Мониторинг и анализ локальных сетей

Протоколы сетевого уровня маршрутизируют данные от источника к получателю и могут быть разделены на два класса: протоколы с установкой соединения и без него.

Протоколы этого класса начинают передачу данных с вызова или установки маршрута следования пакетов от источника к получателю. После чего начинают последовательную передачу данных и затем по окончании передачи разрывают связь.

Протоколы без установки соединения, которые посылают данные, содержащие полную адресную информацию в каждом пакете, работают аналогично почтовой системе. Каждое письмо или пакет содержит адрес отправителя и получателя. Далее каждый промежуточный почтамт или сетевое устройство считывает адресную информацию и принимает решение о маршрутизации данных. Письмо или пакет данных передается от одного промежуточного устройства к другому до тех пор, пока не будет доставлено получателю. Протоколы без установки соединения не гарантируют поступление информации получателю в том порядке, в котором она была отправлена. За установку данных в соответствующем порядке при использовании сетевых протоколов без установки соединения отвечают транспортные протоколы.

Транспортный уровень - 4-й уровень модели предназначен для доставки данных без ошибок, потерь и дублирования в той последовательности, как они были переданы. При этом не важно, какие данные передаются, откуда и куда, то есть он предоставляет сам механизм передачи. Блоки данных он разделяет на фрагменты, размер которых зависит от протокола, короткие объединяет в один, а длинные разбивает.

Transmission Control Protocol (TCP) (протокол управления передачей) — один из основных сетевых протоколов Интернет, предназначенный для управления передачей данных в сетях и подсетях TCP/IP.

Выполняет функции протокола транспортного уровня модели OSI.

TCP — это транспортный  механизм, предоставляющий поток  данных, с предварительной установкой  соединения, за счёт этого дающий  уверенность в достоверности  получаемых данных, осуществляет  повторный запрос данных в  случае потери данных и устраняет  дублирование при получении двух  копий одного пакета. В отличие  от UDP, гарантирует, что приложение  получит данные точно в такой  же последовательности, в какой  они были отправлены, и без  потерь.

Реализация TCP, как правило, встроена в ядро системы, хотя есть и реализации TCP в контексте приложения.

Когда осуществляется передача от компьютера к компьютеру через Интернет, TCP работает на верхнем уровне между двумя конечными системами, например, Интернет-браузер и Интернет-сервер. Также TCP осуществляет надежную передачу потока байт от одной программы на некотором компьютере в другую программу на другом компьютере. Программы для электронной почты и обмена файлами используют TCP. TCP контролирует длину сообщения, скорость обмена сообщениями, сетевой трафик.

UDP (англ. User Datagram Protocol — протокол пользовательских датаграмм) — это транспортный протокол для передачи данных в сетях IP без установления соединения. Он является одним из самых простых протоколов транспортного уровня модели OSI. Его IP-идентификатор — 0x11.

В отличие от TCP, UDP не гарантирует доставку пакета, поэтому аббревиатуру иногда расшифровывают как Unreliable Datagram Protocol (протокол ненадёжных датаграмм). Это позволяет ему гораздо быстрее и эффективнее доставлять данные для приложений, которым требуется большая пропускная способность линий связи, либо требуется малое время доставки данных.

 

1.4 Планирование адресного пространства.

Ip-адрес – это 32х битное двоичное значение, которое обычно выражается в виде 4-х 8-ми битных десятичных чисел, разделенных точками. Это называется десятичным представлением.

Каждое из 4-ч 8-ми битных чисел называется октетом

Компоненты Ip-адреса .

Ip-адрес идентифицирует конкретное устройство – хост. Так же Ip-адрес идентифицирует сеть, в котором находится данное устройство. Это возможно т.к. Ip-адрес состоит из 2-х частей: идентификатора сети и идентификатора хоста.

Идентификатор сети стоит перед идентификатором хоста, но «линии раздела» могут находится между любыми битами 32-х битного пространства.

Именно такая 2-х уровневая организация характерна для Интернета. Каждый Пк в Инете должен иметь уникальный Ip-адрес.

Разделение адресов на сети и хосты позволяет осуществить Ip – маршрутизацию. Маршрутизатор не должен знать где находится конкретный хост, он должен знать где находится нужная сеть.

Сетевая маска – это 32-х битное двоичное значение. Определяет сколько бит Ip-адрес относится к Ip-сети, а сколько к Ip-хоста. 1 к сети, 0 к хосту. 

Классы адресов:

А,В,С – основные

D,Е – дополнительные

D – адреса для групповой рассылки, идентифицирует какую-либо группу ПК по общему признаку

Е – экспериментальный, пока не используется

Существует 2 типа адресов:

-) зарегистрированные (общие)

-могут использоваться  в интернете

- регулируются организацией  IANA

-) не регистрированные (частные)

- могут использоваться  только в частных сетях

-могут использоваться  в совместимых схемах нумерации

Ip- адрес  используется для идентификации ПК в сети. Каждый пакет передаваемый в сети Ip содержит адрес получателя. Маршрутизатор использует этот адрес для пересылки пакета в точку назначения. Для правильного функционирования Ip-адреса должны быть уникальны. В частных сетях за уникальность Ip отвечает админ.

Сеть Интернет много  больше и процессом распределения ID управляет IANA – официальный регистратор сетевых адресов.

IANA – выделяет большие куски ID адресного пространства региональным, национальным регистратором, которые в свою очередь выделяют конкретные сети ISD – провайдер услуг Интернет.

Использование зарегистрированных адресов: используются только для ПК, которые должны быть доступны в Интернете. Защита ПК с общими адресами – очень важный процесс для админа. Если в сети есть ПК с открытыми и частными Ip, то рекомендуется выделить ПК с открытым Ip в отдельный сегмент сети – демилитаризованная зона.

Использование не зарегистрированных адресов: для работы внутри сети рекомендуется использовать частные Ip адреса, которые не регистрируются в IANA => невидимы доя Интернета, их нельзя атаковать => они более защищены, но подвержены другим видам атак.

Планирование IP адресации: 

1. Определить тип доступа к сети Интернет – если пользователь является только клиентом интернета, то используются частные адреса в сочетании с технологиями NAT иPROXY 
2. Определить  количество сегментов в сети и способов их соединения. Если сеть состоит из нескольких сегментов , то для каждого сегмента нужно использовать различные подсети. Если сегмент соединяется коммутаторами, то мы получаем одну большую подсеть с большим количеством хостов =>нужно правильно подобрать класс ID, который будет использоваться для сети.

Получение сетевых адресов: сетевые адреса можно получить у вашего ISD – провайдер услуг Интернет.

Если ПК надо взаимодействовать между собой, то потребуется выделение подсети. Если вам нужно вывести в Интернет много устройств, то тогда потребуется отдельная сеть.

Разбитие IPадресов на подсети:

Определив  типы Ip адресов, число сегментов и способы их соединения можно приступать к расчету Ip адресного пространства.

Разбитие на подсети – процесс создания адресов отдельных сетей из адреса большой сети. Позволяет более рационально использовать адресное пространство, например класса А=16 млн. хостов.

 

2.Мониторинг и анализ локальных сетей

Постоянный контроль за работой локальной сети, составляющей основу любой корпоративной сети, необходим для поддержания ее в работоспособном состоянии. Контроль -- это необходимый первый этап, который должен выполняться при управлении сетью. Ввиду важности этой функции ее часто отделяют от других функций систем управления и реализуют специальными средствами. Такое разделение функций контроля и собственно управления полезно для небольших и средних сетей, для которых установка интегрированной системы управления экономически нецелесообразна. Использование автономных средств контроля помогает администратору сети выявить проблемные участки и устройства сети, а их отключение или реконфигурацию он может выполнять в этом случае вручную. Процесс контроля работы сети обычно делят на два этапа -- мониторинг и анализ.

На этапе мониторинга выполняется более простая процедура -- процедура сбора первичных данных о работе сети: статистики о количестве циркулирующих в сети кадров и пакетов различных протоколов, состоянии портов концентраторов, коммутаторов и маршрутизаторов и т. п.

Далее выполняется этап анализа, под которым понимается более сложный и интеллектуальный процесс осмысления собранной на этапе мониторинга информации, сопоставления ее с данными, полученными ранее, и выработки предположений о возможных причинах замедленной или ненадежной работы сети.

Задачи мониторинга решаются программными и аппаратными измерителями, тестерами, сетевыми анализаторами, встроенными средствами мониторинга коммуникационных устройств, а также агентами систем управления. Задача анализа требует более активного участия человека и использования таких сложных средств, как экспертные системы, аккумулирующие практический опыт многих сетевых специалистов.

 

2.1 Классификация средств мониторинга и анализа.

Все многообразие средств, применяемых для анализа и диагностики вычислительных сетей, можно разделить на несколько крупных классов.

· Агенты систем управления, поддерживающие функции одной из стандартных MIB (MIB (Management Information Base) -- база данных информации управления, используемая в процессе управления сетью в качестве модели управляемого объекта в архитектуре агент-менедже) и поставляющие информацию по протоколу SNMP или CMIP. Для получения данных от агентов обычно требуется наличие системы управления, собирающей данные от агентов в автоматическом режиме.

· Встроенные системы диагностики и управления (Embedded systems). Эти системы выполняются в виде программно-аппаратных модулей, устанавливаемых в коммуникационное оборудование, а также в виде программных модулей, встроенных в операционные системы. Они выполняют функции диагностики и управления только одним устройством, и в этом их основное отличие от централизованных систем управления. Примером средств этого класса может служить модуль управления многосегментным повторителем Ethernet, реализующий функции автосегментации портов при обнаружении неисправностей, приписывания портов внутренним сегментам повторителя и некоторые другие. Как правило, встроенные модули управления «по совместительству» выполняют роль SNMP-агентов, поставляющих данные о состоянии устройства для систем управления.

· Анализаторы протоколов (Protocol analyzers). Представляют собой программные или аппаратно-программные системы, которые ограничиваются в отличие от систем управления лишь функциями мониторинга и анализа трафика в сетях. Хороший анализатор протоколов может захватывать и декодировать пакеты большого количества протоколов, применяемых в сетях, -- обычно несколько десятков. Анализаторы протоколов позволяют установить некоторые логические условия для захвата отдельных пакетов и выполняют полное декодирование захваченных пакетов, то есть показывают в удобной для специалиста форме вложенность пакетов протоколов разных уровней друг в друга с расшифровкой содержания отдельных полей каждого пакета.

· Экспертные системы. Этот вид систем аккумулирует знания технических специалистов о выявлении причин аномальной работы сетей и возможных способах приведения сети в работоспособное состояние. Экспертные системы часто реализуются в виде отдельных подсистем различных средств мониторинга и анализа сетей: систем управления сетями, анализаторов протоколов, сетевых анализаторов. Простейшим вариантом экспертной системы является контекстно-зависимая система помощи. Более сложные экспертные системы представляют собой, так называемые базы знаний, обладающие элементами искусственного интеллекта. Примерами таких систем являются экспертные системы, встроенные в систему управления Spectrum компании Cabletron и анализатора протоколов Sniffer компании Network General. Работа экспертных систем состоит в анализе большого числа событий для выдачи пользователю краткого диагноза о причине неисправности сети.

· Оборудование для диагностики и сертификации кабельных систем. Условно это оборудование можно поделить на четыре основные группы: сетевые мониторы, приборы для сертификации кабельных систем, кабельные сканеры и тестеры.

Сетевые мониторы (называемые также сетевыми анализаторами) предназначены для тестирование кабелей различных категорий. Сетевые мониторы собирают также данные о статистических показателях трафика -- средней интенсивности общего трафика сети, средней интенсивности потока пакетов с определенным типом ошибки и т. п. Эти устройства являются наиболее интеллектуальными устройствами из всех четырех групп устройств данного класса, так как работают не только на физическом, но и на канальном, а иногда и на сетевом уровнях.

Устройства для сертификации кабельных систем выполняют сертификацию в соответствии с требованиями одного из международных стандартов на кабельные системы.

Кабельные сканеры используются для диагностики медных кабельных систем.

Тестеры предназначены для проверки кабелей на отсутствие физического разрыва. Многофункциональные портативные устройства анализа и диагностики. В связи с развитием технологии больших интегральных схем появилась возможность производства портативных приборов, которые совмещали бы функции нескольких устройств: кабельных сканеров, сетевых мониторов и анализаторов протоколов.

 

2.2 Анализаторы протоколов.

Анализатор протоколов представляет собой либо специализированное устройство, либо персональный компьютер, обычно переносной, класса Notebook, оснащенный специальной сетевой картой и соответствующим программным обеспечением.

Применяемые сетевая карта и программное обеспечение должны соответствовать технологии сети (Ethernet, Token Ring, FDDI, Fast Ethernet). Анализатор подключается к сети точно так же, как и обычный узел. Отличие состоит в том, что анализатор может принимать все пакеты данных, передаваемые по сети, в то время как обычная станция -- только адресованные ей. Для этого сетевой адаптер анализатора протоколов переводится в режим «беспорядочного» захвата --promiscuousmode.