«Оптимизация распределения ресурсов в вычислительных сетях» (на примере предприятия Cи3Вижн)

На основе анализа существующих на современном этапе решений выбор был сделан в пользу следующих сертифицированных средств защиты:Для организации защищенной сети выбран продукт компанииInfotecsVipNetOffice.Для защиты информации от НСД SecretNet.Пакет программного обеспечения VipNetOFFICE содержит три компонента технологии ViPNet: ViPNetManager;ViPNet Координатор;ViPNet Клиент. ViPNetManagerпредназначен для создания и модификация защищенной сети и является облегченной версией программного обеспечения ViPNet Администратор. Данное программное обеспечение позволяет на простом интуитивном уровне, задавать и изменять структуру защищенной сети ViPNet™. В состав ViPNet Координатора и Клиента ViPNet входит драйвер, который обеспечивает надежное шифрование IP-трафика, и одновременно выполняет функции межсетевого и персонального сетевого экранов. В программном обеспечении решения ViPNetOFFICE в качестве криптографического ядра используется СКЗИ Домен-К. Для рассматриваемой АС предприятия VipNetOffice является наиболее оптимальным решением, так как с помощью него можно быстро, качественно и за небольшие деньги построить VPN и обеспечить защищенную передачу информации через Интернет.Причины выбора именно ViPNetOFFICE: необходимо обеспечить защищенный обмен информацией через Интернет между несколькими несвязанными АС предприятия; необходимо организовать удаленный защищенный доступ сотрудников предприятия или её руководства через Интернет к конфиденциальным ресурсам локальной сети и одновременно обеспечить защиту их мобильных компьютеров от возможных сетевых атак; необходимо обеспечить разграничение доступа внутри локальной сети, например, чтобы к некоторому серверу с конфиденциальной информацией имела доступ только определенная группа пользователей, а все остальные даже не догадывались о его существовании; необходимы простые и удобные инструменты для работы с электронно-цифровой подписью, поддерживающие стандартные средства обмена деловой корреспонденцией (MicrosoftOutlook, OutlookExpress); не требуется обеспечивать взаимодействие с защищенными сетями ViPNet других фирм; необходимо минимизировать финансовые затраты на приобретение и эксплуатацию средств VPN.Все это полностью обеспечивает VipNetOffice. Кроме этого данный выбор является целесообразным с экономической точки зрения.ViPNetManager устанавливается в Главном здании предприятия на выделенный сервер; ViPNet Координаторы устанавливаются в Главном здании и на серверах удаленных АС на входе в локальную сеть. Они используются в качестве межсетевых экранов и криптошлюзов, организуя защищенные туннели между удаленными локальными сетями; С целью организации защищенного удаленного доступа к ресурсам локальных сетей ViPNet Клиенты устанавливаются как на рабочие станции сотрудников внутри локальных сетей, так и на их мобильные компьютеры, выполняя в этом случае роль персонального сетевого экрана и шифратора IP-трафика.Для обеспечения необходимой работы серверов и рабочих станций с открытыми ресурсами Интернет или локальных сетей ViPNet Координаторы и ViPNet Клиенты могут фильтровать обычный, незашифрованный IP-трафик(рисунок 10).Схема взаимодействия компонентов VipNetSecretNet, являясь сертифицированным средством защиты информации от несанкционированного доступа, позволяет привести автоматизированные системы в соответствие с требованиями регулирующих документов:Федерального закона «О персональных данных».Федерального закона «О коммерческой тайне».Данный продукт позволяет реализовать следующие возможности:аутентификацию пользователей;разграничение доступа пользователей к информации и ресурсам автоматизированной системы;доверенную информационную среду;контролировать утечки и каналы распространения конфиденциальной информации;контролировать устройства компьютера и отчуждаемые носители информации на основе централизованной политики, исключающей утечку конфиденциальной информации;осуществлять централизованное управление системой защиты, оперативный мониторинг и аудит безопасности;масштабируемость системы защиты позволяет применятьсетевой вариант SecretNet в организации с большим количеством филиалов;осуществлять защиту терминальной инфраструктуры и поддержку технологий виртуализации рабочих столов (VDI).Архитектура SecretNet представлена следующими компонентами (сетевой режим):клиент;сервер безопасности;программа управления.Клиент SecretNet 7 может быть установлен на всех защищаемых компьютерах для:мониторинга соблюдения настроенной политики безопасности на рабочих станциях и серверах;обеспечения регистрации событий безопасности;передачи журналов на сервер безопасности;приема от сервера безопасности оперативных команд и их выполнение.В сетевой структуре системы SecretNet 7 сервер безопасности является основным элементом. Он, реализуя функции контроля и управления,обеспечивает взаимодействие объектов управления, а также осуществляет обработку, хранение и передачу информации.Система защиты информацииSecretNet 7 содержит программу оперативного управления, которая заменяет средства оперативного управления.Дополнительно лицензируемым компонентом является механизм защиты дисков.Кроме того, возможно дополнительное использование и лицензирование модуля блокировки НСД к жесткому диску, который осуществляет сокрытие данных на диске при попытке загрузки компьютера с внешних носителей. В таблицах 7-9 представлены системные требования SecretNetКомпонент «Клиент» (реализует защитные механизмы СЗИ): автономный режим, сетевой режимОперационная системаWindows 8/8.1;Windows 7 SP1;Windows Vista SP2;Windows XP Professional SP3/XP Professional x64 Edition SP2;Windows Server 2012/Server 2012 R2;Windows Server 2008 SP2/Server 2008 R2 SP1;Windows Server 2003 SP2/Server 2003 R2 SP2Процессор Оперативная памятьВ соответствии с требованиями ОС, установленной на ПКЖесткий диск (свободное пространство)150 МБДополнительное ПОInternetExplorer 6 или вышеКомпонент «Сервер безопасности»Операционная системаWindows Server 2012/2012 R2;Windows Server 2008 SP2/Server 2008 R2 SP1;Windows Server 2003 SP2/Server 2003 R2 SP2ПроцессорОперативная памятьВ соответствии с требованиями ОС, установленной на компьютерЖесткий диск (свободное пространство)150 ГБДополнительное ПОIIS (из состава соответствующей ОС).СУБД Oracle/MS SQL, компонент "Клиент" – для сервера безопасностиКомпонент «Программа управления» (устанавливается на рабочее место администратора)Операционная системаWindows 8/8.1;Windows 7 SP1;Windows Vista SP2;Windows XP Professional SP3/XP Professional x64 Edition SP2;;Windows Server 2012/Server 2012 R2;Windows Server 2008 SP2/Server 2008 R2 SP1;Windows Server 2003 SP2/Server 2003 R2 SP2.ПроцессорОперативная памятьВ соответствии с требованиями ОС, установленной на компьютерЖесткий диск (свободноепространство)2 ГБДополнительное ПОInternetExplorer 6 или выше;компонент "Клиент"На основании предложенных проектных решений схему связи между структурными блоками можно представить следующим образом (рисунок ). Схема связи между структурными блоками сети компании «Си3вижн»В здании офиса компании предусмотрено два помещения, оборудованных для установки серверного и сетевого оборудования. В серверных размещаются маршрутизаторы ядра сети, по одному в каждой. Коммутаторы, предназначенные для подключения серверов собираются в стек и подключаются к маршрутизатору ядра сети, размещенному в этой же серверной. В этом случае отсутствует необходимость резервирования и балансировки трафика между каналами. Для обеспечения отказоустойчивости целесообразно использовать один из протоколов резервирования первого перехода (FirstHopRedundancyProtocol):GLBP (Gateway Load Balancing Protocol);VRRP (Virtual Router Redundancy Protocol)HSRP (Hot Standby Router Protocol)Первый и третий протоколы совместимы только с оборудованием производства CiscoSystems и они имеют преимущества перед стандартной реализацией, которые выражаются в быстрой сходимости у HSRP и возможности балансировки трафика у GLBP. Коммутаторы офисного центра обработки данных, обеспечивая быструю коммутацию, агрегацию и передачу серверного трафика в направлении ядра сети, не выполняют никаких функций маршрутизации трафика.В соответствии с указанным описанием на рисунке 10 представлена схема подключения коммутаторов ЦОД компании.Схема подключения коммутаторов ЦОД к ядру сетиДля передачи электрических информационных сигналов от информационных розеток на рабочие места используется горизонтальная подсистема, которая реализуется на базе горизонтального (линейного) кросса в телекоммуникационном однорамных стойках, высотой 45U.В составе горизонтальной подсистемы4-парный неэкранированный медный кабель категории 6, LSHF. Оборудование кроссовых комнат соединяется с серверными помещениями двумя 8-волоконными одномодовыми кабелями. Между собой серверные помещения соединяются двумя 48-волоконными одномодовыми кабелям, которые прокладываются по 2-м независимым каналам. Это позволит обеспечить 100% резервирование информационных каналов связи.Планируется, что авторизация пользователей вычислительной сети будет производиться на базе стандарта 802.1x. Это решение позволит использовать единую схему авторизации пользователей как для проводной, так и беспроводной сети. Единственным отличием сети защищенной с использованием протокола 802.1x, с точки зрения пользователя, является необходимость ввода логина и пароля при первом подключении к сети.Кроме того, необходимо реализовать схему подключения к проводной сети. Все пользователи разделяются на группы, в зависимости от доступа к корпоративным ресурсам. Каждая группа имеет выделенныйVLAN, к которому применяются необходимые правила фильтрации трафика. Реализация указанного процесса имеет следующий порядок:при подключении пользовательской станции к проводной (беспроводной)сети, аутентификатор (свич (контроллер БЛВС)) отправляет запрос на предоставление доступа к сети для данного пользователя к RADIUS-серверу – NPAS;в случае положительно ответа дополнительно получает от RADIUS-сервера информацию о группе пользователя;пользовательский трафик помечается соответствующим группе VLAN-идентификатором;к трафикуприменяются необходимые правила фильтрации (рисунок 13). Схемареализации авторизации по протоколу IEEE 802.1xДля удобства пользователей настроенные правила фильтрации трафика идентичны как для проводных, так и для беспроводных клиентов.Обоснование эффективности проектных решений для оптимизации распределения вычислительных ресурсов в вычислительной сети организацииЗатраты по капитальным вложениям на реализацию проекта включают в себя затраты на приобретение основного оборудования, монтаж оборудования, транспортные расходы и проектирование, и рассчитывается по формуле:где: КО - капитальные вложения на приобретение основного оборудования;КМ. - расходы по монтажу оборудования;КТР - транспортные расходы;КПР - затраты на проектированиеОбщий перечень необходимого основного оборудования и его стоимость приведены в таблице 10.Расчет затрат на основное оборудованиеНаименованиеКол-во, штЦена за ед., руб.Итого затрат, руб.Cisco 7609-S Chassis Including Fans CISCO7609-S2465406930812Cisco RSP720-3CXL-GE216590003318000Cisco WS-X6708-10GE220208824041764Cisco WS-X6724-SFP841870334960Итого:8625536Разработка, проекта, монтаж оборудования, пусконаладка производятся штатными системными администраторами, поэтому по данным статьям расходовзатраты не учитываются. Транспортные расходы, составляют 3% от стоимости всего оборудования и рассчитываются по формуле:KТР=КО×0,03=8625536×0,03=258766,08 руб.Таким образом, K∑=8625536+258766,08=8884302,08Текущие эксплуатационные затраты разработанной вычислительной сети состоят из следующих составляющих:заработная плата системных администраторов;отчисления на социальное страхование;амортизация используемой техники;расходы на электроэнергию;расходные материалы;прочие прямые расходы;накладные расходы.Мониторинг и контроль беспроводной сети проводят 4 сотрудника: главный технический специалист и 3системных администратора.В таблице приведены текущие эксплуатационные затраты.Текущие эксплуатационные затратыНаименование статьи расходовСостав затратСумма затрат (руб)Основная заработная платаЗар. плата: Системный администраторГлавный технический специалистЗаработная плата за год 11·30000·3=99000011·45000=4950001485000Дополнительная заработная платаДоп. зар. плата сотрудников 1485000·0,1 = 82500148500Социальное страхованиеОтчисления от зар. платы1485000·0,3 = 247500445500Материальные расходыРасходы на электроэнергию ПАКЭТ1·СЭ·Д·СР·КТ1 = = 0,2·5,9·(8·365)·13445,6Амортизация Cisco 7609-SСТ1·КТ1·(1/СПИ1)·2 = = 465406·0,8·(1/5) ·2148929,92Амортизация CiscoRSP720-3CXL-GEСТ1·КТ1·(1/СПИ1)·2 = = 1659000·0,8·(1/5) ·2530880Амортизация серверов CiscoWS-X6708-10GEСТ1·КТ1·(1/СПИ1)·2 = = 2020882·0,8·(1/5) ·2646682,24Амортизация CiscoWS-X6724-SFPСТ1·КТ1·(1/СПИ1)·8 = = 41870·0,8·(1/5)·853593,6Итого:3462531,36Как свидетельствуют данные таблицы 6, эксплуатационные затраты для разрабатываемой сетисоставляют 3462531,36 руб.Таким образом, общие затраты на оптимизацию вычислительной сети компании «Си3вижн» составят:8625536+3462531,36 = 12088067, 36Основными статьями затрат являются затраты на оборудование.Оценка эффективности проектного решения предполагает проверку соответствия первоначальным требованиям. В случае с оптимизацией вычислительной сети необходимо, в первую очередь, обеспечить выполнение основных требований, предъявляемых к вычислительной сети компании: безопасность, устойчивость, масштабируемость, высокий уровень функциональности, удобство и простота в обслуживании. Кроме того, основной задачей оптимизации имеющейся сети является снижение (исключение) перегрузок сети запросами.Безопасность вычислительной сети компании «Си3вижн» обеспечивается за счет использования 802.1xавторизации пользователей для доступа к сети, шифрованием передаваемых данных, а также внедрением специализированного программного обеспечения.Устойчивость и высокая степень доступности реализуются через резервирование ключевых узлов системы и использование протоколов с высокой скоростью сходимости.Масштабируемость достигается расширяемостью логической структуры и физической системы.Высокий уровень функциональности определяется функционалом выбранного оборудования и ориентацией на стандартные протоколы и технологии.Удобство и простота в обслуживании обеспечивается соблюдением единообразия используемого оборудования, а также его конфигурацией.Для определения времени доставки запросов воспользуемся следующим алгоритмомТ = Тус + Тлс + ТсΣ + ТпΣ + ТзΣ(1)где: Тус – время на установление логического (виртуального) канала между отправителем и получателем;Тлс – максимальное время задержки передаваемого сообщения (кадра, пакета) в локальной сети связи;ТсΣ – суммарное время распространения сигнала, несущего информацию, в передающей среде между отправителем и получателем;ТпΣ – суммарное время передачи сообщения фиксированной длины от отправителя к получателю;ТзΣ – суммарное время задержки передаваемого сообщения в промежуточных узлах связи.Обмен информацией в интерактивном режиме может осуществляться после установления канала.Следовательно, Тус = 2(ТсΣ + ТзΣ) +Тпз + Тпс)где: Тпз – время на передачу пакета-запроса от отправителя к получателю (время на распространение сигнала не учитывается);Тпс - время на передачу пакета-сигнала подтверждения адресата к отправителю (временны компоненты не учитываются).В указанной формуле:где: Епз и Епс – длина в битах передаваемых соответственно пакета-запроса и пакета-сигнала подтверждения;Vni – пропускная способность i -го участка линии связи между отправителем и получателем (бит/с);К – количество участков линии связи, отличающихся по пропускной способности.При определении величины Тлс необходимо учитывать топологию вычислительной сети с используемыми в ней методами доступа к передающей среде. Тлс,з = (Тс + Тк + Тзс) (Nрс - 1)где: Тс – время распространения сигнала в передающей среде от одной рабочей станции к другой;Тк – время на передачу кадра от одной РС к другой;Тзс – время задержки кадра в одном узле (рабочей станции) сети;Nрс – число рабочих станций в сети.Так как; тогде: Sрс – расстояние между двумя РС с соседними сетевыми номерами;Vс – скорость распространения сигнала в передающей среде рассматриваемой ЛКС;Eк – длина кадра в битах;Vк – скорость передачи данных в линиях связи между РС сети.Продолжая расшифровку величин в формуле (1), отметим, чтогде Tci - время распространения сигнала в передающей среде i-го участка линии связи между отправителем и получателем;Si - длина i-го участка линии связи;Vci; - скорость распространения сигнала в передающей среде на i- ом участке линии связи;Тn∑ - суммарное время передачи сообщения заданной длины от отправителя к получателю без учета каких бы то ни было задержек в промежуточных узлах;Ес - длина передаваемого сообщения в битах;Tзi - время задержки передаваемого сообщения в i-ом промежуточном узле связи.Данные, полученные в результате расчетов, позволяют сделать вывод о снижении показателя времени доставки запросов, что свидетельствует о положительном влиянии оптимизации структуры сети.ЗаключениеНа современном этапе развития сетевых технологий и уровня информатизации бизнес-процессов одним из ключевых моментов, эффективности деятельности компаний является стабильная сетевая инфраструктура, которая способна обеспечить самые высокие требования процессов обработки и передачи информации. При этом предпочтение отдается вычислительным сетям, функционирующим в проводном и беспроводном формате.Вычислительные сети предприятий и организаций включают в себя множество различных элементов, в том числе сетевоеоборудование (коммутаторы уровней доступа и распределения, маршрутизаторы, аппаратные сетевые экраны) и серверы (веб, почтовые, баз данных, документооборота, биллинговых систем). Для уменьшения влияния отказов на работоспособность вычислительной сети и контроля за ее состоянием создаются системы мониторинга. Их можно разделить на активные и пассивные. Системы первой группы самостоятельно инициируют запросы к объектам мониторинга и получают ответы, а работа систем второй группы основана на анализе существующих в сети потоков трафика.Активные системы мониторинга корпоративных сетей условно можно разделить на централизованные и распределенные. В первых существует единственный узел, который занимается сбором и накоплением данных о сети. Системы второго типа отличаются наличием множества узлов, предназначенных для мониторинга сети, причем организация их может быть различной. Узлы системы могут только опрашивать объекты мониторинга или выступать также в роли распределенного хранилища данных. Распределенные системы строятся для уменьшения нагрузки на узлы, на которых расположена система мониторинга. Как правило, нагрузка в таких системах балансируется статически.С учетом особенностей деятельности компании «Си3вижн» в процессе анализа были выявлены существенные недостатки в работе вычислительной сети, к основным из которых относится ее перегрузка запросами, что проявляется, в первую очередь, в задержке передачи запросов и отражается на производительности труда персонала. С учетом того, что компания занимается предоставлением услуг, связанных с областью установления и развития эффективных отношений с клиентами и потребителями на основе систематического использования информации для привлечения и удержания клиентов путем постоянного диалога, данная проблема приобретает серьезные масштабы и оказывает влияние на репутацию компании.Указанные факты определили необходимость модернизации вычислительной сети компании с применением эффективных технических и программных решений, эффективность которых и соответствие предъявляемым требованиям и нуждам компании были доказаны в процессе внедрения. Для достижения основной цели работы: на основе анализа проблем перегрузки вычислительной сети организации, разработать проектные решения для оптимизации распределения ресурсов в процессе обработке и передачи данных, в ходе выполнения проекта были изучены основные классификационные признаки и характеристики вычислительных сетей, их вычислительные ресурсы. На основе характеристики вычислительной сети компании «Си3вижн» и особенностей ее функционирования выполнена оценка оптимальности использования ресурсов в ней.В процессе анализа, определившего необходимость модернизации вычислительной сети, изучены основные методы балансировки нагрузки в ней, определены логические схемы структурных блоков сетевой инфраструктуры и наиболее рациональные способы подключения каждого из блоков к ядру сети. Выбрана конфигурация и расположение точек доступа беспроводной сети. Разработан механизм авторизации пользователей проводной и беспроводной сети. Во избежание потери, искажения и несанкционированного доступа к информации она должна быть защищена. Основными методами защиты компьютерной информации являются:ограничение доступа к защищаемой информации;разграничение доступа к защищаемой информации;разделение доступа (привилегий) к защищаемой информации; идентификация и аутентификация субъекта доступа (пользователей, программ, технических средств, носителей и документов);криптографическое преобразование информации: протоколирование и аудит (контроль и учет доступа);защита информации в аварийных ситуациях;контроль доступа к внутреннему монтажу аппаратуры, линиям связи и коммуникации;защита от побочных электромагнитных излучений и наводок (ПЭМИН).Таким образом, согласно указанным требованиям при разработке направлений оптимизации распределения ресурсов в вычислительной сети организации были предложены комплексные меры, направленные на реализацию требований безопасности. На основе анализа основных возможностей и требований к системе выбор был сделан в пользу сертифицированных средств защиты:Для организации защищенной сети выбран продукт компанииInfotecsVipNetOffice.Для защиты информации от НСД SecretNet.Таким образом, в результате исследования сформированы проектные решения, которые позволят реализовать основные требования к организации вычислительной сети с целью оптимизации распределения ресурсов. Разработанная система готова к внедрению и полностью удовлетворяет поставленным требованиям.Список литературыФедеральный закон РФ от 27.07.2006 № 152 – ФЗ «О персональных данных» (ред. от 1.09.2015 г) // СПС «КонсультанПлюс».Федеральный закон РФ от 29 июля 2004 г. №98-ФЗ «О коммерческой тайне» (ред. 12.03.2014 г.) // СПС «КонсультанПлюс».Богатырев В.А., Богатрыв А.В., Голубев И.Ю., Богатырев С.В. Оптимизация распределения запросов между кластерами отказоустойчивой вычислительной системы // Научно-технический вестник ИТМО. – 2013. – № 3. – С. 77–82Бройдо В., Ильина О. Архитектура ЭВМ и систем: Учебник для ВУЗов. - СПб.: Питер, 2011.- 520с.Гвоздева В. А., Лаврентьева И. Ю.  Основы построения автоматизированных информационных систем: учебник. — M.: ИД «ФОРУМ»: ИНФРА-М, 2012. — 320 с.: ил. — (Профессиональное образование).Зиангирова Л.Ф. Вычислительные системы, сети и телекоммуникации [Электронный ресурс]: учебно-методическое пособие/ Зиангирова Л.Ф.— Электрон.текстовые данные.— Саратов: Вузовское образование, 2015.Келим Ю.М. Вычислительная техника: Учеб. Пособие для студ. сред. проф. Образования. -М.: Издательский центр «Академия», 2012.-384с.Лабскер Л.Г., Бабешко Л.О. Особенности работы с MicrosoftAccess – М.: ЮНИТИ, - 2012. – 480с.МаксимовН. В., И. И. Попов Компьютерные сети Издательства: Форум, Инфра-М, 2012 г. Твердый переплет, 448 с.Оливер Ибе Компьютерные сети и службы удаленного доступа [Электронный ресурс]: учебное пособие/ Оливер Ибе— Электрон. текстовые данные.— М.: ДМК Пресс, 2010.Олифер, В.Г. Компьютерные сети. Принципы, технологии, про-токолы: учебник для вузов / В.Г. Олифер, Н.А. Олифер. – 4-е изд. – СПб.: Питер, 2010..Основы построения беспроводных локальных сетей стандарта 802.11. Практическое руководство по изучению, разработке и использованию беспроводных ЛВС стандарта 802.11» / ПеджманРошан, Джонатан Лиэри. – М.: CiscoPress Перевод с английского Издательский дом «Вильямс»,2011Пятибратов А.П. Вычислительные системы, сети и телекоммуникации: Учебник.- М.: Финансы и статистика, 2006.-512 с.:ил«Современные технологии беспроводной связи» / Шахнович И. – М.: Техносфера, 2013Таненбаум Э. Архитектура компьютера. – СПб.: Питер, 2010.Технологии разработки и создания компьютерных сетей на базе аппаратуры D-LINK [Электронный ресурс]: учебное пособие для вузов/ В.В. Баринов [и др.].— Электрон.текстовые данные.— М.: Горячая линия - Телеком, 2013.— 216 c.— Режим доступа: http://www.iprbookshop.ru/37207.Щербо В.К. Стандарты вычислительных сетей. – М.: Кудиц – Образ, 2011Bogatyrеv V.A., Golubev I.Y., Bogatyrеv S.V. Optimization and the Process of Task Distribution between Computer System Clusters // Automatic Control and Computer Sciences. – 2012. – V. 46. – № 3. – P. 103– 111WLAN: практическое руководство для администраторов и профессиональных пользователей / Томас Мауфер. – М.: КУДИЦ-Образ, 2012.