Lajber Zoltán lajbi@zeus.gau.hu Szent István Egyetem, Gödöllői Területi Iroda Informatikai és Kommunikációtechnikai Központ Bevezetés Tervezési szempontok: teljesítmény, karbantarthatóság, biztonság. egy oktatótermes hálózat: kevesebb, mint 24 végpont több oktatótermes hálózat: 50-100 végpont közepes hálózat gerince: több, mint 1000 végpont 1
Tervezés teljesítményre Várható forgalom becslése A munkaállomásonkénti sávszélesség-igény erősen függ a felhasználás jellegétől: Felhasználó I/O / mp várható sávszélesség-igény Átlagos irodai 1.2 10 kbyte/sec Erős irodai, terminal szerver 2.5 20 kbyte/sec Fejlesztő 4-100 50-4000 kbyte/sec 2
A szűk keresztmetszetek meghatározása - hálózat Az elérhető sávszélesség különböző hálózatoknál: Megnevezés 10M ethernet, HUB vagy coax 10M ethernet, switchelt 100M fastethernet 1G gigabit ethernet fastethernet switch backplane Várható max. sávszélesség 300-600 kbyte/sec 1100 kbyte/sec 6000-15000 kbyte/sec 0.4-0.90000 Gbyte/sec 0.2-1.2 Gbyte/sec 3
Szűk keresztmetszetek meghatározása - szerverek Megnevezés Intel Pentium 133 PPro 200 Xeon 800 I 33MHz/32bit I 66MHz/64bit HDD IDE 5400 rpm HDD IDE 7200 rpm HDD SCSI 7200 rpm HDD SCSI U160,10k rpm Várható max. sávszélesség 5600 kbyte/sec 11000 kbyte/sec 40000 kbyte/sec 8056 kbyte/sec 32226 kbyte/sec 8400 kbyte/sec 11250 kbyte/sec 13750 kbyte/sec 25000 kbyte/sec 4
Eszközök kiválasztása Egy géptermes hálózat A végpontok száma 20, így: Elem Átlagos irodai Erős irodai Fejlesztő Forgalom 200 kbyte/sec 400 kbyte/sec 16000 kbyte/sec Hálózat ethernet switchelt 10 switchelt 10/100 Szerver P133/I33 P133/I33 PPro/I33 Diszkek IDE 5400 rpm IDE 5400 rpm SCSI U160 10k rpm A szervernek esetleg több hálózati interface a terhelés elosztáshoz. 5
A végpontok száma 60, így: Több géptermes hálózat Elem Átlagos irodai Erős irodai Fejlesztő Forgalom 600 kbyte/sec 1200 kbyte/sec 48000 kbyte/sec Hálózat switchelt 10 switchelt 100 switchelt 100 + gigabit Szerver P133/I33 P133/I33 dual Xeon800/I66 Diszkek IDE 5400 rpm IDE 5400 rpm SCSI U160 RAID Korszerű szerverek teljesítménye a diszkek és a hálózat által korlátozott. A nagy forgalom miatt a szerveren szükséges a gigabites interface használata, vagy két szerver, két-két fastethernet interface-el. 6
Kábelezés kiválasztása Megnevezés Sebesség Max. távolság koaxiális kábel 10Mbps 188m UTP Cat5 100Mbps 100m Multimódusú FX 100Mbps 412m/2000m Multimódusú GX 1000Mbps 550m 7
Tervezés hálózatbiztonságra Tervezési alapelvek: lehető legegyszerűbb elrendezés rétegezett védelem különböző biztonsági igényű hálózatok szétválasztása megbizhatatlan hálózatok leválasztása megvalósítás és üzemeltetés költségeinek figyelembevétele 8
Biztonságpolitika Mit ne tartalmazon: technikai részleteket mit, miért és nem hogyan nem számítógépes problémákat (pornó, játék) ne probáljon megoldani Mit tartalmazzon: fogalom magyarázat felhasználói, üzemeltetői és vezetői felelőségek betartatási jogok átvizsgálások, módosítások, kivételek lehetősége részletek: pl. kinek lehet accountja, átruházás, megszüntetés 9
Alapfogalmak külső szerver: olyan gép, amelyik kifelé szolgáltatást nyújt (screened host) külső alhálózat: olyan alhálózat, amelyik kifelé szolgáltatást nyújt (screened subnet, DMZ) külső router: nagyvilág és külső háló között belső router: külső és belső háló között csomagszűrő: router, amelyik ip csomagokat szűr a bennük lévő info alapján proxy: kétlábú gép, amelyik a kliensek nevében indít új TCP kapcsolatokat. nem biztonságos protokoll: ahol az azonosítási informació nyilt szövegben továbbítódik. 10
Tipikus tűzfal elrendezések Egydobozos router proxy csomagszűrő: magas host biztonság, kevés protokoll, nagy teljesítmény proxy: kis forgalom, nem kritikus internet 11
Külső szerveres router szerver router: csomagszürés, port forward belső proxyra alkalmas: kevés bejövő kapcsolat (SMTP, de nem HTTP), jól karbantartott hálózaton 12
Külső alhalózatos access router szerver choke router külső szerver: bejövő kapcsolatok fogadása, kimenő forgalom proxy belső router: belső háló védelme kintről és DMZ-ből, csomagszűrés, DMZ/belső között forgalom minimalizálás: DNS, SMTP külső router: hasonló csomagszűrés, mint a belső routeren alkalmas: szinte mindenhová, több külső szerverrel jól skálázható 13
Egyszerűsítési lehetőségek több külsőszerver külső és belső router összevonása: ha a router tud in és out filtert külső router és külső szerver összevonása belső router és külső szerver összevonasa több belső router több belső háló, de 1 router több belső háló 1 + több router (gerincháló) több külső router külső alháló és külső szerver a belső hálóban OK OK OK veszélyes veszélyes OK OK OK veszélyes 14
Kiválasztott hálózat router kulso szerver lanswitch belso szerver switch switch switch 15
Közepes hálózat gerince Elosztó 2926GS 24 TX, 2 SX Mag 2948GL3 48 TX, 2 SX Határ 7206 GAU 2 TX, 1 SX, 4 Ser HBONE reg. kp. 7206 HBONE 2 TX, 1 SX, 2 Ser, 1 POS 2924XL 24 TX, 2 FX, 1 SX TX/FX konverter 2924XL 24 TX, 1 SX MTK GTI MTK Múzeum KTI MSzI Vadbiológia Kollégium GTI Könyvtár Központi szerverek Management PIX 525 2 TX DMZ 2924XL 24 TX router 4 TX MBK HBONE backup PhD épület E épület Hozzáférés Pénzügy Kollégium Fast Ethernet multimódusú optika monomódusú optika Gigabit Ethernet 16
Összefoglalás hálózat teljesítménye nehezen jósolható meg szűk keresztmetszetek keresése, bővítése valószínű szűk keresztmetszetek: coax kábel, HUB, -s szerver busz és disk teljesítménye. biztonsági alapelvek kivétel nélküli betartása 802.1Q VLAN a belső terhelés elosztáshoz 17