Локальные компьютерные сети

Достоинства «звезды»:

                   простота периферийного оборудования;

                   каждый пользователь может работать независимо от остальных пользователей;

                   высокий уровень защиты данных;

                   легкое обнаружение неисправности в кабельной сети.

Недостатки «звезды»:

                   выход из строя центрального устройства ведет к остановке всей сети;

                   высокая стоимость центрального устройства;

                   уменьшение производительности сети с увеличением числа компьютеров, подключенных к сети.

Топология «кольцо». Все компьютеры соединяются друг с другом в кольцо. Здесь пользователи сети равноправны. Информация по сети всегда передается в одном направлении (приложение А, рис.2). Кольцевая сеть требует специальных повторителей, которые, приняв информацию, передают ее дальше как бы по эстафете; копируют в свою память (буфер), если информация предназначается им; изменяют некоторые служебные разряды, если это им разрешено. Информацию из кольца удаляет тот узел, который ее послал.

Достоинства «кольца»:

                   отсутствие дорогого центрального устройства;

                   легкий поиск неисправных узлов;

                   отсутствует проблема маршрутизации;

                   пропускная способность сети разделяется между всеми пользователями, поэтому все пользователи гарантированно последовательно получают доступ к сети;

                   простота контроля ошибок.

Недостатки «кольца»:

                   трудно включить в сеть новые компьютеры;

                   каждый компьютер должен активно участвовать в пересылке информации, для этого нужны ресурсы, чтобы не было задержек в основной работе этих компьютеров;

                   в случае выхода из строя, хотя одного компьютера или отрезка кабеля вся сеть парализуется.

Топология «общая шина». Общая шина наиболее широко распространенна в локальных вычислительных сетях. Топология «общая шина» предполагает использование одного кабеля (шины), к которому непосредственно подключаются все компьютеры сети (приложение А, рис.3). В данном случае кабель используется всеми станциями по очереди, т.е. шину может захватить в один момент только одна станция. Доступ к сети (к кабелю) осуществляется путем состязания между пользователями. В сети принимаются специальные меры для того, чтобы при работе с общим кабелем компьютеры не мешали друг другу передавать данные. Возникающие конфликты разрешаются соответствующими протоколами. Информация передается на все станции сразу.

Достоинства «обшей шины»:

                   простота построения сети;

                   сеть легко расширяется;

                   эффективно используется пропускная способность канала;

                   надежность выше, т.к. выход из строя отдельных компьютеров не нарушит работоспособности сети в целом.

Недостатки «общей шины»:

                   ограниченная длина шины;

                   нет автоматического подтверждения приема сообщений;

                   возможность возникновения столкновений (коллизий) на шине, когда пытаются передать информацию сразу несколько станций;

                   низкая защита данных;

                   выход из строя какого-либо отрезка кабеля ведет к нарушению работоспособности сети;

                   трудность нахождения места обрыва.

Топология «дерево». Эта структура позволяет объединить несколько сетей, в том числе с различными топологиями или разбить одну большую сеть на ряд подсетей (приложение А, рис. 4).

Разбиение на сегменты позволит выделить подсети, в пределах которых идет интенсивный обмен между станциями, разделить потоки данных и увеличить, таким образом, производительность сети в целом. Объединение отдельных ветвей (сетей) осуществляется с помощью устройств, называемых мостами или шлюзами. Шлюз применяется в случае соединения сетей, имеющих различную топологию и различные протоколы. Мосты объединяют сети с одинаковой топологией, но может преобразовывать протоколы. Разбиение сети на подсети осуществляется с помощью коммутаторов и маршрутизаторов.

1.3 Основные протоколы обмена в компьютерных сетях

Для обеспечения согласованной работы в сетях передачи данных используются различные коммуникационные протоколы передачи данных – наборы правил, которых должны придерживаться передающая и принимающая стороны для согласованного обмена данными. Протоколы – это наборы правил и процедур, регулирующих порядок осуществления некоторой связи. Протоколы – это правила и технические процедуры, позволяющие нескольким компьютерам при объединении в сеть общаться друг с другом.[2]

Существует множество протоколов. И хотя все они участвуют в реализации связи, каждый протокол имеет различные цели, выполняет различные задачи, обладает своими преимуществами и ограничениями.

Протоколы работают на разных уровнях модели взаимодействия открытых систем OSI/ISO (приложение Б). Функции протоколов определяются  уровнем, на котором он работает. Несколько протоколов могут работать совместно. Это так называемый стек, или набор, протоколов.

Как сетевые функции распределены по всем уровням модели OSI, так и протоколы совместно работают на различных уровнях стека протоколов. Уровни в стеке протоколов соответствуют уровням модели OSI. В совокупности протоколы дают полную характеристику функций и возможностей стека.

Передача данных по сети, с технической точки зрения, должна состоять из последовательных шагов, каждому из которых соответствуют свои процедуры или протокол. Таким образом, сохраняется строгая очередность в выполнении определенных действий.

Кроме того, все эти действия должны быть выполнены в одной и той же последовательности на каждом сетевом компьютере. На компьютере-отправителе действия выполняются в направлении сверху вниз, а на компьютере-получателе снизу вверх.

Компьютер-отправитель в соответствии с протоколом выполняет следующие действия: Разбивает данные на небольшие блоки, называемыми пакетами, с которыми может работать протокол, добавляет к пакетам адресную информацию, чтобы компьютер-получатель мог определить, что эти данные предназначены именно ему, подготавливает данные к передаче через плату сетевого адаптера и далее – по сетевому кабелю.

Компьютер-получатель в соответствии с протоколом выполняет те же действия, но только в обратном порядке: принимает пакеты данных из сетевого кабеля; через плату сетевого адаптера передает данные в компьютер; удаляет из пакета всю служебную информацию, добавленную компьютером-отправителем, копирует данные из пакета в буфер – для их объединения в исходный блок, передает приложению этот блок данных в формате, который оно использует.

И компьютеру-отправителю, и компьютеру-получателю необходимо выполнить каждое действие одинаковым способом, с тем, чтобы пришедшие, по сети данные совпадали с отправленными.

Если, например, два протокола будут по-разному разбивать данные на пакеты и добавлять информацию (о последовательности пакетов, синхронизации и для проверки ошибок), тогда компьютер, использующий один из этих протоколов, не сможет успешно связаться с компьютером, на котором работает другой протокол.

До середины 80-ых годов большинство локальных сетей были изолированными. Они обслуживали отдельные компании и редко объединялись в крупные системы. Однако когда локальные сети достигли высокого уровня развития, и объем передаваемой ими информации возрос, они стали компонентами больших сетей. Данные, передаваемые из одной локальной сети в другую по одному из возможных маршрутов, называются маршрутизированными. Протоколы, которые поддерживают передачу данных между сетями по нескольким маршрутам, называются маршрутизируемыми протоколами.

Среди множества протоколов наиболее распространены следующие:

                   NetBEUI;

                   XNS;

                   IPX/SPX и NWLmk;

                   Набор протоколов OSI.

21

2 Обзор программных средств

2.1 Аутентификация и авторизация. Система Kerberos

Kerberos – это сетевая служба, предназначенная для централизованного решения задач аутентификации и авторизации в крупных сетях. Она может работать в среде многих популярных операционных систем. В основе этой достаточно громоздкой системы лежит несколько простых принципов.

                   В сетях, использующих систему безопасности Kerberos, все процедуры аутентификации между клиентами и серверами сети выполняются через посредника, которому доверяют обе стороны аутентификационного процесса, причем таким авторитетным арбитром является сама система Kerberos.

                   В системе Kerberos клиент должен доказывать свою аутентичность для доступа к каждой службе, услуги которой он вызывает.

                   Все обмены данными в сети выполняются в защищенном виде с использованием алгоритма шифрования.

Сетевая служба Kerberos построена по архитектуре клиент-сервер, что позволяет ей работать в самых сложных сетях. Kerberos-клиент устанавливается на всех компьютерах сети, которые могут обратится к какой-либо сетевой службе. В таких случаях Kerberos-клиент от лица пользователя передает запрос на Kerberos-сервер и поддерживает с ним диалог, необходимый для выполнения функций системы Kerberos.

Итак, в системе Kerberos имеются следующие участники: Kerberos-сервер, Kerberos-клиент и ресурсные серверы (приложение В). Kerberos-клиенты пытаются получить доступ к сетевым ресурсам – файлам, приложением, принтеру и т.д. Этот доступ может быть предоставлен, во-первых, только легальным пользователям, а во-вторых, при наличии у пользователя достаточных полномочий, определяемых службами авторизации соответствующих ресурсных сервер – файловым сервером, сервером приложений, сервером печати. Однако в системе Kerberos ресурсным серверам запрещается «напрямую» принимать запросы от клиентов, им разрешается начинать рассмотрение запроса клиента только тогда, когда на это поступает разрешение от Kerberos-сервера. Таким образом, путь клиента к ресурсу в системе Kerberos состоит из трех этапов:

1.                  Определение легальности клиента, логический вход в сеть, получение разрешения на продолжение процесса получения доступа к ресурсу.

2.                  Получение разрешения на обращение к ресурсному серверу.

3.                  Получение разрешения на доступ к ресурсу.

Для решения первой и второй задачи клиент обращается к Kerberos-серверу. Каждая из этих задач решается отдельным сервером, входящим в состав Kerberos-сервера. Выполнение первичной аутентификации и выдача разрешения на продолжение процесса получения доступа к ресурсу осуществляется так называемым аутентификационным сервером (Authentication Server, AS). Этот сервер хранит в своей базе данных информацию об идентификаторах и паролях пользователей.

Вторую задачу, связанную с получением разрешения на обращение к ресурсному серверу, решает другая часть Kerberos-сервера – сервер квитанций (Ticket-Granting Server, TGS). Сервер квитанций для легальных клиентов выполняет дополнительную проверку и дает клиенту разрешение на доступ к нужному ему ресурсному серверу, для чего наделяет его электронной формой-квитанцией. Для выполнения своих функций сервер квитанций использует копии секретных ключей всех ресурсных серверов, которые хранятся у него в базе данных. Кроме этих ключей сервер TGS имеет еще один секретный DES-ключ, который разделяет с сервером AS.

Третья задача – получение разрешения на доступ непосредственно к ресурсу – решается на уровне ресурсного сервера.

Изучая довольно сложный механизм системы Kerberos, нельзя не задаться вопросом: какое влияние оказывают все эти многочисленные процедуры шифрования и обмена ключами на производительность сети, какую часть ресурсов сети они потребляют и как это сказывается на ее пропускной способности?

Ответ весьма оптимистичный – если система Kerberos реализована и сконфигурирована правильно, она незначительно уменьшает производительность сети. Так как квитанции используются многократно, сетевые ресурсы, затрачиваемые на запросы предоставления квитанций, невелики. Хотя передача квитанции при аутентификации логического входа несколько снижает пропускную способность, такой обмен должен осуществляться и при использовании любых других систем и методов аутентификации. Дополнительные же издержки незначительны. Опыт внедрения системы Kerberos показал, что время отклика при установленной системе Kerberos существенно не отличается от времени отклика без нее – даже в очень больших сетях с десятками тысяч узлов. Такая эффективность делает систему Kerberos весьма перспективной.

Среди уязвимых мест системы Kerberos можно назвать централизованное хранение всех секретных ключей системы. Успешная атака на Kerberos-сервер, в котором сосредоточена вся информация, критическая для системы безопасности, приводит к крушению информационной защиты всей сети. Альтернативным решением могла бы быть система, построенная на использовании алгоритмов шифрования с парными ключами, для которых характерно распределенное хранение секретных ключей.