Бабич А.В. Оргранизация информационных сетей: Учебное пособие

Подождите немного. Документ загружается.

устройстве третьего уровня OSI, каждый со списком узлов и (или)

сетей, которым разрешен доступ к сервису. Списки доступа могут

управлять как входящим, так и исходящим трафиком, в качестве

межсетевого экрана.

Вопросы и тестовые задания для контроля

1. Каков диапазон номеров для создания расширенного списка до-

ступа:

1-99;a)

100-199;b)

200-299;c)

300-399.d)

2. В конце каждого списка доступа присутствует правило:

запрещающее весь трафик;a)

разрешающее весь трафик;b)

проверяющее весь трафик.c)

3. Сколько можно применить различных списков доступа для двух

интерфейсов маршрутизатора:

1;a)

2;b)

3;c)

4.d)

4. При создании списка доступа ключевое слово «log» необходимо:

для правильного указания типа списка доступа;a)

записи списка доступа в конфигурационный файл;b)

маркировки списка доступа;c)

записи совпадений в лог-файл.d)

В каком направлении необходимо применить список доступа на 5.

VTY-линию, для фильтрации входящих telnet-соединений:

in;a)

out;b)

in и out.c)

глава 2. ПРоТоКол ДинаМиЧеСКого

коНфИгуРИРоВаНИя хоСтоВ (DHCP)

Детально рассмотрены протокол DHCP, основные принципы ра-

боты протокола, его ключевые функциональные блоки. Приведены

алгоритм вычисления работы протокола DHCP, основные команды

настройки и проверки правильности функционирования протокола

DHCP.

Ключевые слова: протокол динамического конфигурирования

хостов, аренда адреса.

§1. обзор протокола DHCP

Используя сервер DHCP (Dynamic Host Configuration Protocol —

Протокол динамического конфигурирования хостов) для автоматиче-

ского назначения настроек конфигурации, пользователи и админи-

страторы TCP/IP могут избежать ручного конфигурирования

IP-адресов, маски подсети, адресов сервера DNS, адресов сервера

WINS и других задач адресации.

Для решения проблемы назначения и администрирования IP-

адресов в крупных масштабах Microsoft совместно с другими сете-

выми специалистами разработала протокол DHCP. DHCP — это от-

крытый стандарт, определенный в документе RFC (requests for

comments) 2132.

DHCP позволяет разрешать некоторые из наиболее серьезных

проблем, характерных для TCP/IP (в его исходной версии). Он по-

зволяет обойтись без отдельного конфигурирования каждой рабочей

станции и делает практически невозможным назначение дублирован-

ных IP-адресов. Вы можете столкнуться с проблемами перекрытия

IP-адресации, когда один адрес назначается нескольким устройствам

в смешанной среде. Смешанная среда образуется в тех случаях, ког-

да некоторые компьютеры используют DHCP, а другие — назначен-

ные вручную IP-адреса. Даже если у вас есть компьютеры, которым

нужно назначать конкретный IP-адрес, назначайте его с помощью

DHCP для более эффективного ведения записей.

§2. Истоки DHCP

DHCP происходит от BOOTP, который является унаследованным

протоколом, разработанным для использования с бездисковыми ра-

бочими станциями. Сервер BOOTP сохранял IP-адреса и другие на-

стройки конфигурации для рабочих станций, образованные в соот-

ветствии с MAC-адресом, жестко закодированным в адаптере

сетевого интерфейса каждой рабочей станции. При загрузке каждого

компьютера сети его настройки TCP/IP доставлялись ему этим сер-

вером. Когда стек TCP/IP начинал действовать, BOOTP передавал

исполняемый файл загрузки операционной системы на рабочую стан-

цию с помощью протокола TFTP (Trivial File Transfer Protocol — UDP-

версия FTP); после этого рабочая станция готова к работе.

BOOTP позволил разрешить одну из основных проблем TCP/IP,

устранив необходимость ручного конфигурирования каждой рабочей

станции администратором или конечным пользователем. Но реально

он не снял административную проблему назначения IP-адресов, по-

скольку обеспечил только централизованное место для хранения на-

строек конфигурации. IP-настройки каждой отдельной рабочей стан-

ции по-прежнему должен был задавать администратор, сохраняя их

вручную на сервере. Если в конфигурации двух различных машин

случайно вводились дублированные IP-адреса, BOOTP не мог ниче-

го сделать для обнаружения, предотвращения или исправления та-

кой ситуации.

Выделение IP-адресов

Протокол DHCP был разработан как расширение по сравнению

с BOOTP. Он сохранил лучшие аспекты своего предшественника,

то есть сохранение и автоматическую доставку данных конфигура-

ции TCP/IP, и при этом был расширен для получения лучшего

решения.

DHCP может назначать IP-адреса своим клиентам, используя

три различных способа.

Ручное выделение. x Это фактически эквивалент службы BOOTP;

IP-адреса и другие настройки конфигурации вводятся по отдель-

ности администратором, сохраняются на сервере и доставляются

заранее определенным клиентам.

Автоматическое выделение. x Это подход, который мы называ-

ем использованием статического пула. При первой загрузке ра-

бочей станции клиента DHCP в сети сервер DHCP назначает ему

IP-адрес и другие настройки конфигурации из пула имеющихся

адресов, которые были сконфигурированы администратором для

использования этим сервером; они становятся постоянными на-

стройками для данной машины. Этот метод называется отобра-

жением резервирования.

Динамическое выделение. x Это тот же метод, что и автомати-

ческое выделение, за исключением того, что настройки TCP/IP

не назначаются как постоянные; они лишь предоставляются в

аренду на заданный период времени. Такая аренда должна пе-

риодически обновляться посредством (автоматического) согласо-

вания между клиентом DHCP и сервером.

Эти три метода можно использовать одновременно, обеспечивая

все возможности, которые потребуются сетевым администраторам.

Ручное выделение — необходимая часть, унаследованная от BOOTP,

так как часто определенным компьютерам в сети требуется опреде-

ленный постоянно назначенный IP-адрес, например, серверам World

Wide Web и FTP. Преимуществом использования DHCP для таких

компьютеров (вместо их ручного конфигурирования) является то, что

всю информацию по IP-адресам для всей сети можно хранить в

одном месте, и DHCP не позволит любому другому клиенту DHCP

использовать адреса, которые были назначены вручную.

В сети, которая изменяется редко, можно использовать DHCP для

автоматического выделения IP-адресов, создавая тем самым постоян-

ную сетевую конфигурацию. Если какой-либо компьютер перемеща-

ется из одной подсети в другую, ему автоматически назначается

новый IP-адрес для этой подсети; однако адрес, использовавшийся в

старой подсети, останется занятым, пока администратор не удалит

вручную эти назначения из таблицы DHCP.

Если компьютеру динамически выделяется IP-адрес, аренда это-

го адреса должна периодически обновляться, иначе истечет срок ее

действия, что вызовет возврат данного адреса в пул свободных IP-

адресов. Процесс обновления аренды выполняется автоматически и

незаметен для пользователя (кроме случаев сбоя этого процесса).

Если данный компьютер перемещается в другую подсеть, ему на-

значается подходящий IP-адрес для его новой подсети. Старый адрес

возвращается в пул, когда истекает срок его аренды.

Таким образом, динамическое выделение позволило решить про-

блему «блуждающего пользователя», работающего на мобильном

компьютере, с которого может выполняться вход в сеть из других

офисов, других зданий или даже других городов.

§3. Возможности DHCP

Ясно, что управляемое выделение IP-адресов является наиболее

важной функцией DHCP, но сам по себе IP-адрес является недоста-

точным для полного конфигурирования стека TCP/IP. DHCP может

снабжать клиента настройками для более чем 50 связанных с TCP/

IP параметров, многие из которых предназначены для использования

только с компьютерами, которые не являются клиентами Microsoft.

Для DHCP-клиента могут задаваться некоторые или все следую-

щие параметры конфигурации (это наиболее употребительные пара-

метры, передаваемые клиентам).

IP-адрес (IP address). 32-битный разбитый точками на 4 октета x

десятичный адрес, используемый для идентификации определен-

ного хоста в сети IP.

Маска подсети (Subnet mask). 32-битное разбитое точками на 4 x

октета десятичное значение, которое отделяет биты адреса сети в

IP-адресе от битов адреса хоста.

Маршрутизатор (Router). IP-адреса шлюза по умолчанию, кото- x

рый будет использоваться клиентом для доступа к удаленным

сетям (доступ к этим адресам выполняется в порядке их следо-

вания в списке).

Серверы DNS (DNS servers). IP-адреса серверов DNS, которые x

будут использоваться клиентом для разрешения (преобразова-

ния) имен хостов Интернет в IP-адреса (в порядке их следования

в списке).

Имя домена (Domain name). Имя домена данного клиента. x

Адреса WINS/N-NS (Windows Internet Naming System/NetBIOS x

Name Server — Система именования для Интернет в Windows/

Сервер имен NetBIOS). IP-адреса серверов WINS, которые будут

использоваться клиентом для служб регистрации и разрешения

имен NetBIOS.

Идентификатор области NetBIOS (NetBIOS scope ID). Символь- x

ная строка, используемая для идентификации группы машин

NetBIOS, которые могут взаимодействовать только друг с дру-

гом. (Избегайте использования такой группы: она вызывает почти

всегда слишком много проблем.)

Имеются также несколько других параметров, которые использу- x

ются реже, чем приведенные выше. Тем не менее, они могут быть

полезны клиентам в зависимости от их окружения.

§4. обмен информацией с DHCP-сервером

Когда клиент DHCP (обычно, компьютер) конфигурируется для

использования DHCP, чтобы получить свои настройки конфигура-

ции TCP/IP, он проходит через процесс согласования с сервером

DHCP, который заканчивается предоставлением аренды. Обмен ин-

формацией с этим сервером выполняется с помощью протокола,

определенного в документе DHCP Request for Comment, который

опубликован группой IETF (Internet Engineering Task Force).

Реальный протокол DHCP (Dynamic Host Configuration Protocol)

состоит из пакета одного типа, который используется для всех свя-

зей между клиентом и сервером DHCP. Передаваемый с помощью

протокола UDP (User Datagram Protocol) заголовок пакета содер-

жит поле DHCP Message Type (Тип сообщения DHCP), которое

указывает назначение данного пакета среди вариантов, показанных

в таблице 2.

Таблица 2

Сообщения DHCP (Dynamic Host Configuration Protocol)

Значение Тип сообщения Назначение

1 DHCPDISCOVER

Используется клиентами для поиска

серверов DHCP.

2 DHCPOFFER

Используется серверами, чтобы предлагать

IP-адреса клиентам.

3 DHCPREQUEST

Используется клиентами для запроса

конкретного IP-адреса.

4 DHCPDECLINE

Используется клиентами для отказа

от предложенного IP-адреса.

5 DHCPACK

Используется серверами для подтвержде-

ния согласия клиента с IP-адресом.

6 DHCPNACK

Используется серверами для отклонения

согласия клиента с IP-адресом.

7 DHCPRELEASE

Используется клиентами, чтобы прекратить

аренду IP-адреса.

Как описано в следующих разделах, между серверами и клиента-

ми DHCP передаются различные типы сообщений, используемые для

выделения IP-адресов и периодического обновления этих адресов.

До согласования аренды потенциальный клиент DHCP работает

со стеком TCP/IP без IP-адреса, что явно ограничивает его возмож-

ности обмена информацией. Однако он может отправить широкове-

щательное сообщение (broadcast) DHCPDISCOVER, чтобы попытать-

ся обнаружить какой-либо сервер DHCP. Широковещательные

сообщения обычно ограничены локальным сегментом сети, но по-

скольку протокол DHCP является открытым стандартом, он поддер-

живается многими маршрутизаторами на рынке, что позволяет им

распространять широковещательные сообщения DHCP через грани-

цы сети. Тем самым один сервер DHCP может поддерживать клиен-

тов в нескольких сетевых сегментах.

Пакет DHCPDISCOVER содержит MAC-адрес рабочей станции,

что позволяет серверам DHCP отвечать конкретно направленными, а

не широковещательными сообщениями. Все серверы DHCP, полу-

чившие это широковещательное сообщение, обязаны ответить данно-

му клиенту пакетом DHCPOFFER, содержащим IP-адрес и другие

настройки конфигурации на рассмотрение клиента. Если клиент по-

лучил несколько пакетов DHCPOFFER, он выбирает один из них и

отправляет широковещательное сообщение DHCPREQUEST, содер-

жащее IP-адрес и настройки, которые он намеревается принять. Это

сообщение используется, чтобы информировать выбранный сервер о

согласии клиента, а также уведомить остальные серверы, что их

предложения отклонены.

В течение этого периода IP-адрес, предложенный данным серве-

ром, еще не окончательно выделен клиенту. При определенных об-

стоятельствах за этот период такие же самые настройки могут быть

предложены и другому потенциальному клиенту. Однако, получив

сообщение DHCPREQUEST, сервер фиксирует предложенные на-

стройки за конкретным клиентом, записывая их в свою базу данных

и устанавливая клиента в состояние bound (привязка). Затем сервер

отправляет данному клиенту пакет DHCPACK, информируя его о

своем подтверждении. Если по какой-либо причине процесс аренды

адреса не может быть завершен, то сервер отправляет пакет

DHCPNACK, и клиент начинает весь процесс заново, отправляя но-

вый пакет DHCPDISCOVER.

Получив пакет DHCPACK, пользователь выполняет окончатель-

ную проверку предложенного IP-адреса, используя протокол Address

Resolution Protocol (Протокол разрешения адресов), чтобы выяснить,

нет ли дублирования этого адреса в сети. Если такой адрес найден,

то клиент отправляет серверу пакет DHCPDECLINE, отменяя всю

транзакцию. Если нет, то эти настройки используются для конфигу-

рирования стека TCP/IP, после чего можно начать вход в сеть.

После согласования аренды клиент DHCP имеет право использо-

вать выделенные ему настройки на период, который задан на серве-

ре. При каждом входе в сеть рабочая станция обновляет эту аренду,

отправляя широковещательное сообщение DHCPREQUEST, содер-

жащее cookie-файл с идентификацией аренды (комбинация из MAC-

адреса и IP-адреса, которая уникальным образом идентифицирует

аренду для сервера).

При обычных условиях сервер отвечает, как и раньше, сообще-

нием DHCPACK. Но если сервер обнаруживает, что данный клиент

находится не в той подсети, где он находился во время согласования

аренды, то сервер отправляет сообщение DHCPNACK, прекращая

текущую аренду и вынуждая начать согласование новой аренды.

Если клиент не получает никакого ответа после десяти попыток, то

он отправляет широковещательное сообщение DHCPDISCOVER, на-

деясь получить новую аренду.

Если прошло 50% времени от текущего периода аренды, то кли-

ент переходит из состояния bound (привязка) в состояние renewing

(обновление). После этого сообщения DHCPREQUEST отправляются

уже как одиночные (не широковещательные) сообщения на сервер,

предоставивший данную аренду. Если прошло 87,5% времени от

периода аренды, то клиент переходит в состояние rebinding (повторе-

ние процесса привязки), снова начиная отправлять широковещатель-

ные сообщения DHCPREQUEST, запрашивая ответ от любого серве-

ра DHCP. По истечении всего периода аренды без ответа от

какого-либо сервера DHCP данный клиент переходит в состояние

unbound (без привязки), после чего он проходит через процесс соб-

ственного автоматического конфигурирования для получения IP-

адреса и маски подсети.

§5. Переадресация широковещательных IP-пакетов

Одним из преимуществ маршрутизаторов является ограничение

распространения широковещательных IP- и МАС-пакетов в преде-

лах локального сегмента сети. Большинство широковещательных

рассылок используются для запроса информации о неизвестном

МАС-адресе для IP-адреса (ARP-запросы) в локальном сегменте сети,

и поэтому изоляция таких широковещательных пакетов в пределах

локального сегмента сети не приводит к неизбежным (в противном

случае) проблемам и в высшей степени выгодна для производитель-

ности сети. В некоторых ситуациях IP-станции используют широко-

вещательные UDP-посылки, чтобы найти службы, которые могут на-

ходиться не в локальном сегменте сети. Например, прикладные

программы, которые работают с NetBIOS через протокол IP, исполь-

зуют широковещательные UDP-рассылки для поиска необходимой

пользователю службы конкретного типа. Если эта служба размеще-

на не в том сегменте сети, в котором находится станция пользовате-

ля, то маршрутизатор заблокирует эту рассылку, делая службу не-

доступной. Другие службы, например, DHCP или протокол начальной

загрузки (Bootstrap Protocol —ВООТР), посылают широковещатель-

ные UDP-пакеты, чтобы помочь IP-станциям определить их IP-адреса

во время процесса начальной загрузки; эти широковещательные па-

кеты принимаются серверами, назначающими адреса. Если серверы

находятся вне локального сегмента сети, то IP-станция не сможет

получить назначенный сервером IP-адрес. Чтобы компенсировать

свойство маршрутизатора по изолированию широковещательных па-

кетов, ОС IOS имеет возможность переадресовывать широковеща-

тельные UDP-пакеты на конкретную хост-машину или в конкретную

подсеть. Эта функция, известная под названием переадресация ши-

роковещательных IP-пакетов, активируется путем использования

субкоманды конфигурирования интерфейса ОС IOS ip helper-

address. Общее назначение этой команды состоит в переадресации

DHCP-запросов адреса из локального сегмента сети в тот сегмент

сети, в котором размешается DHCP-сервер. По умолчанию, широко-

вещательные пакеты не проходят через маршрутизатор, и, таким об-

разом, широковещательные DHCP-пакеты не попадают на DHCP-

сервер. Чтобы разрешить переадресацию широковещательных пакетов

между сегментами, подключенными к маршрутизатору, использует-

ся команда ip helper-address. В качестве параметра команды ip

helper-address выступает IP-адрес хост-машины или широковеща-

тельный IP-адрес. Указываемый адрес представляет собой либо сете-

вой адрес конкретного DHCP-сервера, либо широковещательный

адрес сегмента локальной сети, в котором находится DHCP-сервер.

Например (рис. 1), команда ip helper-address 192.168.0.1, введенная

на интерфейсе маршрутизатора FastEthernet 0/1, будет передавать

все широковещательные DHCP-сообщения серверу с сетевым адре-

сом 192.168.0.1.

DHCP Sever

IP 192 .168 .0. 1

FastEther net 0 /1

192 .168 .1.252

FastEther net 0/0

192 .168 .0.252

Рис. 1. Пример работы переадресации широковещательных пакетов

§6. Настройка DHCP на маршрутизаторе

По умолчанию, на маршрутизаторах Cisco включена функцио-

нальная возможность DHCP-сервера. Если же она не активирована,

то это возможно сделать командой:

CLI Router(config) service dhcp

Отключить данную функциональную возможность:

CLI Router(config) no service dhcp

Настройка DHCP-пула на маршрутизаторе (аналогичным обра-

зом настраиваются пулы для каждой подсети) и указание шлюза по

умолчанию для клиентов:

CLI Router(config) ip dhcp pool имя_пула

Router(config-pool) network сеть сетевая_маска

Router(config-pool) domain-name доменное_имя

Router(config-pool) dns-server IP

Router(config-pool) default-router IP

Например:

Router(config) ip dhcp pool guest

Router(config-pool) network 192.168.0.0 255.255.255.0

Router(config-pool) domain-name test.local

Router(config-pool) dns-server 192.168.0.253

Router(config-pool) default-router 192.168.0.252