MARSHRUT (663750), страница 3

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 3)

Рис. 3. Использование сервера доступа Cisco в качестве сервера NASI

Сервер доступа Cisco, на котором работает ПО Cisco IOS, может выполнять функции сервера NASI для 16-битных клиентов Novell. Необходимо отметить, что работа 32-битных клиентов не поддерживается.

Благодаря поддержке NASI сетевые администраторы получают возможность централизованно управлять такими ресурсами сети, как модемные пулы, что позволит расширить сферу расположения клиентов сети и увеличить эффективность работы распределенных клиентов Netware, использующих эти ресурсы.

Шлюз IPX/IP Gateway

Шлюз IPX/IP, известный как IPeXchange и разработанный Cisco Systems, дает пользователям сетей Netware осуществлять защищенный доступ к сети Интернет, а также запускать приложения, работающие по протоколу TCP/IP, такие как программы просмотра Web (Web Browsers), Telnet и FTP (File Transfer Protocol). При использовании IPeXchange сети на основе IPX подключаются к сетям IP (например, к Интернет) задействуя всего один IP-адрес для всей локальной сети Netware. IPeXchange исключает необходимость конфигурирования и поддержки всего стека протокола TCP/IP на каждом рабочем месте и запуска маршрутизирующих протоколов IPX на уровне ядра корпоративной сети.

Возможности IPeXchange могут быть применимы как к выделенным, отдельно стоящим устройствам, так и к некоторым (по выбору администратора) серверам доступа, работающим под управлением Cisco IOS.

Функции обеспечения безопасности

По мере роста сетей Novell и их подключения к другим сетям, как частного, так и общего пользования, предотвращение неавторизованного доступа пользователей к ресурсам и конфиденциальным данным этих сетей становится все более важным.

Например, показанный на рис. 4 маршрутизатор соединяет инженерный и финансовый департаменты сети и позволяет инженерам и бухгалтерам компании обмениваться необходимой информацией. Однако следует учесть, что это соединение также позволяет рабочим станциям инженерного департамента получать доступ к конфиденциальным финансовым данным.

Рис. 4. Объединение различных сетей и организационной информации

Несмотря на то, что парольная защита и шифрование данных безусловно способствуют решению проблем защиты данных, ПО Cisco IOS обеспечивает некоторое количество дополнительных функций ограничения и контроля доступа на сетевом уровне. Эти дополнительные меры обеспечения защиты особенно важны в тех ситуациях, когда имеются подключения к внешним сетям или потенциальными нарушителями используются программные анализаторы, осуществляющие дешифрацию паролей и другой конфиденциальной информации, передаваемой через сеть.

Списки доступа IPX (IPX Access Lists)

ПО Cisco IOS обеспечивает сетевым администраторам возможность определения списков доступа, также известных как ACL (Access Control List). Списки доступа разрешают или запрещают обмен информацией между различными элементами сети на основе сетевых адресов отправителя и получателя, порта или протокола. Списки доступа физически предотвращают прохождение пакетов между некоторыми сетями, Устанавливая препятствия между определенными клиентами и серверами.

Списки доступа в ПО Cisco IOS для пакетов IPX могут назначаться в обоих направлениях для каждого интерфейса. Выходные списки доступа предотвращают выход трафика Netware за пределы определенного сегмента сети или запрещают его передачу другим сетям.

Входные списки доступа обеспечивают дополнительную гибкость при создании защищенных сетей IPX. Они могут использоваться для определения информации пользователя на краях сетей и построения более сложных систем firewall. Входные списки доступа также снижают загрузку на процессор за счет запрещения прохождения определенных пакетов до их обработки маршрутизатором и обеспечивают фильтрацию трафика при использовании туннельных сетей на основе инкапсуляции GRE (Generic Routing Encapsulation). Более подробно о сетях такого типа см. раздел “Туннели IPX".

Фильтры RIP, SAP и NetBIOS

Кроме управления трафиком IPX при помощи списков доступа, программное обеспечение Cisco IOS обеспечивает фильтрацию пакетов RIP, SAP и NetBIOS. Фильтрация возможна также в обоих направлениях на каждом из интерфейсов.

Фильтрация пакетов RIP обеспечивает несколько преимуществ:

• Фильтрация некоторых маршрутов обеспечивает изоляцию некоторых сетей по выбору администратора

• Фильтрация обеспечивает “видимость” определенных участков сети только из указанных областей сетевой системы

• Фильтрация позволяет создать логически параллельные сетевые связи без необходимости физической изоляции сетевых соединений и участков

Фильтрация также может применяться для увеличения производительности сети за счет предотвращения попадания в соединения с ограниченной полосой пропускания неавторизованного трафика.

Трафик SAP может быть разделен по типам рекламируемых сервисов, номеру сети и по другим полям пакета SAP. ПО Cisco IOS также может фильтровать трафик NetBIOS, который инкапсулируется в пакеты IPX. Сетевой трафик может быть отфильтрован либо по именам узлов NetBIOS, либо по любой двоичной маске, накладываемой на каждый пакет NetBIOS. Сетевые администраторы могут использовать гибкие механизмы фильтрации для уменьшения размеров таблиц SAP, а также для ограничения доступа к ресурсам серверов Netware для пользователей из неавторизованных областей сети.

Протоколирование нарушений списков доступа

Программное обеспечение Cisco IOS позволяет использовать стандартные механизмы протоколирования нарушений списков доступа IPX. Нарушение протоколируется при получении первого пакета с параметрами, совпадающими с записями в списке доступа. Обновление записей производится через временные интервалы, соответствующие примерно 5 минутам.

Эта способность программного обеспечения позволяет сохранять информацию об адресах получателя и отправителя, типах протоколов (пакетов) и произведенных действиях (доступ запрещен/разрешен). Использование системы протоколирования нарушений списков доступа позволяет сетевому администратору установить в сети единую систему учета и контроля за соблюдением прав доступа с возможностью раннего оповещения о неавторизованном доступе к ресурсам сети.

Дополнительные функции использования списков доступа

ПО Cisco IOS обладает некоторыми функциями, позволяющими облегчить использование списков доступа. В списках доступа можно использовать маски сетей, что позволяет в одной записи указать сразу целый диапазон сетей, в отношении которых необходимо производить указанные санкции. Эта функция облегчает администрирование крупной сетевой системы, в которой используется иерархический подход к определению сетевых адресов. Кстати отметим, что само по себе использование такого подхода позволяет создать более наглядное представление о распределенной сетевой системе.

Общепринятые идентификационные номера протоколов используются в расширенных списках доступа. Кроме того, в таких списках доступа можно использовать имена узлов. Эта функция снижает количество процедур настройки и значительно облегчает фильтрацию пакетов IPX, RIP, SAP, NCP и NetBIOS.

Сервисы масштабирования

Объединение существующих сетей Novell в единую сетевую систему и поддержка большого числа клиентов и серверов Netware вызвали необходимость в разработке специальных механизмов, обеспечивающих масштабируемость таких сетей. ПО Cisco IOS содержит ряд специальных функций, делающих возможным создание больших объединенных сетей Novell.

Routing Information Protocol

Программное обеспечение Cisco IOS поддерживает протокол RIP, который предоставляет базовое решение по объединению сетей Netware в единую сетевую систему. Однако, достаточно частые пакеты обновлений для таблиц маршрутизации, низкий уровень сходимости при изменениях топологии сети и ограничение на 16 промежуточных узлов делает этот выбор этого решения не совсем удачным для сетевых систем, использующих каналы WAN.

Протокол EIGRP (Enhanced Interior Gateway Routing Protocol)

Одним из наиболее сильных шагов Cisco Systems в решении проблемы объединения сетей Netware явилась разработка собственной версии протокола IGRP® (Interior Gateway Routing Protocol). Кроме сетей TCP/IP протокол EIGRP обеспечивает поддержку сетей Netware и AppleTalk.

EIGRP использует алгоритм Distance Vector, однако, несмотря на это, его быстрая сходимость при изменениях сетевой топологии сравнима с протоколами, работающими по алгоритму link-state. Протокол EIGRP рассылает обновления маршрутов только в случае изменений топологии, передает только информацию об изменениях и его распространение ограничивается числом промежуточных узлов, задаваемым по желанию сетевого администратора. В результате EIGRP обеспечивает низкий уровень нагрузки на сетевые соединения, низкий уровень утилизации процессоров маршрутизаторов и умеренные требования к памяти.

В отличие от протоколов link-state EIGRP не требует наличия в сети строгой иерархической организации сетевых адресов, что позволяет сетевым администраторам более гибко объединять и расширять существующие сети. EIGRP также обеспечивает наличие у каждого маршрута нескольких метрик (задержка, полоса пропускания, надежность и текущая загрузка), что обеспечивает более точное представление о топологии сети и позволяет наиболее эффективно использовать суммарную полосу пропускания.

Использование EIGRP в больших сетях Netware может снизить общий трафик в основных магистральных соединениях на 40-50%. Многие большие публичные и частные сети Netware используют EIGRP на основных магистральных соединениях благодаря его высокой масштабируемости и производительности.

Протокол NLSP и агрегирование маршрутов

Для преодоления ограничений протокола RIP компания Novell включила в состав ОС Netware версий 3.12 и 4.х поддержку нового маршрутизирующего протокола NLSP (Netware Link Services Protocol). Протокол NLSP основан на маршрутизирующем протоколе сетей TCP/IP, известном как OSPF (Open Shortest Path First), однако происхождение этого протокола связано с протоколом IS-IS (OSI Intermediate System-to-Intermediate System).

Как любой маршрутизирующий протокол, использующий алгоритм link-state, протокол NLSP обладает низким временем сходимости. Изменения топологии сети вызывают передачу широковещательных пакетов с обновлениями маршрутной информации только один раз. NLSP требует сравнительно небольшой пропускной способности линий связи, однако его успешная работа во многом зависит от производительности маршрутизатора и может вызывать повышенные требования к памяти.

Программное обеспечение Cisco IOS поддерживает протокол NLSP, что было успешно протестировано при внедрении сетей Novell. Именно Cisco IOS является первым программным обеспечением, поддерживающим дополнительные функции этого протокола, описанные в спецификации NLSP 1.1, известными также, как агрегирование маршрутов.

Эти дополнительные функциональные возможности протокола NLSP предоставляют некоторые преимущества пользователям больших сетей IPX. Первым из них является возможность разделения сетей IPX на множество независимых областей NLSP. Ранее протокол NLSP предназначался для работы в сети, представляющей собой единую маршрутную область, что означало, что для взаимодействия маршрутных таблиц разных областей NLSP было необходимо использовать протокол RIP.

Протокол NLSP, в том виде, как его представляет Cisco Systems, позволяет на одном маршрутизаторе запускать несколько областей протокола с обеспечением обмена или “протекания” маршрутной информации между этими областями. Это позволяет создавать большие объединенные сети, используя протокол NLSP даже при помощи всего лишь одного маршрутизатора.

Как показано на рис. 5, при правильном дизайне сети и при иерархической системе распределения сетевых адресов, использование агрегирования маршрутов протокола NLSP более эффективно.

Рис. 5. Агрегирование маршрутов NLSP

По возможности диапазоны сетевых адресов могут быть агрегированы в одну маршрутную запись, что существенно снижает размеры маршрутных таблиц и объемы трафика, содержащего маршрутные обновления. Такой подход обеспечивает более эффективную маршрутизацию.

Распространение маршрутов (Redistribution)

Программное обеспечение Cisco IOS также обеспечивает распространение маршрутной информации между различными маршрутизирующими протоколами, такими как EIGRP, NLSP и RIP в условиях сетей Netware. Это свойство предоставляет дополнительную гибкость пользователям и администраторам сетей Novell. Распространение маршрутной информации позволяет создавать большие сети Novell с использованием сложных маршрутизирующих протоколов на уровне основных магистральных соединений и без необходимости поддержки или использования этих протоколов на пограничных устройствах сети.

Ранее, когда сети IPX дорастали до такого состояния, что протоколы RIP и SAP уже не могли их адекватно обслуживать, пользователям таких сетей приходилось выбирать между EIGRP и NLSP, учитывая те или иные преимущества каждого из этих протоколов в условиях конкретных требований. Теперь, благодаря возможности распространения маршрутов, пользователи могут выбирать маршрутизирующий протокол или их комбинацию, наиболее удовлетворяющую всем требованиям. Например, сеть IPX может быть построена с применением комбинации протоколов RIP и NLSP на уровне серверов Netware и с использованием EIGRP в качестве единого маршрутизирующего протокола на уровне соединений ядра сети.

Конфигурирование времени обновления и размера пакетов протоколов RIP и SAP

Клиенты и серверы Netware при определении доступных сервисов полагаются на пакеты обновлений протоколов RIP и SAP. Один раз в минуту протоколы RIP и SAP генерируют широковещательные пакеты, учитываемые во внутренних таблицах маршрутизации и доступных сервисов каждого узла сети. Эти пакеты обновлений вызывают некоторое снижение производительности сети, которое в случае большой сети может вызвать серьезную нагрузку на соединения уровня ядра, что в свою очередь приведет к существенному снижению производительности всей сети в целом.

Характеристики

Список файлов реферата