Виртуальные ЛКС - назначение, средства формирования, организация функционирования, оценка

Виртуальная сеть SecureFast состоит из трех главных компонентов:

1. Коммутаторы SFPS - устанавливают соединение, коммутацию и виртуальную маршрутизацию для Ethernet, Fast Ethernet, Token Ring, FDDI, Gigabit Ethernet и пакетов SNA с производительностью коммутаторов ATM.

2. SecureFast Virtual Network Services (SFVNS) - обеспечивает  функционирование служб виртуальной  маршрутизации, управления доступом, учета запросов и управления соединениями.

3. SecureFast VLAN Management Application - приложение, обеспечивающее доступ администратора  к управлению конфигурацией виртуальных сетей, определения прав доступа и контроля соединений.

Характерные особенности сетей SecureFast:

• Сеть ориентирована на установление соединений - коммутируемая виртуальная сеть, в которой устанавливаются соединения между источником и получателем и доставляются пакеты по установленному маршруту, подобно тому, как это происходит в телефонной сети. Этот метод гарантирует доставку пакетов в точку назначения, в отличие от традиционных технологий ЛВС и виртуальных ЛВС (с разделяемой средой доступа), которые не являются ориентированными на установление соединений и не гарантирует доставку пакета.

• Поддержка различных протоколов и сред передачи данных - обеспечение поддержки различных протоколов для всех сетевых топологий, в том числе Ethernet/Fast/Gigabit Ethernet, Token Ring, FDDI, и ATM LAN Emulation (LANE).

• Высокое быстродействие - сервис виртуальной маршрутизации (Virtual Routing Service) устанавливает соединения, исследуя заголовок адреса только первого пакета в потоке, что более эффективно по скорости передачи, чем технологии традиционной маршрутизации. После установления соединения происходит только коммутация по установленному пути, что позволяет получить высокое быстродействие системы.

• Наличие службы управления доступом, которая обрабатывает запросы на основе информации о правах и привилегиях доступа пользователя к сети. Эта проверка выполняется один раз во время установки соединения, в отличие от мостов и маршрутизаторов в которых каждый пакет фильтруется, что существенно увеличивает задержки в сети.

• Служба учета запросов, осуществляющая сбор статистики по каждому установленному соединению, что позволяет осуществлять планирование пропускной способности сети и составлять отчеты по каждому клиенту.

• Служба управления соединениями, позволяющая устанавливать соединения по коммутируемым или постоянным виртуальным каналам типа point-to-point, point-to-multipoint, multipoint-to-multipoint. Это позволяет администратору сети наблюдать за активными соединениями и исследовать их, используя анализаторы протоколов.

Виртуальные сети создаваемые в рамках стратегии SecureFast Virtual Networking имеют доменную структуру. Каждый домен содержит группу коммутаторов SmartSwitch, переведенных в режим коммутации SFPS с установленными элементами сервиса VNS и соединенных соединениями типа точка-точка, или коммутаторы могут быть включены в разделяемую среду. Например, допустимой конфигурацией является соединение в кольце FDDI как двух, так и более коммутаторов SFS. Так как каждый коммутатор может соединяться со многими коммутаторами в рамках своего домена, то формируется ячеистая структура с множественными возможными путями следования пакетов от одной точки в другую. Если в традиционных сетях конфликты, связанные с такой ситуацией, разрешаются на основе алгоритма Spanning Tree, функционирующего на мостах, то в сетях SecureFast эти проблемы решаются посредством протокола VLSP (Virtual Link State Protocol), разработанным компанией Cabletron Systems, являющегося аналогом протокола OSPF (Open Shortest Path First). Коммутаторы могут быть соединены тремя параллельными линиями связи с равной ценой пути, при этом все три соединения будут оставаться активными и механизм, основанный на протоколе VLSP, обеспечит сбалансированную загрузку этих каналов в соответствии с требуемым количеством логических соединений. При использовании четырех и более линий соединения между коммутаторами они будет являться "горячим резервом". В случае использования линий связи, имеющих различную пропускную способность, в первую очередь используются линии имеющие более низкую цену пути, которая вычисляется как результат деления скорости в 1 Гбит/с на скорость передачи в этой линии связи, т. е. наиболее скоростные. Коммутаторы, составляющие домен, периодически обмениваются друг с другом информацией о том, с какими коммутаторами они непосредственно связаны и какие типы соединений для этого используются. Таким образом, каждый коммутатор строит полную топологическую карту своего домена, что позволяет ему быстро и оптимально определять путь следования пакетов во время установления соединения. Домены соединяются между собой маршрутизаторами. В рамках каждого домена, состоящего из группы коммутаторов, организуются виртуальные сети по нескольким возможным критериям.

1. Виртуальная сеть, основанная  на группировке портов коммутаторов  домена в виртуальную сеть. В  этом случае любой пользователь, подключенный к какому-либо порту, принадлежащему конкретной виртуальной сети, приобретает членство и права в этой виртуальной сети, определенные ее статусом.

2. Виртуальная сеть, основанная  на группировке МАС-адресов пользователей  и сетевых устройств в виртуальную сеть. Пользователь, являющийся членом виртуальной сети, может свободно перемещаться физически по сетевой инфрастуктуре домена и подключаться к любому порту в его рамках. При этом не возникает необходимости административного вмешательства для переподключения пользователя, так как он имеет одинаковые права и ограничения, определенные свойствами той виртуальной сети, членом которой он является.

3. Виртуальная сеть, основанная  на группировке пользователей  по протоколам и адресам третьего  уровня. Так же, как и во втором случае, без всякого административного вмешательства пользователь может свободно перемещаться физически по сетевой инфрастуктуре домена и подключаться к любому порту в его рамках. Кроме этого, пользователь становится членом данной виртуальной сети автоматически, при соответствии его адреса третьего уровня установленным критериям данной виртуальной сети.

На пользователя и порт не накладываются ограничения принадлежности к одной виртуальной сети, поэтому они могут быть членами сразу нескольких виртуальных сетей. Создание виртуальных сетей по второму и третьему критериям исключает попадание в чужую виртуальную сеть пользователя из-за ошибочного его подключения к портам коммутатора. Для исключения попадания в чужую виртуальную сеть, созданную по первому критерию, свободным портам коммутатора присваивается статус Lock Port.

В виртуальных сетях Secure Fast функционирует модель обеспечения безопасности, в соответствии с которой виртуальные ЛВС разделяются на два класса, имеющих разную степень защиты:

1. Открытые виртуальные сети (Open VLAN) позволяют имеющим в них членство пользователям свободно взаимодействовать между собой без дополнительных внешних устройств маршрутизации, используя механизмы установления соединения и распознавания адресов.

2. Защищенные виртуальные сети (Secure VLAN) разрешают пользователям взаимодействовать только в рамках той виртуальной сети, членами которой они являются. Взаимодействие с пользователями, находящимися за пределами защищенной виртуальной сети, возможно только через маршрутизатор. Каждая виртуальная сеть моделирует область широковещательных запросов традиционной ЛВС, однако, даже внутри виртуальных сетей реальный широковещательный трафик значительно ниже, чем в традиционных сетях. Это возможно благодаря функционированию в коммутаторах Secure Fast механизма интеллектуального распознавания адресов, перехвата и анализа широковещательных сообщений. Использование операции Flooding блокирует передачу широковещательных сообщений в рамках отдельной виртуальной сети.

В Приложении Б рисунок 1 представлен пример организации виртуальных сетей SecureFast. В данном примере имеются две сети, объединенных маршрутизатором. Каждая сеть состоит из нескольких коммутаторов, соединенных между собой по правилам виртуальных сетей SecureFast. Сети, подключенные к маршрутизатору, образуют домены - домен ABC и домен XYZ. В домене ABC созданы виртуальные сети VLAN A, VLAN В и VLAN С. VLAN А является открытой, VLAN В иVLAN С - защищенными. В данном примере предполагается, что членам виртуальных сетей VLAN В и VLAN С необходимо взаимодействовать между собой. Для этого на одном порту маршрутизатора настраивается маршрутизация между VLAN В и VLAN С, и этому порту присваивается членство в VLAN В и VLAN С. Второй порт маршрутизатора используется, если требуется связать VLAN А с VLAN В и VLAN С. Станция VLAN Manager (VLAN В), подключенная к порту 1 коммутатора 4, обеспечивает управление обоими доменами в плане виртуальных сетей. Эта станция может также управлять сетевой инфраструктурой по протоколу SNMP. Пользователи User 4 {коммутатор 3), User 5. User 6 и концентратор, к которому они подключены, объединены в виртуальную сеть VLAN А - таким образом можно интегрировать технологию виртуальных сетей и локальные сети, построенные с использованием традиционных сетевых технологий - разделяемых сред доступа и мостовых соединений. В домене XYZ существуют виртуальные сети VLAN X и VLAN Y, для которых организован доступ к виртуальным сетям домена ABC через маршрутизатор. Если требуется обеспечить выборочное взаимодействие членов разных виртуальных групп и доменов, то для этого на маршрутизаторе устанавливаются фильтры, блокирующие прохождение через него данных.

Программное обеспечение SecureFast VLAN Manager управпяет виртуапьными сетями, функционирующими на коммутаторах семейства SmartSwitch в режиме SFPS. VLAN Manager позволяет управлять всеми коммутаторами SFPS в сети. Простой и удобный в использовании графический оконный интерфейс позволяет администратору производить управление виртуальными сетями и наблюдение за их работой. Домены, виртуальные сети, коммутаторы, и пользователи могут создаваться и управляться при помощи команд меню, инструментальной панели и работой в стиле drag-and-drop. Используя VLAN Manager, можно управлять доступом попьзователей в виртуальные сети, применяя модель безопасности, реализованную в виртуальных сетях SecureFast. Можно также контролировать виртуальные сети, коммутаторы, порты, пользователей, подключения, соединения и топологию сети, используя детализированные представления. VLAN Manager устанавливается как автономное приложение или интегрируется в систему управления SPECTRUM Enterprise Manager. VLAN Manager совместим со всеми коммутаторами, поддерживающими технологию коммутации SFPS. VLAN Manager использует команды протокола SNMP для конфигурирования и контроля всех коммутаторов виртуальной сети.

В Приложении Б рисунок 2 представлена диаграмма взаимодействия компонент сетей SecureFast. Система VLAN Manager состоит из двух модулей. Модуль VLANServer хранит модели коммутаторов SFPS, сетевых узлов, подключенных к ним, конфигурацию виртуальных сетей, таблицы соединений. Модели непрерывно собирают данные относительно объектов, которые они представляют. Работа VLANServer не зависит от того, работает или нет модуль VLAN Manager Client, являющийся клиентской частью системы управления виртуальными сетями VLAN Manager. VLAN Manager Client обеспечивает доступ администратора сети к функциональным возможностям технологии SecureFast. Взаимодействуя с VLANServer и получая из его базы данных информацию об объектах управления, при помощи удобного графического оконного интерфейса, VLAN Manager Client позволяет администратору производить управление виртуальными сетями и наблюдение за их работой.

Система управления виртуальными сетями имеет распределенную структуру. Возможно одновременное подключение нескольких клиентов VLAN Manager к модулю VLANServer. Причем оба модуля могут находиться на разных компьютерах. Каждый такой клиент может иметь собственные права и ограничения доступа к модулю VLANServer. Распределенность предоставляет гибкость и увеличение вычислительной мощности системы управления виртуальными сетями. VLANServer и VLAN Manager Client взаимодействуют через компоненту стека протокола TCP/IP UDP, a VLANServer непосредственно взаимодействует с коммутаторами SFPS по протоколу SNMP. Поскольку VLAN Manager управляет только коммутаторами и пользователями, то система управления сетью продолжает выполнять свои функции, взаимодействуя со всеми сетевыми устройствами по протоколу SNMP. Доступ клиента VLAN Manager к модулю VLANServer, а системы управления сетью к сетевым устройствам в виртуальных сетях определяются их членством в соответствующих виртуальных сетях.

Коммутаторы SFPS хранят информацию о конфигурации домена в своей оперативной памяти. Поэтому при их включении или перезагрузке они должны иметь возможность обнаружить станцию VLAN Manager, которая должна быть включена в домен непосредственно ипи иметь доступ к нему через маршрутизатор, чтобы загрузить конфигурацию домена. После инициализации домена присутствие в сети VLAN Manager не требуется. Если домен включается при отсутствии VLAN Manager, коммутаторы настраиваются на конфигурацию "по умолчанию", когда в домене создается одна общая открытая виртуальная сеть, называемая Base. Следует иметь в виду, что если VLAN Manager включается, когда домен уже сконфигурирован и работает, то для обеспечения корректности работы домена необходимо время для синхронизации информации, хранящейся в коммутаторах и в базе данных VLAN Manager. Если VLAN Manager не хранит информацию о домене, которым требуется управлять, то функция автопостроения обеспечит для VLAN Manager создание базы данных об этом домене.

Система VLAN Manager существует как функционирующее автономно программное обеспечение, так и как версия для интеграции с системой управления SPECTRUM Enterprise Manager, что позволяет: моделировать домены виртуальных сетей и составляющие их коммутаторы, запускать VLANserver и клиента VLAN Manager из SPECTRUM, управлять базойданных VLAN Manager из SPECTRUM. При помощи VLAN Manager можно производить следующие операции:

Операции над доменами виртуальных сетей - создание, удаление, открытие, переименование, конфигурирование и исследование доменов виртуальных сетей.

Операции над виртуальными сетями - создание, удаление, назначение членов виртуальной сети, просмотр информации о сети, изменение режима работы сети - защищенная/открытая, пропускать широковещательные пакеты в пределах сети или нет, включить/отключить сеть.

Расширенные операции над виртуальными сетями (Advanced VLAN Policy) - создание политик попарного взаимодействия виртуальных сетей. Имеется возможность позволить/запретить соединение пользователей двух виртуальных сетей независимо от режима безопасности этих сетей (защищенные/открытые) и распространение широковещательного трафика между данной парой сетей в двунаправленном или однонаправленном режиме.

Операции над коммутаторами   - добавление и удаление коммутатора в доменах виртуальных сетей, просмотр таблицы соединений, добавление и удаление пользователей на портах, сведения о нарушениях, перезагрузка, замена, опрос, переконфигурация коммутаторов, сброс соединений коммутатора.

Операции над пользователями - управление пользователями осуществляется из окна каталога и из меню пользователя. Окно каталога предоставляет информацию о каждом пользователе - члене текущего домена.