СЕТИ ЭВМ И ТЕЛЕКОММУНИКАЦИИ

Раздел 4. Глобальные сети

Защита данных средствами верхних уровней (прикладного, представления или сеансового) не зависит от технологий транспортировки данных (IP, Ethernet или ATM), однако приложения зависят от конкретного протокола защищенного канала, так как в них должны быть встроены явные вызовы функций этого протокола. Протоколы безопасности прикладного уровня защищают только вполне определенную сетевую службу, например протокол S/MIME защищает сообщения электронной почты. На уровне представления используется протокол SSL (Secure Socket Layer – слой защищенных сокетов) и его открытая реализация TLS (Transport Layer Security – безопасность транспортного уровня).

Средства защищенного канала становятся прозрачными для приложений в тех случаях, когда они защищают кадры протоколов сетевого и канального уровней. Однако при этом сервис защищенного канала становится зависимым от протокола нижнего уровня.

Компромиссным вариантом защищённого канала является работающий на сетевом уровне протокол IPSec. С одной стороны, он прозрачен для приложений, с другой – может работать практически во всех сетях, так как основан на протоколе IP и использует любую технологию канального уровня (РРР, Ethernet, ATM и т. д.).

4.7.6. Протокол IPSec

IPSec (сокращение от IP Security) – набор протоколов, позволяющих обеспечить защиту данных, передаваемых по межсетевому протоколу IP за счёт подтверждение подлинности и шифрования IP-пакетов. Применение протокола IPSec гарантирует целостность, аутентичность и конфиденциальность данных на протяжении всего пути между двумя узлами сети, который получил название «защищенный канал».

IPSec-протоколы можно разделить на два класса:

• протоколы, отвечающие за защиту потока передаваемых пакетов, к которым относятся два протокола:

342

Раздел 4. Глобальные сети

ESP (Encapsulating Security Payload — инкапсуляция зашифрованных данных), обеспечивающий шифрацию, целостность и конфиденциальность передаваемых данных;

AH (Authentication Header — заголовок аутентификации),

гарантирующий только целостность и аутентичность данных (передаваемые данные не шифруются).

•протокол обмена криптографическими ключами IKE (Internet Key Exchange — обмен ключами Интернета), автоматически предоставляя конечным точкам защищенного канала секретные ключи, необходимые для работы протоколов аутентификации и шифрования данных.

Для шифрования данных в протоколе IPSec может быть применен любой симметричный алгоритм шифрования. В симметричных схемах шифрования конфиденциальность основана на том, что отправитель и получатель обладают общим, известным только им, параметром функции шифрования. Этот параметр называется секретным ключом. Секретный ключ используется как для шифрования текста, так и для его дешифрирования.

Протоколы АН и ESP могут защищать данные в двух режимах:

•транспортном;

•туннельном.

Втранспортном режиме шифруется только содержимое IP-пакета, не затрагивая заголовок, который не изменяется.

Втуннельном режиме IP-пакет шифруется целиком, помещается в новый IP-пакет, который передаётся пo сети в соответствии с заголовком нового IP -пакета. Таким образом формируется защищённый IP-туннель. Туннельный режим может использоваться для подключения удалённых компьютеров к виртуальной частной сети или для организации безопасной передачи данных через открытые каналы связи (например, Интернет) между шлюзами для объединения разных частей виртуальной частной сети.

Режимы IPSec не являются взаимоисключающими – в одном и том же узле некоторые безопасные соединения могут использовать транспортный режим, а другие — туннельный.

Применение того или иного режима зависит:

• от требований, предъявляемых к защите данных;

• от типа узла, завершающего защищенный канал – хост (конечный узел) или шлюз (промежуточный узел).

Соответственно, имеются три схемы применения протокола IPSec:

• хост—хост;

• шлюз—шлюз;

• хост—шлюз.

Всхеме хост—хост, использующей, как правило, транспортный режим защиты, защищенный канал устанавливается между двумя конечными узлами сети, и протокол IPSec, работая на конечных узлах, защищает передаваемые данные.

343

Раздел 4. Глобальные сети

В схеме шлюз—шлюз, использующей только туннельный режим защиты, защищенный канал устанавливается между двумя промежуточными узлами, называемыми шлюзами безопасности (Security Gateway, SG), на каждом из которых работает протокол IPSec. Защищенный обмен данными может происходить между любыми двумя конечными узлами, подключенными к сетям, связанным со шлюзами безопасности. Конечные узлы передают трафик в незащищенном виде, направляя его в общедоступную сеть через шлюз безопасности, который и обеспечивает защиту трафика с помощью протокола IPSec.

Схема хост—шлюз применяется при удаленном доступе и позволяет надежно защитить трафик и внутренней сети. Защищенный канал организуется между удаленным хостом, на котором работает протокол IPSec, и шлюзом, защищающим трафик для всех хостов, входящих во внутреннюю сеть.

Протокол АН на приёмной стороне проверяет:

•был ли пакет отправлен тем абонентом, с которым установлено безопасное соединение;

•не искажено ли содержимое пакета;

•не является ли пакет дубликатом уже полученного пакета. Протокол ESP, кроме перечисленных функций, обеспечивает защиту

передаваемых данных от несанкционированного просмотра путем их шифрования.

344

вычислительная сеть Ethernet, протокол которой был стандартизирован в

1980 году.

За прошедшие 40 с небольшим лет компьютерные сети и сетевые технологии проделали огромный путь.

Если основной функцией первых сетей была обработка данных – решение задач удалённых пользователей, то современные сети охватывают практически весь земной шар и предназначены, прежде всего, для передачи данных на любые расстояния. При этом если первоначально в сетях передавались только компьютерные данные, то в современных сетях передаются все возможные виды данных, включая мультимедийные – речь, аудио, видео, в том числе видео высокой чёткости.

Если в начале 70-х годов скорости передачи данных составляли десятки килобит в секунду, то в современных сетях достигнуты скорости в сотни гигабит в секунду, и это не предел.

За эти годы появилось множество различных сетевых технологий, разнообразное сетевое оборудование. И сегодня компьютерные и телекоммуникационные технологии внедряются в самые разные области и становятся доступны миллионам людей во всём мире.

Несмотря на такие головокружительные успехи, вычислительная техника и сетевые технологии не стали наукой в полном смысле этого слова. Это проявляется, прежде всего, в отсутствии чётко сформулированных понятий и терминов, которые часто по-разному трактуются разными авторами, нет эффективного математического аппарата, призванного обоснованно на количественном уровне сравнивать различные методы построения компьютерных сетей и технические решения, позволяющие оценить эффективность тех или иных сетевых технологий. Правда, справедливости ради, следует отметить, что в последние годы при разработке стандартов и рекомендаций для сравнения тех или иных технических решений и вариантов построения сетей всё шире применяется имитационное моделирование, позволяющее объективно оценить эффективность предлагаемых вариантов и выбрать из них наилучший.

Различная трактовка ряда терминов в области вычислительной техники и телекоммуникационных систем, имеющих зачастую одинаковый или близкий смысл, подвигла автора к попытке разобраться в них и попытаться определить то иногда незначительное различие между близкими по смыслу терминами, которое отличает один термин от другого.

Такими терминами являются:

•«сеть ЭВМ», «компьютерная сеть» и «вычислительная сеть»;

•«телекоммуникационная сеть», «сеть связи» и «сеть передачи данных»;

•«ЭВМ», «вычислительный комплекс» и «вычислительная система»;

•«производительность» и «пропускная способность»;

•«данные» и «информация».

346

качестве множителя 1000. Это обозначение стандартизовано в Международной системой единиц СИ и в ГОСТ 8.417-2002 «Единицы величин», введённом в действие с 1 сентября 2003 г.

В некоторых случаях идут ещё дальше и утверждают, что «Мбит» – это один мегабит или 1024*1024=1048576 бит!? Однако, если мы опять обратимся к системе СИ или вышеупомянутому ГОСТу, то увидим, что для обозначения приставки «мега» действительно используется большая буква «М», но она соответствует множителю 1 000 000, а не миллион с «хвостиком». Поэтому пропускная способность канала связи в ЛВС Ethernet 10 Мбит/с – это ровно 10 миллионов бит в секунду и длина битового интервала 100 нс, а 100 Мбит/с – это ровно 100 миллионов бит в секунду без всяких «хвостиков».

Возникает вопрос: как же избежать путаницы в этих обозначениях? Во-первых, при использовании «К (большого)» и «к (маленького)» в

принципе с самого начала никакой путаницы не было и нет: К=1024, а

к=1000.

Во-вторых, в 2002 году опубликован стандарт IEEE 1541—2002, содержащий рекомендации по применению двоичных приставок единиц измерения в области цифровой и вычислительной техники.

Удивительное объяснение имеющейся путаницы в обозначениях можно найти в Интернете и некоторых книгах. Раньше якобы это не было существенной проблемой, «так как число 210=1024 достаточно близко к тысяче, и при объемах памяти, исчислявшихся кило- и мегабайтами, ошибка была незначительной. Однако, когда память стала исчисляться гигабайтами, ошибка стала значительной и заметной. В частности, разница между «двоичным» и «десятичным» килобайтом 2,4 %, в то время как между двоичным и десятичным гигабайтом — уже более 7%».

Очевидно, что Л.Клейнрок прав и сегодня – трудно после такого «железного довода» назвать вычислительную технику «наукой».

Следует отметить, что при указании размерностей кратных и дольных величин, используемых в компьютерных сетях, в основном применяются десятичные приставки и их обозначения. Это относится,

прежде всего, к пропускной способности каналов связи и скорости передачи данных. Поэтому пропускная способность 2,048 Мбит/с = 2 048 кбит/с = 2 048 000 бит/с, а скорость передачи данных 51,84 Мбит/с (STS-1) в сетях SDH равна в точности 51 840 000 бит/с, поскольку кадр размером 90*9=810 байт передаётся 8000 раз в секунду:

810 [байт]*8 [бит]*8000 [раз/c] = 51 840 000 бит/с.

Стандарт IEEE 1541–2002, утвержденный в 2008 году, рекомендует использовать для двоичных чисел приставки, схожие с СИ. Все они начинаются на те же слоги, но второй слог у всех двоичных приставок –

348

Вопросы и задания для самостоятельной работы

Вопросы и задания для самостоятельной работы

Раздел 1. ОБЩИЕ ПРИНЦИПЫ ОРГАНИЗАЦИИ СЕТЕЙ ЭВМ

1.В чем различие между данными и информацией?

2.В каких единицах измеряются данные и информация?

3.В чем состоит отличие вычислительной системы от вычислительного комплекса и от ЭВМ?

4.Основная цель построения вычислительных комплексов.

5.Что понимается под архитектурой вычислительной сети?

6.Какие устройства относятся к АПД?

7.Нарисовать структуру сообщения.

8.Понятие звена передачи данных.

9.Перечислить основные функции узла связи.

10.В чем отличие маршрутизации от коммутации?

11.Понятия маршрутизации, коммутации и мультиплексирования.

12.Что такое PDU?

13.В чем отличие пакета от сообщения?

14.Что такое хост?

15.Классификация вычислительных сетей по размеру.

16.Что такое WAN, LAN, MAN, PAN.

17.Классификация вычислительных сетей по принадлежности.

18.Понятие виртуальной ЛВС.

19.Какие функции возлагаются на администрирование компьютерной сети?

20.Какие данные относятся к непрерывным, а какие – к дискретным?

21.В чём отличие аудиоданных от телефонных (голосовых) данных?

22.Какие типы данных относятся к мультимедийным?

23.Что понимается под каналом тональной частоты?

24.Перечислить требования к организации компьютерных сетей.

25.Что означает требование открытости вычислительных сетей?

26.Как называется промежуток времени, в течение которого взаимодействуют процессы?

27.За счет чего реализуются требования к организации компьютерных сетей?

28.Понятия схемного и программного интерфейса.

29.Назначение многоуровневой модели взаимодействия открытых систем.

30.В чем отличие ISO от OSI?

31.Нарисовать OSI-модель.

32.Перечислить уровни OSI-модели.

33.Основные функции каждого уровня OSI-модели.

34.На каком уровне OSI-модели реализуются функции доступа к среде передачи данных?

35.На каком уровне OSI-модели реализуются функции маршрутизации?

36.На каком уровне OSI-модели появляется свойство адресуемости?

350

Вопросы и задания для самостоятельной работы

37.Как изменяется структура данных при передаче между уровнями управления?

38.В чем отличие логической передачи от физической в OSI-модели?

39.Может ли сетевой уровень одной системы послать сообщение канальному уровню другой системы?

40.Что такое МАС-адрес?

41.В чём отличие МАС-адреса от сетевого адреса?

42.Что не может являться МАС-адресом?

1)АF-90-02-0A-9B-9C

2)AA-BB-CC-DD-EE

3)00-11-22-33-44-55

4)00-12-AA-CD-RH-34

5)0A-A1-B2-C3-D4-F5

6)00-00-02-0A-1B-0C

43.Могут ли два устройства иметь одинаковый МАС-адрес? Ответ обосновать.

44.Функции МАС и LLC-подуровней.

45.Чем отличается состав сетевой операционной системы от операционной системы компьютера?

46.Перечислить основные топологии компьютерных сетей.

47.Какими достоинствами и недостатками обладают разные топологии компьютерных сетей?

48.Какая топология СПД обладает максимальной (минимальной) надежностью?

49.Какая топология СПД обладает максимальным (минимальным) временем доставки сообщений?

50.Какая топология СПД обладает максимальной (минимальной) производительностью?

51.В чем отличие логической топологии от физической?

52.Чем определяется функциональная организация вычислительной сети?

53.Перечислите способы коммутации в вычислительных сетях.

54.Пояснить принцип коммутации каналов (пакетов, сообщений, ячеек).

55.Какими достоинствами и недостатками обладает коммутация каналов (пакетов, сообщений)?

56.При каком способе коммутации каналы связи должны иметь одинаковые пропускные способности на всем пути передачи?

57.Какой способ коммутации эффективен при передаче больших объемов данных?

58.Пояснить, почему при коммутации пакетов буферная память используется более эффективно, чем при коммутации сообщений?

59.Какими преимуществами обладает коммутация пакетов по сравнению

скоммутацией сообщений?

60.Какой способ коммутации в компьютерных сетях является основным?

61.Пояснить принципы передачи данных при дейтаграммном способе и способе «виртуальный канал».

351