Хант Крэйг. TCP/IP Сетевое администрирование

Подождите немного. Документ загружается.

112 Глава 4. Начинаем работу

если дейтаграмма содержит конечный адрес, упомянутый в RFC 1918,

любой Интернет-маршрутизатор просто игнорирует такого пришельца.

• Избавляет от необходимости в перенумерации узлов при подключении к

сети Интернет.

У преобразования сетевых адресов есть и недостатки:

Стоимость

NAT может служить источником расходов на приобретение дополнитель-

ного аппаратного и программного обеспечения. Однако эти расходы, как

правило, очень невелики.

Производительность

Преобразование адресов снижает производительность, делая обязатель-

ной дополнительную обработку каждой дейтаграммы. При изменении ад-

реса необходимо повторно вычислить контрольную сумму. Более того,

некоторые из протоколов более высокого уровня передают копию IP-ад-

реса, которая также подлежит преобразованию.

Надежность

Маршрутизаторы, в отличие от NAT-серверов, никогда не изменяют ад-

реса в заголовках дейтаграмм. Это может привносить некоторую неста-

бильность. Кроме того, протоколы и приложения, встраивающие адреса в

свои данные, могут некорректно работать с NAT.

Безопасность

NAT ограничивает возможности для сквозного шифрования и проверки

подлинности. Механизмы проверки подлинности, включающие заголов-

ки в свои вычисления, не работают, поскольку NAT изменяет адреса в за-

головках. Шифрование не работает, если зашифрованные данные содер-

жат адрес источника.

Прокси-серверы предоставляют во многом те же преимущества, что и меха-

низм NAT. Более того, эти названия часто используются в качестве взаимо-

заменяемых. Но различия все же присутствуют. Прокси-серверы - это шлю-

зы приложений, которые изначально создавались в составе систем, направ-

ленных на обеспечение безопасности, а именно - брандмауэров. Внутренние

системы взаимодействуют с внешним миром через прокси, а внешние систе-

мы отвечают прокси. Прокси-серверы ориентированы на работу с конкрет-

ными приложениями. В сети может присутствовать прокси веб-сервера и

прокси FTP-сервера. Каждый из них обслуживает соединения единственно-

го типа приложений. Итак, различие между серверами NAT и прокси-серве-

рами состоит в том, что NAT выполняет преобразование IP-адресов для лю-

бых приложений, а классический прокси-сервер нацелен на единственное

приложение.

Пришелец (martian, дословно марсианин) - это дейтаграмма с некорректным ад-

ресом.

Базовые сведения 113

В прокси-серверы часто добавляются функции системы безопасности. Пре-

образование адресов может выполняться на уровне IP. Службы прокси тре-

буют обработки данных вплоть до прикладного уровня. Прокси-сервер мо-

жет содержать фильтры безопасности на всех уровнях стека протоколов.

Принимая во внимание описанные различия, можно решить, что серверы

NAT масштабируются лучше, чем прокси-серверы, а прокси-серверы более

эффективно обеспечивают безопасность. Но с течением времени происходи-

ло слияние этих технологий, и сегодня их практически невозможно разли-

чить. Прежде чем принять решение о применении служб NAT или прокси,

убедитесь, что они соответствуют нуждам сети.

Сочетание механизма NAT с частными адресами сети дает каждому из узлов

сети доступ ко внешнему миру, но не позволяет внешним пользователям по-

лучать доступ к частной сети. Чтобы применить подобную модель, необхо-

димо получить официальный IP-адрес.

Получение официального сетевого адреса

Сети, полностью подключенные к сети Интернет, должны иметь официаль-

ные сетевые адреса. Каждая система, напрямую доступная для Интернет-

узлов, должна иметь официальный адрес. Каждая сеть, вовлеченная в обмен

данными с Интернетом, даже в случае использования NAT, должна иметь по

меньшей мере один официальный адрес, хотя этот адрес может и не быть по-

стоянным. Первый шаг в получении блока адресов - определить потреб-

ность в адресной емкости.

Чтобы оценить потребности и способы их удовлетворения, можно начать с

выявления «типа организации». RFC 2901, Administrative Internet Infra-

structure Guide (Руководство по инфраструктуре сети Интернет), определяет

четыре типа организаций:

Конечный пользователь сети Интернет

Небольшие и среднего размера организации, которым требуется подклю-

чение к сети Интернет. Диапазон: от единственного пользователя, получа-

ющего адрес динамически при подключении к сети от DHCP-сервера по-

ставщика интернет-услуг, до целой сети из тысяч узлов с частной адреса-

цией в рамках сети предприятия и официальными адресами для ограни-

ченного числа доступных извне систем. Отличительный признак

организаций этого типа - желание использовать ресурсы сети Интернет,

ограничивая число своих систем, доступных внешним пользователям. Ко-

нечные пользователи получают официальные адреса от поставщиков ин-

тернет-услуг. С точки зрения сети Интернет организация этого типа ока-

зывается невелика, поскольку задействует ограниченное число офици-

альных адресов.

Крупные конечные пользователи

Среднего размера и крупные организации, распределяющие официаль-

ные адреса системам по всей корпоративной сети. Как правило, в таких

организациях применяется модель распределенного управления, и под-

114

Глава 4. Начинаем работу

разделения обладают полномочиями делать системы доступными для

внешних пользователей. Крупные конечные пользователи обычно удов-

летворяют адресные потребности, обращаясь к поставщикам интернет-

услуг или локальным регистраторам сети Интернет. Если потребности

организации превышают 8000 адресов, она может обращаться напрямую

к локальному регистратору сети Интернет. И хотя в действительности

сеть такой организации может уступать размерами сети конечного поль-

зователя сети Интернет, с точки зрения сети Интернет она «крупнее», по-

скольку большее число ее систем доступно извне.

Поставщики интернет-услуг

Организации, предоставляющие другим организациям услуги подключе-

ния к сети Интернет и официальные адреса. Даже поставщик услуг дол-

жен каким-то образом подключаться к Сети. Поставщики интернет-услуг

получают адреса от поставщиков более высокого уровня, либо, при под-

ключении напрямую в точках доступа к сети (NAP, network access point),

упоминавшихся в главе 2, от местного или регионального регистратора

сети Интернет.

Локальные регистраторы сети Интернет

Организации, снабжающие адресами поставщиков интернет-услуг. По су-

ти дела, локальный регистратор сети Интернет (Local Internet Registry) -

первоисточник для всех других организаций, занятых в распространении

адресов. Локальный регистратор получает свои адреса от регионального

регистратора (Regional Internet Registry).

Эти четыре типа организаций приводятся в RFC 2901 для полноты картины,

но большая часть организаций принадлежит к первым двум типам. С боль-

шой вероятностью вы работаете в одной из таких организаций, так что адре-

са предстоит получать от поставщика интернет-услуг.

Вашему поставщику услуг были делегированы полномочия в рамках груп-

пы сетевых адресов, так что он сможет назначить номер вашей сети. Если

местный поставщик услуг не способен удовлетворить ваши нужды, имеет

смысл обращаться к поставщику более высокого уровня. Поинтересуйтесь у

местного поставщика услуг, чьими услугами он сам пользуется, и запросите

адреса в этой организации. В самом крайнем случае придется обращаться к

Интернет-регистратору. Если это случится, необходимо предпринять опре-

деленные шаги перед тем, как подавать заявление.

Потребуется подробное описание топологии сети. Топология должна вклю-

чать диаграмму, отражающую физическую структуру сети и подчеркиваю-

щую каналы подключения к сети Интернет. Следует приложить также про-

ектные документы, описывающие помимо топологии следующие аспекты:

• Планы маршрутизации, включая задействованные протоколы и упоми-

нания ограничений, заставивших принять те или иные решения по

маршрутизации.

• Планы по созданию подсетей, включая маску, а также число сетей и узлов,

подключение которых планируется в течение года. Документ RFC 2050,

Базовые сведения

115

Internet Registry IP Allocation Guidelines (Нормы выделения IP-адресов

реестрами Интернета) предлагает включить в данный план следующие

элементы:

• Таблицу с перечислением всех подсетей

• Маску для каждой подсети. Весьма приветствуется использование ма-

сок подсетей переменной длины (VLSM, variable-length subnet mask).

Маски VLSM описаны далее в этой главе в разделе «Создание маски

подсети»

• Оценку числа узлов

• Описательный текст, определяющий назначение каждой из подсетей

Наибольшую трудность представляет прогноз потребностей в адресах. Если

вы ранее уже получали адресный блок, с вас могут потребовать отчет о том,

как была израсходована адресная емкость этого блока. В любом случае по-

добный исторический отчет полезен - если не для регистратора, то для про-

цесса дальнейшего планирования. Помимо этого может потребоваться план

развертывания сети. Обычно такой план отражает число уже существую-

щих узлов, которым требуются официальные адреса, и прогноз числа подоб-

ных узлов на следующие шесть месяцев, год и два года.

Для определения емкостных потребностей адресного пространства можно

применять, в частности, ожидаемый коэффициент использования. Ожидае-

мый коэффициент использования - это отношение числа узлов, которым

присвоены официальные адреса, к максимально возможному числу узлов в

сети. Планы построения должны отражать число узлов, которым будут при-

своены адреса за последующие два года. Общее число узлов можно оценить,

исходя из общего числа сотрудников в организации и числа машин, приходя-

щихся на одного сотрудника. Очевидно, обращение за официальными адре-

сами требует подробнейших познаний о структуре организации и ее нуждах.

Помимо документации, подтверждающей необходимость в выделении адре-

сов, получение официального адреса требует формального выделения ресур-

сов. Как правило, в заявке на выделение адресов требуется указать двух от-

ветственных лиц: административное и техническое. Административное ли-

цо должно обладать полномочиями, простирающимися от случаев наруше-

ния установленных правил до финансовых тяжб. Технический специалист

должен быть в состоянии справляться с техническими затруднениями и от-

вечать на сопутствующие вопросы. Регистраторы требуют, чтобы ответст-

венные лица проживали в той же стране, что и организация, которую они

представляют. Необходимо предоставить имена, адреса, телефонные номера

н адреса электронной почты этих людей. Не обманывайтесь - это вовсе не

почетные должности. Как только возникнут проблемы - на спинах этих лю-

дей появятся мишени.

Регистратор вносит контактную информацию в базу данных whois, которая

содержит публично-доступную контактную информацию о людях, отвечаю-

щих за функционирование сетей. Когда ваше имя внесено в базу данных, вы

получаете уникальный идентификатор NIC-handle, связанный с записью в

116 Глава 4. Начинаем работу

базе данных

whois.

Мой идентификатор NIC-handle -

cwh3.

Идентификаторы

NIC требуются при подаче многих официальных заявок.

Помимо кадровых ресурсов необходимо выделить и компьютерные. Обраща-

ясь за получением официальных адресов, следует иметь готовую, работоспо-

собную систему.

Когда с подготовительной работой покончено, можно обращаться в органи-

зацию-регистратор Интернета. Выделение адресов IP находится в ведении

трехуровневой бюрократической машины:

IANA

Служба назначения числовых Интернет-адресов IANA (The Internet As-

signed Numbers Authority) выделяет крупные блоки адресов региональ-

ным реестрам Интернета.

Региональный регистратор Интернета

Региональные регистраторы Интернета уполномочены IANA на выделе-

ние адресов в крупных регионах мира. Существует три региональных ре-

гистратора:

APNIC

Сетевой информационный центр APNIC (Asian Pacific Network Infor-

mation Center) уполномочен выделять адреса в Азии и тихоокеанском

регионе.

ARIN

Сетевой информационный центр ARIN (American Registry for Internet

Numbers) уполномочен выделять адреса в обеих Америках.

RIPE

Организация Reseaux IP Europeens уполномочена выделять адреса на

европейском континенте.

Локальный регистратор Интернета

Локальные регистраторы получают полномочия от IANA или региональ-

ных регистраторов на выделение адресов в пределах определенной зоны.

Примером такого регистратора может служить национальный регистра-

тор либо регистратор, созданный ассоциацией поставщиков услуг Интер-

нета.

Независимо от уровня потребностей в адресах, следует начинать работать с

основания иерархии и постепенно продвигаться к вершине. Всегда обращай-

тесь прежде всего к локальным поставщикам услуг. Если они не способны

удовлетворить ваши нужды, поинтересуйтесь, существует ли локальный ре-

гистратор, с которым имеет смысл связаться. В качестве крайней меры обра-

щайтесь к региональному регистратору, уполномоченному обслуживать ва-

шу часть света.

В случае региона APNIC придется прежде всего заполнить заявление на член-

ство. Форма заявления доступна по адресу http://www.apnic.net/member/

117

application.html. Получив членство в APNIC, можно запрашивать получение

адреса.

ARIN не требует вступления в организацию для получения адреса. Крупные

конечные потребители могут использовать форму http://www.arin.net/temp-

lates/networktemplate.txt. Поставщики услуг Интернета- форму http://

www.arin.net/templates/isptemplate.txt. В любом варианте отправляйте за-

полненные формы по адресу hostmaster@arin.net.

Конечные пользователи в регионе RIPE должны обращаться к местным ре-

гистраторам. RIPE выделяет адреса только местным регистраторам и только

при условии членства в RIPE. RIPE не занимается выделением адресов для

конечных пользователей. Более подробная информация содержится в доку-

менте ftp://ftp.ripe.net/ripe/docs/ripe-159.txt.

Запомните один важный факт: независимо от географического расположе-

ния сети, организации, как правило, не проходят через столь сложный про-

цесс получения адресов, предпочитая ограничивать число машин, напря-

мую доступных из сети Интернет. Из соображений безопасности применя-

ются схемы частной адресации для большинства система и скромное число

официальных IP-адресов. Последние, в ограниченных количествах, всегда

могут быть получены у местного поставщика услуг Интернета.

Получение домена IN-ADDR.ARPA

При получении официального IP-адреса следует также озаботиться получе-

нием домена in-addr.arpa. Этот особый домен иногда называют обратным.

Создание и применение домена in-addr.arpa описано в главе 8, что же каса-

ется сути дела - обратный домен реализует преобразование адресов IP в до-

менные имена, то есть решает задачу, обратную поиску по доменному име-

ни, который позволяет преобразовывать доменные имена в адреса. Если по-

ставщик услуг Интернета предоставляет в ваше распоряжение собственную

службу имен либо выделяет официальный адрес из собственного блока адре-

сов, как правило, нет необходимости самостоятельно обращаться за получе-

нием домена in-addr.arpa. Проконсультируйтесь со своим поставщиком ус-

луг, прежде чем предпринимать дополнительные действия. Если же блок ад-

ресов получен напрямую от регионального регистратора Интернета, вероят-

нее всего, понадобится получить собственный домен in-addr.arpa. Если

такой домен действительно необходим, регистрация происходит в той орга-

низации, которая выделила адреса.

• Если адресный блок выделен APNIC, заполните форму ftp://ftp.apnic.net/

apnic/docs/in-addr-request и отправьте на адрес электронной почты dom-

reg@rs.apnic.net.

• Если адресный блок получен от ARIN, заполните форму http://

www.arin.net/templates/modifytemplate.txt и отправьте на адрес элект-

ронной почты hostmaster@arin.net.

• Если адресный блок получен от RIPE, объект домена должен быть поме-

щен в базу данных RIPE. Отправьте полный объект на адрес электронной

почты auto-inaddr@ripe.net.

118 Глава 4. Начинаем работу

Для примера предположим, что сеть находится в регионе RIPE. Следует со-

брать информацию, необходимую для создания объекта домена для сети.

Объект домена для базы данных RIPE отражает ту информацию, которая

требуется для регистрации обратного домена. Объект базы данных RIPE со-

держит десять полей:

domain:

Имя домена. Подробности построения обратных доменных имен приводят-

ся в главе 8, а по сути дела такое имя является комбинацией адреса, запи-

санного в обратном порядке, и строки in-addr.arpa. Для адресного блока

172.16/16 обратное доменное имя будет выглядеть как 16.172.in-addr.arpa.

descr:

Текстовое описание домена. Например, «Блок адресов для wrotethebo-

ok.com.».

admin-c:

Идентификатор NIC административного контактного лица.

tech-c:

Дескриптор NIC технического контактного лица.

гопе-с:

Дескриптор NIC администратора домена, контактного лица зоны.

nserver:

Имя или адрес основного сервера имен домена.

nserver:

Имя или адрес подчиненного сервера имен домена.

nserver:

В случае RIPE этот третий сервер всегда ns.ripe.net.

changed:

Адрес электронной почты лица, создавшего объект базы данных, и дата

поступления объекта.

source:

Для адресов, выделенных RIPE, это поле всегда имеет значение RIPE.

Опять же, в разговоре о регистрации обратных адресов важно отметить, что

большинство организаций обходится без таковой. Если адреса получены от

поставщика услуг Интернета, вероятнее всего, не возникнет необходимости

тратить время на все эти хлопоты с заявлениями. За это поставщикам услуг

и платят.

Назначение адресов узлам

До сих пор мы говорили о номерах сетей. Сети нашей воображаемой компа-

нии был присвоен номер 172.16.0.0/16. Сетевой администратор назначает

Базовые сведения 119

отдельным узлам адреса из диапазона разрешенных к назначению 1Р-адре-

сов, то есть определяет последние 2 байта 4-байтового адреса.

Часть адреса,

определенная администратором, не может состоять только из одних нулей

или одних единиц. Адреса 172. 16.0.0 и 172.16.255.255 не могут назначаться

узлам. Таким образом, с двумя упомянутыми исключениями, адреса могут

распределяться любым способом, который кажется разумным.

Сетевые администраторы обычно назначают адреса узлам одним из двух

способов:

По одному адресу

Каждому узлу назначается адрес из диапазона адресов. Порядок распре-

деления адресов, как правило, последовательный.

Группами адресов

Блоки адресов делегируются подразделениям организации, которые вы-

полняют назначение адресов отдельным узлам.

Назначение адресов группами - обычное явление, если сеть разделена на

подсети, а адресные группы разделены по границам подсетей. При этом

групповое назначение адресов не требует разделения на подсети, оно может

быть просто приемом распределения полномочий в рамках организации. Де-

легирование полномочий для группы адресов зачастую оказывается весьма

удобным для крупных сетей, тогда как маленькие сети вполне обходятся на-

значением отдельных адресов. Независимо от способа назначения адресов,

должен существовать человек, имеющий достаточно полномочий, чтобы

предотвратить дублирование адресов и обеспечить правильность их записи

па серверах имен домена.

Адреса могут назначаться статически или динамически. Статическое назна-

чение выполняется в процессе создания загрузочного файла конкретного уз-

ла. В динамическом назначении адресов всегда участвует сервер, например

сервер DHCP. В числе прочих преимущество динамического распределения

адресов - гарантия отсутствия в сети дублирующихся адресов. Таким обра-

зом, динамическое назначение удобно не только тем, что облегчает труд ад-

министратора, но и тем, что сокращает риск ошибок.

Прежде чем устанавливать сервер динамической адресации, убедитесь, что

он соответствует вашим потребностям. Динамическая адресация РРР удоб-

на для серверов, работающих с большим числом удаленных клиентов, уста-

навливающих кратковременные коммутируемые соединения. Если сервер

FPP объединяет различные части сети предприятия и поддерживает долго-

живущие соединения, динамическая адресация, скорее всего, окажется не-

нужной. Точно так же, возможности динамического назначения адресов

протокола DHCP приносят наибольшую пользу, если в сети существуют мо-

бильные системы, мигрирующие из подсети в подсеть и нуждающиеся в час-

той смене адресов. Информация о РРР содержится в главе 6, а главы 3 и 9

подробно описывают DHCP.

Диапазон адресов называется адресным пространством.

120

Глава 4. Начинаем работу

Очевидно, администратор должен принять ряд решений по получению и на-

значению адресов. Кроме того, он должен определить, какая битовая маска

будет использоваться для адресов. В следующем разделе речь пойдет о маске

подсети, которая определяет способ интерпретации адреса.

Создание маски подсети

Как следует из числа префикса, сетевой адрес назначается в сочетании с

конкретной адресной маской. Например, в адресе сети 172.16.0.0/16 пре-

фикс 16 означает, что организация ARIN выделила нашей воображаемой се-

ти блок адресов, определенный адресом 172.16.0.0 и 16-битной маской

255.255.0.0.

В отсутствие причин изменять интерпретацию выделенного

номера сети нет надобности создавать маску подсети. В главе 2 содержится

описание структуры адресов IP и кратко затронуты возможные причины

создания подсетей. Решение по образованию подсетей, как правило, имеет в

основе топологические или организационные соображения.

Возможные топологические причины разделения на подсети:

Снятие ограничений на расстояния

Некоторые сетевые устройства обладают довольно жесткими ограничени-

ями на дальность работы. Изначальный Ethernet на 10 мегабит - хоро-

ший тому пример. Максимальная длина «толстого» кабеля Ethernet со-

ставляет 500 метров; максимальная длина «тонкого» кабеля - 300 мет-

ров; общая длина 10-мегабитного Ethernet-маршрута, или максималь-

ный диаметр, составляет 2500 метров.

Чтобы покрыть сетью большие

расстояния, можно воспользоваться IP-маршрутизаторами для объеди-

нения цепочек кабелей Ethernet. Отдельные сегменты кабеля все так же

не должны превышать максимально допустимой длины, но в случае тако-

го подхода каждый кабель становится самостоятельным Ethernet-марш-

рутом. Таким образом, общая длина IP-сети может превышать макси-

мальную длину для Ethernet.

Объединение физических сетей различного строения

IP-маршрутизаторы могут использоваться для связи сетей, основанных на

различных, возможно, даже несовместимых сетевых технологиях. Рис. 4.1

(см. далее в главе) отражает центральную кольцевую сеть 172.16.1.0 (To-

ken Ring), связующую две подсети Ethernet, 172.16.6.0 и 172.16.12.0.

Межсетевая фильтрация трафика

Локальный трафик остается в пределах локальной подсети. Только тра-

фик, предназначенный другим сетям, передается через шлюз.

В примерах книги адрес 172.16.0.0 считается официально полученным адресом

сети, хотя на деле является номером частной сети, упомянутым в RFC 1918.

Чем быстрее Ethernet, тем меньше диаметр сети. По этой причине высокоскорост-

ные технологии Ethernet строятся на коммутаторах, а не на цепочках кабельных

сегментов.

Базовые сведения

121

Разделение на подсети - не единственный способ разрешения топологичес-

ких сложностей. Сети строятся на аппаратном обеспечении и могут изме-

няться на том же уровне - заменой или добавлением устройств, однако раз-

деление на подсети является эффективным способом решения подобных

проблем на уровне TCP/IP.

Разумеется, причины для создания подсетей не исчерпываются технически-

ми моментами. Подсети часто служат целям структурирования, таким как:

Облегчение сетевого администрирования

Подсети могут использоваться для делегирования управления адресами,

действий по диагностированию проблем и других обязанностей сетевого

администратора более мелким группам в рамках одной организации. Это

очень удобный инструмент, позволяющий небольшой команде управлять

крупной сетью. Ответственность за сопровождение подсети ложится на

людей, которые непосредственно с ней работают.

Следование структуре организации

Структура организации (или просто ее политика) может требовать неза-

висимого управления сетевыми системами для некоторых подразделе-

ний. Создание подсетей с независимым управлением для таких подразде-

лений более предпочтительно, чем получение каждым из подразделений

выделенных номеров сетей у поставщика услуг Интернета.

Защита трафика организации

Определенные организации предпочитают, чтобы локальный трафик

ограничивался подсетью, которая доступна только определенным членам

организации. Это в особенности важно, если речь идет о конфиденциаль-

ных данных. Например, пакеты финансового подразделения не должны

попасть в техническую подсеть, где один из неглупых сотрудников впол-

не способен придумать способ их перехвата.

Изоляция потенциальных проблем

Если определенный сегмент сети менее надежен, чем остальные, имеет

смысл выделить этот сегмент в подсеть. Предположим, исследователь-

ская группа время от времени включает в сеть экспериментальные систе-

мы, чтобы поэкспериментировать на собственно сети. Это приводит к

снижению стабильности работы всего сегмента. Выделение в подсеть пре-

дотвращает влияние экспериментальных устройств или программ на ра-

боту всей сети.

Сетевой администратор решает, нужно ли разделение на подсети, и создает

маску подсети. Маска подсети имеет тот же формат, что и адресная маска IP.

Как говорилось в главе 2, она позволяет определить, какие биты адреса при-

надлежат к разделу сети, а какие - к разделу узла. Биты раздела сети вклю-

чены (имеют значение 1), а биты раздела узла сброшены (имеют значение 0).

В нашей воображаемой сети используется маска подсети 255.255.255.0. Эта

маска выделяет 8 битов на идентификацию подсетей, что позволяет задейст-

вовать 256 подсетей. Администратор сети решил, что 256 подсетей по 254