим жизненным циклом.
Жизненный цикл компьютера и его операционной системы.
Рис.2. Модель жизненного цикла машины и ее ОС
На схеме отображено пять состояний: новое, чистое, сконфигурированное,
неизвестное и отключенное.
Новое состояние относится к совершенно новой машине.
Чистое состояние относится к машине с установленной, но еще не настроенной ОС.
20
Сконфигурированное состояние означает, что система настроена и функционирует
должным образом.
Неизвестное состояние относится к компьютеру, который был неправильно
сконфигурирован или конфигурация которого устарела.
Отключенное состояние относится к машине, которая была списана и отключена.
Существует множество способов перевести машину из одного состояния
жизненного цикла в другое. В большинстве сетей процессы сборки и инициализации
машин проводятся в один этап. В результате операционная система загружается и
приводится в состояние, пригодное для использования. Энтропия – процесс,
приводящий компьютер в неизвестное состояние, которое можно исправить с
помощью отладки. Со временем проводятся обновления, как правило, в виде патчей
и пакетов обновления системы безопасности. Иногда может потребоваться удалить и
переустановить систему на машине, так как наступила пора для глобального
обновления ОС, необходимо восстановить систему для новых целей или это
вынуждает сделать серьезная степень энтропии. Проводится процесс восстановления,
данные на машине стираются, и система заново устанавливается, возвращая машину к
сконфигурированному состоянию.
Компьютер можно использовать только в сконфигурированном состоянии.
Необходимо до максимума увеличить время, проводимое в этом состоянии.
Большинство других процессов относятся к приведению или возвращению
компьютера в сконфигурированное состояние. Таким образом, эти процессы
установки и восстановления должны проводиться быстро, эффективно и, будем
надеяться, автоматически.
Чтобы продлить время пребывания компьютера в сконфигурированном состоянии,
необходимо сделать так, чтобы деградация ОС протекала как можно медленнее.
Главным фактором здесь являются архитектурные решения поставщика ОС.
Архитектурное решение, принятое системным администратором, может усилить или
ослабить целостность операционной системы. Существует ли строго определенное
место для установки сторонних приложений за пределами системной области?
Предоставлялись ли пользователю права гооt или Администратора, что могло усилить
энтропию? Системные администраторы должны найти необходимый баланс между
предоставлением пользователям полного доступа и ограничением их прав. Этот баланс
влияет на скорость разрушения операционной системы.
Установка вручную всегда предполагает возможность ошибок. Если ошибки
возникают в процессе установки, узел сети начнет свой жизненный цикл с тенденцией
к разрушению. Если процесс установки полностью автоматизирован, новые рабочие
станции будут развернуты должным образом.
Переустановка (процесс восстановления) подобна установке с той разницей, что в
первом случае, возможно, понадобится перенести старые данные и приложения.
Решения, принимаемые системным администратором на ранних стадиях, определяют,
насколько простым или сложным будет этот процесс. Переустановка будет проще,
если на машине не хранится никаких данных. В случае рабочих станций это означает,
что как можно больше данных должно храниться на файловом сервере. Это позволит
предотвратить случайное удаление данных при переустановке. В случае серверов это
означает, что данные необходимо переместить на удаленную файловую систему.
Со списанием машины связаны различные задачи. Как и в случае переустановки,
некоторые данные и приложения необходимо перенести на машину, которая заменит
21
старую, или сохранить на внешнем носителе информации для последующего
использования. В противном случае они безвозвратно канут в лету. В современных
компаниях списание компьютерного оборудования производится каждые три года.
Когда руководство поймет жизненный цикл компьютера или его упрощенную модель,
которая лишена ненужных технических подробностей, системным администраторам
будет проще получить финансирование для выделенной группы развертывания, отдела
ремонта и т. д.
20. Основные задачи обслуживания ОС на рабочих станциях
Обслуживание операционных систем на рабочих станциях сводится к выполнению
трех основных задач:
٠ первоначальная установка системного программного обеспечения и
приложений,
٠ обновление системного программного обеспечения и приложений,
٠ настройка сетевых параметров.
Для управления сетью с минимальными затратами, эти три задачи необходимо
автоматизировать для любой платформы, которая используется в вашей сети.
Установка вручную всегда предполагает возможность ошибок. Если ошибки
возникают в процессе установки, узел сети начнет свой жизненный цикл с тенденцией
к разрушению. Если процесс установки полностью автоматизирован, новые рабочие
станции будут развернуты должным образом.
Переустановка (процесс восстановления) подобна установке с той разницей, что в
первом случае, возможно, понадобится перенести старые данные и приложения.
Решения, принимаемые системным администратором на ранних стадиях, определяют,
насколько простым или сложным будет этот процесс. Переустановка будет проще,
если на машине не хранится никаких данных. В случае рабочих станций это означает,
что как можно больше данных должно храниться на файловом сервере. Это позволит
предотвратить случайное удаление данных при переустановке. В случае серверов это
означает, что данные необходимо переместить на удаленную файловую систему.
21. Установка ОС – на рабочие станции, особенности, способы автоматизации
Установка вручную всегда предполагает возможность ошибок. Если ошибки
возникают в процессе установки, узел сети начнет свой жизненный цикл с тенденцией
к разрушению. Если процесс установки полностью автоматизирован, новые рабочие
станции будут развернуты должным образом.
Переустановка (процесс восстановления) подобна установке с той разницей, что в
первом случае, возможно, понадобится перенести старые данные и приложения.
Решения, принимаемые системным администратором на ранних стадиях, определяют,
насколько простым или сложным будет этот процесс. Переустановка будет проще,
если на машине не хранится никаких данных. В случае рабочих станций это означает,
что как можно больше данных должно храниться на файловом сервере. Это позволит
22
предотвратить случайное удаление данных при переустановке. В случае серверов это
означает, что данные необходимо переместить на удаленную файловую систему.
Автоматизация решает огромное количество проблем, но не все из них являются
техническими.
Автоматизация устраняет два вида скрытых затрат. Первый относится к
ошибкам: при ручном выполнении процессов существует вероятность ошибок. Для
любой рабочей станции существуют тысячи потенциальных комбинаций настроек
Небольшая ошибка в конфигурации может вызвать серьезный сбой. Иногда решить
эту проблему достаточно просто. Второй тип скрытых затрат относится к
неоднородности. Если вы вручную устанавливаете операционную систему, вы никогда
не добьетесь той же конфигурации на другой машине.
Автоматизация позволяет избежать всех ошибок, которые возникают при ручной
установке.
Настройка системы автоматической установки требует больших усилий. Однако в
результате эти усилия окупятся и сэкономят вам больше времени, чем вы потратите на
настройку.
Частично автоматизированная установка
Частичная автоматизация лучше, чем ее полное отсутствие. До тех пор, пока
система установки не будет работать идеально, необходимо обеспечить какие-то
временные средства для некоторых этапов. Автоматизация оставшегося может занять
больше времени, чем автоматизация первых 99%.
Отсутствие автоматизации может быть оправданно, если используется небольшое
количество тех или иных платформ, если затраты на полную автоматизацию
превышают экономию времени или если поставщик сделал автоматизацию
невозможной (или неподдерживаемой).
Основная временная мера - документирование всего процесса, которое позволит
впоследствии воспроизводить его в точности. Документирование может
производиться в виде записей при создании первой системы, чтобы на различные
вопросы можно было давать одни и те же ответы.
Клонирование и другие методы
В некоторых сетях для создания новых машин используется клонирование жестких
дисков. Клонирование жесткого диска подразумевает создание узла с точной
конфигурацией ПО, которая необходима для всех развертываемых узлов. Затем
жесткий диск этого узла клонируется (копируется) на все новые компьютеры. Первую
машину часто называют «золотым узлом». Вместо того чтобы снова и снова
копировать жесткий диск, его содержимое можно скопировать на компакт-диск,
ленточный накопитель или файловый сервер, которые впоследствии будут
использоваться при установке.
Поставщики некоторых ОС не поддерживают клонированные диски, так как
процесс установки может изменяться на основе таких факторов, как тип
обнаруженного оборудования.
Можно достичь золотой середины, применяя как автоматизацию, так и
клонирование. В некоторых сетях клонируют диски для минимальной установки (а
затем используют автоматическую систему установки приложений и патчей поверх
ОС. В других сетях используют стандартную систему установки, а затем «клонируют»
приложения или модификации системы на машины.
23
И наконец, некоторые поставщики
автоматизировать установку.
ОС
не
предоставляют
возможности
22. Обновление ОС и прикладного ПО рабочих станций. Способы уменьшения
вероятности ошибок
Системы обновления ПО должны быть достаточно универсальными, чтобы они
позволяли устанавливать новые приложения и обновлять уже имеющиеся, а также
устанавливать патчи ОС. Если система способна только устанавливать патчи, новые
приложения можно упаковать и использовать их в качестве патчей. Такие системы
также можно использовать для внесения незначительных изменений на большом
количестве узлов сети.
Процесс обновления отличается от установки
Автоматизация обновления ПО схожа с автоматизацией первичной установки, но
между ними есть и несколько существенных различий.
Узел сети находится в рабочем состоянии. Обновление устанавливается на
машины, которые находятся в рабочем состоянии, а при первичной установке
необходимо выполнить ряд дополнительных задач, таких как создание разделов на
дисках и определение сетевых параметров. На самом деле первичная установка
проводится на узле, который находится в отключенном состоянии (например, на
машине с абсолютно чистым жестким диском).
Отсутствует необходимость в физическом доступе. При обновлении нет
необходимости в физическом доступе к рабочей станции (что может помешать работе
пользователей). Кроме того, координация такого доступа может потребовать больших
затрат. Пропущенные встречи, отпуска пользователей, машины в запертых кабинетах все это может привести к кошмарной необходимости перепланирования встреч.
Физический доступ к компьютерам автоматизировать нельзя.
Узел сети уже используется. Обновление ПО проводится на машинах, которые
используются на протяжении какого-то времени. А значит, клиент ожидает, что
машину можно будет и дальше использовать после завершения процесса обновления.
Вы не имеете права испортить машину! Если что-то пойдет не так при первичной
установке, вы можете просто стереть диск и начать все заново.
Узел сети может не находиться в «известном состоянии». Поэтому автоматизация
должна быть более точной, так как с момента первичной установки в ОС могли
возникнуть ошибки. При первичной установке состояние машины является более
контролируемым.
Узел сети может использоваться сотрудниками в процессе обновления.
Некоторые обновления невозможно установить в то время, когда машина
используется. Microsoft System Management Service решает эту проблему с помощью
установки пакетов после того, как пользователь ввел свое имя и пароль при входе в
систему, но до того, как он получает доступ к машине.
Узел сети может отсутствовать. В нашу эпоху ноутбуков есть большая
вероятность того, что узел не присутствует в сети в момент установки обновлений.
Либо она должна отслеживать его появление в сети, либо сам узел должен запускать ее
по определенному расписанию, а также при каждом подключении к своей домашней
сети.
24
Узел сети может иметь мультисистемную загрузку. Система обновления,
предназначенная для настольных компьютеров, должна точно контролировать доступ
к нужной ОС. Персональный компьютер с мультитсистемной загрузкой Windows в
одном разделе и Linux в другом может месяцами работать на Linux. При - этом
обновления ОС Windows будут пропускаться. Системы обновления как для Linux, так
и для Windows должны быть достаточно «интеллектуальными», чтобы справиться с
такой ситуацией.}
Последствия ошибок при установке патчей отличаются от таковых при установке
ОС. Пользователь, скорее всего, даже не узнает, были ли ошибки при установке ОС,
так как до этого узел сети фактически не используется. Однако, узел сети, на который
устанавливается обновление, как правило, уже находится на рабочем столе
сотрудника. Ошибки обновления, которые перевели машину в нерабочее состояние,
гораздо заметнее и вызывают гораздо большее раздражение у пользователей.
Вы можете снизить риск ошибок обновления, применив метод «одна, несколько»
много».
Одна. Прежде всего, установите патч на одну машину. Лучше всего на свою
собственную - тогда у вас будет дополнительный стимул все сделать правильно. Если
при обновлении возникнут ошибки, вносите в процесс изменения до тех пор, пока он
не будет работать на одной машине без ошибок.
Несколько. Далее попробуйте установить патч на несколько других машин.
Если это возможно, стоит протестировать автоматизированный процесс обновления
на рабочих станциях остальных системных администраторов, прежде чем
задействовать машины пользователей. Системные администраторы проявляют чуть
больше понимания. Затем протестируйте систему на нескольких машинах дружелюбно
настроенных к вам пользователей (не системных администраторов).
Много. Протестировав свою систему и убедившись, что она не уничтожит ничей
жесткий диск, начинайте постепенно переходить ко все большим и большим группам
пользователей, нетерпимых к риску.
Весь процесс должен быть хорошо документирован, обеспечить максимальную
степень управления риском. Необходимо обеспечить грамотное описание и
повторяемость процесса, и вы должны пытаться улучшить его после каждого
использования.
23. Настройка сетевых параметров рабочих станций
Для сетей, объединяющих большое количество рабочих станций, необходима
автоматизация обновления сетевых параметров тех считанных битов информации, от
которой часто зависит загрузка компьютеров и их объединение в сеть.
Обновление должно производиться иначе, чем установка приложений, когда одно и
то же приложение устанавливается на всех узлах сети с одинаковой конфигурацией.
Поэтому система автоматизации обновления сетевых параметров обычно создается
отдельно от остальных систем. Наиболее распространенная система автоматизации
этого процесса — DHCP.
Серверы DHCP от некоторых поставщиков настраиваются за несколько секунд,
другие серверы - значительно дольше. Создание глобальной архитектуры DNS/DHCP с
десятками или сотнями сетей требует основательного планирования и специальных
знаний.
25
DNS –(Domain Name System — система доменных имён) — компьютерная
распределённая система для получения информации о доменах. Чаще всего
используется для получения IP-адреса по имени хоста (компьютера или у-ва),
получения информации о маршрутизации почты.Основой DNS является представление
об иерархической структуре доменного имени и зонах. Доме́н (англ. domain —
область) — узел в дереве имён, вместе со всеми подчинёнными ему узлами (если
таковые имеются), то есть именованная ветвь или поддерево в дереве имен. Структура
доменного имени отражает порядок следования узлов в иерархии.
DHCP (англ.Dynamic Host Configuration Protocol - протокол динамической
конфигурации узла) - это сетевой протокол, позволяющий компьютерам
автоматически получать IP-адрес и другие параметры, необходимые для работы в
сети TCP/IP. Данный протокол работает по модели «клиент-сервер». Для
автоматической конфигурации компьютер-клиент на этапе конфигурации сетевого
устройства обращается к так называемому серверу DHCP, и получает от него нужные
параметры. Сетевой администратор может задать диапазон адресов, распределяемых
сервером среди компьютеров. Это позволяет избежать ручной настройки компьютеров
сети и уменьшает количество ошибок. Протокол DHCP используется в большинстве
сетей TCP/IP.
Как правило, DHCP назначает отдельный IP-адрес каждому узлу сети. Функция
динамической аренды адресов позволяет вам указать диапазон IР-адресов, которые
можно присваивать узлам сети. Эти узлы смогут при каждом подключении к сети
получать новый IP-адрес. Преимущество в том, что облегчается работа
администраторов и повышается удобство для пользователей.
Зачастую лучше закрепить конкретный IP-адрес за конкретным узлом сети. Это
особенно важно для серверов, чьи IP-адреса прописываются в конфигурационных
файлах других узлов, таких как DNS-серверы и межсетевые экраны. Этот метод
называется статическим назначением адресов в или постоянной арендой адресов в
DHCP-серверах компании Майкрософт.
Динамическое распределение следует использовать в случаях, когда много узлов
конкурируют за малое количество IP-адресов.
Еще одна причина для назначения статических IP-адресов — повышение удобства
использования файлов журнала. Если рабочим станциям всегда присваиваются одни и
те же IP-адреса, в файлах журнала они будут отображаться, соответственно, с теми же
IP-адресами.
24. Серверы как элемент структуры информационной системы предприятия
25. Особенности архитектуры и управления серверных систем
В отличие от рабочих станций, предназначенных для одного пользователя, от
сервера зависит множество пользователей. Следовательно, главным приоритетом для
них становится надежность и бесперебойная работа. Прилагая усилия для повышения
надежности сервера, мы ищем возможности, которые позволят сократить время
восстановления, предоставить лучшее рабочее окружение и уделять особое внимание
процессу конфигурирования.
26
Се́рвер- программный компонент вычислительной системы, выполняющий
сервисные (обслуживающие) функции по запросу клиента, предоставляя ему доступ к
определённым ресурсам или услугам.
К серверу могут подключаться сотни, тысячи или даже миллионы пользователей.
Все усилия по повышению производительности или надежности наталкиваются на
барьер огромного количества пользователей. Серверы рассчитываются на более
продолжительное время работы, чем рабочие станции, что также подразумевает
дополнительные расходы. Покупка сервера с избыточной мощностью становится
вложением в продление его срока жизни.
Оборудование, продаваемое как сервер, качественно отличается от оборудования,
приобретаемого для индивидуальной рабочей станции. У серверного оборудования
другие возможности, а при его разработке учитывается другая экономическая модель.
При установке и поддержке серверов используются особые процедуры. Как правило,
серверы поставляются с контрактом на обслуживание, системами резервного
копирования, операционной системой и возможностью удаленного доступа. Кроме
того, серверы размещают в вычислительных центрах с контролируемым
микроклиматом и с ограниченным доступом к серверному оборудованию. Понимание
этих различий поможет вам в принятии верного решения при закупке.
Серверное оборудование обычно стоит дороже, но дополнительные возможности
оправдывают вложения.
Вот некоторые из этих возможностей:
• Расширяемость. Как правило, в серверах больше физического пространства для
жестких дисков и больше слотов для карт расширения и центральных процессоров
либо они оснащены разъемами с высокой пропускной способностью для подключения
специализированных периферийных устройств. Обычно поставщики предоставляют
дополнительные конфигурации оборудования и программного обеспечения для
кластеризации, распределения нагрузки, автоматизации переключения на резервные
мощности при отказе оборудования и других подобных возможностей.
• Большая производительность ЦП. Серверы часто оборудованы несколькими ЦП,
а также обладают дополнительными возможностями оборудования, такими как
упреждающая выборка данных, многоступенчатая проверка процессоров и
динамическое распределение ресурсов между ЦП. Процессоры различаются
частотами, на которых работают; их цена находится в прямой зависимости от частоты.
Цена на наиболее скоростные ЦП обычно бывает непропорционально завышена - это
плата за передовые технологии. Такие дополнительные расходы могут быть
оправданы на сервере, который поддерживает множество пользователей. Так как
серверы подразумевают длительный срок службы, зачастую имеет смысл приобретать
более скоростные ЦП, которые дольше не будут устаревать. Заметим, что скорость
процессора на серверах не всегда определяет эффективность, потому что скорость
работы многих приложений зависит от скорости обмена информацией (ввода-вывода),
а не от частоты ЦП.
• Высокоскоростные системы обмена информацией (ввода-вывода).
Серверы, как правило, более производительны в плане обмена информацией (вводавывода), чем клиенты. Возможности ввода-вывода часто пропорциональны количеству
пользователей, что оправдывает применение скоростных подсистем ввода-вывода. Это
может означать использование жестких дисков с интерфейсами SCSI, SAS или FC-AL
27
вместо IDE, высокоскоростных внутренних шин или сетевых интерфейсов, на порядок
более скоростных, чем у пользователей.
●Возможности модернизации. Серверы чаще модернизируют, а не просто меняют,
они предназначены для растущих потребностей. На серверах, как правило, имеется
возможность добавлять процессоры или заменять отдельные процессоры на более
быстрые, не требующая дополнительных аппаратных изменений. Как правило,
серверные процессоры размещаются отдельных разъемах в шасси или находятся в
съемных разъемах на системной плате на случай замены.
● Серверы должны иметь возможность установки в стойки. Если настольный
компьютер может размещаться в пластмассовом корпусе обтекаемой формы, сервер
должен иметь прямоугольную форму для эффективного использования пространства в
стойке. Еще важнее то, что сервер должен быть сконструирован с учетом охлаждения
и вентиляции при монтировании в стойку. Система, у которой вентиляционные
отверстия расположены только с одной стороны, не сможет поддерживать свою
температуру в стойке так же хорошо, как система со сквозной вентиляцией от
передней панели к задней. Слова «сервер» в названии компьютера недостаточно. Вам
нужно будет позаботиться о том, чтобы он соответствовал выделенному для него
месту.
●Не требуется доступ с боковых сторон. Компьютер должно быть проще
ремонтировать и обслуживать, если он установлен в стойку. Все кабели должны быть
сзади, а все отсеки приводов и дисков - спереди.
●Дополнения для повышенной надежности. Многие серверы обладают
дополнительными возможностями, повышающими надежность, такими как
дублированные источники питания, RAID, несколько сетевых карт и компоненты с
поддержкой «горячей» замены.
●Контракт на обслуживание. Поставщики предоставляют контракты на
обслуживание оборудования, где, как правило, оговариваются и гарантийные сроки
замены запасных частей.
• Альтернативные варианты управления. В идеале серверы должны иметь
поддержку функций удаленного управления, таких как доступ через последовательный
порт, который может быть использован для диагностики и решения проблем, чтобы
восстановить сбойную машину.
На серверах хранятся критически важные данные и уникальные конфигурации,
которые должны быть защищены. Достаточно простой системы, каждый вечер
делающей резервные копии этих нескольких файлов.
Для серверов необходима возможность удаленного обслуживания.
Переключатель KVM - устройство, позволяющее нескольким машинам
использовать одну клавиатуру, видеоэкран и мышь (КВМ).
Предрасположенности к сбоям среди всех системных компонентов на втором месте
после жестких дисков находятся блоки питания. Поэтому в идеале серверы должны
быть обеспечены резервными блоками питания.
Наличие резервных блоков питания не означает, что просто подключено два
устройства. Это означает, что система сохраняет работоспособность, если один из
блоков питания не функционирует: избыточность N+1.
Резервные компоненты должны поддерживать «горячую» замену. «Горячая» замена
подразумевает возможность отключить и заменить компонент во время работы
системы. Как правило, компоненты следует заменять только при отключенной
28
системе. Возможность «горячей» замены аналогична смене покрышек в тот момент,
когда автомобиль мчится по шоссе. Очень удобно, когда не приходится
останавливаться, чтобы устранить обычную проблему.
26. Технология SAN как элемент серверной инфраструктуры (назначение,
аппаратура)
SAN (storage area network) это "выделенная сеть" отделенная от традиционных
локальных (LAN- Лока́льная вычисли́тельная сеть (Local Area Network) —
компьютерная сеть, покрывающая обычно относительно небольшую территорию или
небольшую группу зданий (дом, офис, фирму, институт). Также существуют
локальные сети, узлы которых разнесены географически на расстояния более 12 500
км (космические станции и орбитальные центры). Несмотря на такие расстояния,
подобные сети всё равно относят к локальным.) и глобальных (WAN- Глобальная
вычислительная сеть (Wide Area Network) — компьютерная сеть, охватывающая
большие территории и включающая в себя большое число компьютеров) сетей. В
общем случае она предназначена для объединения ресурсов дисковой памяти,
подключаемых к одному или нескольким серверам. Как правило, она
характеризуется высокой пропускной способностью (Гигабиты/сек) между элементами
дисковой системы и отлично масштабируемой архитектурой. SAN очень часто
(практически всегда) включает специализированное ПО для управления, мониторинга
и конфигурации.
Сеть хранения данных — представляет собой архитектурное решение для
подключения внешних устройств хранения данных, таких как дисковые массивы,
29
ленточные библиотеки, оптические приводы к серверам т.о., чтобы операционная
система распознала подключённые ресурсы как локальные.
SAN обеспечивает множество преимуществ. Одно из главных это
централизованные операции с массивами данных и управление ими.
Администрирование ресурсов хранения информации для быстрорастущих проектов и
приложений, как правило, является сложной и дорогостоящей задачей. SAN
кардинально снижает стоимость и сложность управления массивами данных и, при
этом, обеспечивает существенное улучшение их характеристик.
SAN может использовать несколько различных типов высокоскоростных
интерфейсов. Оптика (Fibre Channel) является промышленным стандартом для
соединений и высокопроизводительных последовательных протоколов ввода-вывода.
Обеспечение увеличения производительности систем хранения данных, их
отказоустойчивости и масштабируемости является основным преимуществом SAN.
Производительность SAN системы намного выше, чем традиционных систем хранения
как за счет высокой скорости передачи данных в используемых интерфейсах, так и за
счет гибкости архитектуры SAN (перераспределение нагрузки - "load balancing",
несетевое резервирование данных - "LAN-free backup" и др.). Увеличение емкости
хранилища данных или добавление в систему новых устройств не требует остановки
работы серверов или клиентских подсетей, что также снижает стоимость
эксплуатации, а в некоторых случаях является обязательным требованием.
В современных ИС важной является возможность вывода операции резервирования
данных за пределы локальных LANs, а тем более глобальных WANs сетей, что
позволяет снизить их загрузку.
Как и другие информационные технологии, SAN базируется на стандартах, которые
обеспечивают совместимость компонентов, входящих в систему. Не менее важную
роль, чем аппаратные компоненты SAN системы, играет ПО, которое обеспечивает
важнейшие свойства SAN, такие как:
٠ Управление SAN
٠ Мониторинг SAN
٠ Конфигурирование SAN
٠ Управление избыточными путями ввода-вывода
٠ Маскирование и назначение LUN
٠ Безсерверное архивирование
٠ Репликация данных (локальная и удаленная)
٠ Разделяемые хранилища (включая поддержку разнородных платформ)
Аппаратура SAN
SAN-сиистемы состоят из набора определенных аппаратных компонентов, включая
RAID системы хранения данных{ RAID ( redundant array of independent disks —
избыточный массив независимых жёстких дисков) — массив из нескольких дисков,
управляемых
контроллером,
взаимосвязанных
скоростными
каналами
и
воспринимаемых внешней системой как единое целое. В зависимости от типа
используемого массива может обеспечивать различные степени отказоустойчивости и
быстродействия. Служит для повышения надёжности хранения данных и/или для
повышения скорости чтения/записи информации (RAID 0).}, концентраторы (hub),
коммутаторы (switch), мосты (bridges), серверы, устройства резервного копирования,
интерфейсные контроллеры, кабели и др.
30
27. Общее описание технологии RAID как метода повышения
надежности хранения данных. Уровни RAID
RAID (redundant array of independent disks — избыточный массив независимых
жёстких дисков) — массив из нескольких дисков, управляемых контроллером,
взаимосвязанных скоростными каналами и воспринимаемых внешней системой
как единое целое. В зависимости от типа используемого массива может обеспечивать
различные степени отказоустойчивости и быстродействия. Служит для повышения
надёжности хранения данных и/или для повышения скорости чтения/записи
информации (RAID 0).
RAID система
31
Как правило, SAN системы используют RAID подсистемы в качестве первичных
устройств хранения данных. RAID системы являются очень важной частью и
обеспечивают основополагающие свойства SAN системы в целом. Первое и
важнейшее - RAID обеспечивает отказоустойчивость в случае выхода из строя диска.
Кроме того, RAID обеспечивает увеличение производительности, емкости, гибкости и
масштабируемости элементов системы хранения данных. Другим важным свойством
современных RAID систем является наличие в них избыточных систем охлаждения,
источников питания и средств мониторинга. Современные RAID системы могут даже
обеспечивать прямое подключения устройств резервного копирования.
Наиболее "слабой" в смысле отказоустойчивости частью компьютерных систем
всегда являлись жесткие диски, поскольку они имеют механические части. RAID
обеспечивает метод доступа к нескольким жестким дискам, как если бы имелся один
большой диск (SLED - single large expensive disk), распределяя информацию и доступ к
ней по нескольким дискам, обеспечивая снижение риска потери данных, в случае
отказа одного из винчестеров, и увеличивая скорость доступа к ним.
JBOD (Just a Bunch of Disks). Каждый из дисков доступен так же, как если бы он был
подключен к обычному контроллеру. Эта конфигурация применяется, когда
необходимо иметь несколько независимых дисков, но не обеспечивает ни повышения
скорости, ни отказоустойчивости.
Калифорнийский университет в Беркли представил следующие уровни
спецификации RAID:
•RAID 0 представлен как дисковый массив повышенной производительности и
меньшей отказоустойчивости.
•RAID 1 определён как зеркальный дисковый массив.
•RAID 2 зарезервирован для массивов, которые применяют код Хемминга.
•RAID 3 и 4 используют массив дисков с чередованием и выделенным диском
чётности.
•RAID 5 используют массив дисков с чередованием и "невыделенным диском
чётности".
•RAID 6 используют массив дисков с чередованием и двумя независимыми
"чётностями" блоков.
•RAID 10 — RAID 0, построенный из RAID 1 массивов
•RAID 50 — RAID 0, построенный из RAID 5
•RAID 60 - RAID 0, построенный из RAID 6
32
28. Raid уровня 0 и 1 назначение, преимущества.
RAID 0
Также его часто называют "страйпинг" (striping- чередование). Строго говоря, RAID
0 не является уровнем RAID, поскольку не обеспечивает увеличения
отказоустойчивости. Блок данных записывается/читается одновременно на/с
нескольких дисков, что увеличивает производительность дисковых операций.
Преимущество страйпинга заключается в высокой производительности и полном
использовании входящих в состав массива дисков. Недостаток - в отсутствии
отказоустойчивости - если один из дисков отказывает, то весь массив становится
недоступным.
(+): высокая производительность
(-): отсутствие отказоустойчивости
RAID 1
Зеркалирование (mirroring) обеспечивает высокую надежность посредством
многократной записи одного и того же блока данных (по одному разу на каждый из
дисков). Если один из дисков отказывает, то остальные содержат точную копию
данных и контроллер может немедленно переключиться на использование
неповрежденных дисков.
Преимущество зеркалирования очевидно - высокая надежность. Недостатками
является отсутствие увеличения производительности и высокая цена за счет полного
дублирования дисков (при двух дисках процент их использования составляет 50%).
(+): высокая надежность
(-): отсутствие увеличения производительности
(-): цена.
33
Данные написаны, распространяя их через
многократные диски, это называют striping
Пишут те же самые данные
на оба диска одновременно
29. Raid уровни 3,4,5 их назначение, преимущества
Raid 3
Разбивает данные на блоки размером 1 байт, распределяет их по нескольким дискам
и использует один дополнительный диск для хранения контрольных сумм на случай
необходимости коррекции или восстановления поврежденных дисков. RAID 3
поддерживается не всеми RAID контроллерами.
(+): высокая скорость чтения и записи данных.
(-): массив этого типа хорош только для однозадачной работы с большими файлами,
так как наблюдаются проблемы со скоростью при частых запросах данных небольшого
объёма.
(-): большая нагрузка на контрольный диск, что приводит к тому, что его
надёжность сильно падает по сравнению с дисками с данными
Raid 4
RAID 4 похож на RAID 3, но отличается от него тем, что данные разбиваются на
блоки, а не на байты. Таким образом, удалось «победить» проблему низкой скорости
передачи данных небольшого объема. Запись же производится медленно из-за того,
что четность для блока генерируется при записи и записывается на единственный
диск. Используются массивы такого типа очень редко.
Raid 5
Уровень RAID 5 используется, чаще всего. Он обеспечивает как страйпинг, так и
вычисление и хранение контрольных сумм на случай необходимости
34
коррекции/восстановления. В RAID 5 блок четности распределяется по всем дискам в
массиве, обеспечивая более сбалансированную нагрузку на них. Контрольные суммы
используются при коррекции/восстановлении данных в случае отказа одного из
дисков. Результирующая емкость массива с использование RAID 5 составляет (N-1)*C,
где N - количество дисков в массиве, а C - их емкость. Для построения RAID 5
необходимо, как минимум, 3 диска (мы настоятельно рекомендуем использовать, как
минимум 4).
(+): отказоустойчивость
(+): экономичность (в смысле полезного количества используемых дисков)
(+): при чтении (по сравнению с отдельным винчестером) имеется выигрыш, потому
что потоки данных с нескольких накопителей массива обрабатываются параллельно.
(-): медленный цикл записи (2 операции чтения и 2 записи требуются для записи
одного блока).
(-): при выходе из строя одного из дисков — весь том переходит в критический
режим (degrade), все операции записи и чтения сопровождаются дополнительными
манипуляциями, резко падает производительность. При этом уровень надежности
снижается до надежности одиночного диска. Если до полного восстановления массива
выйдет из строя хотя бы еще один диск, то массив разрушается, и данные на нем
восстановлению обычными методами не подлежат. Минимальное количество
используемых дисков равно трём. С томом RAID 5 можно использовать диск Hot
Spare. Основное время дополнительный диск простаивает, но при выходе из строя
одного из дисков массива, его восстановление начинается немедленно с
использованием spare-диска. При использовании одного тома RAID 5 данная
конфигурация дисков является расточительной, эффективнее использовать RAID 6.
Целесообразность использования spare-диска проявляется в системе из нескольких
томов RAID 5, в которой Hot Spare диск назначен для каждого из томов RAID 5, и
может быть использован в случае необходимости для немедленного восстановления
одного из томов
35
36
30. Развитие Raid 5 (Raid 5ее и Raid 6)их назначение, преимущества
RAID 5EE
Обычно при построении RAID 5 один диск оставляют свободным ( Hot Spare ),
чтобы в случае сбоя система сразу стала перестраивать (rebuild) массив. При обычной
работе этот диск работает вхолостую. Система RAID 5EE подразумевает
использование этого диска в качестве элемента массива. А объём этого свободного
диска распределяется по всему массиву. Минимальное число дисков – 4 штуки.
Доступный объём равен n-2, объём одного диска используется (будучи
распределенным между всеми) для четности, объем еще одного – свободный. При
выходе из строя диска происходит сжатие массива до 3-х дисков (на примере
минимального числа) заполнением свободного пространства. Получается обычный
массив RAID 5, устойчивый к отказу ещё одного диска. При подключении нового
диска, массив разжимается и занимает вновь все диски.
(+): отказоустойчивость.
(+): экономичность (в смысле полезного количества используемых дисков).
(+): при чтении (по сравнению с отдельным винчестером) имеется выигрыш, потому
что потоки данных с нескольких накопителей массива обрабатываются параллельно.
(-): невысокая скорость записи
RAID 6
Уровень RAID 6 является развитием и расширением RAID 5, которое обеспечивает
улучшение отказоустойчивости за счет записи не одного набора контрольных сумм,
как в случае с RAID 5, а двух.
Поскольку RAID 5 использует только один набор контрольных сумм, данные могут
быть безвовратно потеряны в том случае, когда в процессе перестроения рэйда (после
37
отказа одного из винчестеров), происходит отказ второго (или ошибка доступа). Для
решения этой проблемы и разработан RAID 6.
Количество отказов растет пропорционально количеству дисков.
(+): отказоустойчивость (выше чем у RAID 5).
(+): экономичность (в смысле полезного количества используемых дисков).
(+): при чтении (по сравнению с отдельным винчестером) имеется выигрыш, потому
что потоки данных с нескольких накопителей массива обрабатываются параллельно.
(-): небольшая скорость записи.
31. Комбинированные технологии Raid 10 и Raid 50 их назначение,
преимущества
RAID 10 (1+0)
Это комбинация страйпинга (RAID 0) и мирроринга (RAID 1) без вычисления
контрольных сумм. Для реализации такого решения необходимо минимум 4 диска.
(+): высокая скорость (как у RAID 0).
(+): отказоустойчивость (как у RAID 1).
(-): требуется, как минимум, удвоенная емкость дисков (как у RAID 1).
38
RAID 50 (5+0)
Это комбинация RAID 5 и страйпинга (RAID 0). Для реализации такого решения
необходимо минимум 6 дисков.
(+): высокая скорость передачи данных и обработки запросов.
(+): хорошая скорость восстановления данных и стойкость при отказе.
(-): требуется, как минимум, 6 дисков.
32. Резервное копирование данных. Определение, цели, требования к системе
резервного копирования
Защита информации – одна из наиболее важных задач системного администратора.
Ни одну систему нельзя эксплуатировать без резервных копий.
При правильном подходе создание резервных копий данных позволяет
администратору восстанавливать файловую систему в том состоянии, в котором она
находилась на момент последнего снятия резервных копий. Резервное копирование
должно производиться тщательно и строго по графику.
Резервное копирование (англ. backup)— процесс создания копии данных на
носителе (жёстком диске, дискете и т. д.), предназначенном для восстановления
данных в оригинальном месте их расположения в случае их повреждения или
разрушения.
39
Поскольку многие виды неисправностей могут одновременно выводить из строя
сразу несколько аппаратных средств, резервные копии следует записывать на съемные
носители.
В большинстве организаций резервные копии хранятся в другом помещении, чтобы
какое-нибудь бедствие типа пожара не уничтожило и оригиналы и копии.
Пользователи любят восстановления.
Систему правильней называть Резервное копирование и восстановление.
Причины для восстановления данных.
٠ Случайное
удаление
файлов
(Восстановление
администратором,
самостоятельное восстановление)
٠ Сбой диска (Восстановление администратором)
٠ Просмотр архивных данных (Долгое хранение данных, носители и приводы
могут устаревать)
Цель
Резервное копирование необходимо для возможности быстрого и недорогого
восстановления информации (документов, программ, настроек и т.д.) в случае утери
рабочей копии информации по какой-либо причине.
Требования к системе резервного копирования
Надёжность
хранения
информации
—
обеспечивается
применением
отказоустойчивого оборудования систем хранения, дублированием информации и
заменой утерянной копии другой в случае уничтожения одной из копий (в том числе
как часть отказоустойчивости).
Простота в эксплуатации - автоматизация (по возможности минимизировать
участие человека: как пользователя, так и администратора).
Быстрое внедрение — простая установка и настройка программ, быстрое обучение
пользователей.
40
33. Способы хранения резервных копий. Типы ленточных накопителей
Хранение резервной копии
•Лента стримера — запись резервных данных на магнитную ленту стримера;
• «Облачный» бэкап» — запись резервных данных по «облачной» технологии через
онлайн-службы специальных провайдеров;
•DVD или CD — запись резервных данных на компактные диски;
•HDD — запись резервных данных на жёсткий диск компьютера;
•LAN — запись резервных данных на любую машину внутри локальной сети;
•FTP — запись резервных данных на FTP-серверы;
•USB — запись резервных данных на любое USB-совместимое устройство (такое,
как флэш-карта или внешний жёсткий диск);
•ZIP, JAZ, MO — резервное копирование на дискеты ZIP, JAZ, MO.
История магнитных лент
◦9-дорожечная лента
◦Технология DDS
◦Технология QIC
◦Технология DLT
Современные стандарты
◦Технология LTO
◦Технология IBM 3592
◦Перспективы DAT
DAT(DDS)
Стандарт DAT является одним из основных и наиболее распространенных
технологий записи/чтения данных на магнитные ленты. Накопители DAT предлагают
производительное и надежное копирование на ленты типа DDS шириной 4 мм. Для
контроля целостности данных накопители DAT предлагают механизмы обнаружения и
коррекции ошибок с помощью циклического контроля четности и коррекции 32-ух
битовых данных. Поскольку не каждый пользователь нуждается в страховом
копировании сотен гигабайт данных и не каждый может позволить себе более дорогие
решения по страховому копированию, то решения с использованием устройств DAT
представляются оптимальными для серверов среднего класса уровня отдела или
небольшого предприятия. Эти технологии позволят значительно снизить как
административные расходы на процессы копирования, так и сократить риски ошибок
при ручной замене носителей.
DDS-1. Устаревший в настоящее время представитель младшего поколения
семейства (емкость 2 или 4 Гбайт, коэффициент сжатия 2:1).
DDS-2. Имеет такую же емкость, что и дисководы стандарта Travan NS8 (4 или 8
Гбайт, коэффициент сжатия 2:1).
DDS-3. Емкость накопителей немного больше, чем у дисководов стандарта Travan
NS20 (12 или 24 Гбайт, коэффициент сжатия 2:1). Позволяет копировать данные со
скоростью 3,6 Гб или 7,2 Гб/час с компрессией
DDS-4. Имеет емкость 20/40 Гбайт при коэффициенте сжатия 2:1, что в два раза
выше емкости дисководов стандарта Travan NS20.
Пятое поколение DDS. Новейший представитель семейства DAT/DDS с емкостью 36
или 72 Гбайт, коэффициент сжатия 2:1.
41
DLT (SDLT)
Технология Super DLT (SDLT) является наследницей DLT, разработчик —
Quantum. В ней используется другая, более совершенная лента, другие магнитные
головки (CMR, кластер магниторезистивных головок), оптическая система
позиционирования дорожек и др. При этом сохраняется совместимость со старыми
картриджами DLT. Первые устройства SDLT-220 (11/22 MB/s, 110/220 Gb) появились
в начале 2001 года, сейчас поставляется второе поколение SDLT 320 (16/32 MB/s,
160/320 Gb). Носитель — картридж SDLT 106х105х25 мм, можно читать и писать
картриджи DLT IV, записанные на DLT80. Недавно начались поставки стримеров
третьего поколения, SDLT 600 (36/72 MB/s, 300/600 Gb).
Технология Value DLT (DLT VS) является боковым ответвлением DLT,
разработчик — Quantum. Стандарт создавался с целью составить конкуренцию DAT и
захватить часть соответствующего рынка, первые устройства DLT VS80 (3/6 Mb/s,
40/80 GB), появились в начале 2000 года. Носитель — картридж DLT IV, однако
формат чтения/записи не совместим с DLT80 и SDLT. Quantum уже выпустил
стримеры второго поколения DLT VS160 (8/16 Mb/s, 80/160 GB).
В ближайшее время системы DLT-S достигнут емкости картриджей более 10 Tb и
выйдут на уровень быстродействия аппаратуры NAS. А в линейке DLT-V со временем
появятся многотерабайтные устройства стоимостью ниже $1000.
LTO (Linear Tape Open)
Технология LTO (Linear Tape - Open Technology) разработана компаниями IBM, HP
и Seagate и определяет две спецификации формата носителей Accelis и Ultrium.
1. Устройства Accelis, ориентированные на минимальное время доступа и
максимальную скорость. Причем, для получения минимального времени доступа
исходное положение ленты в картридже - не начало, а середина ленты. В настоящее
время данная спецификация не используется.
2. Устройства Ultrium, ориентированные на максимальную емкость. Конструкция
картриджа и привода напоминает DLT.
Особенности технологии LTO:
Поддержка большого количества параллельных каналов на ленте
Высокая плотность записи информации на ленту
Улучшенный алгоритм сжатия информации - распознает сжатые данные и
отключает компрессию.
Динамическое перемещение данных из испорченных областей на ленте, при
поломке сервомеханизма или одной из головок чтения-записи.
LTO-CM (LTO Cartridge Memory) - чип для хранения информации о размещении
данных на носителе. Использует бесконтактный радио интерфейс для передачи
данных
Высокая емкость и производительность благодаря эффективным функциям
мониторинга и управления и поддержке аппаратного шифрования.
Ленточные накопители LTO Ultrium обеспечивают хранение до 3 ТБ сжатых данных
на одном картридже.
42
34. Технологии резервного копирования D2D, D2D2T. Ленточные библиотеки
Ленточная библиотека
Накопитель на магнитной ленте, поддерживающий работу одновременно с
несколькими лентами, называется ленточной библиотекой. Роботизированные
ленточные библиотеки могут содержать хранилища с тысячами магнитных лент, из
которых робот автоматически достаёт требуемые ленты и устанавливает в одно или
несколько устройств чтения-записи. С программной точки зрения такая библиотека
выглядит, как один накопитель с огромной ёмкостью и значительным временем
произвольного доступа. Кассеты в ленточной библиотеке идентифицируются
специальными наклейками со штрихкодом, который считывает робот. В настоящее
время (2010 год) коммерчески доступны модели ленточных библиотек с ёмкостью до
70 петабайт при использовании 70 000 кассет.
Ленточная библиотека имеет значительные преимущества перед дисковым
массивом по стоимости и энергопотреблению при больших объёмах хранимых
данных.
Недостатком ленточной библиотеки является время произвольного доступа к
данным, которое в нормальном режиме функционирования может достигать
нескольких минут, а также падение производительности на порядки при увеличении
количества различных одновременных запросов более числа наличествующих
устройств чтения-записи (когда кассеты оказываются стоящими в очереди к
устройству).
С недавних пор стали обсуждаться технологии резервного копирования с жесткого
диска на жесткий диск (disk-to-disk backup, D2D). Предпосылками этой тенденции с
одной стороны является появление быстрых и недорогих жестких дисков Serial-ATA
очень большой емкости, а с другой – потребность в проведении процедуры сохранения
необходимого объема данных за ограниченное время, называемое окном копирования.
Окно копирования определяется следующими критериями: поскольку создание
резервной копии требует абсолютного доступа к данным, этот процесс проводится в
нерабочие часы, когда он оказывает минимально возможное влияние на работу
персонала, загруженность серверов и локальной сети
Если объем переносимых во время одной сессии данных превышает размер
картриджа магнитной ленты, возникает необходимость ручной замены носителя по
требованию программы резервного копирования. Очевидно, что в ночные часы это
может быть проблематичным (кстати, именно поэтому самые предусмотрительные
системные администраторы выбирают не простой накопитель, а автозагрузчик). Итак,
помимо отличной скорости, система хранения на жестких дисках может помочь нам в
этом случае, предоставляя для записи резервной копии свободное пространство,
превышающее возможности одного картриджа.
Однако, несмотря на описанные выше замечательные качества жестких дисков,
ленточные накопители по-прежнему считаются самым экономичным и популярным
решением создания резервной копии. Они изначально созданы для хранения данных,
предоставляют практически неограниченную емкость (за счет добавления
картриджей), обеспечивают высокую надежность, имеют низкую стоимость хранения,
позволяют организовать ротацию любой сложности и глубины, архивацию данных,
эвакуацию носителей в защищенное место за пределами основного офиса. С момента
своего появления магнитные ленты прошли пять поколений развития, на практике
43
доказали свое преимущество и по праву являются основополагающим элементом
практики резервного копирования.
Достоинства сохранения резервных копий данных на жестких дисках (в первую
очередь – высокая скорость сохранения и восстановления) и на магнитных лентах
(низкая стоимость хранения и неограниченный объем) объединяются в решениях
disk-to-disk-to-tape (D2D2T). Такой подход предполагает использование дискового
кэша в качестве промежуточного этапа в процедуре резервного копирования, конечной
целью которого по-прежнему являются магнитные ленты. К сожалению, продукты
корпоративного класса, реализующие этот подход, совершенно неприемлемы из-за
своей стоимости для предприятий малого бизнеса (small-to-medium business, SMB).
В конце 2003 года компания Certance выпустила устройство D2D2T,
ориентированное на сегмент небольших организаций, нуждающихся в быстрой,
недорогой и требующей минимум административных усилий защите данных.
Семейство продуктов Certance CP 3100 обеспечивает функциональность D2D2T
высокого уровня, сочетая ее с доступной для сегмента SMB ценой, несложной
инсталляцией, простым обслуживанием и управлением.
Семейство включает в себя пять уникальных конфигураций устройства, способных
удовлетворить самые различные требования. Заказчики, предпочитающие законченное
полное решение, имеют выбор между настольной или монтируемой в 19” стойку
(высота 1U) моделями, каждая из которых содержит интегрированный накопитель
Certance DAT 72. Те же, кто намерен использовать ранее приобретенный ленточный
накопитель DDS-4 или DAT 72 (любого производителя), могут построить свое
собственное решение D2D2T, комбинируя с имеющимися стримерами внутреннюю
5¼”, настольную или стоечную (1U 19”) модели устройства.
Certance CP 3100 обеспечивает 100% аппаратную эмуляцию ленточных накопителей
DAT 72 и DDS-4. Таким образом, о совместимости нового оборудования с
используемыми в организации операционными системами и программами резервного
копирования беспокоиться не приходится.
35. Виды резервного копирования
٠ Полное резервирование (Full backup);
٠ Дифференциальное резервирование (Differential backup);
٠ Добавочное резервирование (Incremental backup);
٠ Пофайловый метод;
٠ Блочное инкрементальное копирование (Block level incremental).
При полном копировании создается копия всех данных, подлежащих
резервированию. Недостаток этой процедуры - она требует много времени и ведет к
большому расходу магнитной ленты, а достоинство - самая высокая надежность и
относительно быстрое восстановление информации из одной полной копии (поскольку
для этого достаточно только одного записанного образа). Полное копирование служит
отправной точкой для других методов.
При инкрементальном копировании дублируются лишь те файлы, которые были
созданы или изменены после последнего полного, дифференциального или
инкрементального
копирования.
Иными
словами,
при
использовании
инкрементального копирования первая запись на ленту - это полная копия. При второй
записи на ленту помещаются только те файлы, которые были изменены со времени
44
первой записи. Это самый быстрый метод копирования, требующий минимального
расхода магнитной ленты. Однако восстановление информации при инкрементальном
копировании самое длительное: информацию необходимо сначала восстановить с
полной копии, а затем последовательно со всех последующих. Тем не менее, это
самый популярный метод резервного копирования, поскольку полное восстановление
информации - все-таки достаточно редкая процедура в нормально работающей
системе.
При дифференциальном копировании дублируются только файлы, созданные или
измененные со времени проведения последнего полного копирования. И чем больше
это время, тем дольше будет осуществляться дифференциальное копирование. Иными
словами, первая запись на ленту -это полная копия. На последующих этапах
копируются только файлы, которые изменились со времени проведения полного
копирования. Само копирование в этом случае занимает больше времени, чем
инкрементальное копирование. В случае краха системы администратору для
восстановления
данных
придется
задействовать
последние
полную
и
дифференциальную копии.
Обычно для достижения компромисса между продолжительностью резервного
копирования данных и временем их восстановления выбирается схема, согласно
которой раз в неделю проводится полное копирование и ежедневно - инкрементальное.
Главная проблема при инкрементальном и дифференциальном копировании - это
выбор критерия для проверки факта изменения файла. К сожалению, ни один из
известных критериев не может полностью гарантировать это условие.
Самый распространенный способ - использование архивного атрибута файлов
(archive). При создании или модифицировании файла прикладные программы
автоматически выставляют данный атрибут. При резервном копировании он
принимает прежнее значение. Поэтому теоретически система резервного копирования
может таким образом определить, что файл еще не копировался на ленту. В некоторых
случаях можно сравнивать время последнего обращения к файлу или время его
модификации с каким-то эталонным временем, например, временем предыдущего
копирования.
36. Способы ротации носителей при резервном копировании
Для резервного копирования очень важным вопросом является выбор подходящей
схемы ротации носителей (например, магнитных лент). Наиболее часто используют
следующие схемы:
٠ Одноразовое
копирование
(custom)
—
простейшая
схема,
не
предусматривающая ротации носителей. Все операции проводятся вручную.
Перед копированием администратор задает время начала резервирования,
перечисляет файловые системы или каталоги, которые нужно копировать. Эту
информацию можно сохранить в базе, чтобы её можно было использовать
снова. При одноразовом копировании чаще всего применяется полное
копирование.
٠ Простая ротация;
٠ «Дед, отец, сын»;
٠ «Ханойская башня»;
٠ «10 наборов».
45
Хотя резервное копирование и архивирование опираются на одни и те же принципы
и, более того, любой программный продукт позволяет выполнять как функции
резервного копирования, так и архивирования, тем не менее, оба эти процесса имеют
свои особенности. Если цель резервного копирования - сохранить текущее состояние
системы, то при архивировании задача состоит в долгосрочном хранении информации,
чтобы данные можно было извлечь, даже если они созданы и месяц, и год назад.
Нередко архивирование предполагает перенос всех данных по завершении какого-то
проекта на внешние носители, чтобы освободить место на винчестерах. Поэтому при
страховом копировании важно выработать надлежащую схему ротации носителей
информации с тем, чтобы можно было не только быстро сохранить данные или
восстановить информацию, но и чтобы носители на каждом временном этапе
содержали полный архив данных.
Смена рабочего набора носителей в процессе копирования называется их
ротацией.
Простая ротация подразумевает, что некий набор лент используется циклически.
Например, цикл ротации может составлять неделю, тогда отдельный носитель
выделяется для определенного рабочего дня недели. Полная копия делается в пятницу,
а в другие дни - инкрементальные (или дифференциальные) копии. После завершения
цикла все повторяется сначала, и запись производится на те же самые носители, хотя
иногда полные (пятничные) копии сохраняют в качестве архива. Недостаток данной
схемы - она не очень подходит для ведения архива, даже если сохранять полные
копии, поскольку количество носителей в архиве быстро увеличивается. Кроме того,
запись (во всяком случае, инкрементальная/дифференциальная) проводится на одни и
те же носители, что ведет к их значительному износу и, как следствие, увеличивает
вероятность отказа.
Схема "дед-отец-сын" имеет иерархическую структуру и предполагает
использование комплекта из трех наборов носителей. Раз в неделю делается полная
копия дисков компьютера, ежедневно же проводится инкрементальное (или
дифференциальное) копирование. Дополнительно раз в месяц проводится еще одно
полное копирование. Набор для ежедневного инкрементального копирования
называется "сыном", для еженедельного - "отцом", для ежемесячного - "дедом". Состав
ежедневного и еженедельного набора постоянен. В ежедневном наборе свой носитель
(их может быть несколько, если объем информации превышает объем одного
носителя) закреплен за каждым рабочим днем (кроме пятницы), а в случае
еженедельного набора - за каждой неделей месяца по порядку (т. е. данный набор
должен содержать не менее четырех носителей). Ежемесячные носители обычно
заново не используются и откладываются в архив. Таким образом, по сравнению с
простой ротацией в архиве содержатся только ежемесячные копии плюс последние
еженедельные и ежедневные копии. Недостаток данной схемы состоит в том, что в
архив попадают только данные, имевшиеся на конец месяца. Как и при схеме простой
ротации, носители для ежедневных копий подвергаются значительному износу, в то
время как нагрузка на еженедельные копии сравнительно невелика.
Схема "ханойская башня" призвана устранить некоторые из перечисленных
недостатков, но, имеет свои собственные. Схема построена на применении нескольких
наборов носителей, их количество не регламентируется, хотя обычно ограничивается
пятью-шестью. Каждый набор предназначен для недельного копирования, как в схеме
простой ротации, но без изъятия полных копий. Иными словами, отдельный набор
46
включает носитель с полной недельной копией и носители с ежедневными
инкрементальными (дифференциальными) копиями. Специфическая проблема схемы
"ханойская башня" - ее излишняя сложность.
Еще одна схема ротации называется "10 наборов" и рассчитана на 10 наборов
носителей. Период из сорока недель делится на десять циклов. В течение цикла за
каждым набором закреплен один день недели. По прошествии четырехнедельного
цикла номер набора сдвигается на один день. Иными словами, если в первом цикле за
понедельник отвечал набор номер 1, а за вторник - номер 2, то во втором цикле за
понедельник отвечает набор номер 2, а за вторник - номер 3. Такая схема позволяет
равномерно распределить нагрузку, а, следовательно, и износ между всеми
носителями.
37. Вычислительные сети. Основные программные и аппаратные компоненты
сети
Вычислительные сети - частный случай распределенных систем.
Компьютерные сети относятся к распределенным (или децентрализованным)
вычислительным системам. Поскольку основным признаком распределенной
вычислительной системы является наличие нескольких центров обработки данных, то
наряду с компьютерными сетями к распределенным системам относят также
мультипроцессорные компьютеры и многомашинные вычислительные комплексы.
Связь между компьютерами осуществляется с помощью специальных
периферийных устройств - сетевых адаптеров, соединенных относительно
протяженными каналами связи. Каждый компьютер работает под управлением
собственной операционной системы, а какая-либо «общая» операционная система,
распределяющая работу между компьютерами сети, отсутствует. Взаимодействие
между компьютерами сети происходит за счет передачи сообщений через сетевые
адаптеры и каналы связи. С помощью этих сообщений один компьютер обычно
запрашивает доступ к локальным ресурсам другого компьютера. Разделение
локальных ресурсов каждого компьютера между всеми пользователями сети основная цель создания вычислительной сети.
Вычислительная сеть - это сложный комплекс взаимосвязанных и согласованно
функционирующих программных и аппаратных компонентов. Изучение сети в целом
предполагает знание принципов работы ее отдельных элементов:
- компьютеров;
- коммуникационного оборудования;
- операционных систем;
- сетевых приложений.
Весь комплекс программно-аппаратных средств сети может быть описан
многослойной моделью. В основе любой сети лежит аппаратный слой
стандартизованных компьютерных платформ. В настоящее время в сетях широко и
успешно применяются компьютеры различных классов - от персональных
компьютеров до мэйнфреймов и суперЭВМ. Набор компьютеров в сети должен
соответствовать набору разнообразных задач, решаемых сетью.
Второй слой - это коммуникационное оборудование. Хотя компьютеры и являются
центральными элементами обработки данных в сетях, в последнее время не менее
важную роль стали играть коммуникационные устройства.Сегодня коммуникационное
устройство
может
представлять
собой
сложный
специализированный
47
мультипроцессор,
который
нужно
конфигурировать,
оптимизировать
и
администрировать.
Третьим слоем, образующим программную платформу сети, являются
операционные системы (ОС). От того, какие концепции управления локальными и
распределенными ресурсами положены в основу сетевой ОС, зависит эффективность
работы всей сети. При проектировании сети важно учитывать, насколько просто
данная операционная система может взаимодействовать с другими ОС сети, насколько
она обеспечивает безопасность и защищенность данных, до какой степени она
позволяет наращивать число пользователей, можно ли перенести ее на компьютер
другого типа и многие другие соображения.
Самым верхним слоем сетевых средств являются различные сетевые приложения,
такие как сетевые БД, почтовые системы, средства архивирования данных, системы
автоматизации коллективной работы и др. Очень важно представлять диапазон
возможностей, предоставляемых приложениями для различных областей применения,
а также знать, насколько они совместимы с другими сетевыми приложениями и
операционными системами.
Вычислительная сеть - это совокупность компьютеров, соединенных линиями
связи. Линии связи образованы кабелями, сетевыми адаптерами и другими
коммуникационными устройствами. Все сетевое оборудование работает под
управлением системного и прикладного программного обеспечения.
Использование вычислительных сетей дает предприятию следующие возможности:
٠ разделение дорогостоящих ресурсов;
٠ совершенствование коммуникаций;
٠ улучшение доступа к информации;
٠ быстрое и качественное принятие решений;
٠ свобода в территориальном размещении компьютеров.
38. Стек протоколов TCP/IP. Многоуровневый подход. Использование
протоколов TCP/IP для построения вычислительных сетей
Стек протоколов TCP/IP (англ. Transmission Control Protocol/Internet Protocol,
Протокол управления передачей) — набор сетевых протоколов разных уровней
модели сетевого взаимодействия DOD, используемых в сетях. Протоколы работают
друг с другом в стеке (англ. stack, стопка) — это означает, что протокол,
располагающийся на уровне выше, работает «поверх» нижнего, используя механизмы
инкапсуляции. Например, протокол TCP работает поверх протокола IP.
Стек протоколов TCP/IP основан на модели сетевого взаимодействия DOD и
включает в себя протоколы четырёх уровней:
٠ прикладного (application),
٠ транспортного (transport),
٠ сетевого (internet),
٠ уровня доступа к среде (network access).
Протоколы этих уровней полностью реализуют функциональные возможности
модели OSI. На стеке протоколов TCP/IP построено всё взаимодействие пользователей
в IP-сетях. Стек является независимым от физической среды передачи данных.
48
Самый нижний (уровень IV) соответствует физическому и канальному уровням
модели OSI. Этот уровень в протоколах TCP/IP не регламентируется, но поддерживает
все популярные стандарты физического и канального уровня: для локальных сетей это
Ethernet, Token Ring, FDDI, Fast Ethernet, 100VG-AnyLAN, для глобальных сетей протоколы соединений "точка-точка" SLIP и PPP, протоколы территориальных сетей с
коммутацией пакетов X.25, frame relay. Разработана также специальная спецификация,
определяющая использование технологии ATM в качестве транспорта канального
уровня. Обычно при появлении новой технологии локальных или глобальных сетей
она быстро включается в стек TCP/IP за счет разработки соответствующего RFC,
определяющего метод инкапсуляции пакетов IP в ее кадры.
Следующий уровень (уровень III) - это уровень межсетевого взаимодействия,
который занимается передачей пакетов с использованием различных транспортных
технологий локальных сетей, территориальных сетей, линий специальной связи и т. п.
В качестве основного протокола сетевого уровня (в терминах модели OSI) в стеке
используется протокол IP, который изначально проектировался как протокол передачи
пакетов в составных сетях, состоящих из большого количества локальных сетей,
объединенных как локальными, так и глобальными связями. Поэтому протокол IP
хорошо работает в сетях со сложной топологией, рационально используя наличие в
них подсистем и экономно расходуя пропускную способность низкоскоростных линий
связи.
К уровню межсетевого взаимодействия относятся и все протоколы, связанные с
составлением и модификацией таблиц маршрутизации, такие как протоколы сбора
маршрутной информации RIP (Routing Internet Protocol) и OSPF (Open Shortest Path
First), а также протокол межсетевых управляющих сообщений ICMP (Internet Control
Message Protocol). Последний протокол предназначен для обмена информацией об
ошибках между маршрутизаторами сети и узлом - источником пакета. С помощью
специальных пакетов ICMP сообщается о невозможности доставки пакета, о
превышении времени жизни или продолжительности сборки пакета из фрагментов, об
аномальных величинах параметров, об изменении маршрута пересылки и типа
обслуживания, о состоянии системы и т.п.
Следующий уровень (уровень II) называется основным. На этом уровне
функционируют протокол управления передачей TCP (Transmission Control Protocol) и
протокол дейтаграмм пользователя UDP (User Datagram Protocol). Протокол TCP
обеспечивает надежную передачу сообщений между удаленными прикладными
процессами за счет образования виртуальных соединений. Протокол UDP
обеспечивает передачу прикладных пакетов дейтаграммным способом, как и IP, и
выполняет только функции связующего звена между сетевым протоколом и
многочисленными прикладными процессами.
Верхний уровень (уровень I) называется прикладным. За долгие годы
использования в сетях различных стран и организаций стек TCP/IP накопил большое
количество протоколов и сервисов прикладного уровня. К ним относятся такие
широко используемые протоколы, как протокол копирования файлов FTP, протокол
эмуляции терминала telnet, почтовый протокол SMTP, используемый в электронной
почте сети Internet, гипертекстовые сервисы доступа к удаленной информации, такие
как WWW и многие другие.
49
Многоуровневый подход:
•все множество модулей, решающих частные задачи, разбивают на группы и
упорядочивают по уровням, образующим иерархию;
•в соответствии с принципом иерархии для каждого промежуточного уровня можно
указать непосредственно примыкающие к нему соседние вышележащий и
нижележащий уровни;
•группа модулей, составляющих каждый уровень, должна быть сформирована таким
образом, чтобы все модули этой группы для выполнения своих задач обращались с
запросами только к модулям соседнего нижележащего уровня;
•с другой стороны, результаты работы всех модулей, отнесенных к некоторому
уровню, могут быть переданы только модулям соседнего вышележащего уровня.
Средства сетевого взаимодействия обычно представляются в виде иерархически
организованного множества модулей. При этом модули нижнего уровня решают
задачи, связанные с надежной передачей электрических сигналов между двумя
соседними узлами. Модули более высокого уровня организуют транспортировку
50
сообщений в пределах всей сети, пользуясь для этого средствами упомянутого
нижележащего уровня. А на верхнем уровне работают модули, предоставляющие
пользователям доступ к различным службам - файловой, печати и т. п.
Модель взаимодействия двух узлов.
Процедура взаимодействия узлов может быть описана в виде набора правил
взаимодействия каждой пары соответствующих уровней обеих участвующих сторон.
Формализованные правила, определяющие последовательность и формат сообщений,
которыми обмениваются сетевые компоненты, лежащие на одном уровне, но в разных
узлах, называются протоколом.
Модули, реализующие протоколы соседних уровней и находящиеся в одном узле,
также взаимодействуют друг с другом в соответствии с четко определенными
правилами и с помощью стандартизованных форматов сообщений. Эти правила
принято называть интерфейсом. Интерфейс определяет набор сервисов,
предоставляемый данным уровнем соседнему уровню.
Протокол и интерфейс выражают одно и то же понятие, в сетях за ними закрепили
разные области действия: протоколы определяют правила взаимодействия модулей
одного уровня в разных узлах, а интерфейсы - модулей соседних уровней в одном узле.
Средства каждого уровня должны отрабатывать, во-первых, свой собственный
протокол, а во-вторых, интерфейсы с соседними уровнями.
Иерархически организованный набор протоколов, достаточный для организации
взаимодействия узлов в сети, называется стеком коммуникационных протоколов.
39. Модель OSI. Уровни модели OSI. Соответствие стека протоколов
Интернета и модели OSI
Эта модель называется моделью взаимодействия открытых систем (Open System
Interconnection, OSI) или моделью OSI. Модель OSI определяет различные уровни
взаимодействия систем, дает им стандартные имена и указывает, какие функции
должен выполнять каждый уровень.
В модели OSI средства взаимодействия делятся на семь уровней: прикладной,
представительный, сеансовый, транспортный, сетевой, канальный и физический.
51
Каждый уровень имеет дело с одним определенным аспектом взаимодействия сетевых
устройств.
Пусть приложение обращается с запросом к прикладному уровню, например к
файловой службе. На основании этого запроса ПО прикладного уровня формирует
сообщение стандартного формата. Обычное сообщение состоит из заголовка и поля
данных. Заголовок содержит служебную информацию, которую необходимо передать
через сеть прикладному уровню машины-адресата, чтобы сообщить ему, какую работу
надо выполнить. В нашем случае заголовок, очевидно, должен содержать информацию
о месте нахождения файла и о типе операции, которую необходимо над ним
выполнить. Поле данных сообщения может быть пустым или содержать какие-либо
данные, например те, которые необходимо записать в удаленный файл. Но для того
чтобы доставить эту информацию по назначению, предстоит решить еще много задач,
ответственность за которые несут нижележащие уровни.
После формирования сообщения прикладной уровень направляет его вниз по стеку
представительному уровню. Протокол представительного уровня на основании
информации, полученной из заголовка прикладного уровня, выполняет требуемые
действия и добавляет к сообщению собственную служебную информацию - заголовок
представительного уровня, в котором содержатся указания для протокола
представительного уровня машины-адресата. Полученное в результате сообщение
передается вниз сеансовому уровню, который в свою очередь добавляет свой
заголовок, и т. д. Наконец, сообщение достигает нижнего, физического уровня,
который собственно и передает его по линиям связи машине-адресату. К этому
моменту сообщение «обрастает» заголовками всех уровней (рис. 1.26).
52
Когда сообщение по сети поступает на машину-адресат, оно принимается ее
физическим уровнем и последовательно перемещается вверх с уровня на уровень.
Каждый уровень анализирует и обрабатывает заголовок своего уровня, выполняя
соответствующие данному уровню функции, а затем удаляет этот заголовок и передает
сообщение вышележащему уровню.
В модели OSI различаются два основных типа протоколов. В протоколах с
установлением соединения (connection-oriented) перед обменом данными отправитель
и получатель должны сначала установить соединение и, возможно, выбрать некоторые
параметры протокола, которые они будут использовать при обмене данными. После
завершения диалога они должны разорвать это соединение. Телефон - это пример
взаимодействия, основанного на установлении соединения.
Вторая группа протоколов - протоколы без предварительного установления
соединения (connectionless). Такие протоколы называются также дейтаграммными
53
протоколами. Отправитель просто передает сообщение, когда оно готово. Опускание
письма в почтовый ящик - это пример связи без предварительного установления
соединения.
Уровни модели OSI
Физический уровень
Физический уровень (Physical layer) имеет дело с передачей битов по физическим
каналам связи, таким, как коаксиальный кабель, витая пара, оптоволоконный кабель
или цифровой территориальный канал. К этому уровню имеют отношение
характеристики физических сред передачи данных, такие как полоса пропускания,
помехозащищенность, волновое сопротивление и другие. Кроме этого, здесь
стандартизуются типы разъемов и назначение каждого контакта.
Функции физического уровня реализуются во всех устройствах, подключенных к
сети. Со стороны компьютера функции физического уровня выполняются сетевым
адаптером или последовательным портом.
Протоколы физического уровня OSI:
٠ USB, Firewire
٠ IEEE 802.15 (Bluetooth), IRDA
٠ EIA RS-232, EIA-422, EIA-423, RS-449, RS-485
٠ Ethernet (включая 10BASE-T, 10BASE2, 10BASE5, 100BASE-TX, 100BASEFX, 100BASE-T, 1000BASE-T, 1000BASE-SX и другие)
٠ DSL, ISDN
Канальный уровень (англ. Data Link layer)
Предназначен для обеспечения взаимодействия сетей на физическом уровне и
контроля за ошибками, которые могут возникнуть. Полученные с физического уровня
данные он упаковывает в кадры, проверяет на целостность, если нужно, исправляет
ошибки (формирует повторный запрос поврежденного кадра) и отправляет на сетевой
уровень. Канальный уровень может взаимодействовать с одним или несколькими
физическими уровнями, контролируя и управляя этим взаимодействием.
Спецификация IEEE 802 разделяет этот уровень на два подуровня — MAC (Media
Access Control) регулирует доступ к разделяемой физической среде, LLC (Logical Link
Control) обеспечивает обслуживание сетевого уровня.
На этом уровне работают коммутаторы, мосты.
Протоколы канального уровня:
٠ ARCnet
٠ ATM
٠ Cisco Discovery Protocol (CDP)
٠ Controller Area Network (CAN)
٠ Econet
٠ Ethernet, Ethernet Automatic Protection Switching (EAPS), Fiber Distributed Data
Interface (FDDI), Frame Relay
٠ High-Level Data Link Control (HDLC), IEEE 802.2 (provides LLC functions to
IEEE 802 MAC layers), Link Access Procedures, 802.11 wireless LAN
٠ LocalTalk
٠ Multiprotocol Label Switching (MPLS)
٠ Point-to-Point Protocol (PPP)
54
٠ Serial Line Internet Protocol (SLIP) (obsolete)
٠ Token ring
Сетевой уровень (англ. Network layer)
3-й уровень сетевой модели OSI предназначен для определения пути передачи
данных. Отвечает за трансляцию логических адресов и имён в физические,
определение кратчайших маршрутов, коммутацию и маршрутизацию, отслеживание
неполадок и «заторов» в сети.
Протоколы сетевого уровня маршрутизируют данные от источника к получателю.
На этом уровне работает маршрутизатор (роутер).
Пример: IP/IPv4/IPv6 (Internet Protocol), IPX (Internetwork Packet Exchange, протокол
межсетевого обмена), X.25 (частично этот протокол реализован на уровне 2) CLNP
(сетевой протокол без организации соединений), IPsec (Internet Protocol Security),
ICMP (Internet Control Message Protocol), RIP (Routing Information Protocol), OSPF
(Open Shortest Path First), ARP (Address Resolution Protocol).
Транспортный уровень (англ. Transport layer)
4-й уровень модели предназначен для обеспечения надёжной передачи данных от
отправителя к получателю. При этом уровень надёжности может варьироваться в
широких пределах. Существует множество классов протоколов транспортного уровня,
начиная от протоколов, предоставляющих только основные транспортные функции и
заканчивая протоколами, которые гарантируют доставку в пункт назначения
нескольких пакетов данных в надлежащей последовательности, обеспечивают
механизм управления потоками данных и гарантируют достоверность принятых
данных.
Пример: ATP (AppleTalk Transaction Protocol), CUDP (Cyclic UDP), DCCP (Datagram
Congestion Control Protocol), FCP (Fiber Channel Protocol), IL (IL Protocol), NBF
(NetBIOS Frames protocol), NCP (NetWare Core Protocol), SCTP (Stream Control
Transmission Protocol), SPX (Sequenced Packet Exchange), SST (Structured Stream
Transport), TCP (Transmission Control Protocol), UDP (User Datagram Protocol).
Сеансовый уровень (англ. Session layer)
Отвечает за поддержание сеанса связи, позволяя приложениям взаимодействовать
между собой длительное время. Уровень управляет созданием/завершением сеанса,
обменом информацией, синхронизацией задач, определением права на передачу
данных и поддержанием сеанса в периоды неактивности приложений.
Пример: ADSP (AppleTalk Data Stream Protocol), ASP (AppleTalk Session Protocol),
H.245 (Call Control Protocol for Multimedia Communication), ISO-SP (OSI Session Layer
Protocol (X.225, ISO 8327)), iSNS (Internet Storage Name Service), L2F (Layer 2
Forwarding Protocol), L2TP (Layer 2 Tunneling Protocol),
Представительский (Уровень представления) (англ. Presentation layer)
Отвечает за преобразование протоколов и кодирование/декодирование данных.
Запросы приложений, полученные с прикладного уровня, он преобразует в формат для
передачи по сети, а полученные из сети данные преобразует в формат, понятный
приложениям. На этом уровне может осуществляться сжатие/распаковка или
55
кодирование/декодирование данных, а также перенаправление запросов другому
сетевому ресурсу, если они не могут быть обработаны локально.
Уровень представлений имеет дело не только с форматами и представлением
данных, он также занимается структурами данных, которые используются
программами. Таким образом, уровень 6 обеспечивает организацию данных при их
пересылке.
Другой функцией, выполняемой на уровне представлений, является шифрование
данных, которое применяется в тех случаях, когда необходимо защитить
передаваемую информацию от приема несанкционированными получателями.
Стандарты уровня представлений также определяют способы представления
графических изображений. Для этих целей может использоваться формат PICT —
формат изображений, применяемый для передачи графики QuickDraw между
программами.
Другим форматом представлений является тэгированный формат файлов
изображений TIFF, который обычно используется для растровых изображений с
высоким разрешением. Следующим стандартом уровня представлений, который может
использоваться для графических изображений, является стандарт, разработанный
Объединенной экспертной группой по фотографии (Joint Photographic Expert Group); в
повседневном пользовании этот стандарт называют просто JPEG.
Существует другая группа стандартов уровня представлений, которая определяет
представление звука и кинофрагментов. Сюда входят интерфейс электронных
музыкальных инструментов (англ. Musical Instrument Digital Interface, MIDI) для
цифрового представления музыки, разработанный Экспертной группой по
кинематографии стандарт MPEG, используемый для сжатия и кодирования
видеороликов на компакт-дисках, хранения в оцифрованном виде и передачи со
скоростями до 1,5 Мбит/с, и QuickTime — стандарт, описывающий звуковые и видео
элементы для программ, выполняемых на компьютерах Macintosh и PowerPC.
Пример: AFP — Apple Filing Protocol, ICA — Independent Computing Architecture,
LPP — Lightweight Presentation Protocol, NCP — NetWare Core Protocol, NDR —
Network Data Representation RDP — Remote Desktop Protocol, XDR — eXternal Data
Representation, X.25 PAD — Packet Assembler/Disassembler Protocol
Прикладной уровень (уровень приложений) (англ. Application layer)
Верхний (7ой) уровень модели обеспечивает взаимодействие пользовательских
приложений с сетью. Этот уровень позволяет приложениям использовать сетевые
службы, такие как:
٠ удалённый доступ к файлам и базам данных
٠ пересылка электронной почты.
Также прикладной уровень:
٠ отвечает за передачу служебной информации
٠ предоставляет приложениям информацию об ошибках
٠ формирует запросы.
Пример:
٠ HTTP,
٠ POP3,
٠ SMTP,
٠ FTP,
56
٠
٠
٠
٠
٠
XMPP,
OSCAR,
Modbus,
SIP,
TELNET
Стек протоколов сети Интернет был разработан до модели OSI. Поэтому уровни в
стеке протоколов Интернета не соответствуют аналогичным уровням в модели OSI.
Стек протоколов Интернета состоит из пяти уровней: физического, звена передачи
данных, сети, транспортного и прикладного.
57
40. Стек протоколов Интернета
Стек протоколов сети Интернет был разработан до модели OSI. Поэтому уровни в
стеке протоколов Интернета не соответствуют аналогичным уровням в модели OSI.
Стек протоколов Интернета состоит из пяти уровней: физического, звена передачи
данных, сети, транспортного и прикладного.
Первые четыре уровня обеспечивают физические стандарты, сетевой интерфейс,
межсетевое взаимодействие и транспортные функции, которые соответствуют первым
четырем уровням модели OSI.
Три самых верхних уровня в модели OSI представлены в стеке протоколов
Интернета единственным уровнем, называемым прикладным уровнем.
В сети на основе TCP/IP используются три различных уровня адресов: физический
адрес (линия связи), интернет-адрес (IP) и адрес порта.
58
Каждый адрес принадлежит заданному уровню TCP/IP-архитектуры.
Физический адрес
Физический адрес (Media Access Control — MAC-адрес) используется для
установления соединения в локальной сети (подсети). Этот адрес совпадает с номером
сетевого адаптера (сетевой карты) компьютера и жестко устанавливается заводомизготовителем из пула (диапазона) отведенных ему адресов. Записывается в виде
шестнадцатеричных чисел, разделенных двоеточием, например, 08:00:06:3F:D4:E1, где
первые три значения определяют фирму-производителя (00:10:5a:xx:xx:xx – 3Com,
00:03:ba:xx:xx:xx – Sun, 00:01:e3:xx:xx:xx – Siemens), а последующие – порядковый
номер узла.
Интернет-адрес
Адреса Интернета необходимы для универсальных служб связи, которые не зависят
от основных физических сетей. Физические адреса не адекватны в межсетевой среде,
где различные сети могут иметь различные форматы адреса. Необходима
универсальная система адресации, в которой каждый хост может быть
идентифицирован уникально, независимо от основной физической сети.
59
Для этой цели применяются IP-адреса. Интернет(IP)-адрес в настоящее время
состоит из 32 бит. Он может уникально определить хост, подключенный к сети
Интернет. Никакие два хоста на сети Интернет не могут иметь один и тот же самый IPадрес.
Адрес порта
Адрес IP и физический адрес необходимы для порции данных, перемещающихся от
источника до хоста пункта назначения. Однако прибытие в хост пункта назначения —
не конечная цель обмена сообщениями данных в Интернете. Система, которая
передает только данные от одного компьютера до другого, не может считаться
законченной. На целевом компьютере, может выполняться несколько процессов
одновременно. Конечная цель сети Интернет — коммутация процесса, работающего с
другим процессом. Например, компьютер A общается с компьютером C, используя
TELNET. В то же самое время компьютер A общается с компьютером с
использованием протокола передачи файлов FTP. Для этих процессов, возникающих
одновременно, нам надо иметь метод, позволяющий маркировать различные процессы.
В архитектуре TCP/IP метка, назначаемая процессу, названа адресом порта. Адрес
порта в TCP/IP — 16 битов длиной.
60
41. Версии протокола IP
TCP/IP стал официальным протоколом для Интернета в 1983-м и развивался вместе
с развитием Интернета. Исторически существовало шесть версий TCP/IP.
Версия 4
Большинство сетей в Интернете в настоящее время использует версию 4. Однако
она имеет существенные недостатки. Главный из них — это проблема с адресом
Интернета: только 32 бита длины в адресном пространстве, разделенном на различные
классы. С быстрым ростом Интернета 32 бит уже не достаточно, чтобы оснастить
проектируемое число пользователей. Также и разделение места в различных классах
ограничивает в дальнейшем доступные адреса.
Версия 5
Версия 5 была предложением, основанным на модели OSI. Она никогда так и не
вышла из рамок предложения из-за обширного уровня изменений и проектируемых
расходов.
Версия 6
IPv6, или IPng (IP next generation — следующее поколение IP), использует 16байтовые адреса (128 битов) взамен 4-байтовых адресов (32 бита), применяемых в
настоящее время в версии 4. IPv6 может таким образом разместить большее число
пользователей. Большое адресное пространство. IPv6-адрес имеет 128 бит длины. По
сравнению с 32-битовым адресом IPv4 это громадное (296) увеличение адресного
пространства.
Лучший формат заголовка. IPv6 использует новый формат заголовка, в котором
опции отделены от основного заголовка и вставлены, когда это нужно, между
основным заголовком и данными более высокого уровня. Это упрощает и ускоряет
процесс маршрутизации, потому что большинство опций не нужны для обработки
маршрутизатором.
Возможности для расширения. IPv6 разработан так, чтобы позволить расширить
возможности протоколов, если потребуются новые технологии и применения.
42. Межсетевое взаимодействие (маршрутизация)
В OSI функции сетевого уровня входит решение следующих задач:
- передача пакетов между конечными узлами в составных сетях;
- выбор маршрута передачи пакетов, наилучшего по некоторому критерию;
- согласование разных протоколов канального уровня, использующихся в отдельных
подсетях одной составной сети.
Протоколы сетевого уровня реализуются в виде программных модулей и
выполняются на конечных узлах-компьютерах, называемых хостами, и на
промежуточных узлах – маршрутизаторах (шлюзах). Функции маршрутизаторов могут
выполнять как специализированные устройства, так и универсальные компьютеры с
соответствующим программным обеспечением.
Функцией маршрутизатора является доставка трафика в пункт назначения в max
короткие сроки.
Принципы маршрутизации.
61
Главной задачей сетевого уровня является маршрутизация - передача пакетов между
двумя конечными узлами в составной сети.
Задачу выбора маршрута из нескольких возможных решают маршрутизаторы, а также
конечные узлы. Маршрут выбирается на основании имеющейся у этих устройств
информации о текущей конфигурации сети, а также на основании указанного критерия
выбора маршрута. Обычно в качестве критерия выступает задержка прохождения
маршрута отдельным пакетом или средняя пропускная способность маршрута для
последовательности пакетов. Часто также используется весьма простой критерий,
учитывающий только количество пройденных в маршруте промежуточных
маршрутизаторов (хопов).
Таблица маршрутизации.
62
43.Создание структурированной сети. Ограничения мостов и коммутаторов
Создание структурированной сети, интегрирующей различные базовые технологии,
может осуществляться средствами канального уровня: для этого могут быть
использованы некоторые типы мостов и коммутаторов.
Мост или коммутатор разделяет сеть на сегменты, локализуя трафик внутри
сегмента.
63
Т.о. сеть распадается на отдельные подсети, из которых могут быть построены
составные сети достаточно крупных размеров.
Ограничения мостов и коммутаторов:
- в топологии получившейся сети должны отсутствовать петли. Действительно,
мост/коммутатор может решать задачу доставки пакета адресату только тогда, когда
между отправителем и получателем существует единственный путь.
- логические сегменты сети, расположенные между мостами или коммутаторами,
слабо изолированы друг от друга, (не защищены от широковещательных штормов).
- в сетях, построенных на основе мостов и коммутаторов, достаточно сложно
решается задача управления трафиком на основе значения данных, содержащихся в
пакете.
- реализация транспортной подсистемы только средствами физического и
канального уровней, приводит к недостаточно гибкой, одноуровневой системе
адресации: в качестве адреса назначения используется МАС - адрес, жестко связанный
с сетевым адаптером.
- возможностью трансляции протоколов канального уровня обладают далеко не все
типы мостов и коммутаторов, к тому же эти возможности ограничены. В частности, в
объединяемых сетях должны совпадать максимально допустимые размеры полей
данных в кадрах, так как мостами и коммутаторами не поддерживается функция
фрагментации кадров.
Основная цель введения сетевого уровня состоит в следующем.
Сеть в общем случае рассматривается как совокупность нескольких сетей и
называется составной сетью или интерсетью (internetwork или internet). Сети,
входящие в составную сеть, называются подсетями (subnet), составляющими сетями
или просто сетями.
64
Принципы маршрутизации
Функцией маршрутизатора является доставка трафика в пункт назначения в max
короткие сроки.
Главной задачей сетевого уровня является маршрутизация - передача пакетов между
двумя конечными узлами в составной сети.
Задачу выбора маршрута из нескольких возможных решают маршрутизаторы, а
также конечные узлы. Маршрут выбирается на основании имеющейся у этих
устройств информации о текущей конфигурации сети, а также на основании
указанного критерия выбора маршрута. Обычно в качестве критерия выступает
задержка прохождения маршрута отдельным пакетом или средняя пропускная
способность маршрута для последовательности пакетов. Часто также используется
весьма простой критерий, учитывающий только количество пройденных в маршруте
промежуточных маршрутизаторов (хопов).
44. Назначение межсетевого экрана (firewall). Классификация firewall
Межсетевой экран (firewall) - это устройство контроля доступа в сеть,
предназначенное для блокировки всего трафика, за исключением разрешенных
65
данных. Этим оно отличается от маршрутизатора, функцией которого является
доставка трафика в пункт назначения в максимально короткие сроки.
Межсетевые экраны позволяют осуществлять централизованное управление
безопасностью. В одной конфигурации администратор может настроить разрешенный
входящий трафик для всех внутренних систем организации.
Firewall’ы защищают компьютеры и сети от попыток несанкционированного
доступа с использованием уязвимых мест, существующих в семействе протоколов
ТСР/IP. Они помогают решать проблемы безопасности, связанные с использованием
уязвимых систем и с наличием большого числа компьютеров в локальной сети.
Существует несколько типов firewall’ов, начиная от пакетных фильтров, встроенных в
пограничные роутеры, которые могут обеспечивать управление доступом для IPпакетов, до мощных firewall’ов, которые могут закрывать уязвимости в большом
количестве уровней семейства протоколов ТСР/IP, и еще более мощных firewall'ов,
которые могут фильтровать трафик на основании всего содержимого пакета.
Современные firewall’ы могут работать совместно с такими инструментальными
средствами, как системы обнаружения проникновений и сканеры содержимого e-mail
или web с целью нахождения вирусов или опасного прикладного кода. Но в
отдельности firewall не обеспечивает полной защиты от всех проблем, порожденных
Интернетом. Firewall’ы являются только одной частью архитектуры информационной
безопасности.
Существуют два основных типа межсетевых экранов:
٠ межсетевые экраны прикладного уровня
٠ межсетевые экраны с пакетной фильтрацией.
Межсетевые экраны прикладного уровня, или прокси-экраны, представляют собой
программные пакеты, базирующиеся на операционных системах общего назначения
(таких как Windows NT и Unix) или на аппаратной платформе межсетевых экранов.
Межсетевой экран обладает несколькими интерфейсами, по одному на каждую из
сетей, к которым он подключен. Набор правил политики определяет, каким образом
трафик передается из одной сети в другую. Если в правиле отсутствует явное
разрешение на пропуск трафика определенного вида, межсетевой экран отклоняет или
аннулирует пакеты.
Межсетевые экраны с пакетной фильтрацией могут также быть программными
пакетами, базирующимися на операционных системах общего назначения (таких как
Windows NT и Unix) либо на аппаратных платформах межсетевых экранов.
66
Межсетевой экран имеет несколько интерфейсов, по одному на каждую из сетей, к
которым подключен экран. Аналогично межсетевым экранам прикладного уровня,
доставка трафика из одной сети в другую определяется набором правил политики.
Если правило не разрешает явным образом определенный трафик, то соответствующие
пакеты будут отклонены или аннулированы межсетевым экраном.
В настоящее время существует несколько типов firewall’ов. Одним из способов
сравнения их возможностей является перечисление уровней модели OSI, которые
данный тип firewall’а может анализировать. Модель OSI является абстракцией
сетевого взаимодействия между компьютерными системами и сетевыми устройствами.
Рассмотрим только уровни модели OSI, относящиеся к firewall’ам.
Стек протоколов модели OSI определяется следующим образом: Уровень 1
представляет собой реальную аппаратуру физического соединения и среду, такую как
Ethernet. Уровень 2 — уровень, на котором сетевой трафик передается по локальной
сети (LAN). Он также является первым уровнем, обладающим возможностью
адресации, с помощью которой можно идентифицировать отдельную машину. Адреса
назначаются на сетевые интерфейсы и называются МАС (Media Access Control)
адресами. Ethernet-адрес, принадлежащий Ethernet-карте, является примером МАСадреса уровня 2.
Уровень 3 является уровнем, отвечающим за доставку сетевого трафика по WAN. В
Интернете адреса уровня 3 называются IP-адресами; адреса обычно являются
уникальными, но при определенных обстоятельствах, например, при трансляции
сетевых адресов (NAT) возможны ситуации, когда различные физические системы
имеют один и тот же IP-адрес уровня 3. Уровень 4 идентифицирует конкретное
сетевое приложение и коммуникационную сессию в дополнение к сетевым адресам;
система может иметь большое число сессий уровня 4 с другими ОС. Терминология,
связанная с семейством протоколов ТСР/IP, включает понятие портов, которые могут
рассматриваться как конечные точки сессий: номер порта источника определяет
коммуникационную сессию на исходной системе; номер порта назначения определяет
коммуникационную сессию системы назначения. Более высокие уровни (5, 6 и 7)
представляют приложения и системы конечного пользователя.
Стек протоколов TCP/IP соотносится с уровнями модели OSI следующим образом:
67
Современные firewall’ы функционируют на любом из перечисленных уровней. С
точки зрения функциональности, firewall, умеющий анализировать большее число
уровней, является более совершенным и эффективным. За счет охвата
дополнительного уровня также увеличивается возможность более тонкой настройки
конфигурации firewall’а. Возможность анализировать более высокие уровни позволяет
firewall’у предоставлять сервисы, которые ориентированы на пользователя, например,
аутентификация пользователя. Firewall, который функционирует на уровнях 2, 3 и 4,
не имеет дело с подобной аутентификацией.
45. Межсетевые экраны с пакетной фильтрацией. Алгоритм работы.
Преимущества и недостатки
Межсетевые экраны с пакетной фильтрацией могут также быть программными
пакетами, базирующимися на операционных системах общего назначения (таких как
Windows NT и Unix) либо на аппаратных платформах межсетевых экранов.
Межсетевой экран имеет несколько интерфейсов, по одному на каждую из сетей, к
которым подключен экран. Аналогично межсетевым экранам прикладного уровня,
доставка трафика из одной сети в другую определяется набором правил политики.
Если правило не разрешает явным образом определенный трафик, то соответствующие
пакеты будут отклонены или аннулированы межсетевым экраном.
Самый основной, базовый, первоначально разработанный тип firewall’а называется
пакетным фильтром. Пакетные фильтры в основном являются частью устройств
роутинга, которые могут управлять доступом на уровне системных адресов и
коммуникационных сессий. Функциональность управления доступом обеспечивается с
помощью множества директив, называемых ruleset или rules (правила).
Вначале пакетные фильтры функционировали на уровне 3 (Network) модели OSI.
Данная функциональность разработана для обеспечения управления сетевым
доступом, основываясь на нескольких блоках информации, содержащихся в сетевом
пакете. В настоящее время все пакетные фильтры также анализируют и уровень 4
(Transport).
Пакетные фильтры анализируют следующую информацию, содержащуюся в
заголовках пакетов 3-го и 4-го уровней:
•Адрес источника пакета, например, адрес уровня 3 системы или устройства,
откуда получен исходный сетевой пакет (IP-адрес, такой как 192.168.1.1).
•Адрес назначения пакета, например, адрес уровня 3 пакета, который он пытается
достигнуть (например, 192.168.1.2).
68
•Тип коммуникационной сессии, т.е. конкретный сетевой протокол, используемый
для взаимодействия между системами или устройствами источника и назначения
(например, ТСР, UDP или ICMP).
•Возможно некоторые характеристики коммуникационных сессий уровня 4, такие
как порты источника и назначения сессий (например, ТСР:80 для порта назначения,
обычно принадлежащий web-серверу, ТСР:1320 для порта источника, принадлежащий
персональному компьютеру, который осуществляет доступ к серверу).
•Иногда информация, относящаяся к интерфейсу роутера, на который пришел пакет,
и информация о том, какому интерфейсу роутера она предназначена; это используется
для роутеров с тремя и более сетевыми интерфейсами.
•Иногда информация, характеризующая направление, в котором пакет пересекает
интерфейс, т.е. входящий или исходящий пакет для данного интерфейса.
•Иногда можно также указать свойства, относящиеся к созданию логов для данного
пакета.
Пакетные фильтры обычно размещаются в сетевой инфраструктуре, использующей
ТСР/IP. Однако они могут также быть размещены в любой сетевой инфраструктуре,
которая имеет адресацию уровня 3, например, IPX (Novell NetWare) сети. В
современных сетевых инфраструктурах firewall’ы на уровне 2 могут также
использоваться для обеспечения балансировки нагрузки и/или в приложениях с
высокими требованиями к доступности, в которых два или более firewall’а
используются для увеличения пропускной способности или для выполнения
восстановительных операций.
Некоторые пакетные фильтры, встроенные в роутеры, могут также фильтровать
сетевой трафик, основываясь на определенных характеристиках этого трафика, для
предотвращения DoS- и DDoS-атак.
Пакетные фильтры могут быть реализованы в следующих компонентах сетевой
инфраструктуры:
٠ пограничные роутеры;
٠ ОС;
٠ персональные firewall’ы.
Основным преимуществом пакетных фильтров является их скорость. Так как
пакетные фильтры обычно проверяют данные до уровня 3 модели OSI, они могут
функционировать очень быстро. Также пакетные фильтры имеют возможность
блокировать DoS-атаки и связанные с ними атаки. По этим причинам пакетные
фильтры, встроенные в пограничные роутеры, идеальны для размещения на границе с
сетью с меньшей степенью доверия. Пакетные фильтры, встроенные в пограничные
роутеры, могут блокировать основные атаки, фильтруя нежелательные протоколы,
выполняя простейший контроль доступа на уровне сессий и затем передавая трафик
другим firewall’ам для проверки более высоких уровней стека OSI.
Недостатки пакетных фильтров:
♦ Так как пакетные фильтры не анализируют данные более высоких уровней, они не
могут предотвратить атаки, которые используют уязвимости или функции,
специфичные для приложения. Например, пакетный фильтр не может блокировать
конкретные команды приложения; если пакетный фильтр разрешает данный трафик
для приложения, то все функции, доступные данному приложению, будут разрешены.
♦ Так как firewall’у доступна ограниченная информация, возможности логов в
пакетных фильтрах ограничены. Логи пакетного фильтра обычно содержат ту же
69
информацию, которая использовалась при принятии решения о возможности доступа
(адрес источника, адрес назначения, тип трафика и т.п.).
♦ Большинство пакетных фильтров не поддерживают возможность аутентификации
пользователя. Данная возможность обеспечивается firewall’ами, анализирующими
более высокие уровни.
♦ Они обычно уязвимы для атак, которые используют такие проблемы ТСР/IP, как
подделка (spoofing) сетевого адреса. Многие пакетные фильтры не могут определить,
что в сетевом пакете изменена адресная информация уровня 3 OSI. Spoofing-атаки
обычно выполняются для обхода управления доступа, осуществляемого firewall’ом.
♦ При принятии решений о предоставлении доступа используется небольшое
количество информации.
♦ Пакетные фильтры трудно конфигурировать.
♦ Пакетные фильтры больше всего подходят для высокоскоростных окружений,
когда создание логов и аутентификация пользователя для сетевых ресурсов не столь
важна.
46. Набор правил пакетного фильтра. Возможные действия над пакетами
Предположим, что в организации существует следующая топология
Таблица 1.5. Набор правил пакетного фильтра
Адрес
Порт
Адрес
Порт
Дейс
источн
источн
назначения
назнач
твие
ика
ика
1 Any
Any
Описание
ения
192.168.1.0 >1023 Allo
Правило разрешает
(рабочая
возвращать ТСР-соединения
w
станция)
во внутреннюю подсеть, т.е.
пользователи внутренней
сети могут выходить в
Интернет
2 192.16
8.1.1(п
Any
Any
Any
Deny Защищает сам пакетный
фильтр от непосредственного
70
акетны
соединения с кем-либо
й
фильт
р)
3 Any
Any
192.168.1.1 Any
Deny Предотвращает
непосредственный доступ
всех пользователей к
пакетному фильтру
4 192.16
Any
Any
Any
8.1.0
Allo
Внутренние пользователи
w
могут иметь доступ к
внешним серверам
5 Any
Any
192.168.1.2 SMTP Allo
Разрешает всем (внешним и
(SMTP-
внутренним) пользователям
w
сервер)
посылать e-mail внутренним
пользователям
6 Any
Any
192.168.1.3 НТТР
Allo
Разрешает внешним
(НТТР-
w
пользователям иметь доступ
сервер)
7 Any
Any
Any
к WWW-серверу
Any
Deny "Запретить все": правило –
все, что не разрешено, то
запрещено
В таблице приведен пример набора правил пакетного фильтра для сети с IPадресами 192.168.1.0/255, т.е. локальная сеть имеет адреса в диапазоне от 192.168.1.0
до 192.168.1.254. В большинстве случаев набор правил должен быть детальнее.
Обычно firewall принимает пакет, просматривает его адреса и порты источника и
назначения и определяет используемый прикладной протокол. Далее firewall начинает
просматривать правила сверху вниз. Если найдено правило, которое соответствует
анализируемой в пакете информации, то выполняется указанное в правиле действие:
•Accept (в некоторых пакетных фильтрах может быть Allow или Pass): firewall
пропускает пакет через firewall, при этом может происходить создание лога, либо не
происходить.
•Deny: firewall отбрасывает пакет без его передачи. После того как пакет отброшен,
исходной системе возвращается сообщение об ошибке ("host unreachable"). Событие
"Deny" может как создавать, так и не создавать запись лога, в зависимости от
конфигурации набора правил firewall’а.
71
•Discard (в некоторых пакетных фильтрах может быть Unreach, Block или Reject):
firewall не только отбрасывает пакет, но и не возвращает сообщение об ошибке
исходной системе. Данное действие используется для реализации методологии
"черной дыры", когда firewall не обнаруживает свое присутствие для внешней
стороны. Как и для других действий, "Discard" может создавать и не создавать записи
в логах.
В приведенной выше таблице первое правило разрешает, чтобы пакеты от внешних
систем возвращались во внутренние системы, тем самым разрешая завершать создание
соединения. Второе правило запрещает firewall’у пересылать любые пакеты с адресом
источника firewall’а; данное условие предотвращает возможность атакующего
подделать адрес firewall’а, заменив свой адрес на адрес firewall’а, чтобы firewall
передал пакет внутреннему получателю. Третье правило просто блокирует все пакеты
от непосредственного доступа к firewall’у.
Четвертое правило разрешает внутренним системам соединяться с внешними
системами, используя любые внешние адреса и любой протокол. Правила 5 и 6
разрешают внешним пакетам проходить firewall, если они содержат SMTP- или НТТРданные.
Важным свойством пакетных фильтров является то, что фильтрация может
осуществляться как для исходящего, так и для входящего трафика. Организация может
выбрать ограничение типов трафика, передаваемых из внутренней сети, например,
блокирование всего исходящего FTP-трафика. На практике исходящая фильтрация
чаще всего применяется к IP-адресам и приложениям для блокировки возможности
соединения всех пользователей, внутренних и внешних, с некоторыми системами,
такими как сам пакетный фильтр, backup-серверы и другие чувствительные системы.
47. Пакетные фильтры с контролем состояний (Stateful Inspection).
Преимущества и недостатки
Stateful Inspection firewall’ы являются пакетными фильтрами, которые анализируют
содержимое 4-го уровня (Transport) модели OSI.
Stateful inspection разрабатывались, исходя из необходимости рассматривать
основные особенности протоколов TCP/IP. Когда ТСР создает сессию с удаленной
системой, также открывается порт на исходной системе для получения сетевого
трафика от системы назначения. В соответствии со спецификацией ТСР, данный порт
источника клиента будет некоторым числом больше 1023 и меньше 16384. Порт
назначения на удаленном хосте, как правило, имеет фиксированный номер. Например,
для SMTP это будет 25.
Пакетные фильтры должны разрешать входящий сетевой трафик для всех таких
портов "с большими номерами" для транспорта, ориентированного на соединение, так
как это будут возвращаемые пакеты от системы назначения. Открытие портов создает
риск несанкционированного проникновения в локальную сеть.
В таблице 1.6 показана первая строчка набора правил пакетного фильтра из
приведенной выше таблицы, которая разрешает любое входящее соединение, если
порт назначения больше 1023. Stateful inspection firewall’ы решают эту проблему
созданием таблицы для исходящих ТСР-соединений, соответствующих каждой сессии.
Эта "таблица состояний" затем используется для проверки допустимости любого
входящего трафика. Решение stateful inspection является более безопасным, потому что
72
отслеживать используемые порты каждого клиента лучше, чем открывать для
внешнего доступа все порты "с большими номерами".
Таблица 1.6. Правило завершения создания соединения
Адре
с
Порт
Адрес
Порт
источн назначени назнач
источ
ика
я
Дейст
Описание
вие
ения
ника
Any
Any
192.168.1.0 >1023
Allow
Правило разрешает
возвращать ТСР-соединения
во внутреннюю подсеть
В сущности, stateful inspection firewall’ы добавляют понимание уровня 4 в
архитектуру пакетного фильтра. Stateful inspection firewall’ы разделяют сильные и
слабые стороны пакетных фильтров, но вследствие реализации таблицы состояний
stateful inspection firewall’ы обычно считаются более безопасными, чем пакетные
фильтры. В таблице 1.7 показан пример таблицы состояний firewall’а stateful
inspection.
Таблица 1.7. Таблица состояний соединений stateful inspection firewall’а
Адрес
Порт
Адрес
Порт
Состояние
источника
источника
назначения
назначения
соединения
192.168.1.100
1030
210.9.88.29
80
Establish
192.168.1.102
1031
216.32.42.123
80
Establish
192.168.1.101
1033
173.66.32.122
25
Establish
192.168.1.106
1035
177.66.32.122
79
Establish
223.43.21.231
1990
192.168.1.6
80
Establish
219.22.123.32
2112
192.168.1.6
80
Establish
210.99.212.18
3321
192.168.1.6
80
Establish
24.102.32.23
1025
192.168.1.6
80
Establish
223.212.212
1046
192.168.1.6
80
Establish
Преимущества stateful inspection firewall’а:
٠ Разрешает прохождение пакетов только для установленных соединений;
٠ Прозрачен для клиентов и серверов, т.к. не разрывает ТСР-соединение.
Недостатки stateful inspection firewall’а:
73
Реально используется только в сетевой инфраструктуре TCP/IP. Хотя, надо
отметить, что stateful inspection firewall можно реализовать в других сетевых
протоколах тем же способом, что и пакетные фильтры.
48. Пакетные фильтры, встроенные в ОС. Преимущества и недостатки
Host-based firewall’ы
Пакетные фильтры реализованы в некоторых ОС, таких как Unix/Linux; они могут
использоваться только для обеспечения безопасности хоста, на котором они
функционируют. Это может быть полезно при совместном функционировании с
различными серверами; например, внутренний web-сервер может выполняться на
системе, на которой функционирует host-based firewall.
Преимущества host-based firewall’а:
٠ Приложение сервера защищено лучше, чем, если бы оно выполнялось на ОС,
не имеющей host-based firewall’а: внутренние серверы должны быть сами по
себе защищены, и не следует предполагать, что они не могут быть атакованы
только потому, что они расположены позади основного firewall’а.
٠ Выполнение firewall’а на отдельном хосте не является необходимым условием
для обеспечения безопасности сервера: host-based firewall достаточно хорошо
выполняет функции обеспечения безопасности.
٠ ПО, реализующее host-based firewall, обычно предоставляет возможность
управления доступом для ограничения трафика к серверам и от серверов,
выполняющихся на том же хосте, и обычно существуют определенные
возможности создания логов.
Недостаток host-based firewall’а:
Каждый такой firewall должен администрироваться самостоятельно, и после
определенного количества серверов с host-based firewall’ами легче и дешевле просто
разместить все серверы позади выделенного firewall’а.
49. Firewall прикладного уровня (прокси - серверы). Преимущества и
недостатки
Прокси прикладного уровня являются более мощными firewall’ами, которые
комбинируют управление доступом на низком уровне с функциональностью более
высокого уровня (уровень 7 – Application).
74
Рис. 1.3. Типичные прокси-агенты
При использовании firewall’а прикладного уровня обычно, как и в случае пакетного
фильтра не требуется дополнительное устройство для выполнения роутинга: firewall
выполняет его сам. Все сетевые пакеты, которые поступают на любой из интерфейсов
firewall’а, находятся под управлением этого прикладного прокси. Прокси-сервер имеет
набор правил управления доступом для определения того, какому трафику может быть
разрешено проходить через firewall.
Аутентификация пользователя может иметь много форм, например такие:
٠ с помощью User ID и пароля;
٠ с помощью аппаратного или программного токена;
٠ по адресу источника;
٠ биометрическая аутентификация.
Прокси-сервер, который анализирует конкретный протокол прикладного уровня,
называется агентом прокси.
Преимущества прокси-сервера прикладного уровня:
٠ Прокси имеет возможность запросить аутентификацию пользователя. Часто
существует возможность указывать тип аутентификации, который считается
необходимым для данной инфраструктуры. Прикладные прокси имеют
возможность аутентифицировать самих пользователей.
٠ Возможности аутентификации, свойственные архитектуре прикладного
уровня, лучше по сравнению с теми, которые существуют в пакетных фильтрах и
stateful inspection пакетных фильтрах. Благодаря этому прикладные прокси могут
быть сделаны менее уязвимыми для атак подделки адреса.
٠ Firewall’ы прикладного уровня обычно имеют больше возможностей
анализировать весь сетевой пакет, а не только сетевые адреса и порты.
٠ Как правило, прокси прикладного уровня создают более подробные логи.
٠ Более развитая функциональность прикладного прокси имеет также
несколько недостатков по сравнению с пакетными фильтрами и stateful
inspection пакетными фильтрами.
Недостатки прокси-сервера прикладного уровня:
٠ Т.к. прикладные прокси "знают о пакете все", firewall тратит много времени
для чтения и интерпретации каждого пакета. По этой причине прикладные
прокси обычно не подходят для приложений, которым необходима высокая
пропускная способность, или приложений real t. Чтобы уменьшить загрузку
firewall’а, может использоваться выделенный прокси-сервер для обеспечения
75
безопасности менее чувствительных ко времени сервисов, таких как e-mail и
большинство web-трафика.
٠ Прикладные прокси обрабатывают ограниченное количество сетевых
приложений и протоколов и не могут автоматически поддерживать новые
сетевые приложения и протоколы. Для каждого прикладного протокола, который
должен проходить через firewall, необходим свой агент прокси. Большинство
производителей прикладных прокси предоставляют общих агентов прокси для
поддержки неизвестных сетевых приложений или протоколов. Однако эти
общие агенты не имеют большинства преимуществ прикладных прокси: как
правило, они просто туннелируют трафик через firewall.
50. Трансляция сетевых адресов (NAT). Назначение, используемые варианты
Технология трансляции сетевых адресов (NAT) была разработана для решения
двух важных проблем, возникших в сетевой инженерии и безопасности. Во-первых,
NAT является эффективным средством для скрытия схемы сетевой адресации
позади firewall’а. В сущности, трансляция сетевых адресов позволяет организации
развертывать схему адресации позади firewall’а в соответствии со своим выбором, в то
же время поддерживая возможность соединяться с внешними ресурсами через firewall.
Во-вторых, это решает проблему исчерпания пространства IP-адресов.
NAT выполняется в трех основных формах: статическая трансляция сетевых
адресов, скрытая трансляция сетевых адресов и трансляция портов.
1. Статическая трансляция сетевых адресов
При статической трансляции сетевых адресов каждая внутренняя система или
частная сеть имеет соответствующий, связанный с ней внешний IP-адрес. Данная
технология используется редко из-за недостатка доступных IP-адресов. При
статической трансляции сетевых адресов возможно предоставление доступа к
ресурсам, размещенным позади firewall’а. Другими словами, внешняя система может
иметь доступ ко внутреннему web-серверу; при этом адрес отображается с
использованием статической трансляции сетевых адресов. Ниже приведен пример
таблицы статической трансляции сетевых адресов, отображающей внутренние IPадреса, к которым не выполняется роутинг, во внешние адреса, к которым
выполняется роутинг.
Таблица 1.8. Таблица статической трансляции сетевых адресов
Внутренний IP-адрес
Внешний (глобально доступный)IP-адрес
192.168.1.100
207.119.32.81
192.168.1.101
207.119.32.82
192.168.1.102
207.119.32.83
2. Скрытая трансляция сетевых адресов
При скрытой трансляции все системы позади firewall’а разделяют некоторый
внешний IP-адрес, к которому выполняется роутинг. При скрытой трансляции сетевых
76
адресов все хосты позади firewall’а будут выглядеть как один хост. Такой тип
трансляции является достаточно распространенным, но имеет одно существенное
слабое место. Данная технология не позволяет сделать доступными для внешних
пользователей те ресурсы, которые размещены позади firewall’а. Отображение от
внешних систем во внутренние системы невозможно, следовательно, хосты, которые
должны быть доступны внешним системам, не могут применять данное отображение
адресов. Другое слабое место данного подхода состоит в том, что firewall в этом
случае должен использовать свой собственный внешний интерфейсный сетевой адрес
в качестве "заменяемого" или транслируемого адреса для всех систем и ресурсов,
которые расположены позади него. Данное требование приводит к уменьшению
гибкости данного механизма.
51. Принципы построения окружения firewall. Различные конфигурации сетей
с использованием firewall
Окружение firewall’а является термином, который применяется для описания
множества систем и компонент, используемых для поддержки функционирования
firewall’а в конкретной сети. Простое окружение firewall’а может состоять только из
пакетного фильтра. В более сложном и безопасном окружении оно состоит из
нескольких firewall’ов и прокси со специальной топологией. Рассмотрим возможные
сетевые топологии, используемые в качестве окружений firewall’а.
Существует четыре принципа построения окружения:
1. Простота (Keep It Simple)
Важно принимать наиболее простые решения — более безопасным является то, чем
легче управлять. Трудно понимаемые функциональности часто приводят к ошибкам в
конфигурации.
2.Использование устройств по назначению
Использование сетевых устройств для того, для чего они первоначально
предназначались, в данном контексте означает, что не следует делать firewall’ы из
оборудования, которое не предназначено для использования в качестве firewall’а. Во
многих случаях гибридные firewall’ы и устройства firewall’ов являются лучшим
выбором, потому что они оптимизированы в первую очередь для функционирования в
качестве firewall’ов.
3.Создание обороны вглубь
Оборона вглубь означает создание нескольких уровней защиты в
противоположность наличию единственного уровня. Не следует всю защиту
обеспечивать исключительно firewall’ом. Там, где может использоваться несколько
firewall’ов, они должны использоваться. Там, где роутеры могут быть
сконфигурированы для предоставления некоторого управления доступом или
фильтрации, это следует сделать. Если ОС сервера может предоставить некоторые
возможности firewall’а, это следует применить.
4.Внимание к внутренним угрозам
Следует рассматривать возможность того, что нарушитель может как-то обойти
firewall и получить свободу действий для атак внутренних или внешних систем.
Следовательно, важные системы, такие как внутренние web или e-mail серверы или
77
финансовые системы, должны быть размещены позади внутренних firewall’ов или
DMZ-зон.
Конфигурация с одной DMZ-сетью
В большинстве случаев окружение firewall’а образует так называемую DMZ-сеть
или сеть демилитаризованной зоны. DMZ-сеть является сетью, расположенной
между двумя firewall’ами.
DMZ-сети предназначены для расположения систем и ресурсов, которым необходим
доступ либо только извне, либо только изнутри, либо и извне, и изнутри, но которые
не должны быть размещены во внутренних защищенных сетях. Причина в том, что
никогда нельзя гарантировать, что эти системы и ресурсы не могут быть взломаны. Но
взлом этих систем не должен автоматически означать доступ ко всем внутренним
системам.
Рис. 2.1. Пример окружения firewall’а с одной DMZ
DMZ-сети обычно строятся с использованием сетевых коммутаторов и
располагаются между двумя firewall’ами или между firewall’ом и пограничным
роутером. Хорошей практикой является размещение серверов удаленного доступа и
конечных точек VPN в DMZ-сетях. Размещение этих систем в DMZ-сетях уменьшает
вероятность того, что удаленные атакующие будут иметь возможность использовать
эти серверы в качестве точки входа в локальные сети. Кроме того, размещение этих
серверов в DMZ-сетях позволяет firewall’ам служить дополнительными средствами
для контроля прав доступа пользователей, которые получают доступ с использованием
этих систем к локальной сети.
Service Leg конфигурация
Одной из конфигураций DMZ-сети является так называемая "Service Leg"
конфигурация firewall’а. В этой конфигурации firewall создается с тремя сетевыми
интерфейсами. Один сетевой интерфейс соединяется с Интернетом, другой сетевой
интерфейс соединяется с внутренней сетью, и третий сетевой интерфейс формирует
DMZ-сеть. Такая конфигурация может привести к возрастанию риска для firewall’а
при деградации сервиса в течение DoS-атаки, которая будет нацелена на сервисы,
расположенные в DMZ-сети. В стандартной конфигурации DMZ-сети DoS-атака для
78
присоединенного к DMZ-ресурса, такого как web-сервер, будет соответствующим
образом воздействовать только на этот целевой ресурс. В Service Leg конфигурации
DMZ-сети firewall берет на себя основной удар от DoS-атаки, потому что он должен
проверять весь сетевой трафик перед тем, как трафик достигнет присоединенного к
DMZ-ресурса. Это может влиять на весь трафик организации, если на ее web-сервер
выполнена DoS-атака.
Рис. 2.2. Конфигурация Service Leg DMZ
Конфигурация с двумя DMZ-сетями
При наличии большого числа серверов с разными требованиями доступа можно
иметь firewall пограничного роутера и два внутренних firewall’а и разместить все
внешне доступные серверы во внешней DMZ между роутером и первым firewall’ом.
Пограничный роутер будет фильтровать пакеты и обеспечивать защиту серверов,
первый firewall будет обеспечивать управление доступом и защиту серверов
внутренней DMZ в случае, если они атакованы. Организация размещает внутренне
доступные серверы во внутренней DMZ, расположенной между основным и
внутренним firewall’ами; firewall’ы будут обеспечивать защиту и управление доступом
для внутренних серверов, защищенных как от внешних, так и от внутренних атак.
79
Рис. 2.3. Пример окружения firewall’а с двумя DMZ-сетями
Окружение firewall’а для данной сети показано на рис. 2.3.
٠ Внешняя DMZ-сеть соединена с Интернетом через пакетный фильтр,
служащий пограничным роутером.
٠ Основной firewall является VPN-шлюзом для удаленных пользователей;
такие пользователи должны иметь ПО VPN-клиента для соединения с firewall’ом.
٠ Входящий SMTP-трафик должен пропускаться основным firewall’ом.
٠ Исходящий НТТР-трафик должен проходить через внутренний firewall,
который передает данный НТТР-трафик прикладному НТТР-прокси,
размещенному во внутренней DMZ.
٠ Основной и внутренний firewall’ы должны поддерживать технологию stateful
inspection и могут также включать возможности прикладного прокси.
Основной firewall должен выполнять следующие действия:
٠
разрешать внешним пользователям соединяться с VPN-сервером, где
они должны аутентифицироваться;
٠
пропускать внутренние SMTP-соединения и данные к прокси-серверу,
где данные могут быть отфильтрованы и переданы системам назначения;
٠
выполнять роутинг исходящего НТТР-трафика от НТТР-прокси и
исходящего SMTP-трафика от SMTP-сервера;
٠
после этого запретить весь другой исходящий НТТР- и SMTP-трафик;
٠
после этого разрешить весь другой исходящий трафик.
Внутренний firewall должен принимать входящий трафик только от основного
firewall’а, прикладного НТТР-прокси и SMTP-сервера. Кроме того, он должен
принимать SMTP- и НТТР-трафик только от прокси, но не от основного firewall’а.
Наконец, он должен разрешать все исходящие соединения от внутренних систем.
80