IP

Vysoká škola ekonomická v Praze Fakulta informatiky a statistiky Vyšší odborná škola informačních služeb v Praze

Adam Pařízek

Softwarové nástroje pro směrování v sítích TCP/IP

Bakalářská práce

2011

Prohlášení

Prohlašuji, že jsem bakalářskou práci na téma "Náhrada nestabilního hardwarového routeru za softwarový router v konkrétní firmě" zpracoval samostatně a použil pouze zdrojů, které cituji a uvádím v seznamu použité literatury.

V Praze dne 13. prosince 2011 Adam Pařízek

Poděkování Na tomto místě bych rád poděkoval vedoucímu své bakalářské práce Ing. Bc. Davidu Klimánkovi PhD. za jeho ochotu, věnovaný čas a cenné rady při psaní mé bakalářské práce.

Slovník pojmů

Slovník pojmů

MAC adresa

MAC adresa (z anglického „Media Access

Control“)

je

jedinečný

identifikátor síťového zařízení, který přiděluje výrobce. Mac adresa je vždy celosvětově unikátní. HDLC – protokol

HDLC je komunikační protokol spojové vrstvy, nadstavba protokolu SDLC, která detekuje chyby a řídí tok dat.

Datagram

Datagram je označení pro základní jednotku,

která

je

přepravována

v počítačové síti s přepojováním paketů, kde není

zajištěno

jejich

doručení,

zachování pořadí ani eliminace duplicity. Datagram obsahuje hlavičku, která nese služební informace (cíl, odesílatel a případně další řídící informace) a tělo, které obsahuje vlastní přenášená data. Díky tomu není přeprava datagramů v takové síti závislá na předchozím stavu sítě nebo vlastním pohybu datagramu, což vede k zjednodušení řízení sítě i vlastního doručování dat. Ethernet

Ethernet je v informatice souhrnný název pro v současné době nejrozšířenější

Slovník pojmů

technologie pro budování počítačových sítí typu LAN. Byte

Byte

je

jednotka

množství

dat

v

informatice, zpravidla označuje osm bitů, tzn. osmiciferné binární číslo. Toto množství může reprezentovat například celé číslo od 0 do 255. Pro Byte se často také používá označení Oktet. UTP

Kroucená dvoulinka nebo také kroucený pár je druh kabelu, který je používán v telekomunikacích a počítačových sítích. Kroucená

dvojlinka

je

tvořena

páry vodičů, které jsou po své délce pravidelným způsobem

zkrouceny a

následně jsou do sebe zakrouceny i samy výsledné páry Metrika

Metrika sítě se používá pro nalezení optimální trasy z jedné sítě do druhé.

Virus

Jako virus se

v

oblasti počítačové bezpečnosti označuje program, který se dokáže sám šířit bez vědomí uživatele. Pro množení se

vkládá

do

jiných

spustitelných

souborů či dokumentů. Spyware

Spyware je program, využívá internetu k

který odesílání

dat

z počítače bez vědomí jeho uživatele. Někteří autoři spyware se hájí, že jejich program odesílá pouze data typu přehled navštívených stránek či nainstalovaných programů za účelem zjištění potřeb nebo zájmů uživatele a tyto informace využít

Slovník pojmů

pro

cílenou reklamu.

spyware

Existují

odesílající

hesla

ale

i

čísla

a

kreditních karet nebo spyware fungující jako zadní vrátka PING

Program ping (anglicky Packet InterNet Groper) umožňuje prověřit funkčnost spojení mezi dvěma síťovými rozhraními (počítače, síťová zařízení) v počítačové síti,

která

používá

rodinu

protokolů TCP/IP. Ping při své činnosti periodicky očekává

odesílá IP odezvu

datagramy a

protistrany.

Při

úspěšném obdržení odpovědi vypíše délku

zpoždění

(latence)

a

na

závěr statistický souhrn. ISP

Internet

service

provider (ISP), česky

poskytovatel internetového připojení, je firma nebo organizace zprostředkující přístup

do Internetu,

tj.

poskytující telekomunikační služby Paket

(packet) v překladu znamená balíček a jedná se o formátovaný blok dat, který se přenáší v počítačové síti. O paketech se mluví v souvislosti se síťovou vrstvou. Paket obsahuje IP adresu, další atributy a data. Zabalí se do rámce a následně putuje sítí.

Rámec

(frame) je to, co skutečně putuje v síti. Rámce vznikají až na fyzického vrstvě síťového rozhranní.. Rámců existuje více typů, nejpoužívanější je Ethernet II, který umí přepravovat TCP/IP i IPX/SPX.

Slovník pojmů

NIC

Síťová Controller)

karta (Network slouží

ke

Interface vzájemné

komunikaci počítačů v počítačové síti. Ve stolních počítačích je karta obvykle integrovaná na základní desku, případně přidána samostatně a zasunuta obvykle do portu PCI. V noteboocích je karta integrovaná na základní desku.

Obsah

Obsah

1

Úvod................................................................................................................ 1

2

Cíl a Metodika ................................................................................................ 2

3

Síťové modely OSI a TCP/IP ......................................................................... 3 3.1

OSI model (Open Systems Interconnection Basic Reference Model). ... 3

3.2

TCP/IP (Transmission Control Protocol/ Internet Protocol) ................... 4

3.2.1 Aplikační vrstva ................................................................................... 4 3.2.2 Transportní vrstva TCP/UDP............................................................... 5 3.2.3 Síťová vrstva (Network) ...................................................................... 6 3.2.4 Vrstva síťového rozhraní (Network Interface Layer) .......................... 7 4

Možnosti řešení nedostatku IP adres .............................................................. 8 4.1

IP adresa .................................................................................................. 8

4.1.1 Síť (Network) ....................................................................................... 9 4.1.2 Podsíť (Subnet) .................................................................................. 11

5

4.2

Adresování (Subneting) ......................................................................... 13

4.3

NAT (Network Address Translation) .................................................... 14

4.4

IPv6 ....................................................................................................... 16

Směrování (routing) ...................................................................................... 19 5.1

Statické routování .................................................................................. 21

5.2

Dynamické směrování (routování) ........................................................ 21

5.2.1 Distance-vector routing protocol ....................................................... 21

Obsah

5.2.2 Link-state routing protocol ................................................................ 22 5.2.3 Autonomní systémy - EGP (pc-site.owebu.cz).................................. 23 6

HW router ..................................................................................................... 25 6.1

Konektory .............................................................................................. 25

6.1.1 RJ11 ................................................................................................... 25 6.1.2 RJ45 ................................................................................................... 25 6.2

Wifi ........................................................................................................ 26

6.3

Možnosti Routeru - přizpůsobení sítě ................................................... 27

6.3.1 Filtrace WWW stránek ...................................................................... 27 6.3.2 IM (Instant messaging) blocking ....................................................... 28 6.3.3 P2P (Peer-to-Peer) blocking .............................................................. 28 6.3.4 Blokování obsahu (content blocking) ................................................ 28 6.3.5 VPN (Virtual Private Network) ......................................................... 29 6.3.6 QOS (Quality of Service) .................................................................. 29 7

Rozdíly SW/HW routeru .............................................................................. 30 7.1

HW router .............................................................................................. 30

7.2

SW router .............................................................................................. 31

7.3

SW routery - operační systémy ............................................................. 31

7.3.1 Windows ............................................................................................ 31 7.3.2 Linux .................................................................................................. 32 7.4

Použítý hardware ................................................................................... 34

8

Rešerše SW routerů ...................................................................................... 35

9

Testování vybraných SW routerů ................................................................. 37 9.1

Sledované parametry a metody testování .............................................. 37

9.1.1 Zdroj, pořizovací náklady .................................................................. 37 9.1.2 Vybavení Routeru .............................................................................. 37

Obsah

9.1.3 Konfigurace - Údržba ........................................................................ 38 9.1.4 Metody testování................................................................................ 38 9.1.5 Traffic Simulation (simulace datového toku) .................................... 38 9.2

Testované Linux routery ....................................................................... 39

9.2.1 IPCop ................................................................................................. 39 9.2.2 Smoothwall ........................................................................................ 41 9.2.3 ClearOS .............................................................................................. 43 9.3

Testováné Windows routerů .................................................................. 44

9.3.1 Windows Server 2003 (DHCP,DNS server)...................................... 45 9.3.2 WOOWEB-PRO V5 .......................................................................... 47 9.3.3 Kerio Control ..................................................................................... 48 9.4 10

11

Test rychlosti jednotlivých routerů ........................................................ 49

Porovnání parametrů a výběr optimální varianty ......................................... 50 10.1

Párové srovnání možných variant na úrovni konkrétních parametrů .... 51

10.2

Závěrečné hodnocení - pořádí SW routerů ............................................ 54

Implementace vybraného routeru a Testování .............................................. 56 11.1

Aktuální stav.......................................................................................... 56

11.2

Nedostatky aktuálního řešení ................................................................ 56

11.2.1 Klientská web aplikace .................................................................... 57 11.2.2 VPN Administrace ........................................................................... 57 11.2.3 E-mail komunikace .......................................................................... 57 11.3

Instalace/konfigurace ClearOS .............................................................. 57

12

Zhodnocení výsledků nového řešení............................................................. 61

13

Závěr ............................................................................................................. 63

14

Tabulky, obrázky .......................................................................................... 64

15

Zdroje ............................................................................................................ 66

Úvod

1

Úvod Již v 60. letech 20. století se začaly objevovat první myšlenky o vzájemném

propojení a komunikaci mezi jednotlivými počítači. Od počátku, kdy vznikaly pouze malé lokální sítě zahrnující pouze pár počítačů, se situace postupně vyvíjela až do dnešní podoby. Postupně se objevovaly lepší a propracovanější technologie, kterých však bylo více a nebylo možné je propojit mezi sebou. Aby bylo jejich propojení umožněno musel se vývoj zaměřit na standartizovaný síťový model, v dnešní době je využíván především model TCP/IP. Od malých lokálních sítí jsme se dostali do doby Internetu a tedy do doby, kdy většína počítačů je, ať už přímo či v rámci podsítí, připojena do Internetu a počítače tak mohou komunikovat napříč celým světem. Aktuálně je do Internetu připojena těměř každá firma, většina domácností a v poslední době i velké a stále narůstající množství mobilních telefonů. V počátcích sítí, se jistě počítalo s nárůstem uživatelů, ale pravděpodobně ne až tak velikým. Z tohoto důvodu se začaly objevovat také nedostatky použitých síťových technologií, konkrétně TCP/IP. Pro připojení do internetu a komunikaci s jinými počítači totiž potřebuje každý počítač nebo síť svůj jednoznačný identifikátor, který se v sítích TCP/IP nazývá IP (Internet Protocol) adresa. Aktuálně nejpoužívanější je model IPv4, který ale už pomalu na množství uživatelů nestačí, tzn. nenabízí dostatečné množství unikátních idetifikátorů – IP adres pro všechny uživatele, a z tohoto důvodu je nutné hledat jiná řešení. Nejpravděpodobnějším řešením je model IPv6, který nabízí mnohonásobně větší rozsah možných adres a proto by podobný problém, jako u IPv4, již neměl nastat. Rozvoji IPv6 brání stálé prodlužování životnosti IPv4, kde se zatím daří zpomalovat spotřeba volných veřejných IP adres a potřeba IPv6 se nezdá být tolik akutní. Je to ovšem pouze dočasné a přechod na IPv6 lze předpokládat velmi brzo. Jedním z nejúčinějších způsobů šetření IP adres je tzv. sdílení jedné IP adresy pro celou síť počítačů nebo podsítí. V zásadě lze připojit několik velkých počítačových sítí pouze přes jednu veřejnou IP adresu. K tomu se využívá technologie NAT – Network Address Translation, která překládá vnitřní (lokální) adresy na jedinou veřejnou a přes tu komunikuje s dalšími zařízeními v internetu.

Tímto způsobem se mimo jiné bude

zabývat i má bakalářská práce, kde se zaměřím právě na technologii propojení lokálních sítí

do internetu

a možné způsoby jakým

toto

propojení

lze realizovat.

1

Cíl a Metodika

2

Cíl a Metodika Cílem mé bakalářské práce je ověřit možnost zvýšení spolehlivosti provozu sítě v

naší společnosti nahrazením hardwarového řešení routerů za softwarový produkt realizující routování. Důvodem tohoto řešení je neuspokojivý aktuální stav. Síť je nyní připojena k internetu přes hardwarový router Airlive RS-1200, který svým vybavením plně vyhovuje naším požadavkům, ale jeho kapacita již není dostatečná vzhledem k rozšiřování sítě a nutnému zvýšení její spolehlivosti. Síť slouží pro naše zaměstnance pouze jako pomocná, umožňuje zaměstancům přístup na internet bez přísných restrikcní narozdíl od naší primární firemní sítě. Dále slouží toto připojení pro nájemce, kteří mají pronajaté kanceláře v prostorách naší společnosti a také pro klienty v zasedacích místnostech, kde je připojení šířeno bezdrátově pomocí Wifi. Jak jsem již zmínil, tato síť není pro naší společnost primární a na připravované řešení tedy nechceme vynakládat přílišné náklady. Finální řešení by tak mělo využívat již dostupný hardware a cena za případnou licenci musí být přijatelná, nejlépe nulová. Přijatelná znamená výrazně nižší než pořizovací cena jiných možných řešení. Takovým řešením je například router CISCO RV016 VPN od společnosti Cisco, který se cenově pohybuje kolem 10 000,-.Kč. V teoretické části zpracuji informace o sítích a použitých technologiích. Dále provedu rešerši dostupných softwarových řešení. Pro následné detailní porovnání a testování vyberu šest konkrétní softwarových routerů. Výběr by neměl trvat příliš dlouho, proto si určím tři základní kritéria, která budu u každého routeru sledovat a na základě kterých následně omezím výběr pouze na šest možných variant. V praktické části zvolím z šesti vybraných routerů optimální řešení pomocí metody Párového srovnání. Následně provedu a zdokumentuji nasazení zvoleného produktu ve firemní síti. V závěru práce kvantifikuji přínos nového řešení oproti původnímu stavu.

2

Síťové modely OSI a TCP/IP

3

Síťové modely OSI a TCP/IP V úvodu své práce bych rád popsal síťové modely OSI a TCP/IP. V počátcích

budování sítí byla zásadním problémem nekompatibilia jednotlivých lokálních sítí. Z tohoto důvodu byl v roce 1979 vytvořen, mezinárodní nevládní organizací ISO, referenční model pro propojení lokálních sítí nazývaný „OSI“. Dalším síťovým modelem, který z původního modelu OSI vychází je model TCP/IP, který byl původně vytvořen pro účely ministerstva obrany USA. Nejprve tedy podrobněji představím oba síťové modely a jejich jednotlivé vrstvy. Vzhledem k faktu, že světovým standardem je model TCP/IP, zaměřím se na model OSI pouze okrajově. Z pohledu mého tématu mne bude zajímat především „Síťová vrstva“, která má v obou modelech prakticky totožnou roli, a mimo jiné, je to vrstva která zajišťuje adresování a směrování (routing) dat od zdroje k cíli. Veškeré detaily této vrstvy si rozebereme v dalších kapitolách určených právě směrování a adresování. [1] Tabulka 1: Porovnání ISO/OSI a TCP/IP ISO/OSI

TCP/IP

Aplikační vrstva FTP,DNS,HTTP,DHCP,BOOTP,SMPT, SNMP

Aplikační vrstva

Transportní vrstva

TCP UDP

Transportní vrstva

Síťová vrstva

ICMP,IGMP,ARP,RARP,

Síťová (IP) vrstva

Linková vrstva

Ovladač síťového adaptéru

Fyzická vrstva

Síťový adaptér - Ethernet

Prezentační vrstva Relační vrstva

3.1

Vrstva síťového / linkového rozhranní

OSI model (Open Systems Interconnection Basic Reference Model). Model OSI je především teoretický popis síťové komunikace a protokolů

použitých pro komunikaci mezi počítači. Tento model je považován za základ pro síťové technologie, i přesto však nebyl nikdy plně realizován. Jak jsem již zmínil, jde především o teoretický model, cílem bylo standardizovat komunikaci tak, aby hardware i software různých výrobců mohl vzájemně komunikovat. [22]

3


3.2

TCP/IP (Transmission Control Protocol/ Internet Protocol) V praxi je více využívaný model TCP/IP. Tento model vychází právě z OSI

modelu, je ale přízpůsoben tak, aby byl více flexibilní. TCP/IP používá narozdíl od OSI pouze čtyřvrstvý model.[1],[7],[12],[22] 1) Aplikační vrstva, 2) Transportní vrstva, 3) Síťová vrstva, 4) Síťová rozhraní (Přístupová)

3.2.1 Aplikační vrstva Jako nejvyšší je Aplikační vrstva, zde se odesílaná data zabalí a je jim přiřazena aplikační hlavička. Příkladem nejčastěji používaných protokolů jsou: HTTP – určen pro výměnu hypertextových dokumentů ve formátu HTML. Telnet – jeden z nejstarších aplikačních protokolů. Zabezpečuje standardní

metodu

spojení

vzdálených

terminálových

procesů

přes

síť

prostřednictvím

obousměrného přenosu. FTP (File Transfer Protocol) – umožňuje vzdálenou správu souborů na jiném pc

pomocí síťového připojení. Soubory lze mazat, přejmenovávat, přesouvat atd. DNS (Domain Name Services) slouží pro přístup k síťovým zdrojům v prostředí

TCP/IP. Využívá systém odkazů pomocí přiřazených logických jmen. Pro přístup k vybraným službám tak používáme logické (doménové) jméno namísto IP adresy. DHCP (Dynamic Host Configuration Protocol) zabezpečuje správu konfiguračních

parametrů. Dynamicky přiřazuje (alokuje) dostupné IP adresy jednotlivým klientům. 1) Permanentní alokace – IP adresa je klientovi přiřazena při první inicializaci a je nadále permanentně vyhrazena právě tomuto klientovi. 2) Dynamická alokace – IP adresa je klientovi přidělena pouze na předem stanovenou dobu. 3) Statická alokace – IP adresa je manuálně přidělene správcem DHCP serveru.[3]

4


BOOTP (Bootstrap) Přímý předchůdce protokolu DHCP a nástupce protokolu RARP. Oproti předešlému protokolu je BOOTP při správné konfiguraci schopen zasílat pakety i do jiných sítí a lze ho tedy používat i centrálně. Dalším rozdílem je také fakt, že protokol BOOTP přiřazuje kromě IP adresy i další informace jako masku, výchozí bránu a adresy DNS.

SMPT (Simple Mail Transfer Protocol) umožňuje přenos elektronické pošty v TCP/IP, při přenostu zpráv se nezabývá jejich formátem či vlastní implementací elektronické pošty.

SNMP (Simple Network Management Protocol) SNMP protokol je zjednodušeně protokol, který získává různé informace ze sítě a následně je například sumarizuje a zobrazuje do grafů. V praxi se může jednat například o vytížení procesoru nebo datový tok na portu přepínače. Tento protokol podporuje velká řada zařízení, například aktivní síťové prvky tiskárny, přístupové body nebo pomocí softwaru mohou podporu získat také servery a osobní počítače. Další používané protokoly: POP3, TFTP, IMAP, SSH ,[1].

3.2.2 Transportní vrstva TCP/UDP Transportní vrstva poskytuje mechanismus pro koncový přenos dat mezi dvěma stanicemi. Pro přenos souborů na této vrstvě je možné využít dva protokoly, TCP nebo UDP.

TCP (Transmission Control Protocol) Poskytuje spolehlivý přenos dat. TCP příjímá informace od vyšší vrstvy jako souvislý tok bitů, který musí rozdělit do trasportních segmentů délky odpovídající velikosti datagramu IP, a ty předá síťové vrstvě.[13],[7] Transportní protokol TCP podporuje následující vlastnosti: -

spolehlivá transportní služba – doručí data neporušená, přesně tak, jak byla data odeslána.

-

efektivní využití přenosových kanálů – vysílání s využitím vyrovnávacích pamětí. Odesílatel začne odesílat až ve chvíli, kdy se nashromáždí dostatek dat nebo po vypršení časového limitu. Tím zamezí zahlcení příjemce i sítě.

5


-

plně duplexní (obousměrný) přenos – potvrzení o správném příjmu TCP segmentu je součástí datového TCP segmentu vysílaného opačným směrem.

-

rozlišení mezi více potencionálními adresáty (procesy na daném počítači – pomocí portů.

-

TCP používají například aplikační protokoly FTP nebo TELNET. UDP (User Datagram Protocol) Poskytuje nespolehlivou transportní službu pro ty aplikace, které nepožadují

zabezpečení přenosu v takovém rozsahu, jako poskytuje TCP (ověření doručení v pořadí, zajištění opakovaného přenosu), nebo pro transakčně orientované aplikace, pro které může být navazování takového spojení příliš zdlouhavé. UDP používají například aplikační protokoly SNMP, DNS, BOOTP.[4]

3.2.3 Síťová vrstva (Network) Síťová vrstva zajišťuje přenos jednotlivých paketů od odesílatele až ke svému skutečnému příjemci. Tato vrstva je realizovaná pomocí IP protokolu, proto jí lze nazývat také „IP vrstva“. IP protokol je využíván mimo jiné pro přenos dat mezi počítači v různých sítích LAN. Data jsou postupně směrována pomocí směrovačů (routerů) až k cílovému zařízení. IP protokol je tvořen několika dílčími protokoly, kromě již zmíněného IP protokolu dále také ICMP, IGMP, ARP, RARP, BOOTP.[5],[7] ICMP (Internet Control Message Protocol) Slouží pro přenos chybových a řídících zpráv mezi uzly a směrovači sítě TCP/IP. Tento protokol využívá například příkaz „ping“ nebo „traceroute“. K hlavním funkcím protokolu ICMP patří: testování dostupnosti a stavu cílového uzlu sítě (Echo Request/Reply), řízení zahlcení a toku paketů (Source quench), aktualizace směrovacích tabulek uzlů od IP směšovačů (Redirect), odesílání masky podsítě (Address mask request/reply). IGMP (Internet Group Management Protocol) IGMP, neboli „Vícesměrové vysílání“, je protokol, který umožňuje pomocí jedné společné IP adresy rozesílat data do více hostelských stanic. Zprávy zasílané přes IGMP může přijímat každý uživatel, jehož zařízení je propojeno ze sítí odesílatele takovými směrovači, kterě právě tento protokol podporují. Hostitel, který odesílá data protokolu 6


IP na adresu IP skupiny, nemusí do této skupiny patřit. Adresy vícesměrového vysílání jsou rezervovány a přidělovány v rozsahu adres třídy D. ARP (Address Resolution Protocol) ARP protokol zabezpečuje přiřazení IP adres k MAC adresám síťových zařízení. Protokol v první řadě získá MAC adresu připojeného zařízení, dále pak udržuje tabulky přiřazených IP a MAC adres. RARP (Reverse Address Resolution Protocol) Tento protokol se využívá v případě, kdy koncové zařízení zná pouze svou MAC adresu, ale nezná IP adresu. IP adresu, která je zařízení přidělena, zná pouze RARP server. RARP je jedním z předchůdců DHCP. Zařízení, které se snaží zjistit svou IP adresu odešle vícesměrovou zprávu ve stejném formátu jako u předchozího protokolu ARP s tím rozdílem, že zpráva obsahuje jeho vlastní MAC adresu a IP adresu „0.0.0.0“.

3.2.4 Vrstva síťového rozhraní (Network Interface Layer) Vrstva síťového rozhraní je nejnižší vrstvou, má nastarosti přímé ovládání technologie použité pro přenos dat. V případě jednodušších systémů se obvykle jedná o jednoduchý ovladač, například při připojení k místním sítím ethernetovým kabelem. Stejně tak se ale může jednat i o poměrně složitý podsystém, který využívá vlastní linkový přenosový protokol, např. HDLC. [1]

7

Možnosti řešení nedostatku IP adres

4

Možnosti řešení nedostatku IP adres Tato část mé práce má za úkol upřesnit základní pojmy z oblasti adresování a

tvorby podsítí. Je zde vysvětleno co vlastně znamená pojem „IP adresa“, jaké jsou její vlastnosti a jaký je aktuální vývoj v této problematice. Z pohledu tématu celé práce má tato část zásadní úlohu, protože přímo souvisí s funkcí směrovače (routeru), který je nadřazeným prvkem podsítě a má nastarosti přidělování IP adres.

4.1

IP adresa IP adresu lze definovat jako identifikační číslo každého síťového rozhraní, které

využívá protokol IP (Internet Protocol). Je to 32 bitové binární číslo, které se zapisuje v desítkovém formátu s tečkami (1.2.3.4). Každé desítkové číslo reprezentuje jeden oktet 8 bitů. Adresa se přiřazuje vždy síťovému rozhraní, proto počítače a směrovače s několika rozhraními mají í několik IP adres. Počítač s přiřazenou IP adresou se nazývá „hostitel IP“. Množina hostitelů IP, kteří nejsou vzájemně odděleni směrovači, se nachází v jedné stejné skupině. Takováto skupina se může nazývat síť, podsíť nebo prefix.[7],[12] Třídní/beztřídní logika Tabulka 2: Třídy adres IP adresy lez popsat podle tzv. třídní logiky. V dokumentu RFC 791 jsou popsány hlavní třídy A,B,C. Příslušnost k jedné z tříd lze jednoduše určit podle hodnoty několika prvních bitů IP

Velikost síťové a Třída Adres hostitelské části A 8/24 B 16/16 C 28/8 D E

Interval hodnot prvního oktetu 1-126 128-191 192-223 224-239 240-255

Výchozí maska Počáteční každé sítě v bity IP dané třídě adresy 255.0.0.0 255.255.0.0 255.255.255.0 -

0 10 110 1110 1111

adresy nebo podle hodnoty prvního oktetu, podrobněji je to znázorněno v tabulce č. 2. [9]

8


CIDR (Classless Inter-Domain Routing) notace Tzv. Beztřídní logika znamená, že pravidla pro třídy A, B a C ignorujeme a v každé adrese nás zajímají pouze dvě části – Prefix a Hostitel. Prefix určuje kolik počátečních bitů je síťových, zbylé bity náleží podsítím a jednotlivým hostitelům. Narozdíl od striktního třídního dělení lze takto prakticky libovolně rozdělit 32bit adresu na část odpovídající adrese sítě a část odpovídající podsítím či hostům. To znamená, že všichni hostitelé se stejným prefixem, patří vlastně do stejné podsítě.

Příkladem

takového zápisu je 172.31.13.0/24, kde prefix je

172.31.3.0 a dělka prefixu 24 bitů.

4.1.1 Síť (Network)

Obrázek 1: základní LAN - dvě podsítě Na obrázku číslo jedna můžeme vidět standardní LAN síť. Takto může vypadat například firemní síť. Tato konkrétní je připojena do Internetu přes jeden router, který rozděluje síť na dvě podsítě. Z routeru je připojení vedeno Ethernetovým kabelem do Switche (přepínače), který rozděluje přípojení již pro konkrétní síťová rozhraní jako 9


jsou počítače, tiskárny, či wifi routery. Wifi router šíří síť dále bezdrátově, například pro notebooky s wifi anténou.

Základními typy sítě jsou: Tabulka 3: Přehled typů sítí, [8],[12],[23]

PAN

LAN

MAN

WAN

Personal Area Network

Nejmenší síť, propojuje obvykle mobilní telefony nebo počítače pomocí drátových technologií jako USB,Fireware

Local Area Network

Lokální síť, například firemní, propojuje síťová zařízení pouze na omezeném prostoru. Nejčastěji se používá technologie Ethernet nebo Wifi.

Metropolitan Area Network

Spojuje jednotlivé LAN sítě, je ale omezená pouze na menší území, např. město. Obvykle se pro propojení jednotlivých sítí využívá bezdrátové spojení nebo optická vlákna.

Wide Area Network

Pokrývá rozsáhlé území napříč městy, zeměmi i kontinenty. WAN je vlastně mnoho síťí LAN propojených dohromady, aby byla umožněna komunikace mezi nimi. Nejznámější WAN sítí je Internet

Pro lepší představu jsem vytvořil obrázek číslo 2, který názorně ale velmi zjednodušeně zobrazuje, co jednotlivé druhy sítí zahrnují a jak jsou vzájemně provázány.

10


Obrázek 2.: Typy sítí

4.1.2 Podsíť (Subnet) Podsíť slouží k logickému rozdělení síťě do menších hierarchických částí. Důvodů pro toto dělení je hned několik, v první řadě je ale fyzické oddělení jednotlivých sítí a tím nezbytná izolace a ochrana dat, která mají být dostupná pouze pro lokální uživatele. Klasickým příkladem je situace u nás ve firmě. Od ISP (Internet Service Provider) nám byla přidělena 1 veřejná IP adresa, tedy adresa, kterou pro připojení k internetu využívají všechny počítače ve firmě. Přístup do sítě ISP je nám umožněn pomocí optického kabelu vedeného přímo do administrativní budovy, kde sídlí naše společnost. Zde je pomocí UTP kabelu vedena k jednotlivým klientům, tedy i k nám, obvykle do technických mistností (server room). Zde je kabel zapojen do routeru, který už je v naší správě. Router, využívající protokolu DHCP, přiděluje jednotlivým síťovým rozhraním 11


(počítačům atd.) lokální IP adresy a umožňuje jim připojení do sítě Internet. Mezi routerem a jednotlivými počítači je ještě nezbytný přepínač (switch), který přípojení rozdělí dle počtu připojených počítačů. Toto vysvětlení je určeno spíše pro představu, jak může komplexní síťová struktura vypadat, rád bych se teď konkrétněji zaměřil na zmíněné přidělování IP adres. Množství adres, které lze jednotlivým síťovým rozhraním přidělit je omezené a tak logicky ani počet připojených rozhraní není nekonečný. Toto omezení se týká jak poskyovatele (ISP), který má k dispozici pouze omezený rozsah IP adres které přiděluje zákazníkům, tak i přímo naší lokální sítě. Pro lepší představu v následující části uvedu, jakým způsobem se pracuje s rozsahem IP adres, jak lze určit množství dostupných adres a jaké problémy se aktuálně v této oblasti řeší.[9].

12


4.2

Adresování (Subneting) Maska podsítě (Subnet mask)

Maska nám pomáhá určit, jak je síť rozdělena na podsítě. Poznáme z ní, jaká část IP adresy je síťová a jaká hostitelská. Dále také můžeme určit, o jakou třídu adres půjde, zda A, B nebo C. Standartním příkladem masky je 255.255.255.0, podle masky je jasné, že se jedná o síť typu „C“, pokud bychom chtěli tuto masku zobrazit binárně, vypadala by takto: 11111111.11111111.11111111.00000000 Na následujícím příkladu jasně vidíme že první tři oktety jsou síťové a hostům je tak k dispozici pouze poslední oktet, tedy 8 bitů. Pokud bych chtěl vypočítat kolik IP adres lze při použití takovéto masky přidělit klientům, stačí použít jednoduchý výpočet 2^n – 2, kde „n“ je počet nul v posledním oktetu, tedy v oktetu nebo jeho části, která je přidělena hostům. Dále musím od počtu hostů odečíst první a posední host adresu, které jsou rezervovány pro adresu sítě a adresu broadcastu. Výsledkem tedy je 212-2 = 254 IP adres, které mohou být přiděleny hostům. Jsme tedy schopni již napsat příklad adres jaké přidělíme podsíti, broadcastu a hostům: Subnet : 192.168.1.0 , Host: 192.168.1.1 254, Broadcast: 192.168.1.255, Maska: 255.255.255.0 Tabulka 4: bin/dec binárně

dekadicky

V tabulce 4 jsou uvedeny možné hodnoty

00000000

0

nesíťového oktetu. Vlevo od nuly musí být vždy

10000000

128

11000000

192

11100000

224

To ale není vše co je nutné nebo možné

11110000

240

11111000

248

vypočítat, zajímá nás také počet podsítí, které

11111100

252

můžeme vytvořit. V konkrétním případě lze vytvořit

11111110

254

11111111

255

pouze nuly.

pouze jednu podsíť, protože se jedná o síť typu „C“ ve které je celý poslední oktet využit hosty. Jíné by to bylo například pro následující masku. 255.255.255.240. resp. 11111111.11111111.11111111.11110000 13


Pro výpočet počtu podsítí použiji podobný vzorec, s tím rozdílem, že není nutné odečítat žádné host IP. Proměnná „n“ bude v tomto případě počet jedniček v oktetu, který již náleží hostům a podsítím. Výsledný počet možných podsítí je tedy : 24 = 16 Počet IP adres v každé podsíti: 24-2 = 14 Stejný postup se používá také v případě sítí typu A a B. Rozdílem je pouze posun do třetího resp. druhého oktetu, což znamená mnohonásobně více volných IP adres pro hosty. Pro určení toho, jestli patří dvě adresy do stejné podsítě, stačí jejich IP adresy převést do binárního tvaru. Pokud bude rozsah částí, kde se vyskytují jedničky stejný, znamená to že patří do jedné podsítě.[9].

4.3

NAT (Network Address Translation) NAT umožňuje počítačům ve vnitřní sítí přístup na internet. Průběh tohoto

překladu je následovný: Klientský počítač, který má pouze vnitřní IP adresu a jako bránu používá router s funkcí NAT, vyšle požadavek na zmíněnou bránu. Router jeho vysílání (pakety) zachytí, změní jejich vnitřní IP adresu na svou vnější a odešle dále do Internetu.[24],[25] K odeslání používá port TCP dle typu odesílaného paketu. Do své tabulky si router zapíše vnitřní adresu klienta a port který zvolil k odeslání. Pří přijetí odpovědi si pak tyto informace router zpětně vyhledá a pakety pošle zpět na klienta, kterému náleží. Další funkcí NAT je také pasivní ochrana před útokem z vnější sítě. Jelikož je klientský počítač vlastně "schovaný" za NAT (routerem), nezná útočník přímou adresu klientského pc a nemůže se k němu tak lehce dostat. V žádném případě ale nelze NAT považovat za dostatečnou ochranu a využívat ho jako jediný firewall. Jelikož NAT není primárně určen a vytvořen jako firewall, je třeba k němu využívat i specializovaný ochranný software. 14


Jak jsem zmínil v předchozím odstavci, funkce NATu není primárně chránit ale překládat adresy, v následujícím odstavci je vysvětleno, proč je vlastně tato funkce tak potřebná. Hlavní důvodem zavedením a využíváním NATu, je nedostatek veřejných IP adres. Stejně jako je omezený počet možných IP adres v různých podsítích, tak to funguje ve větším měřítku i na globální úrovni. Internet je vlastně WAN síť tvořená obrovským množstvím LAN či MAN sítí. Tyto jednotlivé sítě pochopitelně mají své vnitřní rozsahy IP adres, kde jejich nedostatek obvykle nehrozí. Každá z těchto sítí, je však také většinou připojena do Internetu. Díky funkci NAT, lze například síť o 30ti počítačích připojit přes jednu veřejnou IP do Internetu, a tím tedy ušetřit 29 veřejných IP adres. Bohužel, ač se tato opatření využívají prakticky všude, veřejných IP adres je stále méně. Následující část popisuje, jak přidělování IP adres funguje ve světovém měřítku, kdo má přidělování na starosti a jaký je aktuální stav. Centrálním správcem světového adresního prostoru je společnosti IANA (www.iana.org). IANA má na starosti rozdělování velkých adresních bloků, reprezentovaných tzv. 8bitovým prefixem. To znamená, že může přidělit například takovouto IP adresu 10.0.0.0/8. Adresy s tímto prefixem jsou přidělovány regionálním registrátorům (správcům), kteří dále přidělují menší bloky lokálním poskytovatelům Internetu a ti již přímo koncovým zákazníkům. Regionálních registrátorů je aktuálně 5, evropu má na starosti společnost RIPE NCC (www.ripe.net) Rok 2007 "Adresní prostor IPv4 je konečný a zhruba dvě třetiny z něj jsou již přiděleny. Dalších téměř 15 procent je určeno pro speciální účely (jako jsou například skupinové adresy), takže pro adresování dalších institucí připojujících se k Internetu zbývá pětina. Jak dlouho vydrží? Podle aktuálních odhadů asi pět let." [10] Takto situaci popisoval Pavel Satrapa (Vedoucí katedry infomačních technologií na Technické univerzitě v Liberci) ve svém článku na serveru www.lupa.cz v roce 2007.

15


Rok 2011 Aktuální situace je taková, že poslední velké adresní bloky IPv4, byly předány 3.2.2011 regionálním registrátorům. Situace se však nijak výrazně nemění, znamená to pouze to, že posledních 5 velkých adresních bloků bylo rozděleno mezi 5 Regionálních registrátorů, tedy se vyprázdnila databáze společnosti INIA a volné adresy nyní drží pouze Regionální správci. [12]

4.4

IPv6 Ačkoli je možné, že se s ubývajícím množstvím IPv4 budeme statečně vyrovnávat

i déle než se předpokládá, vyčerpání a problémy z něj plynoucí jsou nevyhnutelné. Je proto nutné hledat řešení dříve. Logickým řešením bude pravděpodobně přechod na nový protol IPv6. V následující časti si vysvětlíme jaké jsou odlišnosti od starého protokolu a jak vlastně IPv6 funguje. [11] Již začátkem 90. let bylo jisté, že se blíží doba kdy se dostupné veřejné IP adresy v protokolu IPv4 zcela vyčerpají, a že je tedy nutné hledat řešení. Jelikož na tato řešení bylo poměrně dost času, rozhodlo se IETF navrhnout zásadnější změnu, která by kromě rozšíření adresního prostoru měla i další nové vlastnosti. Požadavky na nový protokol byly následující: - rozsáhlý adresní prostor, který vystačí pokud možno navždy - tři druhy adres: individuální (unicast), skupinové (multicast) a výběrové (anycast) - jednotné adresní schéma pro Internet i vnitřní sítě - hierarchické směrování v souladu s hierarchickou adresací - zvýšení bezpečnosti (zahrnout do IPv6 mechanicsmy pro šifrování, autentizaci a sledování cesty k odesilateli) - podpora pro služby se zajištěnou kvalitou - optimalizace pro vysokorychlostní směrování - automatická konfigurace (pokud možno plug and play) 16


- podpora mobility (přenostné pc apod.) - hladký a plynulý přechod z IPv4 na IPv6 Na první pohled nejvýraznějším rozdílem je předpokládané naprosté odstranění NATů, resp. možnost toto udělat. IPv6 nabízí tak obrovský adresní prostor, že každé zařízení může mít svou celosvětově unikátní veřejnou IP adresu. Pochopitelně NAT sítě stále fungovat budou, jeližkož mají velké výhody právě vzhledem k bezpečnosti sítě a také možnosti monitorování vstupů a výstupů z/do sítě. Jistě se snáze hlídá a monitoruje jeden přístupový bod, než v případě kdy každý počítač komunikuje samostatně. Zásadním rozdílem je délka IP adresy, zvýšení počtu Bitů ze 32 na 128. Cílem je, jak již bylo zmíněno, velice zásadní navýšení adresního prostoru. Jelikož se délka adresy oproti IPv4 zvýšila na čtyřnásobek, nárust možných IP adres narostl opravdu extrémě. K dispozici dává IPv6 3,4*1015 IP adres. IPv6 dává tedy k dispozici nepředstavitelné množství adres a první podmínku, která byla na začátku vývoje stanovena, tak bezpochyb naplňuje. Dalším cílem bylo zajistit absolutně bezpracnou automatickou konfiguraci. IPv6 nabízí dvě alternativy, za prvé je to stavová konfigurace, což je klasické DHCP upravené pro IPv6. Jako druhá možnost je zde bezstavová konfigurace, což je nový způsob, při kterém si počítač sám zjistí svou adresu a "najde si cestu" ke směrovačům. Rozdílů mezi IPv4 a IPv6 je opravdu velké množství a jelikož rozsah ani konkrétní zaměření této práce mi nedovoluje probrat vše, rád bych se po zmínění těchto úvodních informací zaměřil konkrétněji na oblast týkající se adresování a směrování v IPv6. Adresování v IPv6 Stejně jako u předchůdce nového protokolu, tedy u IPv4, se adresy přiřazují síťovým rozhraním, tzn. pokud má počítač například dvě síťové karty, každá bude mít svou IP adresu.[11] Druhy adres se dělí do tří skupin, z nichž každá má rozdílné chování. První skupinou jsou tzv. Individuální adresy (unicas), které mají stejný princip jako původní adresy, tj. adresa je přiřazena jednomu síťovému rozhraní a odesílaná data májí být dopravena právě zařízením s tímto rozhraním. Druhý typ adres se nazývá Skupinové (multicast). Již z názvu je patrné, že zahrnují skupiny počítačů, resp. síťových rozhraní. 17


Veškerá data, která jsou na takovouto adresu posílána, musí být doručena všem členům skupiny. Třetím a posledním typem jsou adresy Výběrové (anycast), představující stejně jako předchozí druh skupinu síťových rozhraní, s tím rozdílem, že data odeslaná na tutu adresu jsou doručena vždy pouze nejbližšímu z členů cílové skupiny. Nyní se podrobnějí podíváme na formát zápisu IP adresy v novém protokolu. Jak jsem již zmínil v předešlé části, IP adresa se rozrostla čtyřnásobně, tedy na 128bitů. Zápis nulové adresy by vypadal takto : 0000:0000:0000:0000:0000:0000:0000:0000 V příkladu lze vidět rozdíl v oddělování jednotlivých oktetů, kdy se nově používá ":". Standardním formátem zápisu IP adresy je tedy osm skupin po čtyřech číslicích šestnáctkové soustavy, které vyjadřují hodnoty 16 bitů dlouhých částí adresy. Příkladem konkrétní IP adresy je : 2001:0718:1c01:0016:0214:22ff:fec9:0ca5 Jak je vidět, adresa díky své délce i zápisu v šestnáctkové soustavě je poměrně dost složitá a narozdíl u klasických adres protokolu IPv4, bude hodně složité si adresu zapamatovat. Pro ulehčení lze adresu zkracovat. V adrese se velmi časo objevují nuly, v IPv6 je možné v každém oktetu nahradit počáteční nuly pouze jednou nulou, případně pokud se objevují celé nulové oktety, lze je nahradit dvěma dvojtečkami za sebou ("::"). Pokud bychom zkracovali první uvedenou adresu, tedy nulovou, vypadala by takto : "::" V případě druhé adresy už jsou možnosti podstatně menší, můžeme zkrátit jedině čtvrtý oktet. Výsledná adresa by vypadala takto: 2001:0718:1c01:016:0214:22ff:fec9:0ca5 (pouze bychom ve čtvrtém oktetu odebrali jednu nulu. Zkracování na pouhé dvě dvojtečky lze použít pouze jednou v každé adrese.

18

Směrování (routing)

5

Směrování (routing) Následující částí se již odkloníme od předchozí více obecné části, a zaměříme se

na stěžejní téma mé práce a to tzv. routování neboli směrování. [7],[12],[27] Směrování je technologie, která umožňuje komunikaci jednotlivých sítí resp. podsítí (subnetů). Ve většině případů se pro směrování využívají routery Jsou však i jiné možné technologie, které fungují na podobné bázi, ale jsou realizované odlišně. Pro začátek a lepší pochopení celé problematiky bude nejlepší podívat se až k samým počátkům sítí a tedy i routování. Vůbec první sít byla vytvořena původně pro vojenské účely v USA a jmenovala se ARPANET. Tato síť měla zajistit možnost komunikace mezi americkými státy, městy a vojenskými základnami v dobách, kdy hrozila nukleární válka. ARPANET se postupně stal páteřní sítí pro nově vznikající síť Internet. K původní sítí se postupně začaly připojovat jednotlivé lokální sítě, či celé skupiny lokálních sítí. V případě jedné lokální sítě, i v případě více vzájemně propojených lokálních sítí, byly vždy připojeny na páteřní sít pouze jediné brány. Na obrázku č.3 je možné vidět příklad standardní struktury lokální sítě, která má tři subnety vzájemně propojené jedním routerem a zároveň je pomocí tohoto routeru také připojuje do Internetu. Jsou zde subnety A, B a C. Dále zde máme router, který je pro všechny tři podsítě, resp. síťová rozhraní (servery,pc,tiskárny) implicitní. Implicitní znamená, že tento router funguje jako defaultní

a

pokud

není

na

jednotlivých síťových rozhraních nastaveno jinak (v případě že je ještě

jiná

všechny

možnost), podsítě

používají

tento

router

automaticky. Obrázek 3 : LAN 3subnets Pro takovéto menší sítě je využívání

implicitního

routeru

pravděpodobně nejjednoduší cesta. Pokud se ale chceme dostat pomocí Internetu do jiné lokální sítě a s touto sítí si vyměňovat data, je výběr routeru(ů) pro tuto komunikaci složiťější. 19


5.1

Základní princip směrování Jak jsem již dřívě zmínil, Internet je WAN síť tvořená mnoha MAN a LAN

sítěmi, tedy v případě LAN sítí to může být stejná síť jako na našem obrázku. Pokud jsem například v naší firemní sítí, kterou si nazveme LAN A, a chci se dostat do sítě LAN F, která je ovšem v úplně jiném městě, musím nejdříve najít cestu. Pro lepší představu jsem to zobrazil na obrázku 4. Tentokrát již není vidět struktura jednotlivých subnetů, ale pouze routery a jejich stromové propojení. Obrázek 4: více LAN - HOP Na obrázku vidíme, že pokud se chci dostat z LAN A do LAN F, budu postupně

směrován

(routován) až do nejvyšší úrovně, a potom opět dolů až

do

cílové sítě ke

konkrétnímu síťovému rozhraní. Toto postupné přesouvání od jednoho routeru k dalšímu se nazývá jeden HOP, tedy jeden HOP mezi každými dvěma routery. V tomto konkrétním případě je tedy pro propojení sítě LAN1 a LAN2 potřeba 6 HOPů + 1 HOP který značí realizované přímé spojení dvou počítačů z těchto oddělených sítí. Výše uvedený příklad je poměrně dost zjednodušený a v případě Internetu je daný proces pochopitelně složitější. Tato složitost spočívá především v tom, že obvykle není, jako v tomto případě, možná pouze jedna cesta, ale cest do cílové sítě je více. Je tedy nutné zjistit, jaká z těchto cest je právě ta nejvýhodnější a kterou by, v případě komunikace dvou konkrétních sítí, měly routery využívat. Pro zajištění toho, že budou routery využívat nejlepší cesty, je nutné zjistit jaké cesty jsou nejlepší a poté tyto informace uchovávat a případně poskytovat ostatním routerům. Pro záznam jednotlivých cest využívají routery tzv. směrovací tabulky (route table). Tabulky se liší tím, jak vnikly a na základě toho jsou potom jednotlivé pakety směrovány jedním ze tří možných způsobů.

20


5.2

Statické routování Jednotlivé cesty jsou do routovací tabulky zadány ručně. Tento způsob je výhodný

v tom, že router nemusí řešit jestli je nebo není cesta nejkratší a nezdržuje se tedy synchronizaci cest s ostatními routery, díky tomu, je routování rychlejší a jistější. To co je v některých případech výhodou se ale může časem stát i nevýhodou, protože systém nereflektuje změny v síti a ručně zadané cesty mohou být časem neefektivní, protože pakety lze doručit jinou rychlejší cestou. [7],[14]

5.3

Dynamické směrování (routování) Opak k předchozí možnosti je Dynamické routování, kde si routery dynamicky

zjišťují nejkratší cesty pro sítě mezi kterými posílají pakety. K výpočtu nejkratších cest využívají routovací protokoly, které si podrobněji rozebereme hned v další části mé práce. Dynamické routovací protokoly se dělí na dva základní typy:

5.3.1 Distance-vector routing protocol Routery aktualizují routovací tabulku pravidelně, ať už na síti nastala nějaká změna či ne, a přeposílají ji svým sousedům, ti provedou také aktualizaci o přeposílají ji opět dále. Problémem tohoto způsobu je to, že než si všechny routery předají potřebné informace a vlastně se tedy "dohodnou" na tom, že mají všichni stejné informace, zabere to poměrně dost času. Zvyšuje se tak čas tzv. konvergence, což znamená právě onu shodu jednotlivých routerů a držení stejných aktuálních informací Používají se zde nejčastěji protokoly RIP a IGRP. RIP (Routing Information Protocol) Protokol RIP využívá metriku počtu HOPů ze zdrojové do cílově cesty. Maximální počet HOPů, který je tento protokol schopen vykonat, je 15, to znamená, že informace přenáší maximálně mezi 15ti routery. Počet HOPů je jedinou vlastností dané cesty, kterou protokol RIP sleduje. Nijak nezohledňuje propustnost linek, tzn. jejich rychlost a maximální velikost přenesených rámců.

21


Aktualizace v tomto protokolu probíhá každých 30 vteřin, tedy v periodě 30ti vteřin odesílá router routovací (směrovací) infromace ostatním routerům. Pro přenos tabulek je využíván transportní protokol UDP. Přenos těchto routovacích tabulek je velmi pomalý, a to z toho důvodu, že se přenáší vždy kompletní routovací tabulka a proto tedy záleží na celkovém počtu sítí. IGRP (Interior Gateway Routing Protocol) Protokol IGRP používá v porovnání s RIP o něco složitější metriku pro určení nejlepší cesty. Tuto metriku vypočítává z více složek, jako jsou zpoždění sítě (delay), šířka pásma (bandwidth), spolehlivost (reliability) a zatížení (load). Výhodou této více složkové metriky je možnost přidělení priorit k jednotlivým hodnotám, čímž je možné ovlivnit výběr konečné cesty pro poslaní rámců.

5.3.2 Link-state routing protocol Zásadním rozdílem od Distance-vector routing protokolu je způsob aktualizace, který Link-state využívá. Aktualizace routovacích tabulek probíhá vždy pouze ve chvíli, kdy na síti dojde ke změně, neprobíhá zde periodická obnova jako u předchozích typů protokolu. K této aktualizaci využívá "link-state advertisement" nebo také tzv. "Hello" pakety. LSA (Link-state advertisement) = zpráva, kterou router rozesílá všem směrovačům v sítí. Tato zpráva obsahuje veškeré informace o změnách na síti. Každy router si zprávy uchovává jako databázi, z které následně vypočítává nejkratší cesty do jednotlivých cílových sítí. Narozdíl od Distance-vector, kde je přeposílána pouze kompletní routovací tabulka jednotlivých routerů, které kompletní mapu sítě neznají, v Link-state každý směrovač uchovává kompletní mapu celé sítě, V praxi to funguje tak, že si router po přijetí LSA zapíše zprávu do databáze, vypočítá nejkratší cestu a po té jí zapíše do routovací tabulky. Pro výpočet se používá Dijkstrův algoritmus (SPF-shortest path first).

22


OSFP (Open Shortest Patch First) Routery využívající tento protokol si mezi sebou posílají tzv. "Hello" paket, čímž zjišťují zdali jsou nebo nejsou sousedy. V případě, že se shodnou na tom, že jsou sousedními routery, pošlou si výše zmíněnou zprávu LSA, kterou si každý router uloží do své databáze a přeposílají ji dále ostatním sousedním routerům.

Jak již bylo

naznačeno v předchozím odstavci, data která router takto získá a zapíše, následně přepočítá pomocí uvedeného algoritmu a zapíše do routovací tabulky.

5.3.3 Autonomní systémy Autonomní systém je soustava vzájemně propojených sítí, které spadají pod jednoho správce. Autonomní systémy musí povinně využívat předepsaný způsob předávání routovacích (směrovacích) informací ostatním Autonomním systémům. To znamená, že každý správce autonomního systému, si může zvolit, dle svého uvážení, způsob předávání routovacích informací uvnitř systému, vně systému však musí používat předepsaný protokol, který je pro všechny stejný.

23


EGP (Exterior Gateway Protocol) Pro předávání routových informací mezi Autonomními systémy se využívá protokol EGP (Exterior Gateway Protocol), který zveřejňuje, pro ostatní autonomní systémy, informace výhradně o svých subnetech (podsítích). Zároveň takovéto informace přijímá od ostatních systémů, nicméně je dále nepředává, smí je použít pouze pro sebe. BGP (Border Gateway Protocol) BGP routery slouží jako vstupní a výstupní body do autonomních systémů. Neudržují pouze adresu dalšího směrovače, ale také čísla autonomních systémů, přes které cesta prochází. To umožňuje efektivnější vytváření nejlepších cest. Stejně jako u OSFP nejsou informace mezi těmito routery periodicky aktualizovány, ale posílají se pouze při změně na síti.

24

HW router

6

HW router Jak router funguje je podrobně vysvětleno v předchozí kapitole, v té nasledující se

zaměříme pouze na routery a jejich možné formy. To znamená, jaké typy routerů lze vůbec na síti využívat a co všechno nám, kromě samotného routování (směrovaní), umožňují na síti spravovat.

6.1

Konektory Začneme v dnešní době běžnějším řešením a to hardwarovými routery. V první

řadě se routery dělí podle druhu síťového rozhraní, které router používá.[7]

6.1.1 RJ11 První možností je připojení přes telefonní kabel, tedy konektor RJ11, toto připojení využívají modemy a routery ADSL. Klasický případ, známý z mnoha domácností, je souběžně používaný internet a telefoní linka například od společnosti O2. V takovémto případě se používá malý rozdělovač - tzv. splittter, který rozdělí telefoní linku do dvou, s tím, že jedna část nadále poskytuje připojení pro telefon a druhá vede do modemu nebo routeru a poskytuje připojení k Internetu. Router je pak připojen buď přímo na telefonní linku, nebo je zde nejprve modem od poskytovatele a až po té router.

6.1.2 RJ45 Druhým možným konektorem je Ethernetový konektor - RJ-45. Ethernetový kabel se standardně používá pro LAN sítě a většinu routerů.

Struktura použitá v

domácnostech záleží na tom, jaké možnosti nabízí poskytovatel. Pokud využíváme modem s funkcí routeru, který je připojen na telefonní linku, ale má integrované i ethernetové porty, popř. nabízí i funkci wifi routeru, obvykle již není nutné přidávat žádné další aktivní prvky. Pokud máme od poskytovatele modem připojený na telefonní linku s jedním volným ethernetovým konektorem, je pro rozšíření připojení na více počítačů potřeba přidat další aktivní prvek, tedy router (wifi router). Další alternativou, 25

HW router

která je v dnešní době velmi rozšířená je kabelový internet, který poskytuje například UPC. Zapojení na straně uživatele je velmi podobné, buď má ve svém bytě vyveden modem, z kterého je internet veden standardním ethernetovým kabelem, nebo má ze zásuvky v bytě vyveden přímo ethernetový kabel, na který následně může připojit router. Neměl bych zapomenout na různé přenosové rychlosti portu RJ-45. Nejnižší používaná rychlost je 10 Mbit/s, dovoluji si říci, že nižší už se dnes nepoužívá. Vyšší přenosová rychlost, a to 100 Mbit/s, se již dnes běžně používá na firemních i domácích sítích. Pokud například chceme ve firmě zvýšit přenosovou rychlost interní sítě na 1Gbit/s, musí všechna síťová rozhraní í kabely tuto rychlost podporovat. U síťových rozhraní se tato rychlost značí takto 10/100/1000, v případě ethernetových kabelů je nutné použít minimálně UTP kategorie 5.

6.2

Wifi Dalším typem možného připojení je tzv. Wifi síť (Wireless Ethernet

Compatibility) aneb bezdrátově šířené připojení do sítě. Pro používání této technologie potřebujeme tzv. Wifi router, který nám, kromě připojení ethernetových kabelů, umožní i šíření signálu pomocí antény. U Wifi připojení je stejně jako u kabelového připojení více možných rychlostí. Nejpomalejším, dnes už minimálně používanou normou, je norma 802.11 s označením "b". Maximální rychlost tohoto připojení je 11Mbit/s. Další, dnes pravděpodobně stále nejrozšířenější, je norma 802.11 b/g s rychlostí 54Mbit/s. Nejrychlejší norma označená písmenem "n" má dvě verze, první pomalejší "draf-n" o rychlosti 150Mbit/s a rychlejší označenou pouze "n" s rychlostí 300 Mbit/s. Router s označením "n", který by měl mít tuto nejvyšší uvedenou rychlost poznáme jednoduše tak, že bude mít minimálně dvě antény. Když už je řeč o anténách, měl bych také uvést, že standardně pracují na frekvenci 2.4 GHz. Jelikož Wifi router již používá velké množství domácností a zmíněná frekvence je tedy hodně vytížena, nabízí se možnost využítí frekvence 5GHz. Pokud máme router, který na této frekvenci umí vysílat, je také nutné se ujistit, že všechna zařízení, která plánujeme k sítí připojit, jsou s touto frekvencí kompatibilní.

26

HW router

V případě že wifi připojení používáme, je nutné používat také dostatečné zabezpečení. Wifi síť může být, díky dosahu svého signálu, dostupná mnoha dalším wifi přijímačům v okolí a bez zabezpečení vystavujeme naši síť velkému riziku. Běžně používaná zabezpečení jsou tři. Začneme tím nejméně bezpečným, označeným jako WEP. Jedná se o poměrně starý způsob, který je navíc nekompatibilní s normou 802.11n. Další zásadní nevýhodou je fakt, že již byl mnohokrát prolomen a zkušenějšímu uživateli to může trvat cca 5 minut. Novějším šifrovací možností je WPA, kde již není problém z kompatibilitou, ale také již došlo k jeho prolomení. K prolomení je nutné více zkušeností a znalostí, ale je velmi reálné. Nakonec se dostáváme k nejbezpečnějšímu šifrování WPA2, které zatím prolomeno nebylo, problém je však kompatibilita například se staršímy operačními systémy, například nižší verze Windows (do XP SP2). [7]

6.3

Možnosti Routeru - přizpůsobení sítě Již známe základní funkci routeru, tedy že je určen pro propojování jednotlivých

podsítí (subnetů) mezi sebou a také do sítě Internet. Také již víme, jak toto zařízení fyzicky vypadá a jaké jsou možnosti jeho využítí. Neméně podstatnou částí, kterou budeme nyní pokračovat, jsou možnosti správy sítě, nastavování různých druhů restrikcí jako je například omezení obsahu přenášených rámců, restrikce rychlosti přípojení, omezení navštěvovaných webových stránek atd.. Router, v závislosti na své technické vybavenosti, nám kromě již popsaných standardních či nestadardních služeb umožňuje několik dalších funkcí, které si nyní podrobněji rozebereme. Mezi standardní resp. nezbytné funkce u routerů patří NAT a DHCP, jejichž funkci již dobře známe z předchozích kapitol. Routery nabízejí také další funkce, které rozšiřují jejich možnost přizpůsobení se požadavkům uživatele. Zde je přehled často dostupných a velice užitečných funkcí.

6.3.1 Filtrace WWW stránek Routery obvykle umožňují zakázat navštěvování konkrétních webových stránek.

27

HW router

6.3.2 IM (Instant messaging) blocking Většině, předpokládám dobře známá věc. Instant messaging aneb chatování (odesílání a přijímání zpráv) v reálném čase, kdy lze vidět, zda je druhá strana dostupná či nikoli a zprávy se přenášejí takřka okamžitě. Například ve firmách je velmi často nežádoucí, aby bylo možno tuto službu využívat a routery ji tedy díky "IM blocking" umí blokovat. Často je také možné zakázat pouze konkrétního IM klienta (aplikaci) a tedy ne IM obecně.

6.3.3 P2P (Peer-to-Peer) blocking V českém překladu "rovný s rovným", je dnes velmi známý a používaný způsob internetového sdílení dat. Specifické, pro tento způsob sdílení, je přímé propojení počítačů přes internet. Přenos dat není přenášen přes nějaký server, který obvykle funguje jako prostředník, ale přímo z pc do pc. Toto sdílení se velmi často využívá pro šíření nelegálních souborů jako filmů, hudby nebo počítačových programů. Výhodou takto komunikujících počítačů je, oproti standardnímu stahování, větší rychlost, která se s větším počtem uživatelů zvyšuje. [28]

6.3.4 Blokování obsahu (content blocking) Tato funkce umožňuje obvykle blokovat různé typy stahovaných souborů a také skripty používané při prohlížení internetu. Blokovat můžeme například soubory s příponami: exe, iso, doc, pdf, bat, scr, pif, reg, mpg, mp3, msi, wma, avi, mov, rar atd., pokud již router tuto funkci má, obvykle je seznam možných přípon poměrně dlouhý. Často lze také využít předdefinované skupiny, jako například Audio/video soubory apod. U takovýchto souborů lze obvykle blokovat jak jejich stahování tak odesílání. Možné je také blokování vybraných skriptů jako například: Popup Blokování automaticky otevíraných (vyskakovacích) oken, často využívaných na webových stránkách k zobrazování reklamy apod.

28

HW router

ActiveX Prvek využívaný v prohlížeči Internet Explorer, slouží jako doplněk pro interaktivní části některých webových stránek a pro používání některých doplňkových aplikací. Problémem ActiveX je způsob instalace, kdy se v některých případech instaluje dokonce bez potvrzení uživatele a je tak často využíván pro šíření škodlivých virů či spywarů. Java JavaScript je programovací jazyk často využívaný při tvorbě webů, který je vkládaný přímo do HTML kódu. Je obvykle určen pro spouštění různých grafických prvků či menších aplikací přímo na webových stránkách. Cookie Jsou tak označena data, které při prohlížení webových stránek (serverů) odesílá server prohlížeči, ten je pak při další návštěvě posílá serveru zpět. Je tak umožněno, aby si server daného návštěvníka pamatoval a při další návštěvě se návštěvníkovi "přizpůsobil". V případě Cookies je problémem právě získávání informací o uživateli, které pak teoreticky lze použít k porušení soukromí uživatele.[26]

6.3.5 VPN (Virtual Private Network) VPN umožňuje zabezpečené připojení počítačů z různých sítí. Počítači, který se pomocí VPN připojuje z jiné lokální sítě přes internet, je vytvořen tzv. tunel právě přes router cílové sítě. Totožnost obou počítačů je ověřena pomocí digitálních certifikátů. Takovéto spojení lze tedy považovat za zabezpečené i přesto, že je navázáno pomocí veřejné sítě Internet. Takto propojené počítače se chovají prakticky stejně, jako by byly oba v jedné společné lokální sítí.[6]

6.3.6 QOS (Quality of Service) Služba QOS je dostupná ve velkém množství prodávaných routerů. Tato služba umožňuje uživateli přidělení priorit určitým druhům datových toků. Lze tak tedy upřednostnit vybrané druhy datových toků, jako například video signálu, a zajistit jejich kvalitu i v případě vyššího vytížení sítě.[31] 29

Rozdíly SW/HW routeru

7

Rozdíly SW/HW routeru Pro routování lze využít dvě různé technologie, respektive dva různé druhy

routerů, více známé "hardwarové" (dále HW), využívané často v domácnostech, obvykle i s přístupovým bodem Wifi. Stejnou jako HW routery funkci mohou plnit i standardní

počítačové

sestavy

s

instalovaným

routovacím

programem

tedy

"softwarovým" (dále SW) routerem.7

7.1

HW router Jak je uvedeno v úvodu, v domácnostech jsou jistě častěji využívány HW routery,

naopak v některých středních a velkých firmách se například jako router využívá server s instalovaným SW routerem. Toto rozdělení pochopitelně neplatí striktně, obě řešení mají své výhody i nevýhody a rozdíly jejich kvality i rozpětí pořizovací ceny je poměrně veliké. V této části bych rád obecně porovnal základní rozdíly těchto dvou řešení, jejich výhody a nevýhody. Nejdříve se zaměřím na HW routery, což jsou zařízení určena výhradně pro routování, případně pro další služby jako VPN, Firewall apod..U levnějších zařízení například službu VPN nelze konfigurovat přímo na routeru, ale je k tomu nutné další zařízení na síti. U "vybavenějších" a tedy dražších routerů už tuto službu poskytuje přímo router. Zásadní výhodou HW routeru je již zmíněný fakt, že se router zaměřuje výhradně na routování a je tak na rozdíl od SW routeru eliminována možnost omezení fungování routeru díky jiné běžící aplikaci, která třeba s routerem vůbec nesouvisí. Problém u HW routerů jsou ale například pořizovací náklady, u levnějších modelů určených pro domácnosti jsou totiž málokdy dostupné zmíněné služby, nebo také možnosti nastavení restikcí rychlosti, obsahu stahování či QOS. Zařízení, které nám všechny tyto služby umožní lze koupit cca od 5tis.Kč, pokud se zaměříme na kvalitnější a spolehlivé značky.

30


7.2

SW router V případě že se zajímáme o SW routery, na základě svého průzkumu dostupných

variant takovýchto řešení mohu říci, že jejich dostupnost je oproti HW řešení poměrně omezená. U běžných uživatelů je důvodem jistě nenáročnost instalace standardního HW routeru. Dále to může být také fakt, že po prvotním nastavení se s routerem již nijak nemusí manipulovat a nehrozí tak problém způsobený například chybou uživatele během jeho používání. V tomto ohledu je SW router nebepečnější, protože pokud je router instalován na počítači, který je využíván i pro další běžné užívání, je zde riziko vyššího zatížení počítače a tedy i komplikaci pro zde fungující router. Posledním, ale neméně důležitým rozdílem, je i spotřeba elektrické energie. HW router bude mít jistě výrazně menší spotřebu než SW řešení. Jistě je vhodné využít počítač i pro jiný účel, který ale neohrozí fungování routeru.

7.3

SW routery - operační systémy V následující části se zaměřím na základní rozdělení možných SW routerů dle

použítého operačního systému. Momentální dostupné možnosti jsou v zásadě dvě, buď použijeme uživatelsky "přátelštější" a v dnešní době prakticky každému známý operační systém od Microsoft tedy Windows. Jako druhá možnost se nabízí zdarma distribuovaný operační systém Linux. Níže uvádím zakladní vlastnosti a rozdíly těchto operačních systémů.

7.3.1 Windows Produkt společnosti Microsoft, který je v dnešním počítačovém světě nejrozšířenějším operačním systémem vůbec. První verze byla na trh uvedena již v roce 1985 s názvem Windows 1.0. V roce 1990 vznikla verze Windows 3.0, která byla první komerčně úspěšnou verzí. Od té doby prošly operační systémy Windows velkým vývojem až do dnešní podoby. Aktuálně nejpoužívanější verze jsou Windows XP, Vista a Windows 7. Pokud bych nerozebíral detailněji tyto systémy, lze obecně říci, že 31


Windows Vista je z této trojice nejslabší. Toto tvrzení je jasně podloženo faktem, s jakou rychlostí po vydaní W Vista byl na trh uveden systém W7, který se na první pohled až tak zásadně od Vist neliší, ale svou funkčností a spolehlivostí je podstatně dále. Z pohledu uživatele jsou Windows velmi dobře známé, což logicky vychází z jejich dlouhodobé "nadvlády" v oblasti operačních systémů. Základní principy Windows se Microsoft snaží vždy zachovat a tím si pochopitelně udržet své zákazníky. Ač je systém Windows tolik oblíbený a využívaný, má i několik drobných vad, z kterých ne všechny trápí běžného uživale, ale spíše schopnější IT pracovníky. Prvním drobným problémem, který vnímají všichni uživatelé je jistě cena, základní verze Windows 7 pro domácí použítí lze koupit za cenu kolem 2 500 Kč, cena lépe vybavených verzí je pak od 3 300 Kč až do cca 7 000 Kč. Z problémů, které trápí spíše IT Administrátory je zásadní omezená možnost přizpůsobení systému oproti jiným dostupným OS na trhu. Dále pak nutno zmínit, že vzhledem ke své komplexnosti a uživatelsky maximálně přátelskému prostředí, jsou Windows poměrně náročné na vybavení uživatelského pc a díky množství běžící procesů nemusí být občas 100% stabilní, což na příklad v případě routeru může být poměrně zásadní problém.[12],[30]

7.3.2 Linux Linux je systém založený na operačním systému Unix. Základní charakteristikou je především to, že oproti ostatním operačním systémům jako například právě Windows, jsou distribuce Linuxu dostupné zdarma, tj. není nutné platit žádné licenční poplatky. Distribucí Linuxu je již opravdu veliké množství, což je způsobeno právě tím, že systém není omezen žádnou licencí. Linux je tzv. Open Source, každý kdo má dostatečné schopnosti si může Linux upravit dle svých potřeb. V tomto je další velká výhoda, kterou ocení především programátoři a jiní IT pracovníci. To co odborníci nebo počítačoví nadšenci ocení, naopak běžní uživatelé vnímají jako zásadní problém. K tomu, aby uživatel plně využil veškeré možnosti Linuxu potřebuje obvykle znát mnoho různých příkazů a dalších, ne zcela jednoduchých, postupů. V každém případě, i v tomto směru se Linuxové distribuce rychle posunují.

32


dnes již můžeme najít několik verzí, které využívají grafické rozhraní velmi podobné například systému Windows. Stále je zde další problém, a to omezená kompatibilita s různými softwary, i tento nedostatek je ale postupně odstraňován. Nutno říci, že velkou výhodou Linuxu je velká spolehlivost při jeho používání, díky malé náročnosti na HW je riziko nestability jistě o dost nižší než u Windows. Z pohledu mé práce a výběru vhodného SW routeru, jsou tak varianty založené na Linuxu zajímavé z důvodu jeho dostupnosti a spolehlivosti, problém by však mohl být v náročnosti jeho nastavení a následné údržby. [12],[29]

33


7.4

Použítý hardware Kromě použitého operačního systému, je také velmi důležité specifikovat

hardwarovou část routeru, tedy počítač, na kterém bude systém instalovaný. Pro tento účel jsem se rozhodl použít standardní konfiguraci klientského počítače používanou v naší společnosti. Myslím si, že pro obě varianty operačního systému by tato konfigurace měla být více než dostačující. Důležitá je pouze jedna úprava, bez které by router nemohl fungovat, a to přídání druhé síťové karty. Máme tedy jednu pro externí připojení a druhou pro interní síť. Detailnější popis použítého počítač je zde: Tabulka 5: HW parametry

34

Rešerše SW routerů

8

Rešerše SW routerů Pro výběr optimálního SW řešení bylo pochopitelně nutné uvážit veškeré

požadavky a také omezení z naší strany, dále pak velmi důkladně zmapovat dostupná řešení převážně pomocí internetu a následně z nich vybrat vítěze. Původní záměr byl orientovat se pouze na routovací programy pro Windows. Během analyzování dostupných programů a řekněme proniknutí do oblasti SW routerů, se ale původní zaměr začínal stále více zdát jako nedostatečný. SW routery pro Windows dostupné sice jsou, ale jejich výběr není tak veliký, jak jsem předpokládal. Postupně jsem dospěl k názoru, že pokud bych omezil výběr pouze na router instalovaný na Windows, vynechal bych tak velmi zásadní čast a to využítí Linuxové distribuce pro tento účel. O této možnosti jsem pochopitelně vědel již na začátku, ale vzhledem k mým pouze základním znalostem Linuxu jsem toto řešení považoval v mém případě za vyloučené. V první fázi výběru SW routeru bylo nutné omezit výběr routerů tak, aby bylo možné aplikovat testování a porovnání konkrétních vlastností. Rozhodl jsem se zvolit tři routery instalované na Windows a tři Linuxové distribuce, které jsou uzpůsobeny pro routování. Pro zúžení výběru jsem si určil tři základní parametry, dle kterých jsem nakonec omezil produkty na šest konkrétních pro testování. Základní parametry byly tyto: 1) Zdroj: dostatečné informace, dostupný manuál, důvěryhodnost 2) HW/SW kompatibilita: jsem omezen HW, který mohu použít, v případě windows je nutné vybrat takový produkt, který bude kompatibilní s verzí která je k dispozici 3) Složitost: testovací instalace, zběžná prohlídka programu a zkouška základního nastavení Pro hledání jsem použil vyhledávač Google.com, do kterého jsem postupně zadával klíčová slova jako (sw router, software router, linux router, windows router apod.). Během vyhledávání Linuxových routerů jsem zjistil, že je v této oblastni podstatně větší nabídka než pro Windows. Zajímaly mne pouze ty, které umožňují 35

Rešerše SW routerů

správu pomocí webového rozhraní. A to z důvodu možnosti následné správy i někým, kdo s Linuxem neumí pracovat. Kromě tří nakonec vybraných jsem zkoušel také tyto: BrazilFW, Feesco, Mkrotik RouterOS, Vyatta, Zeroshell, M0n0wall. U uvedených routerů jsem měl obvykle problémy již během instalace či se základním nastavením. Výběr neměl trvat mnoho času a proto jsem nakonec zvolil takové programy, s kterými jsem neměl hned od počátku zásadní potíže a také o kterých jsem se během hledání dočetl nejvíce pozitivních informací. Při hledání Windows routerů jsem měl podstatně větší potíže než v případě Linuxu. Z toho co jsem se dočetl není toto řešení obecně uživately velmi podporováno a z toho vychází i fakt, že množství Windows aplikací určených pro routování je poměrně málo. Nakonec se mi podařilo vybrat tři varianty, z nichž jedna je samotný operační systém Windows, který také nabízí základní služby routeru a měl by tak být do mého testování zapojen. Další testovaný, ale nakonec nevybraný program byl například Nat32v2. Konečný výběr šesti routerů pro testování tedy vypadal takto: Tabulka 6: Vybrané SW routery pro testování Linux Smoothwall

Windows WOOWEBPRO V5

IPCop

Kerio Control

ClearOS

Windows Server 2003

36

Testování vybraných SW routerů

9

Testování vybraných SW routerů Následující kapitola je pro celou práci jednou z nejdůležitějších. Cílem této

kapitoly bude porovnat vybrané SW routery a zvolit optimální variantu pro implementaci v naší firmě.

9.1

Sledované parametry a metody testování Nejprve vysvětlím jaké parametry a jakým způsobem budu porovnávat. Prioritu

přikládám především možnostem routeru z pohledu úrovně možné správy sítě a kvality rozhraní pro administraci routeru. Dalším faktorem je důvěryhodnost dodavatele a cena případné licence. Menší prioritu budou mít dva provedené testy v provozu, u kterých můžou mít vliv i jiné vnější faktory.

9.1.1 Zdroj, pořizovací náklady Při výběru routeru se stejně jako při výběru jiných produktů v první řadě zaměřuji na zdroj tedy reference dodavatele, zkušenosti jiných uživatelů a tedy ověření, že produkt opravdu funguje a pokud se mu budu věnovat nebude to ztráta času. Do tohoto patří nepochybně i vzhled internetových stránek dodavatele a kvalita zde uvedených informací. Pokud se výše uvedené zdá v pořádku dalším důležitým kritériem je případná cena licence za vybraný produkt. V tomto ohledu lze předpokládat, že Linux bude mít jistou převahu jelikož jeho distribuce nejsou obvykle zpoplatněny.

9.1.2 Vybavení Routeru Velice zásadní pro výběr je vybavenost jednotlivých routerů. Bude mne zajímat, jaké možnosti pro správu sítě router nabízí. Důležité je jaké různé restrikce lze pomocí routeru nastavit, stejně tak jaké nástroje pro zabezpečení má router integrovány.

37


9.1.3 Konfigurace - Údržba Cílem je vybrat router, který kromě toho, že bude umožnovat určité služby, bude také natolik uživatelsky přátelský, že tyto možnosti budu schopen plně využívat. V budoucnu lze předpokládat, že bude správu routru provádět například můj nástpuce, který nemusí být schopen spravovat složitý Linux router. Rozhodně tedy není cílem nakonfigurovat a začít používat maximálně složitý router, který sice může fungovat nejlépe, ale který bychom nebyli schopni plně spravovat.

9.1.4 Metody testování Pro výběr optimálního routeru jsem se rozhodl provést také praktické testování každého routeru. Testování bude probíhat na počítači, který je přímo připojen utp kabelem do routeru.. Každý test bude trvat 10 minut. Během testu budu pravidelně simulovat přenost dat od počítače až k jeho výchozí bráně, která se nachází na routeru od ISP . V počítači budu v pravidelných intervalech odesílat a stahovat zadané množství dat, čímž nasimuluji tok dat na sítí a zjistím jak bude reagovat router.

9.1.5 Traffic Simulation (simulace datového toku) Pro simulaci přenosu příchozích a odchozích dat budu používat aplikaci "LAN Tornado". Zde si nastavím IP adresu, výchozí bránu testovaného routeru, aplikace nasimuluje tok dat mezi klientským počítačem a výchozí bránou a zvýší tak zatížení routeru. Objem přenášených dat se bude postupně zvyšovat, jak lze vidět na diagramu níže. První dvě minuty to bude 10mbps, následující tři minuty 50mbps a posledních pět minut 100mbps. Po celou dobu testování si můj počítač bude testovat připojení k internetu pomocí příkazu "ping" na webovou stránku www.google.com. Pro ping test použiji standardní cmd tedy příkazový řadek ve Windows. Výsledkem bude množství ztracený paketů za dobu testování. Pro testování rychlosti použiji nástroj na stránkách www.rychlost.cz. Výsledkem budou průměrné hodnoty ze 38


zjištěných výsledků, tedy rychlost download a upload v kbit/s. Dále je zde testována odezva (ping) udávaná v milisekundách, která měří dobu potřebnou ke spojení se serverem na internetu a zpět. Poslední hodnotou je stabilita připojení v procentech. K tomuto testu bych rád dodal, že vzhledem k poměrně zásadnímu působení vnějších vlivů, jelikož se test provádí se vzdáleným serverem, nemá získaný parametr rozhodující váhu a slouží spíše jako doplňkový k ostatním podstatnějším vlastnostem a možnostem testovaného softwaru. Pro lepší představu celého testu jsem vytvořil diagram, který jednotlivé kroky zachycuje. Každý test bude trvat 10 minut.

Obrázek 5: Průběh testu

9.2

Testované Linux routery

9.2.1 IPCop Jako první jsem pro testování zvolil SW router IPCop. IPcop je linuxová distribuce určená pro routování a jako firewall pro sítě LAN. IPCop patří do dnes již poměrně dlouhého seznamu takto specializovaných

linuxových

distribucí. Jeho počátky byly v projektu nazvaném "Smoothwall".

Obrázek 6: IPCop konfigurace

39


Operační systém IPCop je dostupný ke stažení na internetových stránkach http://www.ipcop.org/. Zde jsem si stáhnul obraz instalačního disku, který jsem následně vypálil na standardní disk CD. Po vložení disku a zpuštění instalace naběhne vcelku jednoduchý a jasný instalační průvodce, kde jsem postupně nastavil základní parametry samotného programu i jednotlivých síťových rozhraní, tedy WAN a LAN sítě. Důležitým plusem je jistě to, že během celé instalace je všechno prováděné nastavení velice intuitivní a bude ho tak schopen provést i jen mírně pokročilý uživatel, zvyklí na prostředí systému Windows. Po skončení instalace a nutném restartu systému, a již není třeba přímo v linuxovém rozhraní cokoli nastavovat. Pro veškerá další nastavení lze využít webové rozhraní, které je dle mého názoru poměrně přehledné a neměl jsem tedy zásadní problém se zde orientovat a případně nastavit co bylo potřeba. Velice dobře je zde vyřešena také nápověda, kdy k většině bodů nastavení jsou připraveny obrázky zobrazující vzorové nastavení, kterým se může uživatel inspirovat.

40


Ping test(test odezvy od www.google.com)

Tabulka 7: IPCop test

Ping statistics for 74.125.39.147: Packets: Sent = 241, Received = 171, Lost = 70 (29% loss) Approximate round trip times in milli-seconds: Minimum = 9ms, Maximum = 13ms, Average = 9ms V tabulce je zaznamenaný celkový počet odeslaných a přijatých paketů. Pro mé testování je důležité především procento ztracených paketů, protože právě tento parametr bude dále použit v přímém porovnání s ostatními routery. Pokud stručně ohodnotím celkový dojem z routeru, tak musím přiznat, že jsem byl z výsledků zátěžového testu mírně překvapený. Přestože vypadají routery IPCop a Smoothwall v mnoha ohledech velice podobně, výsledky tohoto testu mají velmi rozdílné. [16]

9.2.2 Smoothwall Dalším testovaným routerem, který stejně jako předchozí router vychází z operačního

systému

Linux

se

jmenuje

Smoothwall. Veškeré informace o tomto routeru či nové aktualizace jsou dostupné na domovské stránce www.smoothwall.org. Instalace je zde

praticky

testovaným

totožná

routerem

s IPCop,

předchozím což

je

způsobeno tím, co jsem již zmiňoval, že IPCop má své počátky právě v původním projektu Smoothwall. Obrázek 7: Smothwall konfigurace Díky zkušenosti s IPCop jsem tak neměl během configurace tohoto routeru žádné zásadní problémy. Lze říci, že jsou oba tyto routery téměř stejné.

41


Oba umožňují například službu Web proxy, kterou využijeme například u často navštěvovaných stránek. Proxy si často používané dotazy, jako například požadavky na DNS nebo loga z často navštěvovaných stránek, uloží do vyrovnávací paměti a při dalším dotazu na ně, je již posílá klientovy přímo a není tak nutné aby se klient dotazoval až na cílový server. Jsou zde bohužel také možnosti, které tyto routery nenabízejí, a to filtrování obsahu, resp. lze filtrovat pouze určené URL, IP adresy a domény, ale není možné blokovat určitě typy souborů jako .exe, .iso,.zip apod. Ping test (test odezvy od www.google.com)

Tabulka 8: Smoothwall test

Ping statistics for 74.125.39.105: Packets: Sent = 584, Received = 579, Lost = 5 (0% loss) Approximate round trip times in milli-seconds: Minimum = 9ms, Maximum = 15ms, Average = 9ms

Z "ping" testu je evidentní, že router Smoothwall dopadl podstatně lépe než konkurenčí produkt IPCop. [17]

42


9.2.3 ClearOS Posledni linuxová distribuce, kterou jsem pro testování zvolil se jmenuje ClearOS. Jde serverovou distribucí, u které je na první pohled patrný vcelku oproti

velký

ostatním,

rozdíl

například

dvěma linux routerům, které jsem již testoval. Přestože je aplikace zdarma(+18 měsíců aktualizace oproti

zabezpečení),

ostatním

je

možnostem

podstatně komplexnější a tedy nabízí výrazně více možností pro správu sítě. Obrázek 8: ClearOS konfigurace Kromě všech vlastností co umožňují ostatní distribuce, zahrnuje ClearOS i velmi široké možnosti správy samotného serveru. Lze zde konfigurovat a používat služby jako: File a Print services, Mail server, Mail filtering (Antispam,Antimalware), archivaci e-mailu, SQL databáze nebo Web server s podporou PHP. Na první pohled se může tento SW zdát až podezřele dobře vybaven, ale jak dodavatel, tak samotný software působí velice solidně a po jisté době testování se mi stále více potvrzuje, že uváděné parametry rozhodně nejsou přehnané. Instalace není nijak výrazně náročnější než u předchozích routerů. Po prvním přihlášení, přišlo další malé překvapení, protože tato distribuce jako jediná z testovaných nabízí intuitivní uživatelské rozhraní i přímo na serveru né pouze pomocí přístupu přes web z jiného pc. Jak jsem již psal, tato distribuce je dostupná zdarma, je však nutné si ji zaregistrovat. Po dobu 18ti měsíců od istalace je zdarma také aktulizace bezpečnostních prvků, po uplynutí je nutné si aktualizace zaplatit.

43


Ping test (test odezvy od www.google.com)

Tabulka 9: ClearOS test


Závěrem nutno dodat, že i přes neuspokojivé výsledky při testování, je ClearOS zdaleka nejlépe vybaveným SW routerem z do této doby testovaných a také, jak jsem již uváděl v úvodu této kapitoly, nelze brát výsledky měření rychlosti jako rozhodující parametry pro konečný výběr. [18]

9.3

Testováné Windows routerů Na rozdíl od Linux distribucí, kde jednotlivé routery jsou modifikované

operačními systémy, v případě Windows jde o programy instalované do prostředí standardní verze. Dostupných SW řešení pro Windows nebylo zdaleka tak mnoho, jako pro operační systém Linux, i tak se našlo několik šikovných aplikací, které rozhodně Linuxu konkurují. Nakonec jsem se rohodl otestovat dva SW routery od externich dodavatelů a jako třetí budu testovat samotný Windows, který v některých verzích může být využíván jako router. Pro testování všech tří variant budu používat verzi Windows Server 2003 Standard Edition.

44


9.3.1 Windows Server 2003 (DHCP,DNS server) Konfigurace ws2003 jako routeru není nijak složitá. Stačí přidat tuto roli serveru v konfiguračních nástrojích a poté pomocí jednoduchého průvodce vše nastavit. Přestože tato role nabízí poměrně dost možností, jak síť spravovat, v porovnání se softwary, které jsem testoval, mě tato možnost výrazně

nezaujala.

opravdu

zdůraznit bezproblémovou

Nutno

konfiguraci,

kterou zvládne i běžný uživatel. Nedostatkem tohoto řešení jsou opět omezené možnosti filtrování obsahu přenášených dat.

Obrázek 9: Windows konfigurace Během mého záťežového testu dopadl Windows server velmi dobře, což mě překvapilo, protože při běžném používaní jsem měl spíše opačný dojem. V každém případě je to řešení, které funguje, ale je zde pochopitelně problém s dalším rozvojem, který už lze jen težko na této starší serverové verzi očekávat. Nástupcem je poslední serverová verze Windows Server 2008, kterému tuto roli lze také nakonfigurovat. Bohužel nemám možnost tuto verzi otestovat, nicméně vzhledem k poměrně málemu množstvý dostupných řešení pro Windows, je použítí Serveru 2008 jistě dobrou volbou.

45


Ping test (test odezvy od www.google.com)

Tabulka 10: Windows Server. test

Ping statistics for 209.85.148.99: Packets: Sent = 727, Received = 726, Lost = 1 (0% loss), Approximate round trip times in milli-seconds: Minimum = 9ms, Maximum = 29ms, Average = 9ms

Z obou testů působí Windows server velice spolehlivě, což rozhodně nijak nevylučuji. Bohužel se zde projevilo vyšší vytížení hardwaru systémem Windows oproti Linuxu, díky kterému je reakce routeru výrazně pomalejší oproti Linuxovým řešením. Bude zajímavé v následujících testech zjistit, jestli se s tímto problémem další dvě aplikace vyrovnají lépe než integrovaný Windows router.[19]

46


9.3.2 WOOWEB-PRO V5 Wooweb-Pro

V5

je

aplikace

vydaná

společností

Prosum

(http://www.prosum.net/wwp_E.html) Wooweb router se instaluje zcela jednoduše, během istalace není třeba nic nastavovat. Po prvním přihlášení je zde pro začátečníky k dispozici tzv. "Quick setup", kde nastavíme

pouze

nebytné

minimum a hned můžeme router používat.

Pro

pokročilejší

uživatele jsou přístupné také detailní karty jednotlivých částí routeru, které umožňují velmi jednoduše definovat požadované restrikce. Obrázek 10: Wooweb konfigurace Router je schopen spravovat až 4 Lan sítě najednou. Je možné omezovat rychlost stahovaní i různé nežádoucí protokoly. Tato část je ale neúplná, nelze filtrovat obsah stahovaní, tato funkce je dostupná pouze ve vyšší verzi. Jelikož se jedná o "Windows router", je licence tohoto programu zpoplatněna, pro testování je dostupná Trial verze na 30 dní. Výsledky zátěžových testů jsou v průměru. Při používání v praxi na mě tento produkt působí lépe než předchozí router vytvořený přimo z Windows Server 2003. Při prohlížení stránek a stahování souborů je router stabilnější než předchozí řešení.[20]

47


Ping test(test odezvy od www.google.com)

Tabulka 11: Wooweb test


9.3.3 Kerio Control Aplikace Kerio Control je dodávána společností Kerio Technologies, která se na trhu zabezpečovacích systémů pohybuje od roku 1997. Předchůdcem Kerio Control byl software WinRoute Pro. Když jsem se poprvé začal zajímat o téma své bakalářské práce a začal jsem shromažďovat materiály, nedařilo

dlouho najít

se

mi

rovnocenný

software ke Kerio Control. Kerio splňuje veškeré mé požadavky na vhodný SW router.

Obrázek 11: Kerio konfigurace Kromě plné vybavenosti je Kerio také maximálně přizpůsobeno pro jednoduchou správu i v případě, že ji má provádět méně zkušený uživatel. Jelikož jde opět o aplikaci instalovanou na Windows je její licence zpoplatněna. V tomto případě si myslím, že je poplatek za licenci přijatelný, protože jde opravdu o velmi šikovný nástroj pro komplexní správu sítě. Z pohledu mého průzkumu dostupnosti podobných softwarů je pak poplatek za licenci ještě více opodstatněný. Podobně uživatelsky "přátelskou" a zároveň takto vybavenou aplikaci jsem našel pouze jednu a to Linux distribuci ClearOS, která v porovnání s Keriem má výhodu, že jezdarma, přitom její instalace, konfigurace a správa nejsou výrazně složitější. ClearOS má navíc integrovány nástroje pro správu 48


serveru, které ale Kerio nepotřebuje, protože je instalováno na Windows, které ve svých serverových verzích podobné nástroje pochopitelné mají. [21] Ping test(test odezvy od www.google.com)

Tabulka 12: Kerio test

Ping statistics for 74.125.39.106: Packets: Sent = 258, Received = 195, Lost = 63 (24% loss) Approximate round trip times in milli-seconds: inimum = 9ms, Maximum = 36ms, Average = 9ms

9.4

Test rychlosti jednotlivých routerů Tabulka 13: Měření rychlosti Down

Up

Odezva

Stabilita

kbit/s

kbit/s

min(ms)

%

IPCop

1247.50

479.37

4.67

4.47

Smoothwall

2175.00

5628.33

6.17

2.92

ClearOS

1359.00

2738.50

5.00

8.78

stability

Windows router

3283.83

6116.33

5.17

4.53

připojení, tedy poslední sloupec v následující

Wooweb-PRO V5

877.83

566.00

5.33

3.22

Kerio Control

4335.67

2987.33

6.17

18.83

Během zátěžového testu prošel každý

Název

router také testem rychlosti pomocí online nástroje www.rychlost.cz. V tabulce lze vidět průměrné hodnoty z pěti provedených testů. Pro výběr

tabulce.

bude

duležitý

výsledek

49

Porovnání parametrů a výběr optimální varianty

10 Porovnání parametrů a výběr optimální varianty Na základě všech parametrů a informací zjištěných během testování o jednotlivých SW routerech, jsem vybral nejdůležitější parametry a provedl jsem jejich porovnání. Pro zajištění maximální transparentnosti výběru, jsem zvolil metodu párového porovnání. U jednotlivých routerů porovnám vybráné parametry vždy postupně se všemi ostatními variantami, tedy každý s každým. Pochopitelně tato metoda není zcela dostačující, protože nebere v úvahu naši preferenci jednotlivých parametrů. Aby výběr rozlišoval důležitost parametrů, provedl jsem jejich bodové ohodnocení právě na základě mých preferencí. Dále jsem vypočítal hodnotu váhy každého parametru. Výpočítanou váhu použiji k přepočtení výsledků dílčích porovnání, v rámci jednoho parametru, a zajistím tak smysluplnost dalšího porovnávání již sumarizovaných výsledků. Tabulka 14: Váhy

Parametr

Důležitost(pořadí) 1=nejdůležitější

Bodové hodnocení

Váhy

Vybavenost (Content Filter, VPN, QOS, Firewall)

1

6.5

0.23

Náročnost správy routeru během používání(grafické rozhraní, přehlednost)

1

6.5

0.23

Náročnost instalace

2

5

0.18

Cena (operačního systému, samotného routeru)

3

4

0.14

Dodavatel (spolehlivost,reference, )

4

3

0.11

Zátěžový test - ztracené pakety

5

1.5

0.05

Zátěžový test - stabilita

5

1.5

0.05

V tabulce č.14 můžeme vidět bodové ohodnocení a následně vypočítané váhy jednotlivých parametrů na základě jejich důležitosti.

50


10.1 Párové srovnání možných variant na úrovni konkrétních parametrů

Vybavenost routeru Vybavenost

IPCop

IPCop

Tabulka 15: Vybavenost routeru Smoothwall

ClearOS

Windows router

Wooweb-PRO V5

Kerio Control

Body celkem

0.5

0

1

1

0

2.5

0

1

1

0

2.5

1

1

1

5

1

0

1

0

0

Smoothwall

0.5

ClearOS

1

1

Windows router

0

0

0

Wooweb-PRO V5

0

0

0

0

Kerio Control

1

1

0

1

1

4

Jedním ze dvou nejdůležitějších parametrů je tzv. vybavenost routeru, tedy množství nástrojů pro zabezpečení sítě, filtrování obsahu či nastavení restrikcí pro připojené podsítě a jednotlivé klientské počítače. Nejlépe v tomto hodnocení dopadl linux router - ClearOS, který oproti ostatním nabízí kromě kompletní palety nástrojů pro správu, také rozšířené bezpečnostní prvky a umožňuje nastavení například sdílených složek a dalších užitečných služeb. Správa routeru Správa

Tabulka 16: Správa IPCop

IPCop

Smoothwall

ClearOS

Windows router

Wooweb-PRO V5

Kerio Control

Body celkem

0

0

1

1

0

2

0

1

1

0

3

1

1

0

4

1

0

1

0

0

Smoothwall

1

ClearOS

1

1

Windows router

0

0

0

Wooweb-PRO V5

0

0

0

0

Kerio Control

1

1

1

1

1

5

Ve druhé tabulce porovnávám složitost nastavení a následné správy routeru. Dle mého názoru je v tomto ohledu nejlepší Kerio Control, které je ze všech variant uživatelsky "nejpřátelštější", tedy maximálně intuitivní a může ho jistě ovládat i uživatel, který má pouze základní znalosti této problematiky.

51


Instalace routeru Instalace

Tabulka 17: Instalace

IPCop

IPCop

Smoothwall

ClearOS

Windows router

Wooweb-PRO V5

Kerio Control

Body celkem

0.5

0

1

0

1

2.5

0

1

0

1

2.5

1

0

1

4

0

0

0

1

5

Smoothwall

0.5

ClearOS

1

1

Windows router

0

0

0

Wooweb-PRO V5

1

1

1

1

Kerio Control

1

1

0

1

0

3

Tabulka Instalace porovnává náročnost instalace jednotlivých routerů. Zaměřuji se pouze na proces instalace, tedy porovnání hrubých časových nároků na instalaci a také složitost kroků potřebných pro základní fungování routeru vykonaných během či následně po první instalaci. Nejlépe dopadl Wooweb, který je nainstalován nesrovnatelně rychleji oproti ostatním a pro základní konfiguraci nabízí velice jednoduchého úvodního průvodce. K tomuto srovnání bych rád podotknul, že instalace žádného z routerů nebyla výrazně složitá, porovnávám zhruba počet nutných kroků k základnímu nastavení nezbytných vlastností a tedy zajištění fungování routeru bez volitelných rozšířených úprav.

52


Cena operačního systému/routeru Cena

IPCop

Tabulka 18: Cena

Smoothwall

ClearOS

Windows router

Wooweb-PRO V5

Kerio Control

Body celkem

0.5

1

1

1

1

4.5

1

1

1

1

4.5

1

1

1

3

1

1

2

1

1

IPCop

Smoothwall

0.5

ClearOS

0

0

Windows router

0

0

0

Wooweb-PRO V5

0

0

0

0

Kerio Control

0

0

0

0

0

0

V tomto porovnání jednoznačně dominují routery vytvořené z linuxových distribucí, protože prakticky všechny jsou zdarma. Routery instalované na Windows vyžadují minimálně zakoupení licence právě pro Windows, pokud se nejedná přímo o nástroj integrovaný do operačního systému, je pak každý z routerů také zpoplatněn. Vyjímkou z linuxových routerů je ClearOS, kde je po 18 měsících od instalace zastavena aktualizace antivirových nástrojů a v případě zájmu o ně, je nutné si aktualizaci zaplatit. Dodavatel Dodavatel

Tabulka 19: Dodavatel IPCop

IPCop

Smoothwall

ClearOS

Windows router

Wooweb-PRO V5

Kerio Control

Body celkem

0

0

0

1

0

1

0

0

1

0

2

0

1

0

3

1

1

5

0

0

Smoothwall

1

ClearOS

1

1

Windows router

1

1

1

Wooweb-PRO V5

0

0

0

0

Kerio Control

1

1

1

0

1

4

Pro úplné porovnání všech variant je nezbytné zhodnotit také zdroj každého Softwaru. Hodnocení bylo spíše subjektivní, zaměřil jsem se na celkový pocit z prezentace dodavatele, vzhledu stránek, množství a kvalitu dostupných informací k distribuovanému řešení. Nejlépe si zde vcelku pochopitelně vedl Windows, jelikož společnost Microsoft je prakticky pro všechny známým gigantem v počítačovém světě. Na druhém místě se umístil produkt Kerio Control, respektive dodavatel společnost Kerio Technologies, který v oblasti síťové ochrany je již velmi dlouho dobře známý. 53


Má jistota je podložena kladnými recenzemi a, v neposlední řadě, velice propracovaným způsobem webové prezentace. Stabilita připojení Zátěžový test ztracené pakety

IPCop

IPCop

Tabulka 20, 21: Stabilita, rychlost

Smoothwall

ClearOS

Windows router

Wooweb-PRO V5

Kerio Control

Body celkem

0

0

0

0

0

0

1

0.5

1

1

4.5

0

1

1

3

1

1

4.5

1

2

0

1

Smoothwall

1

ClearOS

1

0

Windows router

1

0.5

1

Wooweb-PRO V5

1

0

0

0

Kerio Control

1

0

0

0

Zátěžový test stabilita

IPCop

IPCop

Smoothwall

ClearOS

Windows router

Wooweb-PRO V5

Kerio Control

Body celkem

1

0

0

0

0

1

0

0

0

0

0

1

1

0

4

1

0

3

0

2

Smoothwall

0

ClearOS

1

1

Windows router

1

1

0

Wooweb-PRO V5

1

1

0

0

Kerio Control

1

1

1

1

1

5

Následující dvě tabulky porovnávají výsledky mnou prováděných testů stability a spolehlivosti připojení pomocí procentuelního vyčíslení množství ztracených paketů a stability připojení.

10.2 Závěrečné hodnocení - pořádí SW routerů

Pro závěrečné komplexní porovnání všech dílčích testů a zjištění nejlépe vyhovujícího řešení, jsem vytvořil tabulku sumarizující všechny důležité hodnoty. V tabulce jsou zobrazeny jednotlivé hodnoty před i po přepočtení stanovenou váhou konkrétního parametru. Toto upravené hodnocení paramaterů je následně sečteno do konečných výsledků. První místo získává router s nejvyšším součtem dílčích hodnocení. Pořadí prvních tří routerů je tedy následovné : 1. ClearOS (linux) 2. Dělené mezi Smoothwall a Kerio Control 3.Windows Server 2003 konfigurovaný jako router

54


Dostal jsem se tedy do fáze, kdy mám vybraný Software router, který budu implementovat jako konečné řešení na naši firemní internetovou síť. Pořadí na prvních třech místech mě výrazně nepřekvapila. Původně jsem sice předpokládal vítězství routeru Kerio Control, to jsem se ale ještě neseznámil s ClearOS. Dle mého názoru jsou tyto routery svým přizpůsobením uživateli na srovnatelné úrovni, ClearOS působí více jako nástroj pro větší firmu, Kerio však není výrazně pozadu. Zásadními výhodami ClearOS oproti Kerio Control, je v první řadě cena, dále také předpokládaná větší spolehlivost celého systému, který je na linuxovém základu.

Tabulka 22: Výsledky Souhrnná tabulka možných variant a sledovaných parametrů Vybavenost

0.23

Správa

0.23

Instalace

0.18

Cena

0.14

Dodavatel

0.11

Zátěžový test ztracené pakety

0.05

Zátěžový test stabilita

0.05

P

K

P

K

P

K

P

K

P

K

P

K

P

K

IPCop

2.5

0.58

2

0.46

2.5

0.45

4.5

0.64

1

0.11

0

0.00

1

0.46

2.71

Smoothwall

2.5

0.58

3

0.70

2.5

0.58

4.5

1.04

2

0.46

4.5

1.04

0

0.70

5.11

Kritérium / Váha

CELKEM

ClearOS

5

1.16

4

0.93

4

0.93

3

0.70

3

0.70

3

0.70

4

0.93

6.04

Windows router

1

0.23

1

0.23

0

0.00

2

0.46

5

1.16

4.5

1.04

3

0.23

3.37

Wooweb-PRO V5

0

0.00

0

0.00

5

1.16

1

0.23

0

0.00

2

0.46

2

0.00

1.86

Kerio Control

4

0.93

5

1.16

3

0.70

0

0.00

4

0.93

1

0.23

5

1.16

5.11

P: původní hodnota bez vlivu vah, K: končená hodnota

55

Implementace vybraného routeru a Testování

11 Implementace vybraného routeru a Testování V závěrečné části mě bakalářské práce, se budu věnovat instalaci a nastavení vybraného routeru, následně pak vysvětlení aktualního řešení v naší společnosti a porovnáním původního a nového řešení.

11.1 Aktuální stav

Síť na kterou se chystám implementovat vybraný router, aktuálně využívá standardní HW řešení. Kabelem vedený internet od ISP, je připojen do routeru Airlive RS-1200. Tento router umožňuje rozšířenou správu sítě zahrnující: NAT, Firewall, VPN, blokování obsahu datového toku a omezení rychlosti pro příjem a odesílání Funkcí je pochopitelně více, jmenuji pouze ty nejdůležitější. K možnostem routeru nemáme žádné výhrady, dostupná úroveň správy sítě je jistě dostatečná. Jak již jsem uváděl v úvodu celé práce, tato síť slouží pro naše zaměstanance pouze jako pomocná, a z ohledem na to nebylo záměrem, investovat do nového řešení vysoké finnanční prostředky. Cílem je zvýšit stabilitu bez nutnosti vysokých výdajů. Síť je kromě našich zaměstnanců poskytována také nájemcům, kterým je zpoplatněna, při hledání řešení je tedy nutné brát ohledy i na tento fakt. Aktuální řešení nevyhovuje nejen nájemcům, u který se čas od času projevují různé problémy, ale i našim plánům na postupně větší využívání tohoto připojení.

11.2 Nedostatky aktuálního řešení

Společný problém pro všechny uživatele je již zmíněná stabilita. Pravidelně mne informují nájemci o náhlém zpomalení či přímo zaseknutí internetového připojení. Zaměřím se na tři konkrétní problémy, které se zde již dlouhodobě objevují a které by především měl nový SW router odstranit.

56


11.2.1 Klientská web aplikace Hlavním důvodem, proč bylo nutné hledat nové řešení tohoto internetového připojení, je nově zaváďená webová aplikace. Tato aplikace již běží v testovací provozu a velmi brzo bude uvedena do ostrého provozu. Aplikace bude určena pro naše klienty, a z předběžných informací bude takovýchto klientů poměrně veliké množství. Aktuálně sice není router díky aplikaci výrazně vytížen, ale již během testovacího provozu se občas objevily problémy s jeho stabilitou a byl to tedy jasný signál, že pro spolehlivé fungování aplikace bude nutné hledat jiné řešení.

11.2.2 VPN Administrace Kromě uživatelů, potřebuje do aplikace přistupovat také programátor, od kterého je velmi často nutný rychlý zásah,především během implementace a testování. Do administrace přistupuje přes přípojení VPN, které je ale nespolehlivé a zhruba v polovině případů je nutné router restartovat, aby bylo připojení možné. Restart routeru komplikuje i pracovní podmínky nájemců případně našich zaměstanců, protože po každém restartu router nabíhá cca pět minut

11.2.3 E-mail komunikace Další komplikace se vyskytují například při odesílání větších množství e-mailů najednou. Konkrétní problém máme u jednoho z nájemců, který pravidelně rozesílá hromadné e-maily na několik set adresátů. V takovémto případě se velmi často připojení na určitou dobu výrazně zpomalí neboť je zahlceno přenosem velkého množství dat. Vybraný SW router splňuje maximálně naše požadavky na vybavení a výši pořizovacích nákladů.

11.3 Instalace/konfigurace ClearOS

Diagram aktivit zachycuje všechny kroky, kterými je nutné projít během instalace ClaearOS. Kroky které jsem během instalace volil já, jsou označeny červeně.

57


Obrázek 12: Diagram aktivit - instalace ClearOS

V této části zdokumentuji nasazení routeru ClearOS do naší sítě. Zaměřím se především na proces instalace a nastavení základních parametrů. Pro lepší přehlednost toto uvádím na obrázku č. 12. ClearOS lze instalovat z ISO disku, nebo ze standardního CD disku.

58


Instalace a základní konfigurace ClearOS nepřínáší žádné zásadní komplikace. Po spuštění instalace z instalačního CD či ISO souboru například z FTP serveru, se automaticky provede úvodní nastavení, které trvá pouze pár minut. Poté již přichází na řadu samotná konfigurace základních parametrů a doinstalování systému. Během této prvotní konfigurace si zvolím způsob instalace a nastavím adresy obou síťových karet. Důležitou částí celého nastavení, je výběr podporovaných služeb, které je možno editovat pouze při instalaci a v budoucnu by tak nerozvážná volba v tomto kroku, mohla znamenat reinstalaci celého routeru. Celkově je nastavení velmi intuitivní a není třeba ho dále rozvádět nad rámec diagramu aktivit na obrázku č. 12. Po restartu počítače a opětovném naběhnutí routeru se veškerá nastavení a dodatečné konfigurace přesunují do velmi příjemného a jednoduchého konfiguračního rozhraní viz. na obrázku č. 13.

Obrázek 13: ClearOS, konfig.rozhraní Router má již nastevené IP adresy jednotlivých rozhraní, stále zde ale není nastavený rozsah pro DHCP, nemá povolený překlad vnitřních adres na veřejnou, tedy nemůže zatím poskytovat připojení pro počítače ve vnitřní síti. Aktuální stav je tedy následovný, IP adresy jsou nastaveny statické pro obě kary. Karta pro externí připojení má nastavenu veřejnou IP adresu a výchozí bránu poskytovanou od ISP (Internet Service Provider). Dále jsou zde nastaveny dva DNS servery pro překlad doménových jmen a tedy možnost procházení internetu po zadání webových adres.

59


Síťová karta pro vnitřní síť má zatím nastavenu pouze IP adresu, lze se tedy přes tento router již připojit do internetu, ale každý počítač by musel mít nastavenu statickou IP adresu. Abych dosáhl požadovaného dynamického přidělování adres každému připojenému počítači, musím nejprve nakonfigurovat a aktivovat DHCP server. Nastavení je nyní kompletní, a router může plnit svou funkci a poskytovat vnitřním sítím připojení k internetu. V případě ClearOS, je však nutný ještě jeden důležitý krok a to registrace na stránkách dodavatele. Za verzi ClearOS Basic, kterou jsem pro naší společnost vybral, se neplatí žádný licenční poplatek, dodavatel však tuto registaci vyžaduje pro přehled o uživatelých a také touto cestou poskytuje pravidelné zasílání informačních e-mailů o novinkách a aktualizacích programu.

60

Zhodnocení výsledků nového řešení

12 Zhodnocení výsledků nového řešení Po úspěšné implementaci, kdy začal nový router fungovat v testovacím provozu, jsem se především zaměřil na již dříve zmiňované problémy. Zjištěné výsledky jsem zobrazil to tabulky číslo 23. Důvodem pro hledání nového řešení byla nespolehlivost aktuálního HW routeru. Problémy se zpomalením a občasnými výpadky zasahovaly jak naše zaměstnance, tak i nájemce a další externí uživatele. Konkrétní případy, na kterých jsem tuto nespolehlivost především sledoval byly: 1) Časté výpadky VPN připojení, využívané především pro správu naší webové aplikace ze strany programátora. Router bylo nutné velmi často restartovat, aby vůbec bylo možné připojit se přes VPN. 2) Jeden z našich nájemců rozesílá pravidelně hromadné e-maily na několik set adres, v takovýchto případech se připojení obvykle velmi zpomalilo což bylo nepříjemné pro všechny ostatní nájemce i naše zaměstnance. 3) V dohledné době plánujeme rozšiřování webové aplikace k dalším klientům a je tak potřeba zajistit spolehlivou síť, do které se budou následně klienti připojovat. U routeru, u kterého se i při aktuálním vytížení projevují takto časté problémy, jistě nelze předpokládat, že by tento nárust zvládl bez zhoršení stability a častých výpadků. VPN připojení jsem cíleně testovali přibližně každý druhý den, ani v jednom případě s připojením nebyl problém, ani od externích uživatelů nemám hlášený žádný problém s přístupem do naší webové aplikace Co se týče odesílání e-mailů z mailboxu jednoho z našich nájemníků, během dvou testovacích týdnů jsem se s nájemníkem domluvil, že budu přítomen při třech podobných "akcích", při kterých by mělo být odesláno několik set e-mailů najednou. Oba testy dopadly dle očekávání dobře, i přes to že jsme e-maily odesílali v běžném provozu.

61

Zhodnocení výsledků nového řešení

Tabulka 23: Porovnání původního a nového řešení

VPN administrace E-mailová komunikace Webová aplikace Nájemci - běžný provoz

Původní řešení - Airlive RS1200 50% 60% 20% 2-4 výpadky za den (cca 2 min timeout)

Aktuální řešení - ClearOS 0% 0% 0% 0 výpadků za den(dva týdny testování)

Procento zjištěných problémů během testování Počet výpadků/den

Celkově se zatím toto řešení zdá jako dobrá volba, nejen z výše uvedených důvodů. Také přístup do správy routeru je rozhodně lépe uživatelný než administrace původního routeru Airlive, která sice není složitá, ale router provádí všechny změny velmi pomalu a né všechno nastavení je zde intuitivní. Během dvou týdnů ostrého testování, se nevyskytly s přípojením žádné zásadní problémy, ale netvrdím, že je dostatečné pro stoprocentní jistotu a že je toto řešení ve všech ohledech lepší. SW router aktuálně zajišťuje připojení pro cca 80% všech uživatelů bez zásadních potíží. Plné nasazení a tedy úplné zrušení původního routeru plánuji během následujících dvou týdnů, během kterých budu routeru věnovat zvýšenou pozornost, abych si byl správností tohoto řešení maximálně jistý. Kromě spolehlivosti internetového připojení se zvýšila bezpečnost díky zabezpečovacím prvkům routeru. Pro případ havárie je celý router pravidelně zálohován a záloha je ukládána na zcela jiný počítač připojený do sítě. Pokud by tedy došlo k havárii, může být provoz obnoven do cca patnácti minut, kdy stačí přeinstalovat operační systém, což v případě Linuxu je velmi rychlé, a obnovit ze zálohy kompletní konfiguraci routeru.

62

Závěr

13 Závěr Cílem práce bylo ověřit možnost zvýšení spolehlivosti provozu sítě v naší společnosti nahrazením původního hardwarového routeru za softwarový produkt realizující routování. Pro nalezení optímálního řešení jsem provedl rešerši dostupných softwarových řešení a na základě základních parametrů jsem zvolil šest produktů pro následné porovnávání a testování. Z těchto vybraných softwarových routerů jsem následně vybral optimální variantu a provedl jsem instalaci routeru. Router jsem dva týdny sledoval během testovacího provozu, kdy jsem se především zaměřil na nejvíce frekventované problémy. Na závěr jsem provedl porovnání výskytu těchto problémů před a po nasazení softwarového routeru a výsledky jsem zhodnotil. Domnívám se, že výsledkem práce je zvýšení spolehlivosti naší sítě a tedy byl splněn záměr nahradit nestabilní hardwarových router za spolehlivější. Pochopitelně nelze zcela jistě odhadnout, jak se bude situace vyvíjet a jaký bude nárust vytížení sítě v budoucnu. Pro aktuální stav a chystané změny, by mělo být toto řešení plně vyhovující. Cíl práce byl tedy splněn a věřím, že se tato volba ukáže správnou i v případě budoucích větších nároků na routerem poskytované připojení.

63

Tabulky, obrázky

14 Tabulky, obrázky Tabulka 1: Porovnání ISO/OSI a TCP/IP ................................................................ 3 Tabulka 2: Třídy adres ............................................................................................. 8 Tabulka 3: Přehled typů sítí, [8],[12],[23] ............................................................. 10 Tabulka 4: bin/dec ................................................................................................. 13 Tabulka 5: HW parametry ..................................................................................... 34 Tabulka 6: Vybrané SW routery pro testování ...................................................... 36 Tabulka 7: IPCop test ............................................................................................ 41 Tabulka 8: Smoothwall test ................................................................................... 42 Tabulka 9: ClearOS test ......................................................................................... 44 Tabulka 10: Windows Server. test ......................................................................... 46 Tabulka 11: Wooweb test ...................................................................................... 48 Tabulka 12: Kerio test ........................................................................................... 49 Tabulka 13: Měření rychlosti................................................................................. 49 Tabulka 14: Váhy .................................................................................................. 50 Tabulka 15: Vybavenost routeru ........................................................................... 51 Tabulka 16: Správa ................................................................................................ 51 Tabulka 17: Instalace ............................................................................................. 52 Tabulka 18: Cena ................................................................................................... 53 Tabulka 19: Dodavatel ........................................................................................... 53 Tabulka 20, 21: Stabilita, rychlost ......................................................................... 54 Tabulka 22: Výsledky ............................................................................................ 55 Tabulka 23: Porovnání původního a nového řešení .............................................. 62

64

Tabulky, obrázky

Obrázek 1: základní LAN - dvě podsítě .................................................................. 9 Obrázek 2.: Typy sítí ............................................................................................. 11 Obrázek 3 : LAN 3subnets .................................................................................... 19 Obrázek 4: více LAN - HOP ................................................................................. 20 Obrázek 5: Průběh testu ......................................................................................... 39 Obrázek 6: IPCop konfigurace .............................................................................. 39 Obrázek 7: Smothwall konfigurace ....................................................................... 41 Obrázek 8: ClearOS konfigurace ........................................................................... 43 Obrázek 9: Windows konfigurace ......................................................................... 45 Obrázek 10: Wooweb konfigurace ........................................................................ 47 Obrázek 11: Kerio konfigurace ............................................................................. 48 Obrázek 12: Diagram aktivit - instalace ClearOS ................................................. 59 Obrázek 13: ClearOS, konfig.rozhraní .................................................................. 59

65

Zdroje

15 Zdroje [1] PETERKA, Jiří. www.earchiv.cz [online]. 1992 [cit. 2011-12-12]. Síťový model TCP/IP. Dostupné z WWW: < http://www.earchiv.cz/a92/a231c110.php3 >.

[2] BOUŠKA, Petr. Samuraj-cz.com [online]. 2007 [cit. 2011-12-12]. TCP/IP - model, encapsulace, paket vs. rámec. Dostupné z WWW: .

[3] Http://technet.microsoft.com [online]. 1999 [cit. 2011-12-12]. Protokoly BOOTP a DHCP. Dostupné z WWW: .

[4] PETERKA, Jiří. Http://www.earchiv.cz [online]. 1999 [cit. 2011-12-12]. TCP a UDP . Dostupné z WWW: .

[5] PETERKA, Jiří. Http://www.earchiv.cz [online]. 1999 [cit. 2011-12-12]. ARP a RARP. Dostupné z WWW: .

[6] BOUŠKA, Petr. Samuraj-cz.com [online]. 2011 [cit. 2011-12-12]. VPN 1 - IPsec VPN a Cisco.

Dostupné

z

WWW:

<

http://www.samuraj-cz.com/clanek/vpn-1-ipsec-vpn-a-

cisco/>. [7] ODOM, Wendell; HEALY, Rus; MEHTA, Naren. Směrování a přepínání sítí : Autorizovaný výukový průvodce. Vydání první. Brno : Computer Press, a.s., 2009. 879 s. ,ISBN 978-80-251-2520-5.

[8] MATYSKA, Luděk. Počítačové Sítě. Zpravodaj ÚVT MU. 1991, roč. I, č. 1,, s. 2-4.. Dostupný také z WWW: . ISSN 1212-0901.

[9] BOUŠKA, Petr. Http://www.samuraj-cz.com [online]. 2008 [cit. 2011-12-12]. TCP/IP adresy,

masky,

subnety

a

výpočty.

Dostupné

z

WWW:

cz.com/clanek/tcpip-adresy-masky-subnety-a-vypocty/>.

[10] SATRAPA, Pavel. Lupa.cz [online]. 2007 [cit. 2011-12-12]. Kdy dojdou IPv4 adresy?. Dostupné z WWW: .

[11] SATRAPA, Pavel. IPv6 [online]. Praha : CZ.NIC, z. s. p. o., 2008 [cit. 2011-12-12]. Dostupné

z

WWW:

.

ISBN

978-80-

904248-0-7.

[12] ZANDL, Patrick. Www.lupa.cz [online]. 2011 [cit. 2011-12-13]. IPv4 adresy „právě došly“. Dostupné z WWW: .

66

Zdroje

[13] HORÁK, Jaroslav; KERŠLÁGER, Milan. Počítačové Sítě pro začínající spráce. 3. aktualizované vydání. Brno : Computer Press, a.s., 2006. 209 s. Dostupné z WWW: . ISBN 80-251-0892-9.

[14] PETERKA, Jiří. Www.earchiv.cz [online]. 1992 [cit. 2011-12-13]. Síťová vrstva směrování. Dostupné z WWW: .

[15] Www.cesnet.cz [online]. 1996 [cit. 2011-12-13]. Kvalitativní charakteristiky síťové komunikace. Dostupné z WWW: .

[16] Http://www.ipcop.org/. [online]. 2001 [cit. 2011-12-13]. IPCop. Dostupné z WWW:

[17] Www.smoothwall.org [online]. 2000 [cit. 2011-12-13]. SmoothWall Express. Dostupné z WWW: .

[18] Http://www.clearfoundation.com/

[online].

2009

[cit.

2011-12-13].

Clear

Foundation. Dostupné z WWW: .

[19] Http://technet.microsoft.com [online]. 2011 [cit. 2011-12-13]. Porovnání sítě pro domácnost nebo malou kancelář se službou Směrování a vzdálený přístup. Dostupné z WWW: .

[20] Www.prosum.net [online]. 2010 [cit. 2011-12-13]. WOOWEB-PRO V5. Dostupné z WWW: .

[21] Www.kerio.cz [online]. 2011 [cit. 2011-12-13]. Kerio Control. Dostupné z WWW: .

[22] GLOS, Matěj. Http://dmp.wosa.iglu.cz [online]. 2007 [cit. 2011-12-13]. Referenční model ISO/OSI. Dostupné z WWW: .

[23] FOLTA, Jiří. Http://www.cs.vsb.cz [online]. 2005 [cit. 2011-12-13]. PAN – Personal Area

Network.

Dostupné

z

WWW:

.

[24] KRČMÁŘ, Petr. Http://www.root.cz [online]. 2007 [cit. 2011-12-13]. Proč není NAT totéž co firewall. Dostupné z WWW: .

[25] PLISCHKE, Richard. Http://www.602.cz [online]. 2004 [cit. 2011-12-13]. NAT . Dostupné z WWW: .

[26] Http://support.microsoft.com [online]. 2004 [cit. 2011-12-13]. Popis souborů cookie. Dostupné z WWW: .

67

Zdroje

[27] PETERKA, Jiří. Www.earchiv.cz [online]. 1995 [cit. 2011-12-13]. Na počátku byl ARPANET .... Dostupné z WWW: .

[28] PETERKA, Jiří. Www.earchiv.cz/ [online]. 1991 [cit. 2011-12-13]. Peer-to-peer, aneb ....". Dostupné z WWW: . [29] PŘIBYL, Adam. Linux.cz [online]. 2007 [cit. 2011-12-16]. GNU/LINUX. Dostupné z WWW: . [30] Windows.microsoft.com [online]. 2011 [cit. 2011-12-16]. Windows. Dostupné z WWW: .

68

IP

Recommend Documents