Сети доступа – 10 Сети доступа

Сергей Орлов — обозреватель «Журнала сетевых решений/LAN». С ним можно связаться по адресу: [email protected].

Ethernet в городских сетях

Реализация технологии Ethernet в сетях MAN позволяет получить более скоростные, дешевые и гибкие решения по сравнению с ATM или SDH, однако в России и в большинстве других стран городские сети построены в основном на базе технологии SDH. В новом поколении оборудования SDH устранены многие проблемы SDH, вынуждавшие создавать сложные, дорогостоящие инфраструктуры, затрудняющие внедрение услуг. Тем не менее, благодаря устранению промежуточных уровней между IP и физической средой, можно сократить стек протоколов, ускорить маршрутизацию трафика IP, повысить скорость сети и качество обслуживания. По оценкам Gartner, решения Ethernet иногда вдвое дешевле SDH. Они обеспечивают более быстрое и гибкое распределение пропускной способности (что важно в случае услуг VLAN и VPN) и масштабируются до 10 Гбит/с.

Недотягивающая до уровня «пяти девяток» надежность традиционно считалась «слабым местом» служб Metro Ethernet и остается одной из причин, сдерживающих рост спросa на этот сервис, однако в настоящее время проблема решается операторами с помощью технологии Resilient Packet Ring (RPR) или других методов. В частности, компании AT&T удалось добиться в своей сети Ethernet времени восстановления — 50 мс и доступности — 99,999%. В настоящее время консорциум Metro Ethernet Forum работает над стандартами операторского класса, а производители коммутаторов уже предлагают возможности быстрого восстановления. С принятием и внедрением в серийное оборудование Ethernet стандарта 802.17 (RPR) оно будет сопоставимо по надежности с SDH/ATM.

Активным сторонником продвижения технологии Ethernet в городских сетях и сетях доступа является Cisco Systems, правда, при этом компания развивает согласованные модульные решения для построения городских сетей как на базе 10GE, так и на основе SDH OC-192, уделяя особое внимание отказоустойчивости систем. Заказчикам предлагаются платформы Cisco 15454, 12200 (SDH), 15540 (WDM), Catalyst 6500 и 4000 (Ethernet), Catalyst 3350/2950 (EFM). В интерпретации Cisco Ethernet в сетях доступа — это, прежде всего, использование высокоскоростных коммутаторов Ethernet для агрегирования трафика, что позволяет предоставлять пользователям полный спектр услуг преобразования трафика Ethernet в другие форматы и потери скорости. Cisco рассматривает Ethernet как экономичное решение, существенно снижающее стоимость владения сетевой инфраструктурой, а протокол IP считается основой конвергенции услуг и в сочетании с MPLS представляет собой фундамент построения мультисервисных сетей следующего поколения.

В мае 2003 г. о создании собственной сети нового поколения (NGN), где используются технологии Ethernet/IP и MPLS, заявила компания «Комстар». Клиентам предоставляются услуги организации связи с филиалами, высокоскоростного доступа в Internet и к видеосерверам. Доступ и услуги многопротокольной сети обеспечиваются через единый абонентский интерфейс, в ней предусматриваются различные уровни обслуживания с гарантированными параметрами качества. На базе сети NGN «Комстар» на канальном уровне организовала виртуальные частные каналы Ethernet VPC («точка—точка»), сети Ethernet VPN в масштабах Москвы и IP VPN для удаленных филиалов. Наряду с традиционным сервисом VPN третьего уровня (L3 IP MPLS VPN) предлагаются виртуальные частные сети второго уровня (VPLS).

Сеть «Комстар» реализована на базе оборудования Cisco Systems и Riverstone Networks, а для защиты от отказов используются технологии RPR и MPLS Fast Reroute. На системном уровне управление сетью и QoS обеспечивают средства резервирования, управления потоком трафика и пропускной способностью (MPLS Traffic Engineering). Заказчик получает канал передачи данных 100—1000 Мбит/с с возможностью гибкой программной настройки пропускной способности в реальном времени. Такая сеть позволяет предоставлять заказчикам услуги Metro Ethernet.

«Голден Телеком» построила свою городскую сеть в соответствии с рекомендациями Metro Ethernet Forum. В мае 2003 г. компания приступила к реализации в новой сети Gigabit Ethernet услуг «Виртуальная частная LAN» по обмену данными между офисами клиентов с подключением клиентского оборудования по интерфейсам Ethernet. Для пользователей сеть выглядит как распределенный коммутатор второго уровня. Им предоставляется также широкополосный (до 100 Мбит/с) доступ в Internet и доступ к ресурсам центра обработки данных «Голден Телеком». Чтобы получить доступ к Internet по Ethernet, клиенту понадобятся концентратор или коммутатор Ethernet (при подключении локальной сети) либо сетевая плата Ethernet (при подключении компьютера).

В ноябре, развивая свои предложения услуг Ethernet VPN, «Голден Телеком» развернула систему Optical Ethernet на базе оборудования Nortel Networks OPTera Metro 1200. В результате появилась возможность организации соединений Ethernet в разных районах Москвы, расширения существующей сети на базе оборудования Passport 8600, предоставления клиентам таких услуг, как объединение корпоративных сетей и широковещательная трансляция телепрограмм. Ethernet VPN реализуется в топологии «точка—точка», «точка—несколько точек» или «каждый с каждым». Для дополнительных услуг и обеспечения доступа (VPN и IP) к гигабитной сети используется широкополосный сервисный узел Nortel Shasta 5000. Среди предлагаемых услуг — организация межсетевых экранов, NAT, формирование и регулирование трафика, контроль QoS, а также персонализированные услуги, настраиваемые под потребности клиентов.

Корпоративные услуги IP под маркой Corporate over IP (CoIP) предлагает национальный оператор РТКОММ. CoIP — общее название конвергентных услуг (голос, видео, данные), ориентированных на корпоративных пользователей. Компания рассматривает IP как основу создания корпоративной инфраструктуры заказчиков, рекомендуя именно такой выбор. Свою магистральную сеть она развивает на основе MPLS, применяя оборудование Cisco, а в продвижении продуктов акцент делается на развитии услуг на базе IP и опережающем внедрении IP VPN и VoIP.

Мировой рынок услуг Metro Ethernet обычно разделяют на две категории: услуги для широкополосного доступа и услуги прозрачных локальных сетей Transparent LAN (TLAN). По данным IDC, Gigabit Ethernet TLAN является сегодня наиболее распространенной услугой соединения локальных сетей в городских сетях Ethernet. По существу, сервисы TLAN аналогичны VPN второго уровня, которые называют также услугами виртуальных частных локальных сетей (Virtual Private LAN Services, VPLS). Такой сервис популярен и у российских заказчиков, поскольку сеть оператора связи при этом прозрачна, что позволяет заказчику получать полный контроль над собственной сетью и ее функционированием при объединении распределенных локальных сетей. Хотя TLAN/VPLS и VPN — два разных варианта соединения локальных сетей, провайдеры могут использовать TLAN и для создания туннелей VPN, выделяемых каждому клиенту. Услуги TLAN и VPN выбираются провайдерами в зависимости от инфраструктуры сетей и модели бизнеса. Сети IP VPN могут одновременно работать с большинством технологий доступа и сред передачи и предпочтительны для крупных топологий с многочисленными узлами.

По данным Network Strategy Partner (NSP), по сравнению с унаследованными сетями SDH решения на базе служб Ethernet в оптических городских сетях сокращают операционные расходы на 49%, а капитальные затраты — на 39%. Экономия достигается за счет более эффективного транспорта данных, простого масштабирования платформ Ethernet, а также низкой стоимости портов Ethernet относительно интерфейсов SDH. Коэффициент использования канального ресурса SDH существенно снижают такие факторы, как резервирование и потери при передаче неголосового трафика. В результате, по подсчетам специалистов, компании «Открытые технологии» его максимальная эффективность с учетом резервирования не превышает 7%.

Согласно прогнозу IDC, расходы на услуги Metro Ethernet в Западной Европе к 2007 г. достигнут 2,4 млрд долларов. Сегодня ими пользуются уже более 1 млн абонентов, а к 2006 г. их число может приблизиться к 19 млн. Сети Metro Ethernet открывают перед провайдерами хорошие возможности для роста, хотя их развертывание требует тщательного анализа преимуществ и недостатков. Рынок Metro Ethernet растет благодаря более низкой, по сравнению с SDH и ATM, стоимости строительства и эксплуатации сетей Ethernet, а также относительно дешевому абонентскому оборудованию (CPE), препятствует же его развитию в Европе нехватка свободных капиталов у телекоммуникационных компаний.

В России отечественные интеграторы реализовали целый ряд проектов, которые можно назвать сетями Metro Ethernet, хотя по протяженности некоторые из них не что иное, как региональные сети. Такой проект осуществлен, в частности, компанией «ТехноСерв А/С» для «Электросвязи» Ставропольского края: мультисервисная сеть на базе IP, Ethernet и технологии Cisco DPT с полосой пропускания 622 Мбит/c соединила Новоалександровск и Минеральные Воды. На основе IP/MPLS в этой сети, охватывающей шесть городов края, обеспечиваются поддержка услуг VPN, качество обслуживания и быстрое восстановление маршрутов. Основное оборудование магистральных узлов — коммутаторы Cisco 7200. Наряду с привычными услугами электросвязи клиентам предлагается объединение корпоративных сетей по IP, корпоративная IP-телефония, видео по запросу и др. В Оренбургском филиале компании «ВолгаТелеком» год назад на базе концентраторов доступа Cisco DSL 6260, маршрутизаторов Cisco 7500 и коммутаторов Cisco 2950/2912 построена мультисервисная сеть, покрывающая практически всю область и предоставляющая абонентам широкий спектр услуг передачи данных со скоростью от 128 до 100 Мбит/c. При построении этой сети на базе DPT были задействованы свободные ресурсы систем SDH и PDH. Установленные в региональных центрах маршрутизаторы Cisco 3662/3640 обеспечивают доступ по выделенным и коммутируемым линиям. «ВолгаТелеком» предоставляет клиентам доступ в Internet, аренду цифровых каналов, конференц-связь, ISDN, поддерживает услуги сотовой связи.

По словам Дмитрия Коновалова, системного инженера «ТехноСерв А/С», из трех вариантов построения ядра сетей Metro Ethernet — каналы Ethernet, DPT и модифицированные сети SDH — последний наименее популярен, в то время как проекты Metro Ethernet и DPT становятся «горячей темой»: в ближайшие год-полтора можно ожидать внедрения новых проектов. Экономически строительство сетей Metro Ethernet более выгодно, чем развитие сетей ATM.

Ресурсы Internet

Альянс EFMA (Ethernet in the First Mile Alliance) — http://www.efmalliance.org.

Технологии пассивных оптических сетей (PON) — http://www.ponforum.org.

Дополнительная информация по Рабочей группе IEEE p802.3ah EFM Task Force — http://www.ieee802.org/3/efm/index.html.

Metro Ethernet Forum (MEF) — http://metroethernetforum.org.

RPR Alliance — http://www.rpralliance.org.

Поделитесь материалом с коллегами и друзьями

www.osp.ru

Магистральные сети и сети доступа

Целесообразно делить территориальные сети, используемые для построения корпоративной сети, на две большие категории:

Магистральные территориальные сети (backbone wide-area networks) используются для образования одноранговых связей между крупными локальными сетями, принадлежащими большим подразделениям предприятия. Магистральные территориальные сети должны обеспечивать высокую пропускную способность, так как на магистрали объединяются потоки большого количества подсетей. Кроме того, магистральные сети должны быть постоянно доступны, то есть обеспечивать очень высокий коэффициентом готовности, так как по ним передается трафик многих критически важных для успешной работы предприятия приложений (business-critical applications). Ввиду особой важности магистральных средств им может «прощаться» высокая стоимость. Так как у предприятия обычно имеется не так уж много крупных сетей, то к магистральным сетям не предъявляются требования поддержания разветвленной инфраструктуры доступа.

Обычно в качестве магистральных сетей используются цифровые выделенные каналы со скоростями от 2 до 622 Мбит/с, по которым передается трафик IP, IPX или протоколов архитектуры SNA компании IBM, сети с коммутацией пакетов frame relay, ATM, X.25 или TCP/IP. При наличии выделенных каналов для обеспечения высокой готовности магистрали используется смешанная избыточная топология связей, как это показано на рис. 6.5.

Рис. 6.5. Структура глобальной сети предприятия

Под сетями доступа понимаются территориальные сети, необходимые для связи небольших локальных сетей и отдельных удаленных компьютеров с центральной локальной сетью предприятия. Если организации магистральных связей при создании корпоративной сети всегда уделялось большое внимание, то организация удаленного доступа сотрудников предприятия перешла в разряд стратегически важных вопросов только в последнее время. Быстрый доступ к корпоративной информации из любой географической точки определяет для многих видов деятельности предприятия качество принятия решений его сотрудниками. Важность этого фактора растет с увеличением числа сотрудников, работающих на дому (telecommuters — телекоммьютеров), часто находящихся в командировках, и с ростом количества небольших филиалов предприятий, находящихся в различных городах и, может быть, разных странах.

В качестве отдельных удаленных узлов могут также выступать банкоматы или кассовые аппараты, требующие доступа к центральной базе данных для получения информации о легальных клиентах банка, пластиковые карточки которых необходимо авторизовать на месте. Банкоматы или кассовые аппараты обычно рассчитаны на взаимодействие с центральным компьютером по сети Х.25, которая в свое время специально разрабатывалась как сеть для удаленного доступа неинтеллектуального терминального оборудования к центральному компьютеру.

К сетям доступа предъявляются требования, существенно отличающиеся от требований к магистральным сетям. Так как точек удаленного доступа у предприятия может быть очень много, одним из основных требований является наличие разветвленной инфраструктуры доступа, которая может использоваться сотрудниками предприятия как при работе дома, так и в командировках. Кроме того, стоимость удаленного доступа должна быть умеренной, чтобы экономически оправдать затраты на подключение десятков или сотен удаленных абонентов. При этом требования к пропускной способности у отдельного компьютера или локальной сети, состоящей из двух-трех клиентов, обычно укладываются в диапазон нескольких десятков килобит в секунду (если такая скорость и не вполне удовлетворяет удаленного клиента, то обычно удобствами его работы жертвуют ради экономии средств предприятия).

В качестве сетей доступа обычно применяются телефонные аналоговые сети, сети ISDN и реже — сети frame relay. При подключении локальных сетей филиалов также используются выделенные каналы со скоростями от 19,2 до 64 Кбит/с. Качественный скачок в расширении возможностей удаленного доступа произошел в связи со стремительным ростом популярности и распространенности Internet. Транспортные услуги Internet дешевле, чем услуги междугородных и международных телефонных сетей, а их качество быстро улучшается.

Программные и аппаратные средства, которые обеспечивают подключение компьютеров или локальных сетей удаленных пользователей к корпоративной сети, называются средствами удаленного доступа. Обычно на клиентской стороне эти средства представлены модемом и соответствующим программным обеспечением.

Организацию массового удаленного доступа со стороны центральной локальной сети обеспечивает сервер удаленного доступа (Remote Access Server, RAS). Сервер удаленного доступа представляет собой программно-аппаратный комплекс, который совмещает функции маршрутизатора, моста и шлюза. Сервер выполняет ту или иную функцию в зависимости от типа протокола, по которому работает удаленный пользователь или удаленная сеть. Серверы удаленного доступа обычно имеют достаточно много низкоскоростных портов для подключения пользователей через аналоговые телефонные сети или ISDN.

Показанная на рис. 6.5. структура глобальной сети, используемой для объединения в корпоративную сеть отдельных локальных сетей и удаленных пользователей, достаточно типична. Она имеет ярко выраженную иерархию территориальных транспортных средств, включающую высокоскоростную магистраль (например, каналы SDH 155-622 Мбит/с), более медленные территориальные сети доступа для подключения локальных сетей средних размеров (например, frame relay) и телефонную сеть общего назначения для удаленного доступа сотрудников.

Выводы

• Глобальные компьютерные сети (WAN) используются для объединения абонентов разных типов: отдельных компьютеров разных классов — от мэйнфреймов до персональных компьютеров, локальных компьютерных сетей, удаленных терминалов.

• Ввиду большой стоимости инфраструктуры глобальной сети существует острая потребность передачи по одной сети всех типов трафика, которые возникают на предприятии, а не только компьютерного: голосового трафика внутренней телефонной сети, работающей на офисных АТС (РВХ), трафика факс-аппаратов, видеокамер, кассовых аппаратов, банкоматов и другого производственного оборудования.

• Для поддержки мультимедийных видов трафика создаются специальные технологии: ISDN, B-ISDN. Кроме того, технологии глобальных сетей, которые разрабатывались для передачи исключительно компьютерного трафика, в последнее время адаптируются для передачи голоса и изображения. Для этого пакеты, переносящие замеры голоса или данные изображения, приоритезируются, а в тех технологиях, которые это допускают, для их переноса создается соединение с заранее резервируемой пропускной способностью. Имеются специальные устройства доступа — мультиплексоры «голос — данные» или «видео — данные», которые упаковывают мультимедийную информацию в пакеты и отправляют ее по сети, а на приемном конце распаковывают и преобразуют в исходную форму — голос или видеоизображение.

• Глобальные сети предоставляют в основном транспортные услуги, транзитом перенося данные между локальными сетями или компьютерами. Существует нарастающая тенденция поддержки служб прикладного уровня для абонентов глобальной сети: распространение публично-доступной аудио-, видео- и текстовой информации, а также организация интерактивного взаимодействия абонентов сети в реальном масштабе времени. Эти службы появились в Internet и успешно переносятся в корпоративные сети, что называется технологией intranet.

• Все устройства, используемые для подключения абонентов к глобальной сети, делятся на два класса: DTE, собственно вырабатывающие данные, и DCE, служащие для передачи данных в соответствии с требованиями интерфейса глобального канала и завершающие канал.

• Технологии глобальных сетей определяют два типа интерфейса: «пользователь-сеть» (UNI) и «сеть-сеть» (NNI). Интерфейс UNI всегда глубоко детализирован для обеспечения подключения к сети оборудования доступа от разных производителей. Интерфейс NNI может быть детализирован не так подробно, так как взаимодействие крупных сетей может обеспечиваться на индивидуальной основе.

• Глобальные компьютерные сети работают на основе технологии коммутации пакетов, кадров и ячеек. Чаще всего глобальная компьютерная сеть принадлежит телекоммуникационной компании, которая предоставляет службы своей сети в аренду. При отсутствии такой сети в нужном регионе предприятия самостоятельно создают глобальные сети, арендуя выделенные или коммутируемые каналы у телекоммуникационных или телефонных компаний.

• На арендованных каналах можно построить сеть с промежуточной коммутацией на основе какой-либо технологии глобальной сети (Х.25, frame relay, АТМ) или же соединять арендованными каналами непосредственно маршрутизаторы или мосты локальных сетей. Выбор способа использования арендованных каналов зависит от количества и топологии связей между локальными сетями.

• Глобальные сети делятся на магистральные сети и сети доступа.

studfile.net

Глава 5. Сети абонентского доступа

Сеть абонентского доступа – это совокупность технических средств между оконечными абонентскими устройствами, установленными в помещении пользователя, и тем коммутационным оборудованием, в план нумерации (или адресации) которого входят подключаемые к телекоммуникационной системе терминалы.

5.1. Модели сети абонентского доступа

В современной телекоммуникационной системе меняется не толь­ко роль сети доступа. В большинстве случаев расширяется и террито­рия, в границах которой создается сеть доступа. Для того, чтобы ис­ключить имеющиеся в современных публикациях различия в трактов­ке места и роли сети доступа, на рис. 5.1 показана модель перспективной телекоммуникационной системы.

Рисунок 5.1 – Модель телекоммуникационной системы

Первый элемент телекоммуникационной системы представ­ляет собой совокупность терминального и иного оборудования, которое устанавливается в помещении абонента (пользователя). В англоязычной технической литературе этот элемент телеком­муникационной системы соответствует термину Customer Premises Equipment (CPE).

Второй элемент телекоммуникационной системы и есть, собствен­но, сеть абонентского доступа. Роль сети абонентского доступа со­стоит в том, чтобы обеспечить взаимодействие между оборудовани­ем, установленным в помещении абонента, и транзитной сетью. Обыч­но в точке сопряжения сети абонентского доступа с транзитной се­тью устанавливается коммутационная станция. Пространство, покры­ваемое сетью абонентского доступа, лежит между оборудованием, размещенном в помещении у абонента, и этой коммутационной стан­цией.

Сеть абонентского доступа делится на два участка – нижняя плоскость рис. 5.1. Абонентские линии (Loop Network) можно рассматривать как индивидуальные средства подключения терминального оборудования. Как правило, этот фраг­мент сети абонентского доступа представляет собой совокупность АЛ. Сеть переноса (Transfer Network) служит для повышения эффектив­ности средств абонентского доступа. Этот фрагмент сети доступа ре­ализуется на базе систем передачи, а ряде случаев используются и устройства концентрации нагрузки.

Третий элемент телекоммуникационной системы – транзитная сеть. Ее функции состоят в установлении соединений между терминала­ми, включенными в различные сети абонентского доступа, или меж­ду терминалом и средствами поддержки каких-либо услуг. В рассмат­риваемой модели транзитная сеть может покрывать территорию, ле­жащую как в пределах одного города или села, так и между сетями абонентского доступа двух различных стран.

Четвертый элемент телекоммуникационной системы иллюстриру­ет средства доступа к различным услугам электросвязи. На рис. 5.1, в последнем эллипсе, указано название на языке оригинала (Service Nodes), которое переведено тремя словами – узлы, поддерживающие услуги. Примерами такого узла могут быть рабочие места телефонис­тов-операторов и серверы, в которых хранится какая-либо информа­ция.

Приведенную на рис. 5.1 структуру следует рассматривать как перспективную модель телекоммуникационной системы. Для реше­ния терминологических проблем обратимся к модели, свойственной сетям абонентского доступа аналоговых АТС. Такая модель показана на рис. 5.2. Рассматривая существующие местные сети, мы, как правило, будем оперировать двумя терминами – «Абонентская сеть» или «Сеть АЛ». Слова «Сеть абонентского доступа» используют­ся в тех случаях, когда речь идет о перспективной телекоммуникаци­онной системе.

Рисунок 5.2 – Модель абонентской сети

Эта модель справедлива как для ГТС, так и для СТС. Более того, для ГТС приведенная на рис. 5.2 модель инвариантна к структуре межстанционной связи. Она идентична для:

• нерайонированных сетей, состоящих, толь­ко из одной телефонной станции;

• районированных сетей, которые состоят из нескольких район­ных АТС (РАТС), соединенных между собой по принципу «каждая с каждой»;

• районированных сетей, построенных с узлами входящего сооб­щения (УВС) или с узлами исходящего сообщения (УИС) и УВС.

Для всех элементов абонентской сети в скобках указаны термины на английском языке. Следует отметить, что тер­мин «линия межшкафной связи» (Link cable) в отечественной терми­нологии еще не применяется, так как подобные трассы в ГТС и СТС почти не используются.

Модель, иллюстрирующая основные варианты построения абонентской сети, приведена на рис. 5.3. На этом рисунке дета­лизированы некоторые фрагменты предыдущей модели.

Рисунок 5.3 – Основные варианты построения

абонентской сети

На рис. 5.3 использован ряд обозначений, редко встречаю­щихся в отечественной технической литературе. Устройство кроссировки кабеля (Cross-connection point) показано как две концентри­ческие окружности. Такой символ часто используется в документах МСЭ. Также типичным можно считать обозначение распределитель­ной коробки (Distribution point) черным квадратом.

Модель, показанная на рис. 5.3, может считаться универсаль­ной в отношении типа коммутационной станции. В принципе, она одинакова как для ручной телефонной станции, так и для самой со­временной цифровой системы распределения информации. Более того, данная модель инвариантна к виду интерактивной сети, например телефонной или телеграфной.

С другой стороны, для цифровой коммутационной станции может быть предложена собственная модель, которая позволит точнее отра­зить специфику сети абонентского доступа. Эта задача достаточно слож­на. Проблема состоит в том, что процесс внедрения цифровой ком­мутационной станции приводит к изменению структуры местной те­лефонной сети. В ряде случаев это заметно отражается на структу­ре абонентской сети. Характерный пример подобной ситуации – установка цифровой коммутационной станции, заменяющей несколько старых электромеханических станций. Пристанционный участок циф­ровой коммутационной станции – при таком способе модернизации местной телефонной сети – фактически объединяет все территории, обслуживавшиеся ранее демонтируемыми электромеханическими АТС. Кроме того, при внедрении цифровой коммутационной станции мо­гут возникать специфические (постоянные или временные) реше­ния, когда некоторые группы удаленных абонентов подключаются за счет использования концентраторов.

Конечно, подобные решения должны обязательно приниматься во вни­мание на этапе разработки общей концепции модернизации местной теле­фонной сети. Когда соответствующие концептуальные решения приняты, можно приступать к поиску оптимальных вариантов построения сети або­нентского доступа. Для гипотетической цифровой коммутационной стан­ции эти варианты представлены на рис. 5.4. Два последних рисунка (5.3 и 5.4) имеют ряд общих моментов.

Рисунок 5.4 – Модель сети абонентского доступа для цифровой коммутационной станции

Во-первых, обе структуры подразумевают наличие так называе­мой «зоны прямого питания» – анклава, в пределах которого АЛ вклю­чаются в кросс непосредственно (без соединения кабелей в распре­делительных шкафах).

Во-вторых, за «зоной прямого питания» располагается следующая область сети доступа, для которой в цифровой станции целесообраз­но использовать выносные абонентские модули (концентраторы или мультиплексоры), а для аналоговой АТС – либо неуплотненные кабе­ли, либо каналы, образованные системами передачи.

В третьих, необходимо отметить, что структура абонентской сети – вне всякой зависимости от типа коммутационной станции – соответ­ствует графу с древовидной топологией. Это существенно с точки зрения надежности связи: применение цифровой коммутационной техники не только не повышает коэффициент готовности АЛ, но, в ряде случаев, снижает его из-за введения дополнительного оборудо­вания на участке от кросса АТС до терминала пользователя.

Для составления перечня необходимых далее терминов и, особен­но, для установления соответствия между понятиями, принятыми в отечественной практике и документах МСЭ, целесообразно привес­ти структуру сети АЛ, представленную на верхней части рис. 5.5.

Для структурной схемы АЛ (верхняя часть рис. 5.5) представ­лены три варианта подключения абонентского терминала к коммута­ционной станции.

Верхняя ветка данного рисунка показывает перспективный вари­ант подключения ТА без использования промежуточного кроссового оборудования. Кабель прокладывается от кросса до распределитель­ной коробки, где посредством абонентской проводки осуществляет­ся подключение ТА.

На средней ветке рисунка изображен вариант подключения ТА по шкафной системе, когда между кроссом и распределительной короб­кой размещается промежуточное оборудование. В нашей модели роль такого оборудования отведена распределительному шкафу.

В ряде случаев АЛ организуется с использованием воздушных ли­ний связи (ВЛС). На рис. 5.5 этот вариант показан на нижней ветке. В такой ситуации на столбе устанавливается кабельный ящик (КЯ) и вводно-выводные изоляторы. В месте размещения распреде­лительной коробки монтируется абонентское защитное устройство (АЗУ), предотвращающее возможное влияние на ТА опасных токов и напряжений. Следует отметить, что организация АЛ или ее отдель­ных участков за счет строительства ВЛС не рекомендуется; но в ряде случаев – это единственный вариант организации абонентского дос­тупа.

Рисунок 5.5 – Структурная схема и стыки оборудования абонентских линий для ГТС и СТС

studfile.net

Сеть доступа — это… Что такое Сеть доступа?

telecom.academic.ru

сеть доступа — это… Что такое сеть доступа?

technical_translator_dictionary.academic.ru

Еще раз о том, как не сделать из своей сети «решето» / Habr

В этой статье я не буду рассказывать про использование сложных паролей, максимального ограничения прав доступа, смене учетных записей по умолчанию, обновлению ПО, и других «типовых» рекомендациях. Цель статьи – рассказать о самых частых ошибках в настройках, заставить администраторов и специалистов ИБ задуматься над вопросом – «а все ли в моей сети хорошо?», а также показать, как можно оперативно прикрыть те или иные типовые уязвимости, используя встроенные или бесплатные средства, не прибегая к дополнительным закупкам.

Инструкций-рецептов намеренно не прикладываю, так как многое ищется очень легко по ключевым словам.

Не создавайте локальные учетные записи доменными политиками

Причина высокой опасности – сведения об этой учетной записи, в том числе ее пароль, хранятся в открытом виде в файле groups.xml, в ресурсе sysvol контроллера домена, который по умолчанию доступен ВСЕМ участникам домена на чтение. Пароль зашифрован, но шифрование симметричное, а ключ один для всех копий Windows, и написан в открытом виде в MSDN. Отсюда следует: любой пользователь может скачать этот файл, и путем простых манипуляций узнать пароль от распространяемой учетной записи. Обычно так распространяется учетная запись с правами администратора, и часто она создается без разбора везде…

Решение – групповыми политиками добавляйте только доменные учетные записи в локальные группы на хостах. Пример расшифровки такого пароля вручную в ходе пентеста, обратите внимание на количество манипуляций до получения пароля:

Противодействие угону доменных учетных записей через mimikatz/wce

Часто в компаниях есть машины, где по каким-то причинам пользователи работают с правами администратора, и при этом не штате подразделений ИТ и ИБ. Как они получили эти права, это отдельный вопрос, иногда это неизбежное зло. Обычно администраторы в таких случаях видят угрозу установки неавторизованного ПО, заражения вирусами, максимум угрозу запуска кейлоггеров с целью кражи паролей, но не подозревают, что их полномочия доступа уже под угрозой.

Против этих утилит есть меры разной степени эффективности, например, такие, но часто они не применимы по разным причинам: старая схема AD, «зоопарк» в сети, который дошел до стадии метастаз, слишком большая инфраструктура, где есть слабо контролируемые участки.

Дополнительно надо отметить, что для атаки в отдельных случаях даже необязательно устанавливать данные утилиты на хост. Пользователь с администраторскими правами может легко снять дамп нужного участка оперативной памяти, и производить все манипуляции вне рабочей сети. Это многократно увеличивает риски компрометации учетных записей более привилегированного пользователя.

Решение без дополнительных затрат: заводить для управления инфраструктурой даже не 2-3 учетные записи, как принято (надеюсь, у вас так?):

— для локальной работы;
— для администрирования серверов и ПК;
— для контроллеров домена,
а как минимум 4 учетные записи (а то и больше), в соответствии с условными «зонами доверия» в домене, и не применять их вне своей зоны. То есть, держать отдельные учетные записи:
— для работы со своей личной машиной;
— для входа на контроллеры домена и управлением ими.
— для серверов;
— для рабочих станций;
— для удаленных филиалов, если там оказался ваш домен, но при этом вы не уверены, что там происходит в конкретный момент времени;
— для зоны DMZ, если вдруг доменные хосты оказались в DMZ;
— если вы частый посетитель клуба анонимных параноиков – разбить эти зоны еще на меньшие группы, либо менять свои пароли очень часто.

Запрет на ввод «тестовых» хостов в домен

Детализация прав сервисных учетных записей

Обращение к SMB по именам и запрет использования NTLM

Касательно протокола NTLM (который без «v2») – он должен быть запрещен. Помимо атак по перебору паролей, можно использовать атаку типа «Pass-the-hash». Эта атака по сути разрешает переотправку хеша NTLM без изменения и попыток подобрать пароль на произвольный хост, где разрешен NTLM. Сам хеш может быть украден из другой сессии в ходе атаки. Если у вас разрешены оба протокола NTLM, возможна ситуация, когда атакующий может понизить предпочтение с NTLMv2 до NTLM, и хост-жертва выберет самую слабую аутентфикацию.

Будьте внимательны, многие инфраструктуры представляют собой медленно модернизируемый «зоопарк», который с непонятными целями сохраняет старые традиции образца начала 2000х годов, поэтому там возможно все.

Блокировка механизма WPAD

Через WPAD некоторое ПО (в домене это чаще всего служба обновлений WSUS и некоторые браузеры) выполняет поиск HTTP прокси, и готово при необходимости прозрачно авторизоваться на нем при помощи NTLM(v2). Таким образом, оно добровольно «выдает» хеш учетной записи, которая инициировала подключение. Его можно в последствии перебирать по словарю, и восстановить пароль. Либо применять атаку «Pass-the-hash», описанную выше, если не отключен NTLM (про это см. пункт выше).

Устройства выполняют поиск сервера WPAD через DNS, и, если это не сработает, задействуют широковещательный запрос LLMNR или NetBIOS. И тут атакующему уже значительно проще ответить на вопрос хоста, где же находится «правильный» сервер конфигурации прокси. Дополнительный негативный эффект — такой поиск прямо замедляет скорость подключения, так как тратится время на поиск прокси.

Решение – в групповых политиках запретить и автообнаружение прокси для ПО, и протокол LLMNR. На DNS адрес WPAD (wpad.domain.name) в DNS поставить заглушку. LLMNR это фактически имитация DNS на сегменте сети L2 путем широковещательных запросов. В доменной сети при нормально работающем DNS он не нужен. С NetBIOS все сложнее, он до сих пор используется во многих случаях, и его выключение может обрушить работу, так что здесь все же остается лазейка для навязывания WPAD.

Включение UAC на максимум

Отключение скрытых файловых ресурсов

Сетевые диски как ярлыки

Ревизия содержимого SPF

Многие недооценивают значимость этой записи, и при этом не понимают работу протокола SMTP. SPF запись показывает, какие ресурсы могут легитимно отправить почту от имени вашего домена. Для частного случая отправки писем на ваш домен от вашего домена (то есть, для внутренней переписки внутри вашего же домена) эта запись показывает, кто (т.е. конкретные хосты) может отправлять письма без авторизации, от имени любого пользователя. Чаще всего здесь делают две незначительные на вид ошибки, приводящие к огромным проблемам.

1) «~all» в конце SPF записи почтового домена. Не знаю почему, но большинство публичных мануалов рекомендуют оставить такую настройку. Такая настройка дает письму статус «не прошло проверку, но помечено как опасное и все равно доставлено» при отправке почты от ресурсов, прямо не указанных в SPF домена. Это говорит получателю, что решение о легитимности отправляемой почты перекладывается на жесткость настроек его спам-фильтра и других механизмов фильтрации. Далее, есть вероятность, что ваш собственный спам-фильтр настроен мягко (особенно часто это бывает с «публичными» пользователями компании, которые боятся «прозевать» письма), и это приводит к тому, что любой хост Интернета отправит вам же письмо от вашего же домена, и с некоторой вероятностью оно пройдет во входящие, а не в спам. Очень забавно видеть пользователей и даже ИТ-администраторов, беспрекословно выполняющих срочные указания от «важного начальства» из подобных поддельных писем при пентестах с социальной составляющей. Конечно же, не исключена ситуация со слабыми спам-фильтрами и у ваших контрагентов, и тогда уже вы будете делать им заманчивые предложения без своего ведома.

SPF для подавляющего большинства компаний должна содержать только –all в конце, разумеется, после тщательной сверки своего содержимого.

2) Бывает, что по ошибке в SPF корпоративного домена оказываются внешние адреса, через которые пользователи компании выходят в интернет. Последствия понятны – возможность нелегитимной отправки писем от кого угодно из корпоративного домена, куда угодно. Обычно администраторы в таких ситуациях говорят – «но у нас же есть авторизация на почте», напрочь забывая про сам механизм протокола SMTP.

Один раз видел ситуацию, когда в SPF оказался выход гостевого WiFi. Это сразу дает возможность злоумышленнику слать легитимную почту от целевого домена, даже без получения привилегированного доступа во внутреннюю сеть компании-жертвы.

Для борьбы с такими атаками дополнительно поможет система подписей DKIM, показывающая, кто есть на самом деле отправитель, но ее внедрение процесс не моментальный, поэтому начать стоит именно с настроек SPF – ужесточить ее и сделать полную ревизию по разрешенным адресам.

Организуйте DMZ

Типичный вариант правильно организованной DMZ и общий принцип движения трафика. Стрелки – направления инициации трафика из/в DMZ.

Бюджетный дизайн DMZ для параноиков, в которой каждый ресурс находится в отдельной изолированной сети, и ресурсы не «кушают» много трафика:

Что касается «проброса» портов, то помимо риска «взлома» сервиса, существует неявный риск сбора информации о внутренней сети. Например, в ходе пентестов зачастую видно порты RDP, которые были «скрыты» путем смены со стандартного 3389 на какой-нибудь 12345. Разумеется, они легко обнаруживаются сканерами, легко идентифицируются именно как RDP, но помимо простого обнаружения, они могут, например, предоставить информацию об имени компьютера и домена (путем просмотра сертификата службы RDP), или информацию о логинах пользователей.

Полностью изолированный гостевой WiFi

Здесь есть один нюанс. Многие правильно выделяют гостевой WiFi в отдельный изолированный VLAN, но при этом зачем-то выдают клиентам адреса DNS серверов Active Directory. Наиболее рациональное оправдание – «чтобы работали ресурсы из DMZ по внутренним адресам». Однако, это является уязвимостью, и это хорошо помогает злоумышленнику при несанкционированном анализе внутреннего устройства сети, ведь запросы к DNS (PTR по внутренним диапазонам IP) обычно никак не ограничиваются.

Решение – создать легкий внутренний DNS сервер специально для WiFi, либо использовать публичные DNS в Интернет.

Не создавайте «корпоративный» WiFi на едином Preshared-ключе

Решение: авторизация на WiFi только через WPA2-Enterprise, для того, чтобы каждый пользователь имел свои персональные, легко блокируемые учетные данные, которые контролируются централизованно. Если внутренняя сеть на самом деле не нужна для WiFi устройств, а нужен только Интернет, нужно сделать WiFi по типу гостевого. Сам дизайн аутентификации WPA2-Enterprise это предмет отдельной статьи.

Правильная сегментация сети

В любом случае обязательно нужно держать ПК пользователей отдельно от серверов, иметь отдельный VLAN для management-интерфейсов устройств (сетевых устройств, интерфейсов iLO/IMPI/IP KVM, и т.д.). Все это снизит возможности подделки адресов, упростит настройку сетевого доступа, снизит вероятность атак за счет широковещательных запросов, а значит повысит и стабильность работы.

На мой взгляд как безопасника (но уже чувствую летящие помидоры от сетевиков), количество VLAN для пользователей больше зависит от количества коммутаторов доступа и от количества условных групп пользователей по административному признаку, а не от самого количества пользователей. Имеет смысл сделать количество пользовательских VLAN на уровне числа коммутаторов доступа (даже если они собраны в стек). Так очень сильно ограничится широковещательный трафик, не будет «размазывания» одного VLAN по множеству коммутаторов доступа. Это не сделает для сети лишней работы, так как чаще всего трафик пользователей идет либо в серверный сегмент, либо в Интернет (т.е. в любом случае в сторону уровня ядра сети или уровня распределения), а не между самими пользователями. В таком случае легче отлаживать сеть, и предотвращать атаки, связанные с широковещательными пакетами.

Для малых сетей ситуация сильно отличается – зачастую сегментировать нечего, сеть слишком мала. Однако, во всех организациях, где появляется минимальных набор серверов, обычно вместе с серверами закупаются управляемые коммутаторы, иногда с функциями L3. Почему-то они используются как просто коммутаторы, зачастую даже без минимальной настройки, хотя настройка L3 для простой маршрутизации между 2-3 сетями очень проста.

Защита от ARP spoofing и поддельных DHCP серверов

Если такие функции невозможно настроить, как минимум стоит указать жесткую привязку MAC адреса шлюза сети с физическим портом коммутатора.

Port security

Противодействие «левым» устройствам

Либо же, можно настроить правило фильтрации по конкретным TTL, если сетевые устройства это позволяют. Конечно, от серьезных злоумышленников это не спасет, но чем больше препятствий, тем лучше для защищенности.

Удаленный доступ

Чтобы внешнему злоумышленнику было удобнее работать, аутентификацию на таком VPN обычно привязывают к доменным учетным записям, не вводя второй фактор аутентификации, что часто и эксплуатируется.

Решение-минимум: использовать протоколы на UDP (либо свободно инкапсулирующиеся в UDP), которые не так видны при сканировании, с предварительной аутентификацией по PSK, либо по сертификату (L2TP/IPSec, OpenVPN, разные вендорские реализации IPSec). Обязательно нужно настроить перечень адресов и портов внутри сети, куда можно получить доступ, используя VPN.

Запретите прямой произвольный доступ в интернет для «пользовательской» сети

На мой взгляд, всегда нужен прокси-сервер, пусть без кеширования и авторизации, даже в самых маленьких сетях, и запрет на прямой выход в интернет для пользователей. Основная причина — множество всяческой malware обращается на свои центры управления именно по HTTP(S), либо по чистому TCP c популярными портами (80/443/25/110…), но при этом она зачастую не в состоянии обнаружить настройки прокси в системе.

Возьмите под контроль IPv6

Трафик в межфилиальных сетях

Ограничение icmp ping

Сертификаты SSL для всего и везде

Для себя, т.е. администраторов, всегда можно пользоваться легким самодельным удостоверяющим центром, например, easy-rsa, либо самоподписанными сертификатами. Вы же заметите, что на вашем внутреннем администраторском ресурсе внезапно возникла ошибка доверия к ранее одобренному сертификату?

Если вам кажется, что вашему сайту-визитке ничего не угрожает, то надо учесть, что шифрование спасет вас не только от кражи учетных данных, но и от подмены трафика. Все наверно видели на сайтах с доступом по открытому HTTP заботливо встроенную операторами связи рекламу? А если вам встроят не рекламу, а «правильный» скрипт?

Wildcard SSL сертификат

Доступ к серверу

Если на сервере не один администратор, активируйте для каждого механизм sudo, а для root используйте пароль, который никто не знает, кроме бумаги, которая все время лежит в конверте и в сейфе. В этом случае вход через ssh по паролям категорически нельзя разрешать.
Если же наоборот, администратор один, то деактивируйте sudo (особенно в том случае, если у вас по каким-то причинам сохранился вход через ssh по паролю), и для администраторских задач используйте аккаунт root.

Ну и конечно, классика — не работайте под рутом.

Iptables

Правильно настроенный iptables, как и любой другой файервол, разрешает только минимально необходимое (включая исходящие соединения через цепочку правил output). На случай минимальной конфигурации Web-сервера в iptables будет не более 10 строк. По сложности, это значительно проще настройки firewall для доменного хоста Windows, где можно нечаянно запретить динамические RPC порты, доменные службы и другие важные для работы коммуникации, так как не всегда очевидна даже последовательность коммуникации. Поэтому, для настройки iptables под web-сервер не нужны особые знания по сетям, и можно настроить файервол значительно легче.

Противодействие повышению прав в случае взлома

Пара слов о настройке web-сервера на примере Apache

— Запретите наличие VirtualHost, который отвечает на запросы вида http(s)://ip-адрес/, даже если приложение на сервере одно. Так вы значительно снизите возможность обнаружения приложения.
— Запретите в конфигурации apache вывод ошибок (опции ServerSignature Off, ServerTokens Prod), это затруднит определение версии ОС и Apache.
— Установите через mod_headers опции для Cookies HTTP_only и Secure для вашего веб-приложения, даже если у вас веб-приложение делает это само. Это защитит вас от перехвата Cookies через прослушку нешифрованного HTTP и части атак XSS.
— Отключите вывод ошибок на страницы сайта в конфиге языка сайта (это в первую очередь касается PHP). Это затруднит атакующему изучение слабых мест вашего веб-приложения.
— Контролируйте, чтобы индексы директорий были выключены (опция «–Indexes» в настройках сайта или файлов .htaccess).
— Дополнительно сделайте basic-авторизацию на директорию с администраторской панелью сайта.
— Установите принудительное перенаправление с 80 порта на 443, если у вас есть настроенный TLS. Запретите устаревшие алгоритмы SSL (SSLProtocol all -SSLv2 -SSLv3), слабые алгоритмы шифрования и вариант его полного отсутствия через директиву SSLCipherSuite. Это защитит от атак на «понижение» уровня шифрования.

Проверить свою настройку SSL можно, например, через https://www.ssllabs.com/ssltest/

Настройте аудит системы

Ставьте только минимально необходимое в системе

Сканеры безопасности

Проверьте хосты в сети на типовые уязвимости при помощи сканера OpenVAS. Результаты также бывают неожиданными, особенно в крупных сетях, где обычно существует хаос разной степени. Главное при использовании сканеров безопасности – отличать ложные срабатывания от настоящих уязвимостей.

Все перечисленные утилиты бесплатны. Делайте это регулярно, не забывайте обновлять сканеры.

Брутфорс учетных записей

habr.com