Файл: Пояснительная записка организация корпоративной сети на основе цифровых технологий передачи данных выполнил Степанов А. З.docx
ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 08.11.2023
Просмотров: 173
Скачиваний: 1
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
, но основные классы следующие:
Некоторые провайдеры поддерживают дополнительные классы обслуживания, например класс для передачи данных с приоритетом ниже, чем класс по умолчанию.
Описанная возможность позволяет пользователю организовать передачу данных между офисами с необходимым качеством обслуживания. Обычно пользователь должен самостоятельно отнести данные к тому или иному классу обслуживания перед их передачей в сеть оператора связи. Это делается путем маркировки IP-пакетов тем или иным согласованным с оператором значением поля DSCP в заголовке IP-пакета. Поддержка классов обслуживания в сетях Frame Relay также присутствует, но там по умолчанию имеется только высоко- и низкоприоритетный трафик, который определяет, какие пакеты могут быть отброшены в первую очередь при возникновении перегрузки в канале. Если возникнет необходимость обеспечить большее количество классов обслуживания, то потребуется организовать несколько виртуальных каналов между всеми узлами и самостоятельно распределять по ним трафик разного приоритета.
Возможность сохранения собственной IP-адресации. Данная возможность важна для компаний, которые уже имеют собственные ЛВС и используют собственные, немаршрутизируемые в Интернет адреса (а таких компаний в настоящий момент абсолютное большинство). Эта проблема вообще не возникает при использовании выделенных (физических или цифровых) каналов.
Поддержка маршрутизации трафика между офисами заключается в том, что сеть провайдера может представляться заказчику в виде некоторого «распределенного виртуального маршрутизатора», который «знает» об используемых внутри сети адресах и осуществляет маршрутизацию трафика между ними. Сети заказчика могут использовать статическую или динамическую маршрутизацию для связи с сетью провайдера. При этом провайдер обычно позволяет заказчику настроить взаимодействие с его сетью с помощью динамических протоколов маршрутизации и содержит таблицу маршрутизации для каждого заказчика отдельно. Динамическая маршрутизация обеспечивает организацию отказоустойчивого соединения сетей офисов заказчика с автоматической перемаршрутизацией трафика при выходе из строя части каналов или оборудования. Обычно в качестве протокола взаимодействия используется протокол BGP. В сети же заказчика используются другие протоколы динамической маршрутизации OSPF, EIGRP или RIP, или статическая маршрутизация. В этом случае заказчик должен организовать передачу информации о доступных маршрутах из одного протокола маршрутизации в другой.
Рис. 4. Использование пакетной сети передачи данных оператора связи для построения КСПД
https://www.jetinfo.ru/Uploads/ris_4.2BEE7C5F6FED46319112F35C2570E243.gif
Организация доступа в Интернет также может служить дополнительным стимулом для подключения к MPLS-сети одного оператора, поскольку позволяет получить все необходимые услуги из одних рук.
В классическом виде он приспособлен для передачи IP-данных пользователей, но имеется ряд протоколов AToM (Any Transport over MPLS), позволяющий передавать по сетям MPLS трафик канального уровня (обычно Ethernet).
Таким образом, следует сделать заключение, что MPLSVPN сети в настоящее время наиболее полно обеспечивают корпоративного заказчика необходимыми услугами для создания распределенной корпоративной сети передачи данных.
В качестве особенностей данного подключения следует отметить два момента:
По уровню безопасности VPN-соединения, организованные через сеть MPLS, приравниваются к Frame Relay каналам, т.е. считается, что трафик одного клиента не может быть доступен другим клиентам.
L2 VPN канал (обычно Metro Ethernet)
Для объединения корпоративных сетей на уровне Ethernet наиболее подходящим решением будет использование либо высокоскоростных арендованных каналов, либо услуг L2 VPN.
Для заказчика подключение к L2 VPN каналам обычно представляется в виде подключения к порту Ethernet (на скорости 10 или 100Мбит/с). При этом сеть оператора связи выступает в роли «виртуального коммутатора», пересылающего пакеты между ЛВС отдельных офисов. Количество офисов при этом теоретически не ограничено. Возможна организация соединения между офисами Ethernet-транками (стандарт IEEE 802.1q).
У провайдера в таком случае применяется технология инкапсуляции пользовательских VLAN в один свой VLAN по технологии Q-in-Q.
Однако при таком подключении зачастую сложно организовать резервные каналы из-за того, что провайдер может не пропускать по своей сети BPDU-пакеты заказчика и есть угроза возникновения петель в его Ethernet-сети.
К плюсам таких решений для корпоративного пользователя относится низкая, по сравнению с аналогичными решениями на базе MPLS сети, стоимость канала, простота настройки оборудования и его стоимость, возможность передачи трафика, отличного от IP.
Относительно низкая стоимость организации высокоскоростных Ethernet-каналов позволяет рассматривать данный способ подключения и для соединения сетей заказчика на уровне IP с установкой на окончании канала маршрутизаторов, на которые часто возлагается задача шифрования передаваемого трафика.
Разделение данных между клиентами в операторских MetroEthernet сетях основано на использовании меток VLAN-ID в сетях провайдера. Если по сети передаются конфиденциальные данные, то обычно предпринимаются дополнительные меры по обеспечению их безопасности.
Решение для шифрования Ethernet-трафика на высоких скоростях не распространено. Поэтому при необходимости шифрования Ethernet-трафика применяются специальные решения.
В частности, применяется инкапсуляция Ethernet-фреймов в IP-пакеты, которые затем шифруются перед передачей в каналы сети Metro Ethernet. Данное решение требует установки дополнительного высокопроизводительного сетевого оборудования. Зачастую проще и дешевле произвести изначальное планирование сети передачи данных так, чтобы соединение между офисами производилось на сетевом (IP) уровне или чтобы данные, требующие дополнительной защиты, шифровались до передачи в сеть на уровне приложений.
Доступ в Интернет
Организация связи ЛВС через Интернет получает все большее распространение вместе с доступностью самой сети.
Каждый офис компании в настоящее время имеет (или может легко получить) собственное подключение к Интернету по выделенному каналу. После этого между ЛВС офисов организуется зашифрованный канал VPN, по которому передаются данные (Рис. 5).
Сейчас качество предоставления доступа в Интернет в крупных городах достаточно высоко для передачи между офисами компании данных, не чувствительных к задержкам.
Рис. 5. Организация КСПД через VPN'каналы в Интернет
https://www.jetinfo.ru/Uploads/ris_5.2BEE7C5F6FED46319112F35C2570E243.gif
Основным минусом подключения через Интернет, с корпоративной точки зрения, является отсутствие каких либо гарантий относительно полосы пропускания, задержек и потерь пакетов.
Плюсы данного подключения следующие:
Как следствие этих факторов, подключение через Интернет можно применить в следующих случаях:
Особое внимание при использовании интернет-подключений следует уделять вопросам безопасности, поскольку существует вероятность как перехвата передаваемых данных, так и проникновения в корпоративную сеть через Интернет. Поэтому обязательно использование межсетевых экранов. В некоторых случаях даже при подключении офисов через Интернет применяется модель корпоративной СПД с централизованным доступом в Интернет. В этом случае весь интернет-трафик удаленного офиса проходит через прокси-сервер, установленный в центральном офисе.
Рекомендации по выбору решения
Если вернуться к общей схеме корпоративной сети (Рис. 1), то можно увидеть, что разные подсистемы могут объединяться разными, наиболее подходящими, каналами связи. Выбирать метод подключения следует исходя из требований, предъявляемых к сети передачи данных со стороны используемых в компании приложений.
Наиболее типичные решения для каждого подключения показаны на Рис. 6.
Рис. 6. Типовые методы объединения отдельных сетей офисов в единую КСПД
https://www.jetinfo.ru/Uploads/ris_6.2BEE7C5F6FED46319112F35C2570E243.gif
При необходимости объединения основных и резервных дата-центров следует использовать выделенные оптоволоконные линии связи, по которым можно предавать не только IP- или Ethernet-трафик, но и организовать взаимодействие между хранилищами данных, например по протоколу Fibre Channel.
Для соединения крупных офисов и их подключения к дата-центру в пределах одного города имеет смысл использовать собственные или арендованные оптоволоконные линии связи либо высокоскоростные каналы (от 100Мбит/с и выше), предлагаемые местными операторами связи (обычно это решения на базе Metro Ethernet сети провайдера).
Для подключения географически удаленных офисов можно использовать услуги L3 VPN, а при их недоступности рассмотреть возможности подключения по сети FrameRelay или ATM (правда, последние сегодня предлагаются реже, чем первые).
Для подключения мобильных пользователей организуется подключение по защищенному VPN-каналу через Интернет. Этот же тип подключения может использоваться для небольших офисов, которым нужно передавать только малые объемы данных, некритичных к задержкам и потерям пакетов.
-
класс трафика реального времени: параметры обслуживания данного класса предусматривают выполнение требований, предъявляемых голосовому и видеотрафику. Это означает, что для данного класса гарантируется самая низкая задержка и минимальный «джиттер», который может обеспечить провайдер у себя в сети. При этом допустим некоторый процент потерь пакетов (обычно около 1%); -
класс критического трафика: предназначен для передачи трафика, критического для бизнеса заказчика (например, транзакции баз данных, передача данных приложений, от которых зависит деятельность заказчика). Обычно для этого класса гарантируется низкая задержка и минимальный процент потерь пакетов; -
класс «по умолчанию»: для данного класса трафика обычно устанавливается только порог, который не должны превышать потери пакетов (0,5-3%). В данный класс должен попадать не критичный для бизнеса или не чувствительный к задержкам трафик заказчика (данные, получаемые из Интернета, электронная почта и т.п.).
Некоторые провайдеры поддерживают дополнительные классы обслуживания, например класс для передачи данных с приоритетом ниже, чем класс по умолчанию.
Описанная возможность позволяет пользователю организовать передачу данных между офисами с необходимым качеством обслуживания. Обычно пользователь должен самостоятельно отнести данные к тому или иному классу обслуживания перед их передачей в сеть оператора связи. Это делается путем маркировки IP-пакетов тем или иным согласованным с оператором значением поля DSCP в заголовке IP-пакета. Поддержка классов обслуживания в сетях Frame Relay также присутствует, но там по умолчанию имеется только высоко- и низкоприоритетный трафик, который определяет, какие пакеты могут быть отброшены в первую очередь при возникновении перегрузки в канале. Если возникнет необходимость обеспечить большее количество классов обслуживания, то потребуется организовать несколько виртуальных каналов между всеми узлами и самостоятельно распределять по ним трафик разного приоритета.
Возможность сохранения собственной IP-адресации. Данная возможность важна для компаний, которые уже имеют собственные ЛВС и используют собственные, немаршрутизируемые в Интернет адреса (а таких компаний в настоящий момент абсолютное большинство). Эта проблема вообще не возникает при использовании выделенных (физических или цифровых) каналов.
Поддержка маршрутизации трафика между офисами заключается в том, что сеть провайдера может представляться заказчику в виде некоторого «распределенного виртуального маршрутизатора», который «знает» об используемых внутри сети адресах и осуществляет маршрутизацию трафика между ними. Сети заказчика могут использовать статическую или динамическую маршрутизацию для связи с сетью провайдера. При этом провайдер обычно позволяет заказчику настроить взаимодействие с его сетью с помощью динамических протоколов маршрутизации и содержит таблицу маршрутизации для каждого заказчика отдельно. Динамическая маршрутизация обеспечивает организацию отказоустойчивого соединения сетей офисов заказчика с автоматической перемаршрутизацией трафика при выходе из строя части каналов или оборудования. Обычно в качестве протокола взаимодействия используется протокол BGP. В сети же заказчика используются другие протоколы динамической маршрутизации OSPF, EIGRP или RIP, или статическая маршрутизация. В этом случае заказчик должен организовать передачу информации о доступных маршрутах из одного протокола маршрутизации в другой.
Рис. 4. Использование пакетной сети передачи данных оператора связи для построения КСПД
https://www.jetinfo.ru/Uploads/ris_4.2BEE7C5F6FED46319112F35C2570E243.gif
Организация доступа в Интернет также может служить дополнительным стимулом для подключения к MPLS-сети одного оператора, поскольку позволяет получить все необходимые услуги из одних рук.
В классическом виде он приспособлен для передачи IP-данных пользователей, но имеется ряд протоколов AToM (Any Transport over MPLS), позволяющий передавать по сетям MPLS трафик канального уровня (обычно Ethernet).
Таким образом, следует сделать заключение, что MPLSVPN сети в настоящее время наиболее полно обеспечивают корпоративного заказчика необходимыми услугами для создания распределенной корпоративной сети передачи данных.
В качестве особенностей данного подключения следует отметить два момента:
-
Маркировку IP-трафика, передаваемого по сети оператора, для помещения его в тот или иной класс обслуживания осуществляет сам заказчик на своем оборудовании. -
Заказчик должен обеспечивать передачу трафика на скорости, не превышающей оговоренную. Данное требование появляется, например, когда у провайдера заказывается подключение к сети на скорости несколько мегабит в секунду, а подключение осуществляется интерфейсом FastEthernet с физической скоростью 100 Мбит/с.
По уровню безопасности VPN-соединения, организованные через сеть MPLS, приравниваются к Frame Relay каналам, т.е. считается, что трафик одного клиента не может быть доступен другим клиентам.
L2 VPN канал (обычно Metro Ethernet)
Для объединения корпоративных сетей на уровне Ethernet наиболее подходящим решением будет использование либо высокоскоростных арендованных каналов, либо услуг L2 VPN.
Для заказчика подключение к L2 VPN каналам обычно представляется в виде подключения к порту Ethernet (на скорости 10 или 100Мбит/с). При этом сеть оператора связи выступает в роли «виртуального коммутатора», пересылающего пакеты между ЛВС отдельных офисов. Количество офисов при этом теоретически не ограничено. Возможна организация соединения между офисами Ethernet-транками (стандарт IEEE 802.1q).
У провайдера в таком случае применяется технология инкапсуляции пользовательских VLAN в один свой VLAN по технологии Q-in-Q.
Однако при таком подключении зачастую сложно организовать резервные каналы из-за того, что провайдер может не пропускать по своей сети BPDU-пакеты заказчика и есть угроза возникновения петель в его Ethernet-сети.
К плюсам таких решений для корпоративного пользователя относится низкая, по сравнению с аналогичными решениями на базе MPLS сети, стоимость канала, простота настройки оборудования и его стоимость, возможность передачи трафика, отличного от IP.
Относительно низкая стоимость организации высокоскоростных Ethernet-каналов позволяет рассматривать данный способ подключения и для соединения сетей заказчика на уровне IP с установкой на окончании канала маршрутизаторов, на которые часто возлагается задача шифрования передаваемого трафика.
Разделение данных между клиентами в операторских MetroEthernet сетях основано на использовании меток VLAN-ID в сетях провайдера. Если по сети передаются конфиденциальные данные, то обычно предпринимаются дополнительные меры по обеспечению их безопасности.
Решение для шифрования Ethernet-трафика на высоких скоростях не распространено. Поэтому при необходимости шифрования Ethernet-трафика применяются специальные решения.
В частности, применяется инкапсуляция Ethernet-фреймов в IP-пакеты, которые затем шифруются перед передачей в каналы сети Metro Ethernet. Данное решение требует установки дополнительного высокопроизводительного сетевого оборудования. Зачастую проще и дешевле произвести изначальное планирование сети передачи данных так, чтобы соединение между офисами производилось на сетевом (IP) уровне или чтобы данные, требующие дополнительной защиты, шифровались до передачи в сеть на уровне приложений.
Доступ в Интернет
Организация связи ЛВС через Интернет получает все большее распространение вместе с доступностью самой сети.
Каждый офис компании в настоящее время имеет (или может легко получить) собственное подключение к Интернету по выделенному каналу. После этого между ЛВС офисов организуется зашифрованный канал VPN, по которому передаются данные (Рис. 5).
Сейчас качество предоставления доступа в Интернет в крупных городах достаточно высоко для передачи между офисами компании данных, не чувствительных к задержкам.
Рис. 5. Организация КСПД через VPN'каналы в Интернет
https://www.jetinfo.ru/Uploads/ris_5.2BEE7C5F6FED46319112F35C2570E243.gif
Основным минусом подключения через Интернет, с корпоративной точки зрения, является отсутствие каких либо гарантий относительно полосы пропускания, задержек и потерь пакетов.
Плюсы данного подключения следующие:
-
высокая доступность услуги подключения к Интернету и, как следствие, быстрое время развертывания канала; -
низкая стоимость подключения; -
низкая стоимость владения такими каналами (центральный офис в любом случае имеет доступ в Интернет, остается подключиться только отдельным офисам).
Как следствие этих факторов, подключение через Интернет можно применить в следующих случаях:
-
мобильные пользователи, у которых нет необходимости или возможности использовать другие способы подключения. В крайнем случае возможно осуществлять подключение по VPN-каналу после подключения к Интернету через GPRS-модем; -
домашние пользователи или малые офисы, которым нет необходимости постоянно передавать большие объемы данных; -
как временное решение, если в точке открытия нового офиса нет других каналов, кроме доступа в Интернет. Тогда на время организации постоянного канала офис работает с корпоративными данными через Интернет; -
организация относительно дешевого резервного канала, когда VPN-канал через Интернет организуется одновременно с выделенным каналом связи и используется в случае выхода из строя последнего.
Особое внимание при использовании интернет-подключений следует уделять вопросам безопасности, поскольку существует вероятность как перехвата передаваемых данных, так и проникновения в корпоративную сеть через Интернет. Поэтому обязательно использование межсетевых экранов. В некоторых случаях даже при подключении офисов через Интернет применяется модель корпоративной СПД с централизованным доступом в Интернет. В этом случае весь интернет-трафик удаленного офиса проходит через прокси-сервер, установленный в центральном офисе.
Рекомендации по выбору решения
Если вернуться к общей схеме корпоративной сети (Рис. 1), то можно увидеть, что разные подсистемы могут объединяться разными, наиболее подходящими, каналами связи. Выбирать метод подключения следует исходя из требований, предъявляемых к сети передачи данных со стороны используемых в компании приложений.
Наиболее типичные решения для каждого подключения показаны на Рис. 6.
Рис. 6. Типовые методы объединения отдельных сетей офисов в единую КСПД
https://www.jetinfo.ru/Uploads/ris_6.2BEE7C5F6FED46319112F35C2570E243.gif
При необходимости объединения основных и резервных дата-центров следует использовать выделенные оптоволоконные линии связи, по которым можно предавать не только IP- или Ethernet-трафик, но и организовать взаимодействие между хранилищами данных, например по протоколу Fibre Channel.
Для соединения крупных офисов и их подключения к дата-центру в пределах одного города имеет смысл использовать собственные или арендованные оптоволоконные линии связи либо высокоскоростные каналы (от 100Мбит/с и выше), предлагаемые местными операторами связи (обычно это решения на базе Metro Ethernet сети провайдера).
Для подключения географически удаленных офисов можно использовать услуги L3 VPN, а при их недоступности рассмотреть возможности подключения по сети FrameRelay или ATM (правда, последние сегодня предлагаются реже, чем первые).
Для подключения мобильных пользователей организуется подключение по защищенному VPN-каналу через Интернет. Этот же тип подключения может использоваться для небольших офисов, которым нужно передавать только малые объемы данных, некритичных к задержкам и потерям пакетов.