Застосування технології VPN для побудови корпоративних мереж на обладнанні CISCO

Размещено на http://www.allbest.ru/

Застосування технології VPN для побудови корпоративних мереж на обладнанні CISCO

к.т.н. Наталенко П.П.

Найбільш поширеним мережевим обладнанням в нашій державі є обладнання компанії Cisco. Незважаючи на те що ОС Cisco IOS підтримує використання технології VPN актуальною є задача уяснити її можливості по застосуванн при плануванні корпоративних мереж. В статті розглянуті конкретні підходи по створенню такої мережі які підкріплені конкретними програмними рішеннями по її реалізації.

Ключові слова: інформація, корпоративна мережа, трафік, маршрутизація, структирізація.

Сучасна корпоративна мережа повинна надавати набір послуг ( сервісів ), таких як електронна пошта, WWW, IP- телефонія, відео конференція. Якість виконання транспортних функцій мережею, забеспечуючих роботу цих телекомунікаційних служб, залежить від багатьох факторів і в першу чергу від правильної структирізації мережі, побудованої системи маршрутизації повідомлень в ній. Надійність доставки і затримка повідомлень напряму залежать від структури мережі та системи маршрутизації. Не завжди є можливість змінювати структуру мережі в процесі її експлуатації. Тому актуальною є задача формування ефективної системи структирізації мережі і рішення задач по захисту її функціонування. На рішення цих актуальних задач і направлена стаття.

1. Основні вимоги до корпоративної мережі

Від прийнятої структури мережі залежить якісне обслуговування всіх видів трафіку, а саме: мови; даних; електронної пошти; відео конференції і т. і.

Особливості передачі різних видів трафіку включають в себе [1]:

- для передачі мовної інформації необхідна передача пакетів з найменшим часом затримки;

- для передачі даних необхідно досягти якомога меншого коефіцієнту помилок;

- для передачі відеоінформації в режимі відео конференції важливі час доставки, а також чітка синхронізація.

Основні вимоги до корпоративної мережі для забеспечення характеристик передачі трафіку зводяться до слідуючого:

1. Мова:

- затримка ? 150 мс ( рекомендація ITU-T G.114 );

- розбірливість :

- словесна - 98%;

- складова - 96%.

2. Дані: Середній час доставки

- 0,1-10 с. (сигнали бойового управління);

- 1-10 хв. (інформація, що передається до центрального органу управління);

_ 10 хв.-1год. (інформація, що передається на рівні регіонального органу управління );

Надійність доставки

- 0,99 - центральної зони корпоративної мережі ;

- 0,96 - регіональної зони корпоративної мережі ;

- 0,92- місцевої зони корпоративної мережі;

3. Зображення:

- затримка ? 100- 125 мс.

Звідси в корпоративній мережі повинно забезпечуватися:

- 10 - 6 ;

- ;

- .

Таким чином, ми визначились з основними вимогами, що визначаються структурою мережі та прийнятою системою маршрутизації в корпоративній мережі . ciscо мережа корпоративний

2. Можливості по структирізації мереж

Структирізація мереж може бути фізичною і логічною.При фізичній структирізації використовують мережеві пристрої наприклад концентратори.Концентратори корисні не тільки для збільшення відстанні між взаємодіючими вузлами а і для збільшення надійності мережі. Можливості по фізичній структуризації обмежені.

При логічній структуризації більш широкі можливості і при цьому процес розділення мережі на сегменти здійснюється з локалізацією трафіка.Для логічної структуризації використовують мережеві пристрої: мости, комутатори, маршрутизатори, шлюзи. Практично неможливо побудувати велику мережу без логічної структуризації.В локальних мережах використовується віртуалізація локальних мереж- технологія VLAN.

Функціональні можливості сучасних комутаторів відкривають шлях до створення віртуальних локальних мереж для формування гнучкої мережевої інфраструктури. Конфігурування комутаторів для організації VLAN -мереж досить не проста справа яку може виконати адміністратор мережі.

Віртуальною мережею називають групу вузлів мережі, що утворять домен широкомовного трафіку (Broadcast Domain). Це спрощене визначення.При створенні локальної мережі на основі комутаторів, незважаючи на можливість використання спеціалізованих фільтрів для обмеження трафіку, усі вузли мережі представляють собою єдиний широкооповіщувальний домен(усі вузли приймають широкооповіщувальні кадри).

Віртуальні мережі утворюють групу вузлів мережі, у якій весь трафік, цілком ізольований на канальному рівні від інших вузлів мережі. Особливістю комутаторів CISCO є те що вони не потребують ніякого початкового конфігурування. Комутатори настроюються виробником для роботи і всі інтерфейси включені ( уведена команда no shutdown)і на них встановлене авто погодження характеристик( для кожного порту вказано duplex auto і speed auto ).Усі порти комутатору об'єднані в єдину мережу VLAN1.Для того, щоб на комутаторі виділити порти, працюючі в інших VLAN, їх потрібно сконфігурувати.

3. Налаштування VLAN на комутаторах

Як приклад вибрана така топологія, на якій легше пояснити відмінності в налаштуваннях VLAN на комутаторах різних виробників. У відповідних розділах пояснюється як налаштовувати VLAN-и, а також наведено приклад конфігурації для комутатора sw1.

3.1 Налаштування VLAN на комутаторах Cisco під управлінням IOS

1. Термінологія Cisco:

access port - порт належить одному VLAN і передавальний нетегований трафік

trunk port - порт передає тегований трафік одного або декількох VLAN-ів

Комутатори Cisco раніше підтримували два протоколи 802.1Q і ISL. ISL - пропрієтарний протокол використовується в обладнанні Cisco. ISL повністю інкапсулює фрейм для передачі інформації про належність до VLAN-у.

У сучасних моделях комутаторів Cisco ISL не підтримується.

Створення VLAN'а і завдання імені:

sw1 (config) # vlan 2

sw1 (config-vlan) # name test



Рис.1

2. Динамічне створення транків (DTP)

Dynamic Trunk Protocol (DTP) - пропрієтарний протокол Cisco, який доз-воляє комутаторам динамічно розпізнавати чи налаштований сусідній комута-тор для підняття транку і який протокол використовувати (802.1Q або ISL). Включено за замовчуванням.

Режими DTP на інтерфейсі:

1. auto - Режим за замовчуванням. Порт знаходиться в автоматичному режимі і буде переведений у стан trunk, тільки якщо порт на іншому кінці знаходиться в режимі on або desirable. Тобто якщо порти на обох кінцях знаходяться в режимі "auto", то trunk застосовуватися не буде.

2. desirable - Порт знаходиться в режимі "готовий перейти в стан trunk"; періодично передає DTP-кадри порту на іншому кінці, запитуючи віддалений порт перейти в стан trunk (стан trunk буде встановлено, якщо порт на іншому кінці знаходиться в режимі on, desirable, або auto).

3. on - Порт постійно знаходиться в стані trunk, навіть якщо порт на іншому кінці не підтримує цей режим.

4. off - Порт не підтримує стан trunk, навіть якщо порт на іншому кінці його підтримує.

5. nonegotiate - Порт готовий перейти в режим trunk, але при цьому не передає DTP-кадри порту на іншому кінці. Цей режим використовується для запобігання конфліктів з іншим "не-cisco" обладнанням. В цьому випадку комутатор на іншому кінці повинен бути вручну налаштований на використання trunk'а.

Перевірити поточний режим DTP:

sw # show dtp interface

3.2 Налаштування маршрутизації між VLAN

Передача трафіку між VLAN-ами за допомогою комутатора Cisco

Всі налаштування за призначенням портів в VLAN, зроблені раніше для sw1, зберігаються. Подальші налаштування мають на увазі використання комутатора 3 рівня.

При такій схемі роботи ніяких додаткових налаштувань на маршрути -заторі не потрібно. Комутатор здійснює маршрутизацію між мережами різних VLAN, а на маршрутизатор відправляє трафік призначений в інші мережі.

Включення маршрутизації на комутаторі:

sw1 (config) # ip routing

Завдання адреси в VLAN. Ця адреса буде маршрутом за замовчуванням для комп'ютерів в VLAN 2:

sw1 (config) # interface Vlan2

sw1 (config-if) # ip address 10.0.2.1 255.255.255.0

sw1 (config-if) # no shutdown

Завдання адреси в VLAN 10:

sw1 (config) # interface Vlan10

sw1 (config-if) # ip address 10.0.10.1 255.255.255.0

sw1 (config-if) # no shutdown

Інтерфейс fa0/10 з'єднаний з маршрутизатором, який є маршрутизатором за замовчуванням для мережі. Трафік не призначений для мереж VLAN-ів буде маршрутизуватись на маршрутизатор R1.

Переклад fa0/10 в режим інтерфейсу 3 рівня і задання адреси:

sw1 (config) # interface FastEthernet 0/10

sw1 (config-if) # no switchport

sw1 (config-if) # ip address 192.168.1.2 255.255.255.0

sw1 (config-if) # no shutdown

Рис. 2.

Конфігурація sw1:

!

ip routing

!

interface FastEthernet0 / 1

switchport mode access

switchport access vlan 2

!

interface FastEthernet0 / 2

switchport mode access

switchport access vlan 2

!

interface FastEthernet0 / 3

switchport mode access

switchport access vlan 15

!

interface FastEthernet0 / 4

switchport mode access

switchport access vlan 10

!

interface FastEthernet0 / 5

switchport mode access

switchport access vlan 10

!

!

interface FastEthernet0/10

no switchport

ip address 192.168.1.2 255.255.255.0

!

!

interface FastEthernet0/22

switchport trunk encapsulation dot1q

switchport mode trunk

!

!

interface Vlan1

no ip address

shutdown

!

interface Vlan2

ip address 10.0.2.1 255.255.255.0

!

interface Vlan10

ip address 10.0.10.1 255.255.255.0

!

interface Vlan15

ip address 10.0.15.1 255.255.255.0

!

!

ip route 0.0.0.0 0.0.0.0 192.168.1.1

!

тут треба уточнити, що сам маршрут прописується саме останнім рядком ip route 0.0.0.0 0.0.0.0 192.168.1.1

тут - всі запити на всі адреси направляються за адресою 192.168.1.1

Діапазони VLAN

VLAN	Діапазон	Використання	Передається VTP
0,4095	reserved	Для використання	-
1	Normal	VLAN за умовчуванням	Да
2-1001	Normal	Ethernet	Да
1002-1005	Normal	FDDI, token ring	Да
1006-4094	extended	Ethernet	Версія 3

Політика виділення VLAN-ів (VLAN allocation policy) налаштовується за допомогою команди vlan internal allocation policy {ascending | descending}.

В режимі ascending використовуються номери, починаючи з 1006 і вище. В режимі descending, починаючи з 4094 і нижче.

Router # configure terminal

Router (config) # vlan internal allocation policy descending

Подальші налаштування мають на увазі використання комутатора 3 рівня.

Для того, щоб налаштувати маршрутизацію між мережами різних VLAN на комутаторі необхідно:

Включити ip routing

Призначити IP-адреси відповідним VLAN

Крім того, необхідно щоб IP-адреси відповідних VLAN були вказані як маршрути по замовчуванню на хостах.

Включення маршрутизації на комутаторі:

sw (config) # ip routing

Задання адреси в VLAN. Ця адреса має бути прописана як маршрут за замовчуванням для комп'ютерів в VLAN 2:

sw (config) # vlan 2

sw (vlan-2) # ip address 10.0.2.1/24

Або, інший формат завдання IP-адреси в VLAN:

sw (config) # vlan 2 ip address 10.0.2.1/24

Перегляд інформації про заданих IP-адреси і чи включений ip routing:

sw (config) # show ip

Таблиця маршрутизації:

sw (config) # show ip route

Приклад конфігурації

Рис. 3

Для мережі зображеної на схемі наведені приклади конфігурацій комутаторів.

Комутатори sw1 і sw2 працюють як комутатори 2 рівня. Комутатор sw3 виконує маршрутизацію між VLAN-амі хостів і VLAN-ом серверів. Крім того, на комутаторі sw3 налаштований DHCP relay agent, для того щоб хости могли отримати IP-адреси і маршрут по замовчуванню від DHCP-сервера (IP-адреса DHCP-сервера вказаний на схемі).

Конфігурація sw1:

hostname "sw1"

vlan 11

name "marketing"

untagged 1-2

tagged 11

exit

vlan 12

name "managers"

untagged 7-8

tagged 11

exit

Конфігурація sw2:

hostname "sw2"

vlan 11

name "marketing"

untagged 3-4

tagged 12

exit

vlan 15

name "top-managers"

untagged 8-9

tagged 12

exit

Конфігурація sw3:

hostname "sw3"

ip routing

vlan 11

name "marketing"

ip address 10.0.11.1 255.255.255.0

ip helper-address 10.0.100.100

tagged 11-12

exit

vlan 12

name "managers"

ip address 10.0.12.1 255.255.255.0

ip helper-address 10.0.100.100

tagged 11

exit

vlan 15

name "top-managers"

ip address 10.0.15.1 255.255.255.0

ip helper-address 10.0.100.100

tagged 12

exit

vlan 100

name "servers"

ip address 10.0.100.1 255.255.255.0

untagged 1-2

exit

4.Застосування технології VPN для побудови корпоративної мережі

VPN-технологія забезпечує створення поверх незахищених мереж логічних мереж на основі побудови тунелів [2, 3]. В багатьох випадках виникають ситуації коли потрібно забезпечити використання мережі Internet в корпоративних цілях організувавши тонель типу: мережа- мережа , мережа- вузол або вузол-мережа. Основні властивості технології VPNдають можливість об'єднувати локальні мережі органів Держспецзв'язку в єдину корпоративну мережу.

4.1 Модель корпоративної мережі IP VPN

Сьогодні базовою мережею для всіх телекомунікаційних служб є мережа IP.Всі види трафіку передаються через цю мережу. Просто існує багато різних розробок, направлених на забеспечення різних вимог якісної передачі трафіку в залежності від вимог конкретної послуги. Рекомендуємо використати в якості моделі корпоративної мережі структуру приведену на рис. 4.

Размещено на http://www.allbest.ru/

Рис.4

Для організації VPN- мережі в кожній LAN корпоративної мережі встановлюють маршрутизатор, який і забезпечує взаємодію мережі LAN підрозділів Держспецзв'язку із VPN-мережею. На маршрутизатори встановлене програмне забезпечення для побудови захищених VPN (безкоштовний пакет OpenVPN який необхідно сконфігурувати для роботи в режимі маршрутизації). Технологія OpenVPN основана на стандарті SSL для забезпечення безпечних комунікацій через Internet.

Маршрутизатор Адміністрації налаштовується в якості VPN- серверу, а маршрутизатори Регіональних управлінь в якості VPN- клієнтів. Маршрутизатори VPN- серверу і VPN- клієнтів підключаються до Internet через мережу провайдера. До VPN- серверу може підключатися ПК віддаленого користувача (попередньо на ПК встановлюють програму VPN- користувача).

4.2 Захист даних

Захист даних у VPN здійснюється в двох напрямках[1] :

· криптування інформації, яка передається через тунель

· аутентифікація та авторизація користувачів VPN.

Суть технологій тунелювання на 3 рівні можна уяснити по схемі наведеній на рис. 5.

Рис. 5. Тунелювання на 3 рівні

Між рознесеними на місцевості мережами можна створити тунель (між маршрутизаторами М1 і М2). Сконфігурувати ці маршрутизатори відповідно для роботи по тунелю, продумати захист інформації на ділянці тунеля. Далі на конкретно наведеному прикладі показано порядок конфігурування (Додаток1).

Додаток. 1

1. Приклад конфігурування маршрутизаторів М1 і М2

1.Налаштування GRE на маршрутизаторі M1

M1# conf term

M1 (config)# interface Tunnel 4

M1(config-if)# ip address 192.169.2.1

M1 (config-if)# ip mtu 1436

M1(config-if)# ip nbar protocol-discovery

M1(config-if)# ip atjst-mss 1436

M1(config-if)# tunnel source 192.169.2.1

M1 (config-if)# tunnel destination 192.169.2.2

M1(config)# ip route 192.168.2.0 255.255.255.0 Tunnel 4

2. Налаштування GRE на маршрутизаторі M2

M2# conf term

M2 (config)# interface Tunnel 4

M2(config-if)# ip address 192.169.2.1

M2 (config-if)# ip mtu 1436

M2(config-if)# ip nbar protocol-discovery

M2(config-if)# ip atjst-mss 1436

M2(config-if)# tunnel source 192.169.2.1

M2 (config-if)# tunnel destination 192.169.2.2

M2(config)# ip route 192.168.1.0 255.255.255.0 Tunnel

Для перевірки налаштування протоколу GRE використовують команди :

· # show interfaces tunnel 4- перевірка налаштування інтерфейсів тунелю ;

· # show ip interface brief.

3. Налаштування IPsec на маршрутизаторі M2

M2# conf term

M2 (config)# crypto isakmp policy 100

M2 (config-isakmp)# authentication pre-share

M2 (config-isakmp)# hash sha

M2 (config-isakmp)# encryption aes 128

M2 (config-isakmp)# group 2

M2 (config-isakmp)# lifetime 86400

M2 (config-isakmp)# exit

M2 (config)# crypto isakmp key C1sc0Press address 10.9.9.2

M2 (config)# end

M2#

4. Налаштування IPsec на маршрутизаторі M1

M1# conf term

M1 (config)# crypto isakmp policy 100

M1(config-isakmp)# authentication pre-share

M1(config-isakmp)# hash sha

M1(config-isakmp)# encryption aes 128

M1(config-isakmp)# group 2

M1(config-isakmp)# lifetime 86400

M1(config-isakmp)# exit

M1(config)# crypto isakmp key C1sc0Press address 10.10.9.1

M1(config)#end

M1#

Для перевірки налаштування протоколу IPsec використаємо команди :

· #debug crypto ipsec- для відображення подій в IPsec;

· #debug crypto isakm- для відображення повідомлень відносячи до IKE.

Висновки

Приведено можливості побудови корпоративних мереж на основі використання технологій VLAN,VPN.

Наведено конкретні файли конфігурації мережевих пристроїв що дає змогу конкретної реалізації корпоративних мереж.

Література

1. Наталенко П.П., Белый О.С.Применение технологии VPN для построения защищенной системы маршрутизации для корпоративных сетей на оборудовании СISCO.Матеріали конференції 22-29 лютого 2012р. Міжнародна НТК Радіотехнічні поля, сигнали, апрарати та системи м. Київ.

2. Уэнстрем М. Организация защиты сетей Cisco.: Пер. с англ.-М.: Вильямс, 2005. - 768 c.

3. Ткаченко В. Сети VPN на базе технологии MPLS. www.lessons-tva.info/archive/nov030.html.

Размещено на Allbest.ru

...