Sdscompany.ru

Компьютерный журнал
0 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Как сделать виртуальную локальную сеть

VPN: уроки вязания виртуальных сетей

С распространением всевозможных файлообменных сервисов для многих пользователей необходимость объединения компьютеров в локальную сеть отпала. Однако все же существует немало ситуаций, когда локальная сеть гораздо удобнее любого веб-сервиса для обмена данными. Компьютеры, объединенные в сеть, легче администрировать, на них можно быстро организовать доступ к совместным данным без необходимости использования сторонних сервисов, в конце концов, по «локалке» просто удобно играть в игры.

У одних при словах «локальная сеть» сразу возникает ассоциация с километрами проводов, другие тут же представляют Wi-Fi-роутер. А ведь локальная сеть бывает еще и виртуальной. Virtual Private Network (VPN) может быть организована между любыми компьютерами, подключенными к Интернету. При этом физически соединять их между собой не нужно ни при помощи витой пары, ни посредством Wi-Fi, а это значит, что объединяемые компьютеры могут находиться в разных частях света (хотя, конечно, никто не мешает вам использовать VPN для ПК, стоящих в одной комнате). В этом материале мы расскажем о нескольких приложениях для организации и настройки виртуальной сети.

⇡#LogMeIn Hamachi 2.1.0

  • Разработчик: LogMeIn, Inc
  • Размер дистрибутива: 3,7 Мбайт
  • Распространение: freeware (для некоммерческого использования)
  • Русский интерфейс: есть

Когда речь заходит о виртуальной сети, первое, что приходит на ум, это, конечно же, Hamachi. Действительно, приложение от компании LogMeIn имеет массу сильных сторон. Оно очень простое в настройке, и создать виртуальную сеть можно буквально за пару минут. Все, что для этого потребуется, — установить на всех подключаемых компьютерах бесплатный клиент Hamachi, создать новую сеть и выбрать для нее идентификатор и пароль. После этого будет выполнена проверка на предмет того, свободен ли указанный идентификатор (или, проще говоря, название сети), и если да, то сеть будет создана. Далее выполняется передача идентификатора и пароля, которые необходимы для подключения к сети, всем ее участникам, компьютерам присваиваются IP-адреса и список участников сети отображается в программах-клиентах.

Для администратора сети Hamachi предлагает возможность управления подключенными компьютерами через веб-интерфейс. Иными словами, чтобы администрировать сеть, не обязательно даже использовать подключенный к ней компьютер. Для того чтобы эта возможность была доступна, необходимо при загрузке приложения выбрать управляемый режим и создать учетную запись. Кроме возможности удаленного доступа к параметрам сети, этот режим отличается возможностью построения сетей с разной топологией, а также тем, что предоставляет администратору возможность быстро разворачивать клиенты на компьютерах новых пользователей, отправляя им ссылки на загрузку клиента. Стоит отметить, что те, кто при установке Hamachi выбрали неуправляемый режим, могут в любой момент перейти на управляемый.

Как и в любом решении для работы с VPN, в Hamachi много внимания уделено вопросам безопасности. Конфиденциальность передаваемых по сети данных обеспечивается 256-разрядным шифрованием AES, а администратор может вводить самые разные способы защиты от несанкционированного доступа. В их числе сетевая проверка подлинности, защита паролем, блокировка по разным критериям.

Базовая версия Hamachi является бесплатной, хотя, конечно, существуют некоторые ограничения. Первое из них касается количества подключенных компьютеров — их может быть не более шестнадцати (в коммерческой версии — до 256). Второе ограничение касается топологии сетей. Платная версия дает возможность создавать сети типа «звезда», сети со шлюзом и ячеистые сети для коммерческого использования.

⇡#Wippien 2.5.1

  • Разработчик: Kresimir Petric
  • Размер дистрибутива: 2,1 Мбайт
  • Распространение: freeware
  • Русский интерфейс: есть

Практически все решения для организации виртуальной сети предлагаются бесплатно для некоммерческого использования или же имеют ограничения. Wippien является в этом смысле приятным исключением из правил. Программа полностью бесплатна и даже имеет открытый исходный код.

Построение VPN при помощи Wippien основывается на установке виртуального сетевого адаптера. А регистрация учетной записи может и не потребоваться, так как программа использует популярный протокол Jabber. Таким образом, в большинстве случаев можно не тратить время на регистрацию новой учетной записи, а использовать уже имеющуюся — ICQ, Google и тому подобные. Кроме этого, при помощи клиента Wippien можно обмениваться сообщениями и файлами с пользователями ICQ, Yahoo Messenger, Google Talk и других популярных сетей. Стоит обратить внимание на то, что Wippien поддерживает не только текстовый, но и голосовой чат.

Для каждого пользователя, который присутствует в списке контактов Wippien, отображается IP-адрес, присвоенный ему приложением, поэтому если нужно настроить сетевые службы и приложения, работающие через виртуальную сеть, это сделать очень просто.

Для тех пользователей, которым чат не нужен, разработчик Wippien предлагает мини-клиент miniVPN, который предназначен исключительно для подключения к виртуальной сети. Для его использования нужно сначала установить обычный клиент приложения, создать виртуальный сетевой адаптер и настроить свою учетную запись. После этого стандартный клиент закрывается и запускается miniVPN (одновременно они функционировать не могут).

Существует и еще одна возможность использования Wippien — посредством службы WippienService. Как и miniVPN, она требует предварительной установки и настройки основного клиента. Служба работает в фоновом режиме и обеспечивает постоянное соединение с сервером, а также прямое соединение с другим компьютером, даже в том случае, если не был осуществлен вход под учетной записью Windows. Подробную инструкцию по работе со службой WippienService можно найти на официальном сайте проекта.

К достоинствам Wippien также можно отнести многоязычную поддержку (русский интерфейс имеется) и наличие большого числа скинов для изменения внешнего вида клиента.

К недостаткам же относится недостаточно стабильная работа — к сожалению, чтобы увидеть окно с сообщением об ошибке, сопровождающее аварийное завершение работы программы, особых усилий прилагать не придется.

⇡#Comodo Unite 3.0.2.0

  • Разработчик: Comodo Group
  • Размер дистрибутива: 19,2 Мбайт
  • Распространение: freeware
  • Русский интерфейс: нет

Программа Comodo Unite, известная ранее как Comodo EasyVPN, по внешнему виду напоминает IM-клиент. Для работы с ней, как и в любой сети для обмена мгновенными сообщениями, нужно зарегистрироваться. После подтверждения учетной записи компьютеру будет присвоен IP-адрес и можно будет или создать новую виртуальную сеть, или присоединиться к существующей. Кроме этого, из меню программы можно открыть в браузере страницу управления виртуальными сетями. В браузере работает поиск доступных сетей по названию и по типу, а также поиск пользователей.

Внешнее сходство Comodo Unite с IM-клиентом не случайно. Программа одновременно служит и средством для управления виртуальными сетями, и инструментом для общения между подключенными к ним пользователями. Как и в привычном чате, тут можно изменять свой статус (занят, доступен, невидимый, отошел), составлять список контактов, разбивать их по группам, выполнять по ним поиск, задавать отображение в окне только тех пользователей, которые в данный момент находятся в онлайне. Во время общения можно использовать всевозможные средства: от смайликов и до инструментов для форматирования текста. Кроме этого, работает простой обмен файлами посредством drag-and-drop. В клиент Comodo Unite можно импортировать контакты из Live Messenger, Yahoo Messenger и ICQ.

Наряду с этим в чате Comodo Unite есть и некоторые необычные для IM-клиентов функции. Интересная возможность Nudge заставляет экран удаленного ПК дрожать в течение нескольких секунд. Этим можно привлечь внимание пользователя. Также реализована возможность предоставления удаленного доступа к отдельному приложению или рабочему столу на своем ПК. Доступ может быть открыт как частично, когда удаленный пользователь может лишь наблюдать за тем, что происходит на экране, так и полностью, когда он сможет управлять программой со своего ПК.

Если в процессе сеанса удаленного управления наблюдаются «тормоза», можно попытаться решить проблему при помощи настроек приложения. В окне настроек есть ползунки, определяющие, насколько качественной будет картинка на экране удаленного компьютера при передаче содержимого рабочего стола или отдельного приложения. По умолчанию отдается предпочтение качеству перед скоростью, но можно ускорить работу, пожертвовав качеством изображения.

⇡#Remobo 0.60.0

  • Разработчик: AWIT Systems Inc.
  • Размер дистрибутива: 7,1 Мбайт
  • Распространение: freeware (с некоторыми ограничениями)
  • Русский интерфейс: нет

Remobo — это сравнительно новое решение для построения виртуальных сетей. Несмотря на то, что приложение еще даже не «доросло» до первой версии, оно уже имеет клиенты для всех основных настольных операционных систем —Windows, Mac OS X и Linux.

Как и в случае с другими аналогичными решениями, для начала работы с Remobo необходимо пройти регистрацию. Процесс этот достаточно быстрый — даже адрес электронной почты подтверждать не нужно. После регистрации участнику сети будет присвоен IP-адрес — и запустится собственно клиент.

Читать еще:  Фотострана социально развлекательная сеть вход

Интерфейс приложения прост до невозможности, и в нем нет практически никаких настроек. Для связи с другим компьютером нужно добавить пользователя в список контактов, указав его имя. Нужно сказать, что Remobo дает возможность использовать одну и ту же учетную запись на нескольких компьютерах одновременно, а идентификация клиентов происходит по IP-адресу.

После того как компьютеры буду связаны между собой, можно увидеть, кто из пользователей находится в онлайне. Им можно отправить файл или текстовое сообщение, просмотреть список их файлов в общем доступе, а также организовать сеанс удаленного управления компьютером. Весь трафик шифруется с использованием алгоритма AES 256-бит.

Одна из отличительных особенностей Remobo — установка прямого соединения между компьютерами пользователей, минуя центральный сервер. Приложение всегда пытается установить прямое соединение, но если по каким-то причинам этого сделать не удается, тогда используется промежуточный сервер Remobo.

У Remobo есть коммерческая версия с приставкой Pro в названии. Функции, которые предлагаются на платной основе, достаточно интересны, хотя большинство пользователей вполне могут без них обойтись. Так, за деньги возможна работа Remobo в виде службы, которая стартует вместе с системой.

Также пользователи версии Pro могут управлять сетью из командной строки, где доступно гораздо больше возможностей, чем в графическом режиме работы программы. Кроме этого, предлагается возможность исполнения процесса в фоновом режиме (daemon process) без участия пользователя и подключение к неограниченному числу компьютеров (при этом не имеет значения, используют ли владельцы этих ПК бесплатную или платную редакцию Remobo).

⇡#Заключение

Кроме очевидных способов применения VPN, о которых хорошо известно системным администраторам и заядлым геймерам, есть еще и некоторые другие. Так, виртуальная сеть обеспечивает дополнительный уровень безопасности при обмене текстовыми сообщениями и файлами, дает возможность быстро получить удаленный доступ к своему второму компьютеру, даже если вы находитесь вдалеке от него, позволяет организовать для семьи или друзей среду, в рамках которой все могут свободно обмениваться файлами, приложениями и сообщениями.

Кроме этого, приложения для организации виртуальной сети могут в некоторой степени быть альтернативой программам для удаленного администрирования, которые часто используется для осуществления технической поддержки. Имея доступ к компьютеру, который подключен к VPN, администратор может удаленно выполнить на нем некоторые действия и найти решение возникшей проблемы.

Создание виртуальной локальной сети в VMware Workstation

На странице представлена подробная инструкция о том, как создать сетевые соединения между основной и виртуальными машинами в программе VMware Workstation.

Вы можете адаптировать содержимое:

Обычная настройка VMware без контекста основной статьи.
( выполните также пункт по настройке статических IP-адресов на следующей странице статьи).

Настройка VMware в контексте создания группы виртуальных прокси-серверов.

Для создания виртуальной локальной сети, под каждую локальную машину мы должны создать виртуальные адаптеры, которые все компьютеры будут считать реальными сетевыми картами.

Для перехода к настройкам в верхнем выпадающем меню программы VMware Workstation выбираем [Правка] – [Редактор виртуальной сети…]

Перед нами откроется редактор виртуальной сети. Если Вы впервые создаёте виртуальную сеть, для начала давайте удалим существующие по умолчанию сети чтобы не путаться, выделяя сеть в списке и нажимая кнопку «Удалить сеть».

Вспомните, как ранее к названиям папок с образами виртуальных машин мы добавили слово VMware c порядковым номером. Теперь нажимаем кнопку добавить сеть и добавляем сети, выбрав в списке VMware0 и так далее по нужному количеству виртуальных машин.

Наши сети появятся в списке сетей, теперь кликаем по каждой строке с названием сети и в области «Информация о VMNet» под списком сетей выбираем пункт «Только узел», следующий пункт «Подключить адаптер узла к этой сети» должен быть отмечен. Мы также обязательно снимаем галочку с пункта «Использовать локальную службу DHCP для распределения IP-адресов для виртуальных машин» так как назначим свои собственные статистические IP-адреса в следующей части статьи. Выполняем действие для каждой сети и нажимаем [Применить].

Далее смотрим, к какой сети какой «Адрес подсети» принадлежит, записываем эти цифры или запоминаем, как их здесь посмотреть, так как эти адреса понадобятся нам, чтобы назначить свой адрес в рамках этих подсетей вручную. Нажимаем [ОК]. На основной и виртуальной машине должны будут сразу появиться сетевые адаптеры наших виртуальных сетей.

Для включения сетевых адаптеров на каждой виртуальной машине VMware кликаем по названию виртуальной машины правой кнопкой мыши и в контекстном меню выбираем пункт «Параметры», затем переходим на вкладку «оборудование» окна «Параметры виртуальной машины». Если вы обнаружили в списке устройств виртуальной машины неиспользуемый вами сетевой адаптер, то лучше просто удаляем его, после чего выбираем вкладку «добавить».

Аналогичные действия по созданию новых виртуальных сетевых адаптеров делаем на других Virtual OS. Мы создаём для каждой виртуальной машины по адаптеру, чтобы иметь возможность мониторить трафик и стабильность трафика (парсинга) с каждой виртуальный машины отдельно и при этом в одном месте – во вкладке Сеть в Диспетчере задач основной операционной системы.

Теперь, когда наши адаптеры созданы, можно перейти к настройке статических IP-адресов для наших адаптеров, описанной на следующей странице статьи.

Виртуальная локальная сеть — VLAN (Virtual Local Area Network)

Виртуальная локальная сеть — VLAN (Virtual Local Area Network) — логическая группа узлов сети, трафик которой, в том числе и широковещательный, на канальном уровне полностью изолирован от других узлов сети. Это означает, что передача кадров между разными виртуальными сетями на основании MAC-адреса невозможна, независимо от типа адреса – уникального, группового или широковещательного.

На практике основная цель VLAN — ограничить хождение широковещательных пакетов, что особенно актуально в больших локальных сетях без промежуточных маршрутизаторов.

Широковещательные пакеты – это пакеты, передаваемые на все узлы сети. Они необходимы для работы многих сетевых протоколов, таких как ARP/RARP (широковещательные запросы MAC-адреса интерфейса по IP-адресу или IP-адреса интерфейса по MAC-адресу), BOOTP или DHCP, с их помощью рабочая станция оповещает другие компьютеры о своем появлении в сети, так же широковещательные пакеты могут возникать из-за некорректно работающего сетевого адаптера. Широковещательные пакеты могут привести к насыщению полосы пропускания, особенно в крупных сетях. Для того, чтобы этого не происходило важно ограничить область распространения широковещательного трафика (эта область называется широковещательным доменом) – организовать небольшие широковещательные домены или виртуальные локальные сети.

То-есть интерфейсы находящиеся в разных VLAN-ах, невидимы друг для друга на канальном уровне, даже если они подключены к одному коммутатору, и связь между этими устройствами возможна только на сетевом и более высоких уровнях. В то-же время группа интерфейсов на одном VLAN-е может взаимодействовать друг с другом на канальном уровне, хотя они физически подключены к разным коммутаторам.

Использование механизма виртуальных локальных сетей позволяет строить изолированные на канальном уровне локальные сети без привязки к их физической коммутации. Связь между этими сетями может осуществляться на сетевом уровне или не осуществляться вообще.

Использование VLAN-ов позволяет:

  • Обеспечить гибкость внедрения. VLAN являются эффективным способом группировки сетевых пользователей в виртуальные рабочие группы, несмотря на их физическое размещение в сети.
  • Обеспечить возможность контроля широковещательных сообщений, что увеличивает полосу пропускания, доступную для пользователя и уменьшить вред от широковещательных штормов. Каждый VLAN — это отдельный широковещательный домен.
  • Усилить безопасность сети, определив с помощью фильтров, настроенных на коммутаторе или маршрутизаторе, политику взаимодействия пользователей из разных виртуальных сетей. С VLAN политики можно применять к целым подсетям, а не к отдельному устройству. Кроме того, переход из одного VLAN в другой предполагает прохождение через устройство 3 уровня, на котором, как правило, применяются политики, разрешающие или запрещающие доступ из VLAN в VLAN.

Виртуальные локальные сети обычно строятся на базе управляемых коммутаторов, поддерживающих возможности VLAN. В принципе VLAN-ы могут быть настроены и на маршрутизаторах и интерфейсах хостов (сетевых платах), но обычно компьютер при отправке трафика в сеть даже не догадывается,в каком VLAN-е он размещён.

В коммутаторах (маршрутизаторах) могут использоваться три типа VLAN:
1. VLAN на базе портов
2. VLAN на базе MAC-адресов.
3. VLAN на основе меток в дополнительном поле кадра – стандарт IEEE 802.1q

Локалка через интернет

У меня на блоге уже была одна статья про организацию локальной сети через интернет при помощи Hamachi, но сегодня мы поговорим про еще один сервис, используемый в подобных целях, — OpenVPN.

Читать еще:  Социальная сеть работников народного образования

О чем вообще речь? О том, чтобы связать два или большее количество компьютеров, находящихся в совершенно разных местах, в единую локальную сеть. То есть физически то они будут далеко друг от друга, а виртуально — как будто в одной локальной сети. Что это дает?

  • Возможность делиться файлами по сети;
  • Возможность запустить какую-нибудь программу типа 1с, обращающуюся с одного компьютера на другой;
  • Возможность играть вместе в игры и многое другое.

Сама статья написана не мной, предложил мне ее один из постоянных участников нашего форума, NicromanseR, за что я ему очень благодарен. Сам я лишь немного подредактировал статью, чтобы она больше ложилась в стилистику этого блога.

Итак, как же сделать локалку через интернет с использованием OpenVPN? Задача не совсем простая и потребует некоторого количества манипуляций, но предлагаемая инструкция описывает их достаточно подробно.

Итак, скачиваем дистрибутив программы с официального сайта, распаковываем его и устанавливаем всё по умолчанию. Внимание! Нужно подтвердить установку драйвера сетевого адаптера TAP-Win32 Adapter V9, когда Windows это попросит.

Openvpn сервер

Один из компьютеров будет выступать в качестве Openvpn сервера, к нему будут подключаться другие компьютеры. Желательно, чтобы на нем был выделенный (постоянный) IP адрес. Начнем с его настройки.

  1. Запустите окно командной строки Пуск – Выполнить (или Win+R) – cmd.exe
  2. Cамая сложная часть настройки – генерация сертификатов и ключей. Здесь нужно быть предельно внимательным и точно следовать инструкциям. В окне консоли вводим без кавычек «cd C:Program FilesOpenVPNeasy-rsa» где C:Program FilesOpenVPN папка с установленной программой. Окно консоли не закрываем.
  3. Вводим опять без кавычек «init-config»
  4. Реедактируем файл vars.bat и устанавливаем следующие параметры: KEY_COUNTRY, KEY_PROVINCE, KEY_CITY, KEY_ORG, KEY_EMAIL. Эти параметры нельзя оставлять пустыми, остальные можно оставить по умолчанию. Пример:

set KEY_COUNTRY=RU
set KEY_PROVINCE=MO
set KEY_CITY=Moskow
set KEY_ORG=GazProm
set KEY_EMAIL=root@yandex.ru
set KEY_CN=changeme
set KEY_NAME=changeme
set KEY_OU=changeme
set PKCS11_MODULE_PATH=changeme
set PKCS11_PIN=1234

В стандартном блокноте вам не получится отредактировать данный файл, поэтому я воспользовался программкой «Notepad++».

  • Вводим по очереди команды «vars» «clean-all» и «build-ca». Последняя команда build-ca запросит значения параметров. Все параметры можно не менять, нажав Enter, кроме одного – Common Name. Здесь нужно ввести какое-нибудь имя, я ввёл название организации.
  • Теперь сгенерируем сертификат и ключ для сервера, выполнив команду: «build-key-server server» Также, как и в предыдущей команде, все параметры можно принять по умолчанию, но для Common Name введите слово «server». На последние два вопроса «Sign the certificate? [y/n]» and «1 out of 1 certificate requests certified, commit? [y/n]» ответьте утвердительно, нажав «y»
  • Теперь сгенерируем ключи для клиентов, выполнив команды:
    «build-key client1»
    «build-key client2»
    (это команды для двух филиалов, по аналогии можно сделать ключи для большего количества)
  • Как и в прошлый раз, принимаем все параметры, кроме Common Name, для которого указываем client1 и client2 соответственно. На последние вопросы опять ответьте утвердительно. Осталось выполнить еще одну команду: «build-dh»
  • Итак, в результате выполнения всех команд, мы получим в папке C:Program FilesOpenVPNeasy-rskeys ряд файлов ключей и сертификатов. Зайдите на сервере в папку C:Program FilesOpenVPNconfig и скопируйте туда содержимое папки .easy-rskeys. Скопируйте отдельно следующие файлы для клиентских машин: ca.crt, client1.crt, client1.key, client2.crt, client2.key в безопасное место, затем их нужно будет перенести на компьютеры подключаемых клиентов. Вот и все с сервером, можно запускать службу OpenVPN Service, можно сделать автоматический запуск службы при необходимости (через Пуск- Панель управления – Службы), но осталось сделать конфиг для сервера. Сразу хочу сделать замечание, что на Windows клиентах и серверах путь надо прописывать через ДВОЙНОЙ «\». И так, зайдём в папку C:Program FilesOpenVPNconfig и создадим там файл «server.ovpn», его содержание должно быть примерно следующее:

    port 5194
    proto udp
    dev tun
    topology subnet
    ca C:\Program Files\OpenVPN\config\keys\ca.crt
    cert C:\Program Files\OpenVPN\config\keys \server.crt
    key C:\Program Files\OpenVPN\config\keys \server.key # This file should be kept secret
    dh C:\Program Files\OpenVPN\config\keys \dh1024.pem
    server 10.218.77.0 255.255.255.0 # vpn subnet
    ifconfig-pool-persist ipp.txt # Тут будут храниться ip адреса клиентов
    push «route 192.168.78.0 255.255.255.0»
    keepalive 10 120
    comp-lzo
    persist-key
    persist-tun
    status openvpn-status.log
    log-append openvpn.log
    verb 4
    mute 20
    client-to-client
    client-config-dir C:\Program Files\OpenVPN\config\keys

    Конфиг готов, осталось создать ещё 1 файлик с именем «ipp.txt» и следующим содержанием:

    client1,10.218.77.10
    client2,10.218.77.11
    client3,10.218.77.12

    Всё, от сервера OpenVPN можно пока отстать. Переходим к настройке клиентской части для создания локалки через интернет.

    Openvpn клиент

    Чтобы настроить Openvpn клиент, Заходим в папку по адресу C:Program FilesOpenVPNconfig и создаём там файлик «client.ovpn» со следующим содержанием:

    remote my_server 5194
    client
    dev tun
    proto udp
    topology subnet
    persist-key
    persist-tun
    ca C:\Program Files\OpenVPN\config\keys \ca.crt
    cert C:\Program Files\OpenVPN\config\keys \client1.crt
    key C:\Program Files\OpenVPN\config\keys \client1.key
    comp-lzo
    verb 4
    mute 20

    Тут Вам надо поменять значение «my_server» на IP адрес вашего сервера. Скопируем файлы ca.crt, client1.crt, client1.key в папку C:Program FilesOpenVPNconfigkeys для пользователя «client1» и файлы ca.crt, client2.crt, client2.key для второго клиента (если у вас планируется больше двух). На этом настройка OpenVPN клиента закончена. Пробуем подключиться.

    Примечание (Сандер): Если вы все правильно настроите, то после запуска службы на сервере и сеансов на клиентах, ваши компьютеры окажутся в одной локальной сети. Технически это будет выглядеть как будто в сетевых настройках у вас появился новый сетевой адаптер, который функционирует как локалка через интернет. И еще. OpenVPN — это бесплатный продукт с открытым кодом, так что вы работаете не через черный ящик, не завязаны на чужие сервера, в общем, при помощи этой технологии вы получаете настоящую защиту от внешнего мира. Кроме того, OpenVPN прекрасно работает под Линуксом, так что вы даже сможете связать друг с другом в одну компьютеры с совершенно разными операционными системами.

    Если у вас будут вопросы, пишите, мы постараемся помочь.

    Виртуальные локальные сети

    Создание VLAN позволяет повысить производительность каждой из них и изолировать сети друг от друга.

    Kроме своего основного назначения — повышения пропускной способности соединений в сети — коммутатор позволяет локализовать потоки информации, а также контролировать эти потоки и управлять ими с помощью механизма пользовательских фильтров. Однако пользовательский фильтр способен воспрепятствовать передаче кадров лишь по конкретным адресам, тогда как широковещательный трафик он передает всем сегментам сети. Таков принцип действия реализованного в коммутаторе алгоритма работы моста, поэтому сети, созданные на основе мостов и коммутаторов, иногда называют плоскими — из-за отсутствия барьеров на пути широковещательного трафика.

    Появившаяся несколько лет тому назад, технология виртуальных локальных сетей (Virtual LAN, VLAN) позволяет преодолеть указанное ограничение. Виртуальной сетью называется группа узлов сети, трафик которой, в том числе и широковещательный, на канальном уровне полностью изолирован от других узлов (см. Рисунок 1). Это означает, что непосредственная передача кадров между разными виртуальными сетями невозможна, независимо от типа адреса — уникального, группового или широковещательного. В то же время внутри виртуальной сети кадры передаются в соответствии с технологией коммутации, т. е. только на тот порт, к которому приписан адрес назначения кадра.

    Виртуальные сети могут пересекаться, если один или несколько компьютеров включено в состав более чем одной виртуальной сети. На Рисунке 1 сервер электронной почты входит в состав виртуальных сетей 3 и 4, и поэтому его кадры передаются коммутаторами всем компьютерам, входящим в эти сети. Если же какой-то компьютер отнесен только к виртуальной сети 3, то его кадры до сети 4 доходить не будут, но он может взаимодействовать с компьютерами сети 4 через общий почтовый сервер. Данная схема не полностью изолирует виртуальные сети друг от друга — так, инициированный сервером электронной почты широковещательный шторм захлестнет и сеть 3, и сеть 4.

    Говорят, что виртуальная сеть образует широковещательный домен трафика (broadcast domain), по аналогии с доменом коллизий, который образуется повторителями сетей Ethernet.

    НАЗНАЧЕНИЕ VLAN

    Технология VLAN облегчает процесс создания изолированных сетей, связь между которыми осуществляется с помощью маршрутизаторов с поддержкой протокола сетевого уровня, например IP. Такое решение создает гораздо более мощные барьеры на пути ошибочного трафика из одной сети в другую. Сегодня считается, что любая крупная сеть должна включать маршрутизаторы, иначе потоки ошибочных кадров, в частности широковещательных, через прозрачные для них коммутаторы будут периодически «затапливать» ее целиком, приводя в неработоспособное состояние.

    Технология виртуальных сетей предоставляет гибкую основу для построения крупной сети, соединенной маршрутизаторами, так как коммутаторы позволяют создавать полностью изолированные сегменты программным путем, не прибегая к физической коммутации.

    До появления технологии VLAN для развертывания отдельной сети использовались либо физически изолированные отрезки коаксиального кабеля, либо не связанные между собой сегменты на базе повторителей и мостов. Затем сети объединялись посредством маршрутизаторов в единую составную сеть (см. Рисунок 2).

    Изменение состава сегментов (переход пользователя в другую сеть, дробление крупных участков) при таком подходе подразумевало физическую перекоммутацию разъемов на передних панелях повторителей или в кроссовых панелях, что не очень удобно в крупных сетях — это очень трудоемкая работа, а вероятность ошибки весьма высока. Поэтому для устранения необходимости физической перекоммутации узлов стали применять многосегментные концентраторы, дабы состав разделяемого сегмента можно было перепрограммировать без физической перекоммутации.

    Однако изменение состава сегментов с помощью концентраторов накладывает большие ограничения на структуру сети — количество сегментов такого повторителя обычно невелико, и выделить каждому узлу собственный, как это можно сделать с помощью коммутатора, нереально. Кроме того, при подобном подходе вся работа по передаче данных между сегментами ложится на маршрутизаторы, а коммутаторы со своей высокой производительностью остаются «не у дел». Таким образом сети на базе повторителей с конфигурационной коммутацией по-прежнему предполагают совместное использование среды передачи данных большим количеством узлов и, следовательно, обладают гораздо меньшей производительностью по сравнению с сетями на базе коммутаторов.

    При использовании в коммутаторах технологии виртуальных сетей одновременно решаются две задачи:

    • повышение производительности в каждой из виртуальных сетей, так как коммутатор передает кадры только узлу назначения;
    • изоляция сетей друг от друга для управления правами доступа пользователей и создания защитных барьеров на пути широковещательных штормов.

    Объединение виртуальных сетей в общую сеть выполняется на сетевом уровне, переход на который возможен с помощью отдельного маршрутизатора или программного обеспечения коммутатора. Последний в этом случае становится комбинированным устройством — так называемым коммутатором третьего уровня.

    Технология формирования и функционирования виртуальных сетей с помощью коммутаторов долгое время не стандартизировалась, хотя и была реализована в очень широком спектре моделей коммутаторов разных производителей. Ситуация изменилась после принятия в 1998 г. стандарта IEEE 802.1Q, где определяются базовые правила построения виртуальных локальных сетей независимо от того, какой протокол канального уровня поддерживается коммутатором.

    Ввиду долгого отсутствия стандарта на VLAN каждая крупная компания, выпускающая коммутаторы, разработала свою технологию виртуальных сетей, причем, как правило, несовместимую с технологиями других производителей. Поэтому, несмотря на появление стандарта, не так уж редко встречается ситуация, когда виртуальные сети, созданные на базе коммутаторов одного вендора, не распознаются и, соответственно, не поддерживаются коммутаторами другого.

    СОЗДАНИЕ VLAN НА ОСНОВЕ ОДНОГО КОММУТАТОРА

    При создании виртуальных сетей на основе одного коммутатора обычно используется механизм группирования в сети портов коммутатора (см. Рисунок 3). При этом каждый из них приписывается той или иной виртуальной сети. Кадр, поступивший от порта, принадлежащего, например, виртуальной сети 1, никогда не будет передан порту, который не входит в ее состав. Порт можно приписать нескольким виртуальным сетям, хотя на практике так поступают редко — пропадает эффект полной изоляции сетей.

    Группирование портов одного коммутатора — наиболее логичный способ образования VLAN, так как в данном случае виртуальных сетей не может быть больше, чем портов. Если к какому-то порту подключен повторитель, то узлы соответствующего сегмента не имеет смысла включать в разные виртуальные сети — все равно их трафик будет общим.

    Такой подход не требует от администратора большого объема ручной работы — достаточно каждый порт приписать к одной из нескольких заранее поименованных виртуальных сетей. Обычно эта операция выполняется с помощью специальной программы, прилагаемой к коммутатору. Администратор создает виртуальные сети путем перетаскивания мышью графических символов портов на графические символы сетей.

    Другой способ образования виртуальных сетей основан на группировании MAC-адресов. Каждый известный коммутатору MAC-адрес приписывается той или иной виртуальной сети. Если в сети имеется множество узлов, администратору придется выполнять немало операций вручную. Однако при построении виртуальных сетей на основе нескольких коммутаторов подобный способ более гибок, нежели группирование портов.

    СОЗДАНИЕ VLAN НА ОСНОВЕ НЕСКОЛЬКИХ КОММУТАТОРОВ

    На Рисунке 4 проиллюстрирована ситуация, возникающая при создании виртуальных сетей на основе нескольких коммутаторов посредством группирования портов. Если узлы какой-либо виртуальной сети подключены к разным коммутаторам, то для соединения коммутаторов каждой такой сети должна быть выделена отдельная пара портов. В противном случае информация о принадлежности кадра той или иной виртуальной сети при передаче из коммутатора в коммутатор будет утеряна. Таким образом, при методе группирования портов для соединения коммутаторов требуется столько портов, сколько виртуальных сетей они поддерживают, — в результате порты и кабели используются очень расточительно. Кроме того, для организации взаимодействия виртуальных сетей через маршрутизатор каждой сети необходим отдельный кабель и отдельный порт маршрутизатора, что также ведет к большим накладным расходам.

    Группирование MAC-адресов в виртуальную сеть на каждом коммутаторе избавляет от необходимости их соединения через несколько портов, поскольку в этом случае меткой виртуальной сети является MAC-адрес. Однако такой способ требует выполнения большого количества ручных операций по маркировке MAC-адресов вручную на каждом коммутаторе сети.

    Два описанные подхода основаны только на добавлении информации к адресным таблицам моста и не предусматривают включение в передаваемый кадр информации о принадлежности кадра к виртуальной сети. Остальные подходы используют имеющиеся или дополнительные поля кадра для записи информации о принадлежности кадра при его перемещениях между коммутаторами сети. Кроме того, нет необходимости запоминать на каждом коммутаторе, каким виртуальным сетям принадлежат MAC-адреса объединенной сети.

    Дополнительное поле с пометкой о номере виртуальной сети используется только тогда, когда кадр передается от коммутатора к коммутатору, а при передаче кадра конечному узлу оно обычно удаляется. При этом протокол взаимодействия «коммутатор-коммутатор» модифицируется, тогда как программное и аппаратное обеспечение конечных узлов остается неизменным. Примеров подобных фирменных протоколов много, но общий недостаток у них один — они не поддерживаются другими производителями. Компания Cisco предложила в качестве стандартной добавки к кадрам любых протоколов локальных сетей заголовок протокола 802.10, назначение которого — поддержка функций безопасности вычислительных сетей. Сама компания обращается к такому методу в тех случаях, когда коммутаторы объединяются между собой по протоколу FDDI. Однако эта инициатива не была поддержана другими ведущими производителями коммутаторов.

    Для хранения номера виртуальной сети в стандарте IEEE 802.1Q предусмотрен дополнительный заголовок в два байта, который используется совместно с протоколом 802.1p. Помимо трех бит для хранения значения приоритета кадра, как это описывается стандартом 802.1p, в этом заголовке 12 бит служат для хранения номера виртуальной сети, которой принадлежит кадр. Эта дополнительная информация называется тегом виртуальной сети (VLAN TAG) и позволяет коммутаторам разных производителей создавать до 4096 общих виртуальных сетей. Такой кадр называют «отмеченный» (tagged). Длина отмеченного кадра Ethernet увеличивается на 4 байт, так как помимо двух байтов собственно тега добавляются еще два байта. Структура отмеченного кадра Ethernet показана на Рисунке 5. При добавлении заголовка 802.1p/Q поле данных уменьшается на два байта.

    Появление стандарта 802.1Q позволило преодолеть различия в фирменных реализациях VLAN и добиться совместимости при построении виртуальных локальных сетей. Технику VLAN поддерживают производители как коммутаторов, так и сетевых адаптеров. В последнем случае сетевой адаптер может генерировать и принимать отмеченные кадры Ethernet, содержащие поле VLAN TAG. Если сетевой адаптер генерирует отмеченные кадры, то тем самым он определяет их принадлежность к той или иной виртуальной локальной сети, поэтому коммутатор должен обрабатывать их соответствующим образом, т. е. передавать или не передавать на выходной порт в зависимости от принадлежности порта. Драйвер сетевого адаптера получает номер своей (или своих) виртуальной локальной сети от администратора сети (путем конфигурирования вручную) либо от некоторого приложения, работающего на данном узле. Такое приложение способно функционировать централизованно на одном из серверов сети и управлять структурой всей сети.

    При поддержке VLAN сетевыми адаптерами можно обойтись без статического конфигурирования путем приписывания порта определенной виртуальной сети. Тем не менее метод статического конфигурирования VLAN остается популярным, так как позволяет создать структурированную сеть без привлечения программного обеспечения конечных узлов.

    Наталья Олифер — обозреватель «Журнала сетевых решений/LAN». С ней можно связаться по адресу: olifer@hotbox.ru.

    Поделитесь материалом с коллегами и друзьями

  • Ссылка на основную публикацию
    Adblock
    detector