Введение в компьютерные сети. Авербах В.С. Введение в вычислительные сети. В. С. Авербах введение в вычислительные сети издательство Самарского государственного экономического университета 2008
 Скачать 2.84 Mb.
|
|
Коммутаторы 2-го уровня. Уровень 2 (по семиуровневой модели OSI) соответствует кадрам Ethernet. Их передвижение происходит согласно MAC-адресам. Коммутаторы, работающие с адресами канального уровня, называют коммутаторами 2-го уровня (L2 - layer- 2 switch). Они могут производить весьма сложные операции. Например, ставить и убирать метки VLAN (см. ниже), распознавать приоритеты, устанавливать кадры в очереди, определять атаки, считать Ethernet-трафик, фильтровать по номерам портов и т. п. Коммутаторы 3 уровня (L3 - layer-3 switch). Эти коммутаторы добавляют к обычным функциям маршрутизацию трафика между портами на сетевом уровне. Популярность Internet и корпоративных сетей Intranet привела к значительному росту уровня сетевого трафика. За счет доступа пользователей к удаленным ресурсам и серверам потоки трафика становятся все менее локальными. Увеличение потока данных и делокализация трафика ведут к перегрузке маршрутизаторов. Для решения возникших задач большинство производителей сетевого оборудования решают задачу коммутации на сетевом уровне. Коммутация на сетевом уровне обеспечивает сочетание разумности маршрутизаторов и скорости коммутаторов. Коммутаторы 4 уровня (L4 - layer-4 switch). Работают на четвёртом уровне сетевой модели. Дополнительно к функциям коммутаторов L3 могут выполнять функцию оптимального распределения сетевой нагрузки, имеют повышенную устойчивость к сбоям. Важность коммутации уровня 4 в том, что она дает администраторам сети возможность автоматизировать коммутацию пакетов на основе приоритетов приложений. Эти устройства обычно используют уровень 4 стека TCP/IP (прикладной уровень) в дополнение к коммутации на уровне 2 и маршрутизации на уровне 3. Коммутаторы опираются на информацию уровня 4, такую как присваиваемые типам приложений стандартные номера портов Transport Control Protocol для передачи пакетов и установки их приоритетов, в зависимости от того, приложение какого типа их инициировало Таким образом, рассматривая возможности коммутаторов разных уровней, можно сделать вывод о том, что коммутаторы представляют собой универсальные средства решения основных проблем сетей - от существенного увеличения производительности до обеспечения конфиденциальности трафика. Характеристики производительности коммутаторов. Основными характеристиками коммутатора, определяющими его производительность, являются: скорость фильтрации (filtering); скорость маршрутизации (forwarding); пропускная способность (throughput); задержка передачи кадра. Кроме того, существует несколько характеристик коммутатора, которые в наибольшей степени влияют на указанные характеристики производительности. К ним относятся: размер буфера (буферов) кадров; производительность внутренней шины; производительность процессора или процессоров; размер внутренней адресной таблицы. Скорость фильтрации и скорость продвижения Скорость фильтрации и маршрутизации (продвижения) кадров - это две основные характеристики производительности коммутатора. Эти характеристики являются интегральными показателями, они не зависят от того, каким образом технически реализован коммутатор. Скорость фильтрации определяет скорость, с которой коммутатор выполняет следующие этапы обработки кадров: прием кадра в свой буфер, просмотр адресной таблицы с целью нахождения порта для адреса назначения кадра, уничтожение кадра, так как его порт назначения совпадает с портом-источником. Скорость продвижения определяет скорость, с которой коммутатор выполняет следующие этапы обработки кадров: прием кадра в свой буфер, просмотр адресной таблицы с целью нахождения порта для адреса назначения кадра, передача кадра в сеть через найденный по адресной таблице порт назначения. Как скорость фильтрации, так и скорость продвижения измеряются обычно в кадрах в секунду. Если в характеристиках коммутатора не уточняется, для какого протокола и для какого размера кадра приведены значения скоростей фильтрации и продвижения, то по умолчанию считается, что эти показатели даются для протокола Ethernet. Пропускная способность коммутатора измеряется количеством переданных в единицу времени через его порты пользовательских данных. Задержка передачи кадра (пакета) измеряется как время, прошедшее с момента прихода первого байта кадра на входной порт коммутатора до момента появления этого байта на выходном порту коммутатора. Задержка складывается из времени, затрачиваемого на буферизацию байтов кадра, а также времени, затрачиваемого на обработку кадра коммутатором - просмотр адресной таблицы, принятие решения о фильтрации или продвижении и получения доступа к среде выходного порта. Величина вносимой коммутатором задержки зависит от режима его работы. Если коммутация осуществляется "на лету", то задержки обычно невелики и составляют от 10 мкс до 40 мкс, а при полной буферизации кадров - от 50 мкс до 200 мкс (для кадров минимальной длины). Оценка необходимой общей производительности коммутатора. В идеальном случае коммутатор, установленный в сети, передает кадры между узлами, подключенными к его портам, с той скоростью, с которой узлы генерируют эти кадры, не внося дополнительных задержек и не теряя ни одного кадра. В реальной практике коммутатор всегда вносит некоторые задержки при передаче кадров, а также может некоторые кадры терять, то есть не доставлять их адресатам. Из-за различий во внутренней организации разных моделей коммутаторов трудно предвидеть, как тот или иной коммутатор будет передавать кадры какого-то конкретного образца трафика. Лучшим критерием по-прежнему остается практика, когда коммутатор ставится в реальную сеть и измеряются вносимые им задержки и количество потерянных кадров. Сейчас среди коммутаторов в зависимости от выполняемых ими функций выделяют настраиваемые, неуправляемые и управляемые коммутаторы. Настраиваемые коммутаторы - это коммутаторы, которые позволяют пользователю производить некоторые настройки, например конфигурирование VLAN. Могут быть и управляемыми и неуправляемыми. Неуправляемые коммутаторы - коммутаторы, которые не поддерживают управление по протоколам сетевого управления как SNMP (рассматривается ниже). При этом неуправляемые коммутаторы могут быть настраиваемыми. Управляемые коммутаторы поддерживают протоколы сетевого управления и могут управляться по сети с использованием специального программного обеспечения. В последнее время появились модульные коммутаторы. Модульные коммутаторы представляют из себя следующую архитектуру: основанием служит шасси, куда вставляются необходимые модули, что позволяет на базе одного шасси строить достаточно гибкие системы. 6.5.Маршрутизаторы Маршрутизатор (роутер). Это устройство, определяющее маршрут передачи пакетов в сети в соответствии с заданным адресом. Маршрутизаторы работают на сетевом уровне, поэтому они способны интегрировать разнородные сети. Например, соединить Ethernet и Token Ring. Выбор маршрутизатора зависит от протокола. Наиболее широко применяется Internet Protocol (IP, межсетевой протокол), лежащий в основе Internet. Маршрутизаторы изолируют трафик в отдельных ЛВС, передавая только пакеты, адресованные системам в других ЛВС. 6.6.Модемы Модем – это английское слово – неологизм, составленное из двух слов Modulator/Demodulator (модулятор/демодулятор). Модем преобразует цифровые данные, с которыми работает компьютер, в аналоговую форму, пригодную для передачи по телефонным линиям на значительные расстояния и, наоборот, аналоговые сигналы при приёме превращаются в цифровые, понятные компьютеру. Это последовательные устройства передачи данных, т.е. одновременно они передают или принимают один бит информации. Используется для подключения к Internet по телефонной линии. Основной характеристикой модема является скорость передачи. Предельная скорость передачи на телефонных линиях общего пользования составляет 56 Кбит/с. Модемы бывают внутренними и внешними. У внутреннего модема нет блока питания и индикаторов состояния модема на корпусе. Отсутствие индикаторов не нравится пользователям, поэтому , как правило, предпочтительней внешние модемы, которые легко наблюдать, но он немного дороже внутреннего. Внутренние модемы подключаются через PCI или PCI – Express. Внешние модемы подключаются через COM – порт либо через интерфейсUSB. Важным свойством модемов является возможность сжатия информации и коррекции ошибок. Схема работы модема приведена на рис.12.  Рис.12. Схема работы модема. 6.7. Организация виртуальных сетей Виртуальной сетью VLAN (Virtual LAN) называют группу узлов сети, образующих домен широковещательного трафика (Broadcast Domain). Такое определение вполне корректно, но малоинформативно и требует пояснений. Виртуальные сети образуют группу узлов сети, в которой весь трафик, включая и широковещательный, полностью изолирован на канальном уровне от других узлов сети. Это означает, что передача кадров между узлами сети, относящимися к различным виртуальным сетям, на основании адреса канального уровня невозможна (хотя виртуальные сети могут взаимодействовать друг с другом на сетевом уровне с использованием маршрутизаторов). Изолирование отдельных узлов сети на канальном уровне с использованием технологии виртуальных сетей позволяет решать одновременно несколько задач. Во-первых, виртуальные сети способствуют повышению производительности сети, локализуя широковещательный трафик в пределах виртуальной сети. Коммутаторы пересылают широковещательные пакеты (а также пакеты с групповыми и неизвестными адресами) внутри виртуальной сети, но не между виртуальными сетями. Во-вторых, изоляция виртуальных сетей друг от друга на канальном уровне позволяет повысить безопасность сети, делая часть ресурсов для определенных категорий пользователей недоступной. Современные локальные сети, обеспечивая функционирование множества задач по обработке и передаче данных, предоставляют ряд возможностей для повышения качества обслуживания критических приложений и разделения доступа уже на канальном уровне модели взаимодействия открытых систем. Применение этих функциональных возможностей обеспечивает создание VLAN – виртуальных сетей, объединяющих порты локальной сети за пределами рамок кабельной системы и размещения активного сетевого оборудования, на основании принципов логического взаимодействия пользователей и серверных решений. Объединение группы пользователей и/или серверного оборудования в VLAN обеспечивает изоляцию данных, передаваемых внутри этой группы, от других пользователей локальной сети. Подобное решение становится незаменимым в случае, когда необходимо разделить группы пользователей локальной сети, обеспечивая защиту конфиденциальных данных. Возможностями организации Vlan обладают коммутаторы 3 уровня, но есть и модели коммутаторов L2, имеющие функции создания VLAN. Для задач построения VLAN разработан стандартный протокол IEEE 802.1Q (3-ий сетевой уровень). Этот протокол предполагает, что пакеты VLAN имеют свои идентификаторы, которые и используются для их переключения. Протокол может поддерживать работу 500 пользователей и более. Количество VLAN в пределах одной сети практически не ограничено. Протокол позволяет шифровать часть заголовка и информационное поле пакетов. Наличие VLAN ID (said) в пакете выделяет его из общего потока и переправляет на опорную магистраль, через которую и осуществляется доставка конечному адресату. Благодаря наличию MAC-заголовка VLAN-пакеты обрабатываются как обычные сетевые кадры. По этой причине VLAN может работать в сетях TCP/IP. До появления общепризнанного стандарта по организации виртуальных сетей IEEE 802.1Q каждый производитель сетевого оборудования использовал собственную технологию организации VLAN. Такой подход имел существенный недостаток - технологии одного производителя были несовместимы с технологиями других фирм. Поэтому при построении виртуальных сетей на базе нескольких коммутаторов необходимо было использовать только оборудование от одного производителя. Принятие стандарта виртуальных сетей IEEE 802.1Q позволило преодолеть проблему несовместимости, однако до сих пор существуют коммутаторы, которые либо не поддерживают стандарт IEEE 802.1Q, либо, кроме возможности организации виртуальных сетей по стандарту IEEE 802.1Q, предусматривают и иные технологии. Принцип построения виртуальной сети показан на рис.13.  Рис.13. Схема переключателя с поддержкой VLAN. Для формирования VLAN необходимо устройство, где возможно осуществлять управление тем, какие порты могут соединяться. Например, пусть запрограммирована возможность пересылки пакетов между портами 1, 3 и 6, 2 и 5, а также между портами 4, 7 и 8. Тогда пакет из порта 1 никогда не попадет в порт 2, а из порта 8 в порт 6 и т.д. Таким образом, переключатель как бы разделяется на три независимых переключателя, принадлежащих различным виртуальным сетям. Управление матрицей переключения возможно через подключаемый извне терминал или удаленным образом с использованием протокола SNMP (будет рассмотрен далее). Если система переключателей (и возможно маршрутизаторов) запрограммирована корректно, возникнет три независимые виртуальные сети. Данная технология может быть реализована не только в рамках локальной сети. Возможно выделение виртуальной сети в масштабах Internet. В сущности, идея создания корпоративных сетей в Internet (Intranet) является обобщением идей виртуальных сетей на региональные сети. 6.8.Сети VPN Сеть VPN (Virtual Private Network — виртуальная частная сеть) – это логическая сеть, создаваемая поверх другой сети, например, Internet. Несмотря на то, что коммуникации осуществляются по публичным сетям, с использованием небезопасных протоколов, за счёт шифрования создаются закрытые от посторонних каналы обмена информацией. VPN позволяет объединить, например, несколько офисов организации в единую сеть с использованием для связи между ними неподконтрольных каналов. Пользователи Windows обозначают термином "VPN" одну из реализаций виртуальной сети - PPTP, причём используемую зачастую как раз не для создания частных сетей. Чаще всего для создания виртуальной сети используется инкапсуляция протокола PPP в какой-нибудь другой протокол - IP (такой способ использует реализация PPTP - Point-to-Point Tunneling Protocol) или Ethernet (PPPoE). Технология VPN последнее время используется не только для создания собственно частных сетей, но и некоторыми провайдерами "последней мили" для предоставления выхода в Internet. Структура VPN. VPN состоит из двух частей: "внутренней" (подконтрольной) сети, которых может быть несколько, и "внешней" сети, по которой проходит инкапсулированное соединение (обычно используется Internet). Возможно также подключение к виртуальной сети отдельного компьютера. Подключение удалённого пользователя к VPN производится посредством сервера доступа, который подключен как к внутренней, так и к внешней (общедоступной) сети. При подключении удалённого пользователя (либо при установке соединения с другой защищённой сетью) сервер доступа требует прохождения процесса идентификации, а затем процесса аутентификации. После успешного прохождения обоих процессов, удалённый пользователь (удаленная сеть) наделяется полномочиями для работы в сети, то есть происходит процесс авторизации 6.9.Объединение сетей При конфигурировании сетей среднего и большого размера невозможно обойтись без логической структуризации сети. Наиболее важной проблемой, не решаемой путем физической структуризации, остается проблема перераспределения передаваемого трафика между различными физическими сегментами сети. В большой сети естественным образом возникает неоднородность информационных потоков: сеть состоит из множества подсетей рабочих групп, отделов, филиалов предприятия и других административных образований. Очень часто наиболее интенсивный обмен данными наблюдается между компьютерами, принадлежащими к одной подсети, и только небольшая часть обращений происходит к ресурсам компьютеров, находящихся вне локальных рабочих групп. Сейчас характер нагрузки сетей во многом изменился, широко внедряется технология Intranet, на многих предприятиях имеются централизованные хранилища корпоративных данных, активно используемые всеми сотрудниками предприятия. Все это не могло не повлиять на распределение информационных потоков. И теперь не редки ситуации, когда интенсивность внешних обращений выше интенсивности обмена между "соседними" машинами. Но независимо от того, в какой пропорции распределяются внешний и внутренний трафик, для повышения эффективности работы сети неоднородность информационных потоков необходимо учитывать. Распространение трафика, предназначенного для компьютеров некоторого сегмента сети, только в пределах этого сегмента, называется локализацией трафика. Логическая структуризация сети - это процесс разбиения сети на сегменты с локализованным трафиком. Для логической структуризации сети используются такие коммуникационные устройства, как мосты, коммутаторы, маршрутизаторы и шлюзы. Мост (bridge). Делит разделяемую среду передачи сети на части (часто называемые логическими сегментами), передавая информацию из одного сегмента в другой только в том случае, если такая передача действительно необходима, то есть если адрес компьютера назначения принадлежит другой подсети. Когда в сети с мостами выполняется широковещательная передача кадров, мост, подобно любому другому устройству сети, "слышит" широковещательную передачу и "читает" MAC – адрес назначения кадра и определяет, адресован этот кадр одному из ПК в данном сегменте, или он предназначен для другого сегмента. В первом случае мост ничего не делает, а во втором пересылает его в другой сегмент. Подобно коммутаторам, мосты тоже выполняют маршрутизацию с промежуточным хранением кадров, и граница между мостом и коммутатором может быть весьма зыбкой. Тем самым мост изолирует трафик одной подсети от трафика другой, повышая общую производительность передачи данных в сети. Локализация трафика не только экономит пропускную способность, но и уменьшает возможность несанкционированного доступа к данным, так как кадры не выходят за пределы своего сегмента и их сложнее перехватить злоумышленнику. Организация моста позволяет передавать данные между двумя или более различными сетями, обеспечивая для них раздельный трафик. Мосты не зависят от типа используемых на транспортном уровне протоколов. Функционирование мостов относится к операциям канального уровня. Чаще всего мосты реализуются с помощью коммутаторов. На рис. 14 показана сеть с использованием моста. Сети 1-го и 2-го отделов состоят из отдельных логических сегментов, а сеть отдела 3 - из двух логических сегментов. Каждый логический сегмент построен на базе концентратора (или коммутатора) и имеет простейшую физическую структуру, образованную отрезками кабеля, связывающими компьютеры с портами концентратора.  Рис. 14. Логическая структуризация сети с помощью моста Мосты используют для локализации трафика физические, аппаратные адреса компьютеров. Это затрудняет распознавание принадлежности того или иного компьютера к определенному логическому сегменту - сам адрес не содержит никакой информации по этому поводу. Поэтому мост достаточно упрощенно представляет деление сети на сегменты - он запоминает, через какой порт на него поступил кадр данных от каждого компьютера сети, и в дальнейшем передает кадры, предназначенные для этого компьютера, на этот порт. Точной топологии связей между логическими сегментами мост не знает. Из-за этого применение мостов приводит к значительным ограничениям на конфигурацию связей сети - сегменты должны быть соединены таким образом, чтобы в сети не образовывались замкнутые контуры. Мосты позволяют удлинить локальную сеть или объединить несколько локальных сетей, соединяя таким образом многочисленные рабочие станции, серверы и другие сетевые устройства, которые иначе не смогли бы взаимодействовать. Мосты могут соединять две или несколько локальных сетей, использующих один и тот же протокол канального уровня. Коммутатор по принципу обработки кадров ничем не отличается от моста. Основное его отличие от моста состоит в том, что каждый его порт оснащен специализированным процессором, который обрабатывает кадры по алгоритму моста независимо от процессоров других портов. За счет этого общая производительность коммутатора обычно намного выше производительности традиционного моста, имеющего один процессорный блок. Можно сказать, что коммутаторы - это мосты нового поколения, которые обрабатывают кадры в параллельном режиме. Ограничения, связанные с применением мостов и коммутаторов - по топологии связей, а также ряд других, привели к тому, что в ряду коммуникационных устройств появился еще один тип оборудования - маршрутизатор (router). Маршрутизаторы более надежно и более эффективно, чем мосты, изолируют трафик отдельных частей сети друг от друга. Маршрутизаторы образуют логические сегменты посредством явной адресации, поскольку используют не плоские аппаратные, а составные числовые адреса. В этих адресах имеется поле номера сети, так что все компьютеры, у которых значение этого поля одинаково, принадлежат к одному сегменту, называемому в данном случае подсетью (subnet). Кроме локализации трафика, маршрутизаторы выполняют еще много других полезных функций. Так, маршрутизаторы могут работать в сети с замкнутыми контурами, при этом они осуществляют выбор наиболее рационального маршрута из нескольких возможных. Сеть, представленная на рис.15, отличается от сети на рис. 14 тем, что между подсетями отделов 1 и 2 проложена дополнительная связь, которая может использоваться как для повышения производительности сети, так и для повышения ее надежности.  Рис. 15. Логическая структуризация сети с помощью маршрутизаторов Другой очень важной функцией маршрутизаторов является их способность связывать в единую сеть подсети, построенные с использованием разных сетевых технологий, например Ethernet и Х.25. |