Budapesti Műszaki és Gazdaságtudományi Egyetem Villamosmérnöki és Informatikai Kar Távközlési és Médiainformatikai Tanszék
Komplex hálózati- és IT-infrastruktúra tervezése irodai és gyártási környezethez
Készítette
Konzulensek
Szijj Zoltán József
Dr. Varga Pál Hanzséros Gábor
2016
TARTALOMJEGYZÉK Kivonat.............................................................................................................................. 5 Abstract ............................................................................................................................. 6 1.
Bevezetés .................................................................................................................. 7
2.
Igények felmérése ..................................................................................................... 8
3.
4.
2.1.
Módszertan........................................................................................................ 8
2.2.
Igényfelmérés eredménye ................................................................................. 9
Passzív hálózat tervezése ........................................................................................ 14 3.1.
Kábeltípusok áttekintése ................................................................................. 15
3.2.
Gerinchálózat megtervezése ........................................................................... 17
Aktív hálózat tervezése ........................................................................................... 19 4.1.
Technológiák bemutatása ............................................................................... 19
4.1.1.
Link aggregáció ........................................................................................ 19
4.1.2.
802.1x protokoll ........................................................................................ 20
4.1.3.
RADIUS protokoll .................................................................................... 22
4.1.4.
VPN technológiák ..................................................................................... 24
4.1.5.
Eszközszervezési technológiák ................................................................. 27
4.2.
Eszközök kiválasztása..................................................................................... 29
4.2.1.
Vezetékes hálózat ..................................................................................... 29
4.2.2.
Vezetéknélküli hálózat .............................................................................. 34
4.2.3.
Hálózatbiztonság ....................................................................................... 36
4.3.
Layer 2 tervezés .............................................................................................. 38
4.3.1.
Rendezők kialakítása ................................................................................ 38
4.3.2.
Topológia kialakítása ................................................................................ 39
4.3.3.
Eszközök összekötése ............................................................................... 43
4.3.4.
Virtuális hálózatok kialakítása .................................................................. 44
4.4.
Layer 3 tervezés .............................................................................................. 46
4.5.
Vezeték nélküli hálózat tervezése ................................................................... 48
4.6.
Hálózatbiztonság kialakítása........................................................................... 50
5.
Megfelelőségi vizsgálatok ...................................................................................... 53
6.
Összefoglalás .......................................................................................................... 55
Irodalomjegyzék ............................................................................................................. 56
HALLGATÓI NYILATKOZAT Alulírott Szijj Zoltán József, szigorló hallgató kijelentem, hogy ezt a diplomatervet meg nem engedett segítség nélkül, saját magam készítettem, csak a megadott forrásokat (szakirodalom, eszközök stb.) használtam fel. Minden olyan részt, melyet szó szerint, vagy azonos értelemben, de átfogalmazva más forrásból átvettem, egyértelműen, a forrás megadásával megjelöltem. Hozzájárulok, hogy a jelen munkám alapadatait (szerző(k), cím, angol és magyar nyelvű tartalmi kivonat, készítés éve, konzulens(ek) neve) a BME VIK nyilvánosan hozzáférhető elektronikus formában, a munka teljes szövegét pedig az egyetem belső hálózatán keresztül (vagy hitelesített felhasználók számára) közzétegye. Kijelentem, hogy a benyújtott munka és annak elektronikus verziója megegyezik. Dékáni engedéllyel titkosított diplomatervek esetén a dolgozat szövege csak 3 év eltelte után válik hozzáférhetővé. Kelt: Budapest, 2016. 05. 29.
....................................................... Szijj Zoltán József
Kivonat A manapság működő vállalati hálózatok komoly fejlődésen mennek keresztül. A hálózati eszközöknek ki kell szolgálnia a folyamatosan növekvő adatátviteli igényeket és a változó szolgáltatás-igényeket. Diplomatervemben egy valós, zöldmezős beruházáson keresztül mutatom be lépésről lépésre a hálózat-tervezési lépéséket az igények felmérésétől kezdve, az eszközök kiválasztásán át, a különböző rétegek kialakításáig. A tervezés során megismerkedtem a különböző rétegeknél használt általános szabványokkal és modern technológiákkal. A dolgozatom célja azon módszerek bemutatása, amelyek a legjobban beváltak az évek során, és egy kellően általános folyamat kialakítása komplex hálózatok tervezéséhez. Munkám első felében bemutatom az igényfelmérés folyamatát. Ezt követően a gerinchálózat megtervezéséhez szükséges szabványokat tekintem át, majd az igényfelmérés eredménye alapján meg is tervezem a gerinchálózatot. A következő részben az aktív hálózati tervezésével foglalkozom. Először itt is áttekintem azokat a technológiákat, amelyek szükségesek a modern hálózat kialakításához. A technológiák ismertetése után kiválasztom a szükséges hálózati eszközöket a legnagyobb gyártók (HP, Juniper, Cisco, Ruckus, Sonicwall) termékkínálatát használva. Az eszközök kiválasztása után, rétegről rétegre alakítom ki a hálózatot, a különböző tervezési szempontokat és modelleket ismertetve. Diplomatervem végén a tervezett hálózaton megfelelőségi vizsgálatokat végzek, és javaslatot teszek egy implementációs tervre. Dolgozatom hasznos információkat tartalmazhat olyan hálózati szakembereknek vagy rendszeradminisztrátoroknak, akik egy teljesen új hálózat kialakítását tervezik, vagy csak szeretnének megismerkedni a tervezés során alkalmazott modern technológiákkal.
5
Abstract Nowadays corporate networks go through intense development. The network appliances have to serve the constantly growing data transfer rates and the changing service demands. In my thesis I demonstrate the network design process through a greenfield investment, step by step, starting from the needs analysis, followed by the selection of appropriate network devices, all the way to the design of the different layers. During the process I got to know the standards, technologies and best practices used generally at the different layers. The aim of this study is to show the methods, that have proved to be working the best during the years, and also to construct a universal method to design complex networks. In the first part of my thesis I present the process of needs analysis. Then, I review the standards needed to design the passive core network, and I plan it accordingly, too. In the following part I deal with the design process of the active network. First I introduce the necessary technologies to build a modern network. After the introduction I choose the appropriate devices from the biggest manufacturers’ (HP, Juniper, Cisco, Ruckus, Sonicwall) products. The selection is followed by the layer by layer construction of the network, and by describing different aspects, best practices and models for the design. At the end of my thesis I perform a conformity test on the designed network and I propose an implementation plan. My thesis contains useful information for network professionals or system administrators, who plan on designing a completely new network infrastructure or just want to learn about the modern technologies used during the planning process.
6
1. Bevezetés Napjaink üzleti vállalkozásainak tevékenysége jobban függ a számítógépes hálózatuktól, mint valaha. Alkalmazottaik, partnereik és ügyfeleik számára is kiemelt fontosságú, hogy az adatok gyorsan és megbízhatóan utazzanak egyik pontról a másikra a nap minden részében. A kulcs, a hálózat megfelelő tervezése, amely nagy szerepet játszik a vállalkozás sikerességében. Diplomatervem célja bemutatni a tervezés lépéseit, egy komplex hálózaton keresztül. A hálózat összetettsége abból fakad, hogy egyszerre kell számos szolgáltatást megbízhatóan nyújtania, és teljesítenie kell a felmerülő ipari és irodai követelményeket is. A dolgozat írása párhuzamosan történt a hálózat tervezésével, illetve megvalósításával, így nyomon követhető lesz a teljes folyamat, a lehetséges alternatívákkal és a döntések hátterével együtt. A dolgozat négy részből áll: 1. Az első részben minden tervezési munka alapjáról, az igények felméréséről írok. A felmérésből információkat kapunk a végponti igényekről, a tervezett internet kapcsolatokról, a helyszín elrendezéséről, a hálózattal szemben támasztott követelményekről. Ezeket az adatokat felhasználva kialakítható a vállalat számára leginkább megfelelő, egyedi, passzív és aktív hálózat. 2. A második részben a passzív hálózati tervezésről írok. Ide tartozik a vállalati optikai gerinchálózat kialakítása, a rendezők helyének megállapítása. 3. A harmadik részben ismertetem azokat a technológiákat, amelyek szükségesek az igényfelmérés során meghatározott követelmények teljesítéséhez. Ezt követően kiválasztom és összehasonlítom azokat az eszközöket, amelyek segítségével megvalósítható a terv. Végül bemutatom a tervezés különböző rétegeit, és ismertetem a legfontosabb tervezési ajánlásokat („best practise”). 4. Az utolsó részben megfelelőségi vizsgálótokat végzek, hogy a kialakított hálózat megfelel-e az igényfelmérés során meghatározott követelményeknek.
7
2. Igények felmérése 2.1. Módszertan Egy vállalat hálózatának megtervezéséhez annyi releváns információt érdemes öszszeszedni, amennyit csak lehet. Az összegyűjtött információk alapján ki lehet választani a megfelelő technológiákat, amelyek leginkább illeszkednek a vállalat követelményeihez. Az első adatgyűjtés a vállalatban használt eszközökre vonatkozik. Ide tartoznak az irodai számítógépek; szerverek; nyomtatók; fax készülékek; IP (Internet Protocol) telefonok; a különböző biztonsági berendezések: beléptető kapuk, kamerák; valamint a speciális ipari berendezések. Az eszközök számán kívül fontos a csatlakozási típusok megismerése (a különböző típusú hálózati csatlakozókról 3. fejezetben írok). Az adatgyűjtéshez tartozik az eszközök logikai felosztása is. Az egyes logikai egységek adatkapcsolati rétegben (layer 2) el vannak választva, és csak egy hálózati rétegbeli (layer 3-as) eszközön keresztül tudnak kommunikálni. A hálózati rétegbeli eszközön lehetőség van az egyes logikai hálózatok között elérési szabályok létrehozására. Hálózati rétegbeli eszköz lehet layer 3-as switch, útválasztó vagy tűzfal. Ezeket az igényeket összefoglaló néven végponti igényeknek nevezzük. A végponti igényekből már lehet következetni a szükséges végpontok számára, a kialakítandó virtuális magánhálózatokra (VLAN), valamint a hálózati szabályokra. A második adatgyűjtés az internet-kapcsolatokra vonatkozik. Ez a lépés opcionális, mert lehetséges, hogy az internet-kapcsolatok méretezése is a tervezési feladat része. Az esetek többségében viszont a vállalat meglévő előfizetéseit kell felhasználni. Mindenképpen javasolt legalább két internet-kapcsolattal rendelkezni, lehetőleg független internet szolgáltatóktól – így a karbantartások vagy váratlan hibák kevésbé befolyásolhatják a folyamatos elérést. A harmadik adatgyűjtés a helyszín felmérésére vonatkozik. A helyszín nagysága és elrendezése a tervezés több pontját (kábelezés, wifi tervezés) is nagyban érinti. Gyakran a szervereknek szánt helyiség már az épület tervében is szerepel, de szükség lehet több rendező kialakítására. Rendező kialakítására akkor van szükség, amikor két összekötni kívánt pont között nagyobb a távolság, mint amennyit a kábel típusa lehetővé tesz. A helyszín vizsgálatakor érdemes az ismert elektromágneses zavarok jelenlétére is rákérdezni (adott esetben pedig mérni), mert ezt is figyelembe kell venni a kábelezésnél. A
8
zavarok ellen árnyékolt kábellel, illetve zavar-érzéketlen kábellel (optikai szál) védekezhetünk. Az igényfelmérés utolsó része a hálózattal szemben támasztott követelmények egyeztetése. Bizonyos alkalmazások vagy speciális hardverek magas sávszélesség-követelményeket támasztanak, amiket már a tervezésnél figyelembe kell venni. A sávszélesség-követelményeken kívül a biztonsági szempontok is nagyon fontosak. Ilyen szempont lehet, hogy hitelesítés nélkül egyik eszköz se kapjon hozzáférést a belső hálózathoz. Ezen kívül különféle szolgáltatás-igények is felmerülhetnek: •
magas rendelkezésre állás,
•
skálázhatóság,
•
magas fokú automatizáltság, egyszerű üzemeltetés,
•
távoli hozzáférés biztosítása a hálózathoz,
•
webszűrés,
•
telephelyek összekötése,
•
wifi lefedettség.
2.2. Igényfelmérés eredménye Az igényfelmérést egy gyár számára végeztem. A gyár szerkezetileg két részből áll: a gyártócsarnokból és egy kétemeletes irodarészből. A gyártócsarnok területén 5 különböző típusú eszköznek kell hálózati hozzáférés: gyártási berendezéseknek, ipari számítógépeknek, wireless AP-knak (Access Point), kameráknak és beléptető kapuknak. A wireless AP-knak 1 Gbps (Gigabit per second) csatlakozási sebesség kell, mert több klienst is megfelelő sebességgel kell kiszolgálni, a többi eszköz nem generál akkora adatforgalmat, tehát 100 Mbps (Megabit per second) is elegendő. A wireless AP-knak POE (Power over Ethernet) igénye lehet. Az iroda területén már nincsenek gyártási berendezések, helyettük viszont vannak szerverek, háttértárak (storage), IP telefonok. A szerverek és a háttértárak a 10 Gbps-os sávszélesség miatt különös figyelmet érdemelnek, az IP telefonoknak pedig QoS (Quality of Service) követelményei vannak. A 2.1. táblázatban a végponti igények részletezése látható.
9
Fali végpont Irodai Tárgyaló Recepció Oktatóterem Nyelvi labor Szerverszoba Tartalék szerverszoba IT iroda Csarnok PC végpontok Csarnok ipari végpontok Kamera Beléptető Összesen Lengő végpont Szerverszoba 1G Szerverszoba 10G Tartalék szerverszoba 1G Tartalék szerverszoba 10G Összesen
Földszint 82 10 4
Helyszínek Emelet Porta 130 2 15
Összesen
Csarnok
5 21 8 8 8
10 8 114
Szerver 8 4
4
10 8 213
2
Eszközök DRAC Storage 2 2 8
3
Összesen
UPS
1 4
1
14 12 7
15
3
41
1
2 18
16 53 20 14 103
214 25 4 5 21 8 8 8 16 53 40 30 432
2
6
2.1. táblázat. Végpontok száma A gyár eszközeinek logikai felosztása: •
Irodai eszközök: Az iroda területén lévő számítógépek, notebookok, nyomtatók csoportja. Megfelelő hitelesítéssel a saját eszköz is ide tartozik, vezeték nélkül is elérhető. Az itt lévő eszközöknek korlátozott hozzáférése van az internethez és a szervereken található erőforrásokhoz.
•
Gyártási eszközök: Az ipari berendezések és számítógépek tartoznak ide. A külső fejlesztők számára távolról elérhetőnek kell lenniük. Adatokat a szerverekre küldenek, minden más hozzáférés tiltott.
•
Szerverek: A csoportba a szerverteremben lévő eszközök tartoznak: fájlszerverek, adatbázisszerverek, tárolóeszközök (storage). A szerver csoportot távolról elérhetővé kell tenni a rendszeradminisztrátorok számára. Néhány eszköznek internet hozzáférés is szükséges. A többi csoport számára a szerverek csak korlátozottan elérhetőek.
10
•
IP telefonok: Az egyik legegyszerűbb csoport az IP telefonok csoportja: az itt lévő eszközöknek csak a telefonközpontot kell elérniük. A külön csoport létrehozásának a telefonos forgalom elkülönítése az oka, illetve a telefonról számítógép továbbfűzése esetén a megfelelő QoS kezelés. Előny lehet továbbá, hogy hálózatmonitorozás esetén könnyebb kiszűrni a telefonos forgalmat.
•
Biztonsági eszközök: A legtöbb gyárban a biztonságért külső biztonsági szolgálat a felelős. Előfordulhat, hogy ezeknek az eszközöknek semmi köze nincs a vállalati hálózathoz, de ebben a gyárban a kamerák és a beléptető kapuk a vállalati hálózathoz csatlakoznak. Az igény tehát, hogy ezeknek az eszközöknek egy teljesen szeparált hálózatot kell kialakítani, de a biztonsági szolgálat számára kívülről elérhetőnek kell lennie.
•
Oktató helyiség: A gyárban oktatási tevékenység is folyik, ezért az oktatóteremben lévő számítógépeknek szeparált hálózat kell korlátozott internet eléréssel.
•
Vendégek: A gyárba érkező vendégek számára vezeték nélküli internetelérést kell biztosítani. Ez a csoport is szeparált, nem tud kommunikálni a többi csoporttal.
Az internetelérésről két 100 Mbps szinkron (fel-, letöltési) sebességű kapcsolat gondoskodik. A kapcsolat a gyártási tevékenységhez nem szükséges, de a külső fejlesztők ennek segítségével kapcsolódnak az eszközeikhez. Internet-kapcsolatra van szükség a vállalatirányítási rendszer használatához, az irodai tevékenységekhez, telekonferenciákhoz, illetve a megrendelőkkel történő kapcsolattartáshoz is. A helyszín felméréséből az derült ki, hogy az irodai részen két helyiség van kialakítva az első emeleten hálózati eszközök tárolására: a szerver szoba és a tartalék szerverszoba. Az irodai rész kétszintes, a két szint felépítése hasonló. A szintek hossza 138 méter, szélessége 13 méter. Ezen a területen nem kell elektromágneses zavarra számítani. A gyártócsarnok közvetlenül az irodarészből nyílik. A csarnok hossza 168 méter, szélessége 114 méter. Az ipari berendezések miatt elektromágneses zavarra számítani kell. A csarnok területén nincs kialakítva a hálózati helyiség.
11
A vállalat a hálózattal szemben a következő dolgokat várja el: •
Magas rendelkezésre állás: A hálózatnak ahol csak lehet, redundánsnak kell lennie. Az egyszerű végpontokat nem lehet a hálózathoz csatlakoztatni több kábelen keresztül, de a szervereket igen. A hálózati eszközökkel szemben elvárás, hogy egyik meghibásodása esetén a lehető legkisebb mértékben befolyásolja a rendszer működésének egészét. Ezeket az igényeket betartva a magas rendelkezésre állás biztosított.
•
Skálázhatóság: A gyárban a végpontok száma korlátozottan, de növekedhet, a hálózatnak ki kell szolgálni 5%-os növekedést. Nagyobb fejlődés esetén az új hálózati eszközöknek illeszkednie kell a tervezett architektúrába.
•
Átláthatóság: Az egyszerű üzemeltetés miatt a hálózati eszközöknek támogatnia kell olyan technológiákat, amelyek segítségével egy felületről lehet több eszköz beállításait módosítani, illetve a csatlakoztatott klienseket áttekinteni.
•
Automatizáltság: Az egyik internetkapcsolat megszakadása esetén kézi beavatkozás nélkül váltson a másik internetkapcsolatra, illetve a hálózathoz csatlakoztatott eszközök automatikusan kerüljenek be a megfelelő logikai hálózatba, a központi címtár alapján végzett hitelesítéssel.
•
Webszűrés: Az internetkapcsolat megfelelő kihasználásáról kategória-alapú webszűrés gondoskodjon, szükség esetén lehessen url kivételeket hozzáadni. A kategória-alapú webszűréssel blokkolható a vállalat számára nem hasznos oldalak elérése. Ilyen kategória a közösségi oldal (facebook) vagy a felnőtt tartalom.
•
Teljes WiFi lefedettség: A gyár teljes munkaterületén (gyártócsarnok, irodák, tárgyalók) legyen kiépítve vezeték nélküli hálózat megfelelő jelerősséggel (-65 dBm [1]).
•
Távoli hozzáférés: A rendszeradminisztrátorok és külső fejlesztő munkatársak számára biztonságos távoli elérés biztosítása.
12
•
Site to Site Virtual Private Network (VPN): A gyár hálózatának címtartományait úgy kell megtervezni, hogy ne lapolódjanak át az egyéb telephelyekkel, és a hálózat legyen összekötve Site to Site VPN-en keresztül a telephelyekkel.
13
3. Passzív hálózat tervezése Manapság két szabvány alapján szokták elvégezni a strukturált kábelezést. Európában főleg az ISO/IEC 11801, Amerikában inkább az ANSI/TIA-568 szabvány terjedt el [2]. A szabványok a kábelezésen kívül az UTP (Unshielded Twisted Pair) és az optikai szálak típusát is definiálják, a típusra vonatkozó követelményekkel együtt. A két szabvány logikájában jelentős átfedés van, egyébként főleg terminológiai különbségek vannak. A következőkben az ISO szabvány szerinti általános kábelezési rendszerek felépítését ismertetem.
3.1. ábra. A strukturált kábelezés részei [3] Az ISO szabvány szerint a strukturális kábelezés legfeljebb 3 kábelezési alrendszerből áll (3.1. ábra): telephelyi gerinc-, épületi gerinc-, illetve horizontális kábelezési alrendszerből. A kábelezési alrendszerek kötik össze az elosztókat, illetve a végponti aljzatot. Az alrendszerek részei a gerinckábelek, az elosztóban található patch kábelek és rendezők, valamint a horizontális kábelezési alrendszernél a végponti aljzat. A szabvány opcionálisan megengedi konszolidációs pont (CP) alkalmazását a végponti aljzat és a szint elosztó (FD) között. Amennyiben kisebb méretű kábelezésről van szó, egyes komponensek kimaradhatnak, összeolvadhatnak. Egyetlen épületre történő tervezés esetén nincs telephelyi alrendszer és az épület elosztó (BD) összeolvadhat a szinti elosztóval. A szabvány szerint egy jól megtervezett strukturális kábelezés hierarchikus felépítésű (3.2. ábra).
14
3.2. ábra. A strukturált kábelezés hierarchikus felépítése
3.1. Kábeltípusok áttekintése A passzív hálózat tervezéséhez meg kell ismerni a különböző kábeltípusok korlátait. A 3.1. táblázatban a leggyakoribb csavart érpáras hálózati kábeltípusok tulajdonságait gyűjtöttem össze [3]. Típus Leggyakoribb kivitel Frekvencia Alkalmazás Max. hosszúság Cat. 5e UTP 100 MHz 100BASE-TX, 1000BASE-T 100 m 100 m (1 Gbps) Cat. 6 UTP 250 MHz 10GBASE-T 37–55 m (10 Gbps) [4] Cat. 6a F/UTP, U/FTP 500 MHz 10GBASE-T 100 m
3.1. táblázat. Rézkábelek típusai Manapság a Cat. 5e típus a legelterjedtebb UTP kábel, de a táblázatból látható, hogy a szerverek sávszélesség igényeit már nem lehet kielégíteni ezzel a típussal. A Cat. 6 és Cat. 6a típus között nem csak frekvenciából adódó különbség van. A Cat.6 kábel maximális hosszúsága 10 Gbps sebesség mellett az áthallás miatt csökkenhet le 37 méterre. A Cat. 6a típusú kábel azért képes a 10 Gpbs sebességet biztosítani 100 méteren keresztül, mert a kábel frekvenciája kétszerese a Cat. 6-hoz képest, és tartalmaz egy extra szigetelő réteget az áthallás csökkentésére.
15
3.3. ábra. Rézkábel-típusok összehasonlítása A 3.3. ábrán látható a különböző típusú rézkábelek beiktatási vesztesége (insertation loss) és közelvégi áthallása (near-end crosstalk, NEXT) a frekvencia függvényében. A 3.3. ábra az ISO szabványban szereplő küszöbértékek alapján készült. A Cat. 6a típus hátránya, hogy a tömege jelentősen nagyobb, mint a Cat. 6-os kábelnek, így a kábelcsatornába kevesebb kábelt lehet összefogni [5]. A rézkábelen kívül érdemes még áttekinteni az optikai kábeleket is. Az optikai kábeleknél két fő típust különböztetünk meg: monomódusú és multimódusú kábelt. A monomódusú kábeleket nem ismertetem részletesen, mert főleg a jelek nagy távolságra (> 10 km) történő továbbításánál használják őket. Az áruk alacsonyabb, mint a multimódusú kábeleknek, de a csatlakozók elkészítése sokkal nagyobb precizitást igényel. Emiatt általában a monomódusú szálat fogadó eszközök ára drágább. A multimódusú szálakat az UTP kábelekhez hasonlóan több kategóriába soroljuk. Az optikai szálak nagy előnye a magasabb sávszélesség mellett a könnyű tömegük és a nagy zavarellenállásuk. Típus OM1 OM2 OM3 OM4
1000BASE-SX 275 m 550 m Nem specifikált Nem specifikált
10GBASE-SR 33 m 82 m 300 m 400 m
40GBASE-SR4 Nem specifikált Nem specifikált 100 m 150 m
100GBASE-SR10 Nem specifikált Nem specifikált 100 m 150 m
3.2. táblázat. Multimódusú optikai kábelek típusai [6]
16
3.2. Gerinchálózat megtervezése A 3. fejezetben ismertetett ISO szabvány alapján és a kábeltípusok ismertetése után a következő lépés a gerinchálózat megtervezése. Az első lépés a rendező helyiségek, vagy a szabvány alapján az elosztók elhelyezése. A gyár alaprajzát a 3.4. ábra vázolja. A 3.4. ábra alapján ismertetem a tervezés lépéseit – az ábrán jelölt távolságok fontosak a tervezés szempontjából.
3.4. ábra. A gyár alaprajza vázlatosan Az alaprajzban szürkével van jelölve a két előre tervezett első emeleti elosztó helyiség (R1, R2) és szaggatott vonallal a tűzszakasz-határ. Látható, hogy két elosztó helyiség nem elég, mert a gyártócsarnokban is vannak végpontok, és a két rendezőtől a csarnok sarkai több mint 100 méterre vannak. Ez azt jelenti, hogy réz kábelezéssel nem lehet a végpontokat a meglévő rendezőkkel összekötni. A megoldás két elosztó létesítése a gyártócsarnokban: az egyiket a tűzszakasz-határ bal oldalára középen, a másikat szimmetrikusan jobb oldalra. Ez a két rendező fogja kiszolgálni a gyártócsarnok végpontjait. Az R1 rendezőből az egész iroda végpontjai kevesebb, mint 80 méterre vannak, ezért a horizontális kábelezést célszerű innen végezni. A földszinti végpontokat is lehet innen kábelezni, egy leszálló ág segítségével. Az elosztók elhelyezése után a következő lépés ezek összekötése. Az R1-ben lévő rendező központi szerepet tölt be: itt végződik a végpontok nagy része és itt van a legtöbb szerver. A többi rendező innen 80–100 méterre van, ezeket az R1-en keresztül fogom összekötni. Az ISO szabvány alapján az R1 fogja ellátni összevontan az épületi elosztó és az emeleti elosztó szerepét, a többi elosztó emeleti elosztóként fogható fel.
17
Az R2 a tartalék szerverszobában található, tehát a szerverek másik része ide csatlakozik. Az R1 és R2 között redundánsan legalább 20 Gbps-ot szeretnék biztosítani a szerverek közötti gyors kapcsolat érdekében. Technológiailag ez négy darab Cat. 6a típusú kábellel vagy egy 8 szálas OM3-as optikai kábellel valósítható meg. A szempont, ami alapján a 8 szálas OM3 kábelt választottam az, hogy a kábelezés akkor jó, ha hosszú távon (10–20) éven keresztül el tudja látni a feladatát. Sebességben a Cat. 6a most megfelelő lenne, de az OM3-as optikai szál használata a kapcsolatok 40 Gbps sebességig történő bővítését is támogatja. Árban is a 8 szálas optikai kábel a jobb választás, mert négy Cat. 6a kábel 28%-kal drágább (magyar nagykereskedelmi árak alapján). A többi rendezőnél könnyebb volt kiválasztani az OM 3-as optikai szálat, mert a gyártócsarnokban lévő elektromágneses zavarokkal szemben érzéketlen. A gerinchálózat kész tervét a 3.5. ábra jeleníti meg, a szerverekhez tartozó lengő végpontok nélkül.
3.5. ábra. A gerinchálózat terve
18
4. Aktív hálózat tervezése 4.1. Technológiák bemutatása Az igényfelmérés során megfogalmazott követelmények teljesítéséhez elengedhetetlen néhány speciális szabvány/protokoll bemutatása. Ezek a technológiák az eszközök kiválasztásánál is fontos szerepet játszanak. A bemutatás során törekszem nem gyártóspecifikus szabványokról írni, de legtöbbször a gyártófüggetlen megoldás később született. Sajnos a technológiák között van még olyan új is, amelyre még csak gyártó függő megoldás van, ezeknél megpróbálom a gyártók közötti hasonlóságot kiemelni, illetve, hogy mit várnánk el a független szabványtól.
4.1.1. Link aggregáció A gyárban működő különböző szolgáltatások nagy adatforgalmat generálnak, amely a szerverek 10 Gbps végponti igényeinél is megfigyelhető. A központi szerverek és a tartalék szerverek között replikáció történik, az adatok biztonságos megőrzése céljából. A replikáció megfelelő sebességének biztosításához nem elég a switchek közötti egy portból adódó 10 Gbps-os sebesség. Erre a problémára ad megoldást a link aggregáció (LAG). A technológia segítségével lehetőség van több hálózati kapcsolatot párhuzamosan használni, így az átviteli sebesség nagyobb lehet, mint egyszeres összekötés esetén. A párhuzamos összeköttetéssel a LAG redundanciát is ad a hálózathoz. A 4.1. ábrán egy példa összeköttetés egy szerver és switch között kihasználva a párhuzamosan kapcsolt két 10 Gbps-os linket. A nagyobb gyártók már az 1990-es években használtak egyedi megoldásokat, de a széles körben elterjedő 802.3ad IEEE szabvány 2000-ben jelent meg (jelenleg a szabványra 802.1ax néven hivatkoznak).
4.1. ábra. Link aggregációs összeköttetés switch és szerver között
19
A hálózat szempontjából több előnye is van ennek a technológiának [7]: •
Megnövelt sávszélesség: A különálló linkeket a LAG egy logikai egységgé fogja össze, és az így kialakuló sávszélesség az egyes linkek sebességének az összege. Egy LAG-be maximum 8 linket lehet összefogni.
•
Megnövelt rendelkezésre állás: A LAG csoporton belül egy link kiesése nem jelent hibát az aggregátor kliens (lehet hálózati eszköz vagy szerver) szemszögéből nézve. Az ebből adódó redundancia kifejezetten hasznos a gyártási környezetben.
•
Automatikus konfiguráció: Alapértelmezett működés esetén, amennyiben a linkek egy csoportjának mindkét végén lévő eszköz támogatja a LAG-t, a különálló linkek automatikusan LAG csoportba rendeződnek.
•
Gyors reagálás: A fizikai összeköttetés megváltozásakor a Link Aggregation Control Protocol (LACP) gyorsan alkalmazkodik a kialakult helyzethez: link kiesése esetén a konvergáció ideje ezredmásodperces nagyságrendbe esik, link helyreállás (vagy bővülés) esetén kevesebb, mint egy másodperc.
•
Terhelésmegosztás: Az aggregátor kliens a forgalmat a rendelkezése álló linkeken egyenletesen osztja el.
•
Kompatibilitás aggregációt nem támogató eszközökkel: Azok a linkek, amelyek nem vesznek részt a link aggregációban, akár konfigurációs okok vagy a link végén lévő eszköz képességeinek hiánya miatt, normál különálló linkekként működnek.
4.1.2. 802.1x protokoll A biztonságos hálózati elérés biztosítása nagyon fontos napjainkban, amikor egy irodán belül az üzleti partnerek és a vendégek is ugyanahhoz a hálózathoz kapcsolódnak, mint az ott dolgozó alkalmazottak. A problémát fokozza, hogy az alkalmazottakkal ellentétben a partnerek és a vendégek a saját eszközükkel is csatlakozhatnak, ami komoly biztonsági kockázatot jelent. Az adathálózatok a mindennapi gyártási/irodai tevékenység megkerülhetetlen részeivé váltak, így megnövekedett annak a kockázata, hogy valaki illetéktelenül hozzáfér bizalmas adatokhoz. A legjobb és legbiztonságosabb megoldás az előbb említett biztonsági rés kivédésére a 802.1x protokoll használata.
20
A 802.1x egy IEEE szabvány az adatkapcsolati hozzáférés biztosításához, amely képes hitelesíteni a végponti eszközt, és annak azonossága alapján engedélyezi vagy tiltja a hálózati hozzáférést. A 802.1x vezetékes és vezeték nélküli hálózatoknál is alkalmazható. A protokoll port alapú hitelesítést biztosít. Egy 802.1x-et támogató port dinamikusan lehet engedélyezve vagy tiltva, a hozzá kapcsolódó eszköz hitelesítő adatai alapján. A 4.2. ábrán látható egy 802.1x-et használó port működése.
4.2. ábra. 802.1x port működése A szabvány a hitelesítést az Extensible Authentication Protocol (EAP) használatával végzi el a helyi hálózaton (LAN), ezt nevezik EAP over LAN (EAPOL) kérésnek is. A hitelesítés előtt, amíg a végpont azonossága ismeretlen, minden forgalom tiltva van az EAPOL kéréseken kívül. Sikeres hitelesítés esetén a hitelesítő (lehet switch vagy AP, de még IP telefon is) már csak a küldő forrás Media Access Control (MAC) címét vizsgálja, így biztosítva a jogos hozzáférést. A szabvány három szükséges résztvevőt definiál a folyamatban, a komponensek között használt kommunikáció a 4.3. ábrán látható [8]:
4.3. ábra. 802.1x kommunikációs lánc •
Kérvényező: Egy kliens, amely a végponti eszközön fut és elküldi a hitelesítő adatokat a hitelesítő felé. A kérvényező lehet szoftveres alkalmazás, de része lehet az operációs rendszernek vagy hardver is.
21
•
Hitelesítő: A hálózati eszköz, amely részt vesz a hitelesítési folyamatban a kérvényezőtől származó hitelesítési adatok továbbításával a hitelesítő szerver felé. A hitelesítő biztosítja a helyileg beállított hálózat elérési szabályokat, valamint a hitelesítő szervertől származó dinamikus beállításokat. Ide tartozik a dinamikus VLAN beállítás is, amelyet a 4.6. fejezetben bővebben kifejtek.
•
Hitelesítő szerver: A szerver, amely ellenőrzi a hitelesítő által küldött hitelesítő adatokat és meghatározza, hogy a felhasználó milyen szintű hozzáféréssel rendelkezzen. A szerver és a hitelesítő RADIUS protokollon keresztül beszélgetnek, amelyet részletesebben a következő fejezetben ismertetek. Gyakran a hitelesítő szerver a felhasználók adatait nem lokálisan, hanem egy központi címtárat használva ellenőrzi. Ezt a folyamatot szemlélteti a 4.4. ábra. Címtárként lehet például használni a Microsoft Active Directory-t.
4.4. ábra. 802.1x hitelesítés folyamata
4.1.3. RADIUS protokoll A Remote Authentication Dial-In User Service (RADIUS) egy alkalmazás rétegbeli protokoll, amely a hálózathoz csatlakozó kliensek számára biztosít hitelesítési, jogosultságkezelési, valamint számlázási szolgáltatásokat. A protokollok működését az RFC2865[9] és az RFC2866[10] IETF szabványok definiálják. Az előző fejezetben is említettem, hogy a 802.1x használata során a hitelesítő és a hitelesítő szerver közötti kommunikáció ezen a protokollon történik.
22
A RADIUS hitelesítés során a hálózati kliensek csatlakoznak a network access serverhez (NAS), amely a 802.1x esetében a switch, megadva az azonosításhoz szükséges adataikat. Ezek után a NAS – felhasználva a hitelesítő adatokat – a RADIUS server felé elküld egy Access-Request (hozzáférés kérés) üzenetet. Ezt a RADIUS szerver elfogadhatja (Access-Accept), elutasíthatja (Access-Reject), vagy kérhet egyéb a hitelesítéshez szükséges adatot (Access-Challenge). A folyamat a 4.5. ábrán figyelhető meg.
4.5. ábra. A RADIUS hitelesítés üzenetei A kliens hálózati csatlakozása után a NAS periodikus üzeneteket küldhet a RADIUS szervernek. Ezeket az üzeneteket számlázási üzeneteknek nevezzük, amelyek segítségével nyomon követhető a kliens hálózati forgalma, valamint az egyes munkamenetek hoszsza. Miután a kliens megszakítja a kapcsolatot a hálózattal, a NAS küld egy stop típusú Accounting-Request üzenetet, ennek hatására a RADIUS szerver lezárja a kliens munkamenetét. A kommunikáció ezen része a 4.6. ábrán figyelhető meg.
4.6. ábra. A RADIUS számlázás üzenetei
23
A fenti üzeneteken kívül fontos megemlíteni, hogy a bármelyik RADIUS üzenet bővíthető további információtartalommal, attribútumokkal. A gyár szempontjából különösen fontos, hogy a RADIUS szerver ne csak engedélyezze a kliens csatlakozását a hálózathoz, de azt is határozza meg, hogy melyik hálózathoz csatlakozhat. Ez a gyakorlatban VLAN információt jelent, de azoknál a klienseknél, amelyek nem támogatják a 802.1x hitelesítést, a NAS el tudja küldeni a kliens MAC címét, amely alapján már azonosítható a kliens. Ezeket a beállításokat a RADIUS szerveren található biztonsági házirendben lehet létrehozni. A házirendben különböző szabályok adhatók meg vizsgálva a kliens csatlakozási módját (vezetékes/vezeték nélküli), NAS címét és egyéb adatokat. A szabályok megadása után beállítható a hozzáadandó attribútumok listája is. A szabvány definiálja a leggyakrabban használt tulajdonságokat, de a nagyobb gyártók ezeken kívül saját gyártó-specifikus tulajdonságokat (VSA) hozhatnak létre. Ezek segítségével a hálózat viselkedése még jobban testreszabható.
4.1.4. VPN technológiák A virtuális magánhálózatoknak két fő típusa van: Site to Site VPN, illetve távoli elérést biztosító VPN. Az alapvető különbség a két típus között, hogy az előbbi hálózatokat köt össze hálózatokkal, az utóbbi pedig egy számítógépet köt össze hálózatokkal. A távoli elérést biztosító VPN-eknek további két csoportját különböztetjük meg aszerint, hogy szükség van-e külön alkalmazásra a hálózat eléréséhez (kliens VPN) vagy nincs (kliens nélküli VPN). Egy komplex hálózatnál manapság már számolni kell VPN igényekkel, ezért röviden áttekintem az Internet Protocol Security (IPSec) protokollcsaládot, amelynek alapján a Site to Site VPN működik és a távoli elérést biztosító VPN is használhatja. Az IPSec protokollcsaládot annak érdekében hozták létre, hogy a hálózati rétegben biztonsági szolgáltatások egy halmazát biztosítsák. Ezek közé a szolgáltatások közé tartozik a hálózati szintű végpont-társ (peer) hitelesítés, az adatforrás hitelesítés, az adatintegritás biztosítása, a titkosítás, valamint a csomag visszajátszás elleni védelem [11]. A protokollcsalád egyaránt működik az IPv4 és IPv6-os címzés esetén. Az IPSec komponensei: •
Kriptográfiai algoritmusok a hitelesítéshez és a titkosításhoz
•
Manuális és automatikus kulcskezelés (IKE)
•
Biztonsági hozzárendelések (Security Associations)
24
•
Biztonsági protokollok: Authentication Header (AH) és Encapsulating Security Payload (ESP)
Két végpont között fenti összetevők egyeztetését az Internet Security Association and Key Management Protocol (ISAKMP) végzi el. A végpontoknak először megállapodnak a használt biztonsági beállításokban és kulcsot cserélnek, amelyet a biztonságos kommunikációhoz használnak, így alakul ki a biztonsági hozzárendelés (SA). Az SA tartalmazza a használt titkosítási algoritmust, kulcs hosszt és az aktuális biztonsági kulcsot. az ISAKMP egyeztetés két fázisban történik. Az első fázisban a kommunikáló felek megegyeznek a titkosítási algoritmusról (DES, 3DES, AES), az adatintegritásról gondoskodó algoritmusról (MD5, SHA), valamint a kapcsolat hitelesítési módjáról (tanúsítvány, előre megosztott titkos kulcs (preshared key)). Amikor az első fázisban sikeres volt, a második fázisban a biztonsági protokoll (AH, ESP), valamint az érintett végponti hálózat kerül kiválasztásra a használt titkosítással és hash-eléssel együtt. A biztonsági protokoll kiválasztása határozza meg, hogy milyen biztonsági szolgáltatásokat lehet a kommunikációtól elvárni. Az AH egy egyszerűbb protokoll, amely a teljes IP csomag számára biztosítja az adatforrás hitelesítését, valamint az adatintegritást. Ez több előnnyel is jár: véd a csomagok meghamísítása, a spoofing támadások, valamint a visszajátszásos támadások ellen. A hátránya, hogy nem védi a csomagot titkosítással, pedig fontos szempont lehet, hogy adott esetben vállalatilag érzékeny adatok ne legyenek láthatóak a megbízhatatlan csatornán (internet). A 4.7. ábrán látható hogy az AH fejléce a hálózati és a szállítási réteg közé ékelődik be.
4.7. ábra. AH protokoll helye az IP csomagban (tunnel mód) [12] Az ESP bonyolultabb protokoll, mint az AH, mert egyedül képes biztosítani azokat a funkciókat amelyeket az AH. Ehhez három különböző részre van szüksége: az ESP fejlécre, az ESP trailerre, valamint az ESP hitelesítési blokkra. Az ESP fejléc az AH fejléccel megegyező helyen, majd a payload után helyezkedik el az ESP trailer és az ESP
25
hitelesítési blokk, ahogy a 4.8. ábrán látszik. Az ESP header és az hitelesítési blokk közötti rész titkosítva van, így az AH gyengeségét kiküszöbölve egy nagyon biztonságos protokollnak számít.
4.8. ábra. ESP protokoll helye az IP csomagban (tunnel mód) [12] Az IPSec protokoll kétféle módon működhet: szállítási vagy csatorna módban. Csatorna módban az egész eredeti IP csomagot védi az IPSec. Ez azt jelenti, hogy a csomagot beágyazza az IPSec és titkosítja, majd egy új IP fejlécet ad hozzá, és ennek alapján történik a továbbítás. Ez a mód leggyakrabban Site to Site VPN-ek esetén használatos, amikor a forgalom két hálózati átjáró között van titkosítva, ritkábban egy végpont és egy átjáró között. A végpont lehet egy IPSec kliens VPN alkalmazás is. Az átjárók mögötti eszközök a proxyként használják az átjárót, amelyre a 4.9. ábrán látható példa.
4.9. ábra. Site to Site VPN A szállítási mód pont-pont kommunikáció esetén használatos. Ilyenkor nem lehet a teljes IP csomagot titkosítani, csak a payload részét, mivel az IP csomag fejléce az üzenettovábbításhoz szükséges. Ezt a megoldást egy telnet kapcsolat titkosítására szokták használni vagy távoli asztal esetében. Manapság a távoli elérést biztosító VPN-eknél nem az IPSec, hanem az SSL VPN a legközkedveltebb. Nagy előnye, hogy nem feltétlenül szükséges hozzá kliens szoftver,
26
mert egy böngészőn keresztül is képes működni. Ilyenkor ugyan korlátozottabbak a lehetőségek, mert nem egy teljes hálózathoz vagy számítógéphez férünk hozzá, mint az IPSec esetében, hanem mappákhoz és fájlokhoz, vagy appleteket futtathatunk. Annak érdekében, hogy az IPSec esetében megszokott hozzáférést biztosítani lehessen, itt is elterjedtek a kliens alkalmazások. Az alkalmazások lehetnek akár platform függetlenek (Cisco Anyconnect) is. Az SSL VPN-ek legnagyobb előnye, hogy a legtöbb helyen engedélyezve vannak, mert a https portot (tcp/443) használják.
4.1.5. Eszközszervezési technológiák A következő technológiák eltérnek az eddigiektől, mert nincs általános szabvány rájuk, viszont mindegyik gyártó biztosít saját megoldásokat, amelyek segítségével a hálózat menedzsment leegyszerűsödik. A technológiák egy része nem csak az áttekinthetőséget növeli, hanem a hálózati redundanciát is, amelyet elvárunk a hálózattól. Megelőlegezem, hogy a tervezett hálózatban tűzfalakat, switcheket, valamint wireless AP-kat használok fel. Mindegyik eszköztípusnál van egy-egy technológia, amely megkönnyíti a hálózatmenedzsmentet. Törekszem arra, hogy ne egy gyártófüggő technológiát ismertessek részletesen, hanem a különböző gyártók technológiáinak hasonlóságait. A tűzfalak esetében követelmény a redundáns bekötés, hogy egy eszköz meghibásodása esetén se szakadjanak meg a kialakított kapcsolatok. Az eszköz védelméről gondoskodni még kevés, az is elvárás lehet, hogy az interfészek egy csoportját figyeljék a tűzfalak, és hiba esetén a meghibásodott interfész helyett másikat használjanak. Ezeket a funkciókat szabványosított routing protokollokkal is meg lehet valósítani (például VRRP), de a tűzfalaknál nem ez terjedt el. A legtöbb gyártó (HP, Cisco, Sonicwall) „Failover”-nek hívja a megoldását. A Juniper a saját protokollt használ (NSRP), de ugyanazokat az előnyöket éri el, mint a többi gyártó. A technológia két tűzfal között működik, az összeköttetés nem csak a redundanciát növeli, de a tűzfalak között biztosítja a konfiguráció szinkronizálását is, valamint az állapottartó viselkedést (sessionök megmaradnak). Alapvetően két féle működés lehetséges attól függően, hogy a tűzfalak között, hogyan megy keresztül a forgalom. Amennyiben a forgalom megoszlik a két tűzfal között, aktív-aktív viselkedésről beszélünk. A terhelésmegosztás jól hangzik, de tulajdonképpen ez az egyetlen előny, amely az aktív-aktív üzemmód mellett szól. Nagy hátránya azonban, hogy ha a forgalom meghaladja az egyik tűzfal kapacitását, és a másik meghibásodik, az összes kapcsolat megszakad, amely a meghibásodott tűzfalon ment keresztül. Dolgozatomban
27
ezért az aktív-passzív üzemmódot ismertetem. Aktív-passzív működés esetén, a két eszköz közül az egyik elsődleges eszközként működik (aktív), a másik eszköz másodlagosként (passzív). Amennyiben az elsődleges eszköz meghibásodik, szerepcsere történik és a másodlagos eszköz fogja betölteni az aktív szerepet, ahogy ez a 4.10. ábrán is látszik.
4.10. ábra. Aktív-passzív failover működése[13] A szerepekkel együtt az IP, valamint MAC címek is cserélődnek, ezért a hálózat többi része nem is észleli a változást. Szerepcsere nem csak eszközhiba esetén történhet. A tűzfalak figyelhetik a saját interfészeik egy csoportját. Amennyiben az aktív eszköz egy monitorozott interfésze valamilyen hiba miatt szétkapcsol, de a passzív eszközön ugyanazon interfésze nem szakad meg, szintén szerepcsere történik. Ahhoz, hogy a tűzfalak között megtörténhessen az állapotinformációk átvitele, valamint a konfiguráció szinkronizálása, a tűzfalakat össze kell kötni egy „Failover” linken keresztül. A switchek esetében jelentősen megkönnyíti a hálózatmenedzsmentet, ha egy logikai egységként lehet többet is kezelni. A switch „Stack” (Cisco és HP esetében) vagy „Virtual Chassis” (Juniper) technológia ennek a megvalósítását teszi lehetővé. A stack-elés nem csak a hálózatmenedzsmentet könnyíti meg, hanem a redundanciát is növelheti a gyűrűs összekötés esetében. A technológiának nagy előnye még, hogy segítségével olyan link aggregáció is létrehozható, amely több switchen átível (szerverek redundáns bekötése). A különböző gyártóknál az összekötés módjában, az összeköthető switchek számában, valamint a stack-ben betöltött szerepkörökben van eltérés, de nagyon sok hasonlóság van. A switchek összekötése technológiától függően ethernet interfészen vagy dedikált stack interfészen történhet, de elvárás, hogy a teljesítményre ne legyen hatással az összekötött eszközök száma. Az összekötött switchek konfigurációja és routing információja minden switchen azonos, amelyről a master switch gondoskodik. Az eszközök menedzsmentje egy IP címen keresztül történik, ez az IP cím a masterhez tartozik.
28
A vezetéknélküli AP-kat is csoportba lehet szervezni a switchekhez hasonlóan, amennyiben ezt a gyártó támogatja (Aruba, Ruckus, Cisco). Sajnos erre a technológiára se létezik még szabvány, a gyártótól függ, hogy mennyi eszközt lehet így összekötni, és milyen funkciók elérhetőek. Az igény már 2003-ban felmerült egy olyan protokollra (LWAPP [14]), amellyel több AP-t is lehet vezérelni, de ez a hálózat architektúrájában külön eszközt (wireless controller) igényel. A kontrolleres megoldásokat manapság is használják, de főként olyan AP mennyiségnél, amelyet már nem lehet egy clusterbe szervezni. A switch stack-kel ellentétben a csoportosított AP-knak nem feltétlenül van egy menedzsment IP címük, de egy kiválasztott AP-ról a cluster tagjai beállíthatók és az öszszes csatlakozott kliens monitorozható.
4.2. Eszközök kiválasztása A technológiák ismertetése után bemutatom az eszközkiválasztás menetét. Nagyon fontos már a tervezési fázis elején meghatározni, a rendelkezésre álló anyagi keretet. A financiális okok sokszor leszűkítik a lehetőségeket, ilyenkor törekedni kell olyan eszközök kiválasztására, amelyekkel a legtöbb lehetőség megvalósítható. Dolgozatomban olyan eszközök kiválasztása volt a célom, amelyekkel a költség minimalizálható, de még biztosítani tudják az igényfelmérés során felmért követelményeket. Az irodai, illetve gyártási környezet kialakításakor három részre osztottam az eszközök kiválasztását: •
Vezetékes hálózat kialakítása: a switchek tartoznak ide, mivel az igényfelmérés során nem merült fel különleges igény, amelyhez útválasztó szükséges (a VLAN-ok közötti útválasztást a switchek biztosítják).
•
Vezetéknélküli hálózat kialakítása: a vezetéknélküli AP-k tartoznak ide.
•
Hálózatbiztonság: a tűzfalak tartoznak ide, amelyek gondoskodnak a belső hálózat címfordításáról, az URL szűrésről, valamint a különböző VPN-ek végződtetéséről.
4.2.1. Vezetékes hálózat A vezetékes hálózat eszközeinek kiválasztása a legnehezebb, mert itt kell a legtöbb dolgot figyelembe venni: az igényfelmérésből adódó végpontok számát, technológia követelményeket, valamint az eszközök fizikai kialakítását. Az utóbbi pont lényegesen meg-
29
nehezítheti a hálózat kialakítását, mert például ahogy a 4.1. táblázatban is látszik, a tartalék szerverszobába hat porton van igény 10 Gbps sebességre, de a leggyakoribb switch kialakítások 24 vagy 48 portosak. Erre a problémára hamarosan visszatérek. Csarnok 1 Normál végpont POE végpont (becslés) Szerver 1G Szerver 10G
Csarnok 2
60 8 0 0
56 8 0 0
Szerverszoba Tartalék szerverszoba (R1) (R2) 337 0 20 0 14 7 12 6
4.1. táblázat. Végponti igények összefoglalása Az eszközök kiválasztása különbözőképpen történik a gyártó csarnokban, illetve a szerverszobákban. Ennek az az oka, hogy a gyártási részen kisebb a végponti igény, és nincsenek olyan eszközök, amelyeket redundánsan lehet a hálózathoz kapcsolni. Így a gyártási részen lévő eszközöktől nem szükséges elvárni a stack-elhetőséget, amely a szerverek esetén növelné a redundanciát. A stack-elési technológia elvesztése adminisztrációs és konfigurációs többletmunkát jelent, de ez nem jelent problémát, hiszen a gyártási részen kevesebb eszközváltozás várható, mint az irodai részen, továbbá jelentős anyagi ráfordítás takarítható meg. A 4.1. táblázat alapján a csarnokban, rendezőnként egy darab 48 portos normál switch-csel és egy darab 24 portos POE switch-csel kell számolni. A switchek kiválasztásánál három gyártó (HP, Juniper, Cisco) 2016-os termék portfólióját vettem figyelembe. A 4.2. táblázatban a gyártók első olyan termékcsaládjából válogattam az eszközöket, amelyek támogatják a 802.1x szabványt dinamikus VLAN kiosztással, a stack-elhetőség nem volt követelmény. A táblázat ár oszlopát az Amazon és az Ebay alapján készítettem, és az eladói ár különbségeket úgy küszöböltem ki, hogy az fenn lévő új termékek átlagos árával számoltam. Típus HP JG925A [15] HP JG927A [15] Juniper EX2200-24P-4G [16] Juniper EX2200-48T-4G [16] Cisco SG300-28PP [17] Cisco SG300-52 [17]
Portok Uplinkek Max. POE teljesítmény [W] 24 GbE 4 SFP 180 48 GbE 4 SFP 0 24 GbE 4 SFP 405 48 GbE 4 SFP 0 2 GbE és 24 GbE 180 2 GbE/SFP 2 GbE és 48 GbE 0 2 GbE/SFP
4.2. táblázat. Alkalmas switchek a gyárcsarnokba
30
Ár [$] 600 650 1100 1200 550 650
A táblázatból látszik, hogy a HP és a Cisco eszközök közel megegyező áron beszerezhetők, viszont a Juniper eszközök majdnem kétszer annyiba kerülnek. Ez annak köszönhető, hogy a Juniper legkisebb switch családja, az EX2200-as több funkciót támogat (például a stack-elhetőséget is), és POE teljesítménye is sokkal nagyobb. A becsült 8 darab POE portot figyelembe véve, a 180 W is bőven elegendő tekintve, hogy a POE+ szabvány (802.3at) maximum 25,5 W folytonos teljesítmény biztosítását írja elő [18], és a tervezett POE eszközök teljesítménye nem éri el a 22 W-t. A következő rész a szerverszobák eszközeinek kiválasztása. Itt már lényegesen magasabb igények vannak a switchekkel szemben. A stack-elhetőség kötelező, hiszen így lehet biztosítani a megfelelő redundáns szerver bekötés esetén a link aggregációt. A gyártásban lévő switchekkel ellentétben, itt már szükségesek a magas sávszélességet biztosító 10 Gbps portok. A 4.1. táblázat alapján a szerverszobába (R1) megközelítőleg hét darab 48 portos normál switch és egy darab 48 portos POE switch szükséges. A 48 portos POE switch helyettesíthető egy 24 portos normál switch-csel és egy 24 portos POE switchcsel, amennyiben az árak így kedvezőbbek. A 4.3. táblázatba a leírtaknak megfelelő switcheket gyűjtöttem. Típus
Portok
HP JG961A [19]
48 GbE
HP JG960A [19]
24 GbE
HP JG963A [19]
48 GbE
HP JG962A [19]
24 GbE
Juniper EX3300-48T [20] Juniper EX3300-24T [20] Juniper EX3300-48P [20] Juniper EX3300-24P [20]
48 GbE 24 GbE 48 GbE 24 GbE
Cisco SG500X-48 [21]
48 GbE
Cisco SG500X-24 [21]
24 GbE
Cisco SG500X-48P [21]
48 GbE
Cisco SG500X-24P [21]
24 GbE
Uplinkek Max. POE teljesítmény [W] 2 10GbE és 0 2 SFP+ 2 10GbE és 0 2 SFP+ 2 10GbE és 370 2 SFP+ 2 10GbE és 370 2 SFP+ 4 SFP+ 0 4 SFP+ 0 4 SFP+ 740 4 SFP+ 405 2 SFP+ és 0 2 SFP/SFP+ 2 SFP+ és 0 2 SFP/SFP+ 2 SFP+ és 375 2 SFP/SFP+ 2 SFP+ és 375 2 SFP/SFP+
4.3. táblázat. Alkalmas switchek a szerverszobába
31
Ár [$] 1500 900 2000 1200 2200 1400 3000 1750 1700 1000 2400 1400
A táblázatból látszik, hogy a 48 portos POE eszközt nem érdemes helyettesíteni két 24 portos eszközzel, mert legjobb esetben is ugyanannyi kerül, viszont a stack-ben lévő switchek száma korlátos. A HP esetében az Office 1950-es család 4 switch összekötését támogatja, a Cisco SG500-as család 8-at, a Juniper pedig 10-et. Ez azt jelenti, hogy a HP esetében az R1 rendezőt nem lehet lefedni egy stack-kel, két részre kell bontani, a másik két gyártónál ez nem jelent akadályt. A tartalék szerverszoba esetében a 10 Gbps portok relatív nagy száma okoz egy kis nehézséget. A szervereknek hat darab 10 Gbps portra van szükségük a 4.3. táblázat adatai alapján, de a tartalék szerverszobát össze kell kötni redundánsan a központi szerverszobával is, tehát összesen nyolc darab 10 Gbps port szükséges. Nyolc port biztosításához legalább két 24 portos switch szükséges. Ebben az esetben, viszont nem lehet a switcheket stack-elni, mert nincs szabad uplink port, amelyen keresztül össze lehet kötni őket. Három switch használata esetén, a szerverek összekötése után még marad négy szabad uplink. Így viszont egy következő akadály okoz fennakadást, amelyet a 4.11. ábra szemléltet.
4.11. ábra. Nem ajánlott stack összekötés A megfelelő stack kialakításhoz elengedhetetlen, hogy az eszközök ne csak egymás után láncba fűzve legyenek, hanem gyűrűbe fogva, hiszen a fenti ábra esetében a középső eszköz meghibásodása esetén a stack felbomlik, és az addig link aggregációval összefogott portok nem fognak megfelelően működni. A tartalék szerverszoba kialakításához ezért más eszközöket kell keresni. A korábbi eszközökből legalább négy 24 portos switch kellene a megfelelő összeköttetéshez, de így 89 kihasználatlan port lenne. A tartalék szerverszobába alkalmas switchek a 4.4. táblázatban találhatók.
32
Típus HP J9726A [22] HP J9733A (stack modul) 2xHP J9731A (uplink modul) Juniper EX4300-24T [23] Cisco SG500XG-8F8T [21]
Portok 20 GbE
Uplinkek 4 GbE/4 SFP
24 GbE
4 SFP+ 4 SFP+ 8 10GbE és 8 SFP+
Ár [$] 1200 700 1200 2300 3200
4.4. táblázat. Alkalmas switchek és modulok a tartalék szerverszobába A különbség az eddigi eszközökhöz képest, hogy a HP switchek stack modullal, a Juniper termékek alapfelszereltségben dedikált stack interfésszel rendelkeznek, így az uplink portok szabadon felhasználhatók a szerverek bekötésére. A Cisco eszköznek továbbra sincs dedikált interfésze, viszont az összes portja 10 Gbps sebességű, amely az árát is jelentősen növeli. Nagy előnye a másik két eszközhöz képest, hogy a szervereket közvetlenül lehet csatlakoztatni a switchhez, nem kell SFP+ modult venni. A HP eszközéhez sajnos kiegészítő modulokat kell venni, mert alapvetően nem képes a stackre és 10 Gbps-os uplink portal sem rendelkezik. Figyelembe véve, hogy a HP és Juniper esetén még SFP+ modulok is kellenek, a legkedvezőbb ára a Juniper switchnek van, ezek után jön a Cisco és a HP terméke. Az eszközök összegyűjtése után a 4.5. táblázatban szereplő ajánlatot készítettem a vezetékes hálózat kialakítására. A hálózat tervezés megbízója végül a Cisco megoldása mellett döntött, mert szeretne homogén hálózatot kialakítani (a többi telephelyén is Cisco termékek vannak), és két legkedvezőbb ajánlat (HP és Cisco) között nincs 10%-os különbség. Gyártó HP
Juniper
Cisco
Eszközök Gyártó csarnok: 2xJG925A, 2xJG927A Szerverszoba: 7xJG961A, 1xJG963A Tartalék szerverszoba: 2xJ9726A,2xJ9733A,4xJ9731A Gyártó csarnok: 2xEX2200-24P-4G,2xEX2200-48T-4G Szerverszoba: 7xEX3300-48T,1x EX3300-48P Tartalék szerverszoba: 2xEX4300-24T Gyártó csarnok: 2xSG300-28PP,2xSG300-52 Szerverszoba: 7xSG500X-48,1xSG500X-48P Tartalék szerverszoba: 2xSG500XG-8F8T
Ár [$] Összesen [$] 2500 21200 12500 6200 4600 27600 18400 4600 2400 23100 14300 6400
4.5. táblázat. Ajánlat a vezetékes hálózat kialakítására
33
4.2.2. Vezetéknélküli hálózat A vezetéknélküli hálózat kialakításakor a következő szempontok alapján választottam ki a megfelelő típusú eszközöket: •
Két frekvencia tartományban (2,4- és 5 GHz-en) sugárzó antenna
•
AP clustering
•
802.11ac szabvány
A 2,4 GHz-es frekvenciasáv nagyon elterjedt a vezetéknélküli hálózatoknál (802.11b/g/n). Azonban ebben a frekvenciatartományban csak három átlapolódás-mentes csatornát lehet használni az adatátvitelre. Az AP-k elhelyezésének tervezésekor ezt figyelembe kell venni (megfelelő csatornakiosztást biztosításával, illetve az adóteljesítmények szabályzásával). A 2,4 GHz-es tartomány hátránya, hogy az egyes csatornákat többféle külső zaj is terheli. Az iroda és a gyár területén zajforrás lehet: egy szomszédos épületből beszűrődő AP zaja, az irodarészen esetlegesen használt vezetéknélküli telefon, Bluetoothon keresztül működő eszközök, illetve akár a konyhában található mikrohullámú sütő is. Az említett zajok elkerülhetők az 5 GHz-es frekvencia tartomány használatával, amelyet a 802.11a/n/ac szabvány határoz meg. További előnye, hogy a rendelkezésre álló átlapolódás-mentes csatornák száma nagyobb, valamint az átviteli sebesség is magasabb. Hátránya, hogy a nagyobb frekvenciának köszönhetően kisebb lefedettség érhető el, mint a 2,4 GHz-es frekvencia esetén. Ez annak köszönhető, hogy a tárgyak az 5 GHz-es hullámokat jobban csillapítják. A két frekvencia tartományban sugárzó antennának köszönhetően nagyobb rendelkezésre állás biztosítható a gyártási részen, valamint magasabb sebességek érhetők el az irodában, így fontos a használata. Az AP clustering a hálózatmenedzsment egyszerűsítésén túl hasznos az esetleges kliens problémák mielőbbi elhárításához. Az első rész viszonylag magától értetődő, amenynyiben a vezetéknélküli hálózatban történik valami változás (megváltozik a hitelesítési jelszó, a hitelesítés típusa, új SSID-t kell létrehozni/törölni), akkor azt az összes AP-n szükséges beállítani. Cluster nélkül ez valószínűleg egy olyan időpontban kell, hogy történjen, amikor éppen senki nem használja a hálózatot, mert egyesével az összes AP-n szükséges elvégezni a beállítást, ami nagy mennyiségű AP esetén több óra is lehet. Cluster esetében a hasonló konfiguráció csak annyi időt vesz igénybe, amennyi egy eszköz beállítása. Ebből adódóan akár éles rendszeren is el lehet végezni a beállítást, mert nem
34
lép fel inkonzisztens állapot, az AP-k különböző állapota miatt. A kliens problémák hatékony elhárítása szintén fontos szempont lehet, egy hálózat tervezésekor. Az AP clustering ezt úgy tudja segíteni, hogy a csatlakozott kliensek egy közös felületen láthatók, és nem kell a switchek MAC táblájában keresgélni, hogy pontosan melyik AP-hoz csatlakozik. A 802.11ac szabvány támogatása az 5 GHz-es frekvenciatartomány megfelelő kihasználása érdekében fontos. A szabvány a 802.11n szabványban használt 20-, és 40 MHz-es csatorna szélességen felül bevezeti a 80-, és a 160 MHz-es csatornákat. A szélesebb csatornák miatt az átviteli sebesség is megemelkedik antennánként akár 433 Mbps sebességre (QAM-256 moduláció és 5/6 kódarány használata mellett [24]). A sebeségen kívül fontos, hogy a szabványban pontosan definiálták a beamforming technológiát, amelynek segítségével a vezetéknélküli jel terjedése a kliensek felé fókuszálható, ahogy a 4.12. ábrán látszik. A szabványosításra azért volt szükséges, mert a 802.11n-ben is lehetett opcionálisan használni a technológiát, de a különböző gyártói implementációk miatt, két gyártó terméke nem működött együtt, így a technológia se terjedt el. A beamforming segítségével nem csak az adóteljesítmény nő meg egy kliens felé, de a nem hasznos jelteljesítmény is csökken. Összességében tehát javul a jel-zaj viszony és a hatótávolság is.
4.12. ábra. Beamforming technológia A 4.6. táblázatban a HP, a Cisco, illetve a Ruckus termékei közül válogattam, mivel a Juniper már nem gyárt vezetéknélküli AP-kat. Az AP-k pontos számának a meghatározása a 4.5 fejezetben olvasható. A táblázatban lévő összes AP-ra jellemző, hogy támogatják a fentebb említett technológiákat. A második oszlop a Multiple Input Multiple Output (MIMO), amely azt megmutatja az antennák és az adatfolyamok számát a következő for-
35
mában [adók száma x vevők száma : adatfolyamok száma]. Az antennák és az adatfolyamok száma hatással van az AP maximális sebességére és a felvett teljesítményére is. A 4.6. táblázat alapján a Cisco termékével érdemes tervezni, mert árban és teljesítményben is a legjobb választás. Típus Aruba IAP-205 [25] Ruckus R310 [26] Cisco WAP571 [27]
MIMO 2x2:2 2x2:2 3x3:3
Max. fogyasztás [W] 12,5 11 18
Ár [$] 580 500 400
4.6. táblázat. Alkalmas vezetéknélküli AP-k
4.2.3. Hálózatbiztonság A tűzfalak kiválasztása hasonlóan a vezetéknélküli AP-khoz az egyszerűbb feladatok közé tartozik, mert az elsődleges szempont a megfelelő teljesítmény biztosítása az igényfelmérés során összegyűjtött szolgáltatások mellett. A manapság használt tűzfalak már sokkal fejlettebbek a klasszikus csomagszűrő vagy állapottartó tűzfalaknál, amelyek a hálózati rétegtől a szállítási rétegig működtek, és a csomag fejlécét vizsgálva döntöttek a csomag tovább haladásáról. Az igényfelmérésből kiderült, hogy olyan eszköz kell az irodai és gyártási környezetnek, amely képes az alkalmazásrétegben is vizsgálódni. A tűzfalak kiválasztásának szempontjai a következők voltak: •
Megfelelő típusú és sebességű interfészekkel rendelkezzen a vezetékes hálózathoz való csatlakozáshoz: a két külső vonal és a redundáns bekötés miatt legalább négy darab GbE interfész.
•
Megfelelő tűzfal teljesítmény (VPN áteresztőképesség, címfordítási teljesítmény, URL és egyéb alkalmazásszintű szűrés): érje el legalább a külső internetkapcsolat sávszélességét.
•
Magas rendelkezésreállást biztosító technika támogatása.
•
VPN technológiák támogatása korszerű titkosítási és kulcs csere protokollokkal.
•
Tartalomszűrés támogatása (URL és alkalmazásszűrés)
36
Interfészek Tűzfal áteresztőképesség VPN áteresztőképesség Tartalomszűrés Titkosítások/hashelések Kulcs csere protokollok IPSec tunnelek száma Ár [$]
Sonicwall TZ300 [28] Juniper SRX220 [29] Cisco ASA 5506-X [30] 5xGbE 8xGbE 8xGbE 750 Mbps 950 Mbps 750 Mbps 300 Mbps 100 Mbps 100 Mbps 100 Mbps 300 Mbps 300 Mbps DES, 3DES, DES, 3DES, DES, 3DES, AES(128, 192, 256) AES(128, 192, 256) AES(128, 192, 256) DH 1, 2, 5, 14 DH 1, 2, 5 DH 1, 2, 5, 14 10 512 50 900 800 700
4.7. táblázat. Alkalmas tűzfalak A fenti szempontok alapján készítettem a 4.7. táblázatot, amelyben a népszerűbb tűzfalgyártók hardveres megoldásai szerepelnek. A tűzfalak esetében nagyon hasonlóak a technológiai paraméterek és az árak is. A Juniper megoldása viszont a távoli elérést biztosító VPN-eknél nem támogatja az SSL VPN-t, ezért a Cisco termékével érdemes tervezni.
37
4.3. Layer 2 tervezés 4.3.1. Rendezők kialakítása Az eszközök kiválasztása után a következő lépés az eszközök elhelyezése a 3.2. fejezetben kialakított rendezőkben. Fontos a jól megtervezett elhelyezés, hogy a rendezők könnyen szerelhetők maradjanak, ne alakuljon ki kábeldzsungel. A rendezők kialakítása a következő szempontok szerint történt: •
Az optikai kábelek átviteli tulajdonságai jelentősen romlanak hajlítás hatására, ezért a rendező tejére gerinchálózati optika panelje kerül, amely így kellően messze lesz a hálózati eszközöktől.
•
Legyen áttekinthető a kábelezés. A végpontok megfelelő kábelezéséhez, a következő elrendezés javasolt (fentről lefelé): o 48 portos switch esetén: patch panel, gyűrűspanel, switch, gyűrűspanel, patch panel. o 24 portos switch esetén: patch panel, gyűrűspanel, switch, gyűrűspanel (utolsó sorban nem kell) Az előbb említett blokkok addig ismételendők, amíg el nem fogynak a végpontok.
•
Szünetmentes tápegységek kerüljenek alulra, hogy minél kevesebbet kelljen őket emelni. Ezek az eszközök nagyon nehezek, és a szekrényben is több unitot foglalnak el.
•
A szerverek kerüljenek a tápegységek fölé, mert ezek is több unit nagyságúak lehetnek.
•
A fennmaradó helyekre kerüljenek az egyéb hálózati eszközök (tűzfalak, útválasztók). Cluster/stack esetén az azonos típusú eszközök, kerüljenek egymás fölé.
•
A rendezőszekrény mérete legyen minél kisebb.
38
4.13. ábra. Rendezőszekrény elrendezés (vázlat és valós példa) Megjegyzés: a rendezők berendezése nem csak az előbb említett módon történhet. A helyszínen lévő rendezőkbe egy-egy rendezőszekrény került elhelyezésre, így vertikális kábelezést alkalmaztam. A fenti szempontok szerinti elrendezést szemlélteti a 4.13. ábra blokk vázlaton és egy valós példán keresztül. Az adatközpontban, illetve nagyobb végpont számú rendezők esetében, amikor több szekrény van egymás mellett, horizontális kábelezést használhatnak, ennek ismertetése nem képezi dolgozatom részét.
4.3.2. Topológia kialakítása A rendezők berendezése után a következő lépés a topológia terv elkészítése. Az aktív hálózat tervezéshez hierarchikus tervezési modellt használtam. A hierarchikus modell a tervet több moduláris részre – vagy rétegre – bontja. A felbontásnak megvan az az előnye, hogy mindegyik réteg különböző feladatokat láthat el, amely leegyszerűsíti a hálózattervezést, és ennél fogva a hálózat telepítését és üzemeltetését is. A hálózat modularitása lehetővé teszi, hogy az egyes részeket sokszorozni lehet, így növelve a hálózat skálázhatóságát. A modularitásnak köszönhetően a hálózat architektúrája konzisztens marad az egyes részek többszörözését követően is. Egy hierarchikus hálózatot könnyebb áttekinteni, és hibás működés esetén könnyebb lokalizálni a hiba forrását. 39
A hierarchikus hálózat 3 részből áll, ahogy ez a 4.14. ábrán is látható: •
Központi réteg: A központi réteg biztosítja a nagy sebességű csomagkapcsolt backplane-t minden folyamnak, amely keresztülmegy rajta. A réteg öszszeköttetést teremt az elosztási réteggel, és egy olyan megbízható layer 3-as routolt kapcsolást biztosít, amelynek nincs egyszeres hibapontja (single point of failure).
•
Elosztási réteg: Az elosztási réteg fontos funkciókat biztosít a hálózatnak, és kapcsolatot teremt a központi és hozzáférési réteg között.
•
Hozzáférési réteg: A hozzáférési réteg biztosítja a kapcsolódási pontot a végpontok számára.
4.14. ábra. Hierarchikus hálózat felépítése Mindegyik réteg különböző szolgáltatásokat biztosít a hálózatnak, és eltérő kapacitással rendelkezik. A kialakítandó helyszín tulajdonságainak megfelelően kell ezek közül a rétegek közül egyet, kettőt, vagy mindhármat használni, ahogy a 4.15. ábrán látható: •
Otthoni hálózatban, ahol kevésbé lényeges a biztonság, és nincsen többféle hálózati szereplő egy hozzáférési rétegbeli eszköz teljesen alkalmas.
•
Egyépületes helyszín (iroda/gyár) esetében már komolyabb követelmények vannak (lásd 2.2. fejezet). A hozzáférési rétegen kívül, szükség van az elosztási és a központi réteg feladatait is ellátó eszközökre, de nem szükséges elválasztani ezt a két réteget.
•
Nagyobb hálózatoknál, ahol több épületet kell összekötni az elosztási és a központi réteg is külön válik.
40
4.15. ábra. Két- és háromszintű architektúra Az irodai és gyártási infrastruktúra kialakításához a kétszintes architektúrát használtam, mert nem volt szükség a központi réteg elválasztására. Bár a kiválasztott eszközök képesek mindhárom réteg funkcióit betölteni, de ez nem jelenti azt, hogy mindegyik eszköznél szükség van ezekre. A topológia alapját jelentősen befolyásolta a 3.2. fejezetben kialakított optikai gerinchálózat. Az optikai gerinchálózat csillag topológiájú. A csillag központja a központi szerverszoba (R1). Célszerű volt ez a kialakítás, mert így a kábelezés költsége kisebb, mint a gyűrű topológia esetén. További előnye az elrendezésnek, hogy a gyártási részen és a tartalék szerverszobában lévő rendezők közvetlenül kapcsolódnak a központi rendezőhöz. Az uplink sebességek méretezése szempontjából ez fontos szempont, mert így minden rendezőn csak a saját forgalma mehet keresztül, nem kell egy szomszédos rendezővel is számolni. A gyűrű topológia esetén magától értetődő redundanciáról se kell lemondani, mert a rendezők közötti redundáns összeköttetést többszálú optikai szálak biztosítják. A gerinchálózaton kívüli függést figyelmen kívül hagyva a layer 2-es topológia (4.16. ábra) a következő szempontok alapján készült: •
Az azonos rendezőben lévő eszközöknél legyen kihasználva a stack-elési technológia, amely egyszerűsíti a menedzsmentet és redundanciát ad a hálózathoz.
•
A stack-elés nélküli rendezőknél is legyen redundáns bekötés, és megfelelő védelem a hálózati hurok ellen (4.3.3. fejezet).
•
Link aggregáció használata a rendezők összekötésénél, amennyiben ez nem lehetséges legyen kiegyenlített az uplink elosztás az eszközök között. 41
42 4.16. ábra. A hálózat layer 2-es topológiája
4.3.3. Eszközök összekötése A topológia kialakítása után, az eszközöket a topológiának megfelelően kell összekötni. Az összekötésnél a gyártócsarnokban lévő eszközök különös figyelmet érdemelnek, mert megfelelő beállítások nélkül a hálózatban hurok alakul ki a gyártó csarnokban lévő switchek és a core switch stack között. A hálózati huroknak köszönhetően broadcast vihar jön létre ebben a szegmensben, amely megbénítja a hálózatot. A hurkok ellen a Spanning Tree Protocol (STP) használatával lehet védekezni. Az STP-t eredetileg az IEEE 802.1D szabványban definiálták [31], de később több módosításon is átesett (RSTP, MSTP), melyeket a 802.1Q-2014 szabványba foglaltak bele [32]. Az STP működése során a résztvevő switchek közül kiválaszt egy root bridge-t. A root bridge kiválasztása az eszköz MAC címe és egy konfigurálható prioritás alapján történik. A kiválasztás után meghatározza azokat a portokat, amelyeknek a legkisebb a költsége (nagyobb a sebessége) a root bridge felé, ezek a root portok. Azokat a portokat, amelyek a legrövidebb útvonalon vannak a root bridge felé, de nem root portok, designated portnak nevezik, az összes többi port letiltásra kerül, és a kialakuló összeköttetés hurokmentes. Az eredeti STP protokollt ma már nem használják, mert lassan konvergál, helyette RSTPt használnak. A korábban megtervezett topológia összekötése akkor lesz ideális, ha a core switch stack lesz a root bridge. A root bridge választását a prioritások módosításával lehet befolyásolni (az alacsonyabb érték az erősebb), tehát a core switch stack prioritását alacsony értékűre kell állítani. Így alakul ki a 4.17. ábra bal oldalán lévő optimális feszítő fa (mindegyik switch közvetlenül kapcsolódik a core switch-hez), a beállítás hiányában elképzelhető, hogy az ábra jobb oldalán lévő nem megfelelő feszítőfa alakul ki.
4.17. ábra. STP feszítőfák (bal kép optimális, jobb kép helytelen)
43
A szerverek bekötésénél arra kell figyelni, hogy akkor lesz hibatűrő az összeköttetés, ha a két vagy több hálózati kártya a switch stack különböző tagjaihoz vannak kapcsolva. Fontos az összekötés előtt a link aggregációt megfelelően konfigurálni a szerver és a switch oldalon is. A switch stack kialakításánál arra kell figyelni, hogy a switchek mindenképpen gyűrűbe legyenek fűzve, a 4.18. ábrának megfelelően. A stack kialakításánál a következő dolgokra érdemes figyelni: •
Mindegyik eszközről legyen biztonsági mentés.
•
Az összes eszközön legyen azonos firmware verzió.
•
Amennyiben az egyik eszközön már van egy konfiguráció amit szeretnénk megtartani, érdemes ezt beállítani stack masterként a stack prioritás módosításával.
4.18. ábra. Ajánlott stack összekötés
4.3.4. Virtuális hálózatok kialakítása Az adatkapcsolati tervezéshez tartozik hozzá a szórási tartományok kialakítása is. Szórási tartománynak nevezzük a hálózat azon részét, amelyen keresztül a hálózati csomópontok képesek adatkapcsolati rétegen keresztül broadcast üzenetekkel kommunikálni. VLAN-ok kialakítása nélkül, a switchelt hálózatban lévő eszközök azonos szórási tartományba tartoznak. Ez egy összetettebb hálózat esetében, amelyben többféle hálózati szereplő is megjelenik (IP telefonok, biztonsági eszközök, irodai eszközök, stb.) biztonsági aggályokat is felvet. Tehát biztonsági szempontból, a szórási tartományok méretének csökkentése, valamint a hálózati szereplők logikai csoportosítása érdekében szükséges a hálózatot több szórási tartományra bontani. A felbontást VLAN-ok segítségével lehet elvégezni.
44
A VLAN címkézést az IEEE szabványosította a 802.1Q szabványában [32]. A hálózati forgalmat általában a switchek címkézik meg. A címke alapján a switch csak a címkének megfelelő portokon továbbítja az üzenetet. Az interfészeknek kétféle üzemmódja van: hozzáférési és trönk. Hozzáférési módban nem történik címkézés, de minden hozzáférési módban lévő interfészhez csak egy VLAN-t lehet társítani, amelynek alapján történik a csomagtovábbítás. A trönk mód különlegessége, hogy több VLAN-t is továbbítani tud a 802.1Q szabványnak megfelelő címkézést használva. Trönk mód esetén is lehetőség van egy VLAN-t címke nélkül továbbítani, amelynek a neve natív VLAN. A 802.1Q szabványban a címkéhez tartozik egy prioritás érték is, amelynek segítségével QOS is biztosítható. A VLAN-ok kialakításánál a következő szempontokat érdemes figyelembe venni [33]: •
Ne használjuk az alapértelmezett 1-es VLAN-t.
•
Az összes felhasználói port legyen hozzáférési módban.
•
A logikailag elkülöníthető hálózat részeket szervezzük külön VLAN-ba.
•
Az elsőbbségi forgalom (VoIP) megkülönböztetésére, használjunk QOS-t.
•
A hálózati eszközök menedzsmentjét különítsük el a többi VLAN-tól.
A fenti szempontok és az igényfelmérés alapján a 4.8. táblázatban szereplő VLAN-okat alakítottam ki. Név Management Servers Office Production VoIP Security-devices Education Guest Failed-auth
VLAN ID 10 11 12 13 14 15 16 17 18
4.8. táblázat. Kialakított VLAN-ok
45
4.4. Layer 3 tervezés Az adatkapcsolati tervezés után, a következő lépés a VLAN-okhoz tartozó címtartományok kialakítása. A címtartományok tervezéséhez a változó méretű alhálózati maszkolás (VLSM) módszerét használtam. A VLSM előnye, hogy a változó méretű alhálózati maszkoknak köszönhetően, hatékonyabban lehet kihasználni a rendelkezésre álló címteret. A címtér megfelelő kihasználása a belső hálózat kialakításánál nem szokott szerepet játszani, de a dinamikus útvonalválasztó protokollnál (RIPv2, OSPF, EIGRP) szempont lehet a címtartományok megfelelő kialakítása. A 4.9. táblázatban összegyűjtöttem az igényfelmérés során felmért végpontok számát, és a hosztok számának megfelelő címtartományt alakítottam ki. Név Management Servers Office Production VoIP Education Guest
VLAN ID
Hosztok száma 32 50 270 69 15 26 20
10 11 12 13 14 16 17
Tervezett Rendelkezésre címtartomány álló címek 172.16.2.192/26 62 172.16.2.128/26 62 172.16.0.0/23 510 172.16.2.0/25 126 172.16.3.96/27 30 172.16.3.0/27 30 172.16.3.32/27 30
4.9. táblázat. Kialakított címtartományok Észre lehet venni, hogy a 4.8. táblázatban több VLAN-t hoztam létre, mint amennyi a kialakított címtartományoknál van. Ennek az oka az, hogy a biztonsági eszközöknek (VLAN 15) csak szeparált layer 2-es hálózatot kellett biztosítani, a magasabb rétegekbeli szolgáltatásokról a biztonsági szolgálat saját eszköze gondoskodik. A „Failed-auth” VLAN, pedig a 802.1x protokoll miatt fontos (4.6 fejezet), de itt sem szükséges layer 3as átjárást biztosítani. A következő lépés a címtartományok kialakítása után, az layer 3-as útvonalak kialakítása, illetve az alapértelmezett átjárók kiválasztása. Ennél a lépésnél a következő dolgokat kell mérlegelni: •
Melyik átjáró tudja szabályozni a forgalmat?
•
Melyik átjáró tudja biztosítani a megfelelő sávszélesség igényt?
46
Az első kérdésre a válasz az, hogy a core switch stack és a tűzfal tekinthető a hálózatban layer 3-as eszköznek. A tűzfalban nagyon részletes szabályrendszerrel és egyéb szolgáltatásokkal (URL szűrő, alkalmazásszűrő) lehet a forgalmat irányítani, de manapság a layer 3-as switchek is támogatják az hozzáférési listákat (ACL). Az ACL-ek segítségével biztosítható az alapvető biztonság, hálózati és szállítási rétegbeli információk alapján (bővebben a 4.6. fejezetben). A második kérdésre a válasz a layer 2-es topológiától függ, így különböző tervek esetén eltérő lehet. A tervemben (4.16. ábra) a core switch stack és a tűzfal egy 2 Gbpsos linken keresztül van összekötve. A link sebessége nem elég ahhoz, hogy az összes VLAN forgalma a tűzfalon keresztül menjen, ezért a belső hálózatok átjárója a core switch stack lett, csak az a forgalom megy el a tűzfalig, amelyhez internet kapcsolat szükséges (böngészés, VPN forgalom). A leírtakat tükröző topológia a 4.19. ábrán látható.
4.19. ábra. A hálózat layer 3-as topológiája A fenti topológiának megfelelő útválasztó táblák a következők: •
A core switchen az összes belső hálózat közvetlenül kapcsolódik, csak a belső hálózaton kívüli hálózatok eléréséhez szükséges alapértelmezett átjárót kell beállítani, amely a tűzfal IP címe (172.16.2.254).
47
•
A tűzfalon a belső hálózatra (172.16.0.0/22) szükséges egy átjárót megadni a core switch felé (172.16.2.253). Az alapértelmezett átjáró az internetszolgáltatótól kapott átjáró. Több internetkapcsolat esetén, az alapértelmezett átjárók közül érdemes az egyiket egy magas metrikájú statikus útvonalnak (tartalék vonal), a másikat (fő vonal) egy alacsony metrikájú statikus lebegő útvonalként felvenni (floating static route). A lebegő útvonal figyelhet egy magas rendelkezésre állású címet (például Google DNS szervere), amelynek kiesése esetén az útvonal eltűnik az útválasztó táblából és a tartalék internetkapcsolaton keresztül fog menni a forgalom.
4.5. Vezeték nélküli hálózat tervezése A beltéri vezetéknélküli hálózatokat három modell alapján lehet elkészíteni [1]: •
Kapacitás modell: A modellt elsősorban magas kliens sűrűség és nagy sebesség esetében használják. A vezetéknélküli AP-k egymástól körülbelül 13,75– 18,25 méterre vannak, és adóteljesítményük jelentősen kisebb a maximálisnál (25–50%-a). Amennyibben a követelmény a vezetékes hálózathoz hasonló teljesítmény biztosítása, ez a modell ajánlott.
•
Lefedettségi modell: A modellt elsősorban alacsony sávszélesség igényű helyeken vagy vendég wifi kialakítása esetében alkalmazzák. A vezetéknélküli AP-k egymástól körülbelül 30,5–61 méterre vannak, és adóteljesítményük a maximális közelében van.
•
Magas sűrűségű modell [34]: A modellt elsősorban nagyon magas kliens sűrűség (konferencia termek, repülőterek, előadó termek) esetében használják. A vezetéknélküli AP-k egymástól körülbelül 8–12 méterre vannak, és adóteljesítményük jelentősen kisebb a maximálisnál (25–50%-a). Fő jellemzője az 5 GHz-es frekvenciasávra használata, 20 MHz-es csatornákat használva.
A kapacitás modell alapján terveztem a gyártócsarnok és az iroda vezetéknélküli hálózatát, mert ez felelt meg leginkább az igényeknek. A fenti eszköz elhelyezési javaslat az Aruba tervezési útmutatójából származik, de sok minden más tényezőt is figyelembe kell venni (antenna teljesítmény, kliens sűrűség, AP elhelyezési magassága). Az előzetes terv készítéséhez egy tervező alkalmazást (Airmagnet) is felhasználtam, amelynek segítségével szimulálni tudtam a környezetet.
48
Az általános tervezési szempontok a következők voltak: •
A tervezés teljes területén biztosítsam a -65 dBm-es jelszintet a 2,4- és 5 GHz-es frekvenciatartományban is.
•
A szomszédos AP-knál legyen 10–15%-os csatorna átfedés a roaming biztosítására.
•
A szomszédos AP-k használjanak különböző csatornát az interferencia elkerülése érdekében.
•
Az azonos csatornák esetében ne legyen átfedés (megfelelő adóteljesítmény beállítása).
A szimuláció elkészítésénél a következő szempontokat vettem figyelembe: •
AP-k elhelyezési magaságát: irodában 3 méter, gyártócsarnokban 8 méter.
•
A környezet csillapítását: 4.10. táblázatban látható.
•
Maximális adóteljesítmény: 100 mW.
•
Antenna karakterisztikákat: omnidirekcionális, antennanyereség 2,4 GHz-en 1,99 dBi, 5 GHz-en 1,28 dBi. Anyag Betonfal Téglafal Gipszkarton Ablak Fa ajtó Fém ajtó Fém ajtó téglafalban
Csillapítás [dB] 15 8 4 3 3 6 12
4.10. táblázat. A környezet csillapító tényezői [35] A szimulációban a gyártócsarnokban lévő AP-kat egymástól 32 méterre helyeztem el a nagy belmagasság és a kevés környezeti akadály miatt. Az irodában a környezet miatt 25 méteres elhelyezés volt indokolt. A 4.20. ábrán megfigyelhető az AP-k elhelyezése, a csatornák kiosztása, valamint a jelszint. Az adóteljesítményeket nem közlöm a dolgozatomban, mert a diplomám elkészítése alatt nem készült el a teljesen a gyár, így nem volt lehetőség helyszíni felmérésre. A szimuláció alapján beállított adóteljesítmények nem véglegesek, mert a valós környezetben több akadály befolyásolja a jelet, mint amelyet szimulálni lehet. 49
4.20. ábra. A vezeték nélküli hálózat szimulációjának eredménye
4.6. Hálózatbiztonság kialakítása A vezetékes és vezetéknélküli hálózatok megtervezése után, a következő lépés a megfelelő hálózatbiztonság kialakítása. Az adatkapcsolati réteg biztonságáról a 802.1x protokoll gondoskodik, amely csak akkor engedélyezi az adatátvitelt a porton keresztül, ha a csatlakoztatott eszköz sikeresen hitelesített. A 802.1x infrastruktúra kialakításához szükséges a különböző eszközökön következő beállításokat kell elvégezni: •
Kérvényező beállítása: A kliens beállításához vezetékes hálózat esetében szükség van a 802.1x szolgáltatást elindítani (Windows operációs rendszeren: 50
vezetékes hálózat automatikus beállítása), vezeték nélküli kapcsolat esetében a hitelesítésnél a 802.1x-et kell kiválasztani. Ezek után szükséges beállítani a hitelesítés módját (EAP-TLS, PEAP, EAP-SIM), a hitelesítés típusát (számítógép vagy felhasználói hitelesítés), valamint meg kell bízni a hitelesítő szerver tanúsítványában. Az irodában lévő vezetékes számítógépek esetében számítógép hitelesítést célszerű alkalmazni, mert a számítógép neve egyértelműen meghatározza a használandó logikai hálózatot. A vezetéknélküli klienseknél viszont felhasználói hitelesítést kell választani. •
Hitelesítő beállítása: Hitelesítőként a hálózatban a switchek és az AP-k működnek. Mindkettőnél be kell állítani a RADIUS szerver címét és a jelszót, amellyel kapcsolódnak hozzá. Vezetéknélküli hálózat esetében a 802.1x-et a WPA vagy WPA 2 Enterprise mód támogatja. A vezetékes hálózatnál ki kell választani az összes olyan portot, ahol használni szeretnénk a 802.1x hitelesítést. Igazából érdemes minden porton használni kivéve azokat, amelyekhez szerver, másik switch, vagy AP csatlakozik. A switch esetében lehetőség van elhelyezni a nem hitelesített klienseket, egy szeparált VLAN-ba.
•
Hitelesítő szerver beállítása: A hitelesítő szerveren hozzá kell adni a RADIUS kliensekhez a switcheket és az AP-kat, és be kell állítani a hozzáférési házirendet. Ebben lehet szabályozni, hogy melyik címtár csoportból hitelesítse a felhasználót vagy a számítógépet, illetve, hogy melyik VLAN-ba kerüljön a vezetékes kliens.
A biztonság következő szintje a forgalmat hálózati és szállítási rétegbeli információk alapján szabályozza. A forgalomszabályzásban a tűzfalak valamint a core switch stack vesznek rész. A szabályzás hatásköre egyértelműen elkülöníthető, a switchen csak a belső hálózatok közötti szabályok szerepelnek, a tűzfalon a belső és a külső hálózatot összekötő szabályok. A szűrés hozzáférési listák (ACL-ek) segítségével történik. Az ACL-ek bejegyzésekből (ACE) állnak. Az ACE-k kiértékelése szekvenciálisan történik egy ACL-en belül, ezért fontos a sorrend. Egy ACE-n belül szabályozni lehet, hogy az adott forrás IP cím tartománynak és portnak, cél IP cím tartománynak és portnak, valamint az adott protokollnak megfelelő forgalom engedélyezve vagy tiltva legyen. Az ACL-ek használata megegyezik a switch és a tűzfal esetében, de a működést tekintve van egy fontos különbség. A tűzfal állapottartó módon működik a switch pedig nem. Ez a gyakorlatban azt jelenti, hogy a TCP protokoll esetében a tűzfalon elég létrehozni a legtöbb szabályt a 51
belső lábon, mert a TCP protokoll működése során felépít egy kapcsolatot, és a tűzfal ezt nyomon követi. Így a külső lábakon érkező válaszcsomagokat nem szükséges engedélyezni. A switch esetében a VLAN-ok közötti kommunikációt a résztvevő VLAN-ok mindegyikén engedélyezni kell. A switch esetében a következő módon célszerű felépíteni a VLAN-onkénti ACLeket: •
Az első blokkban azok az ACE-k szerepeljenek, amelyek engedélyezik a belső IP címtartományok vagy szolgáltatások elérését az adott VLAN-ból.
•
A következő ACE-ben mindent tiltani kell az adott VLAN-ból a teljes belső hálózati tartományra.
•
Az utolsó ACE-ben az adott VLAN-ból minden más forgalmat engedélyezni kell.
Megjegyzés: A fent leírtak nem általános érvényű ajánlások csak olyan topológiák esetén alkalmazhatók, ahol belső hálózat szabályzását egy Layer 3-as eszköz biztosítja, és minden más forgalmat a tűzfal szabályoz. Az utolsó két ACE biztosítja szabályzás két részre osztását. A tűzfal esetében az ACL-ek felvételén túl szükséges a VPN-ek, valamint a hálózati címfordítás (NAT) beállítása is. A NAT szabályok kialakításánál figyelni kell, hogy a VPN-nél használt címtartományok esetében ne alkalmazzuk a címfordítást, hiszen a legtöbb tűzfal előbb végzi el a címfordítást, mint a forgalom IPSec tunnelbe irányítását. A csomagok alkalmazás rétegbeli vizsgálatáról is a tűzfal gondoskodik. Az URL szűrésnél érdemes kialakítani egy kategória-alapú feketelistát, melyhez a felhasználók nem férnek hozzá. Igény esetén különböző felhasználói csoportok is kialakíthatók, különböző internet hozzáférési jogosultságokkal.
52
5. Megfelelőségi vizsgálatok Ebben a fejezetben áttekintem, hogy az igényfelmérés során meghatározott követelményeket mivel biztosítottam a tervezés során. Helyszíni vizsgálatokra sajnos nem volt lehetőségem, mert a diplomakészítés ideje alatt nem készült el az épület. Ezért a tervezési szempontokra, az adatlapokban szereplő információkra, valamint végzett szimulációkra hagyatkozom. •
Magas rendelkezésre állás:
A magas rendelkezésre állást, a teljes tervezési folyamat során szem előtt tartottam. A topológia úgy lett kialakítva, hogy nem rendelkezik egyszeres hibaponttal (single point of failure). Az eszközök között redundáns összekötés van, és különböző technológiák biztosítják a hibatűrést (failover, LAG, stack-elés). Az internetkapcsolat megszakadása esetén a lebegő útvonalnak köszönhetően a forgalom alternatív útvonalon megy (tartalék internetkapcsolat). •
Skálázhatóság:
A skálázhatóságról a tervezés során alkalmazott hierarchikus modell gondoskodik. A switch stack-ek korlátozottan bővíthetőek. Amennyiben ez kevés lenne, a központi switch stack szétválasztható egy összevont központi és elosztási rétegben működő switchcsé, melyhez a hozzáférési rétegbeli switch stack-ek link aggregációval kapcsolódnak hasonlóan a tartalék szerverszobai eszközökhöz. •
Átláthatóság:
A hálózat átláthatóságát hierarchikus tervezési modell, valamint az eszközszervezési technológiák biztosítják. A switchek stack-be rendezhetők, amelynek segítségével közös felületen keresztül lehet menedzselni a csoport tagjait. Az vezetéknélküli AP-knál ugyanerre az AP clustering technológia szolgál. •
Automatizáltság:
A hálózat több területén is szükség van automatizálásra. A 802.1x protokoll biztosítja a kliensek dinamikus VLAN-ba helyezését. Így kézileg csak a szerverek, az AP-k, valamint az uplinkek portjait kell beállítani. A keletkező link hibák esetében a LAG protokoll, eszközhiba esetén stack-elés vagy failover technológia, internetkapcsolat kiesése esetén pedig az alternatív útvonal biztosítja az automatizálást.
53
•
Webszűrés:
A kategória-alapú webszűrést a kiválasztott tűzfalak támogatják. •
Teljes WiFi lefedettség:
A vezetéknélküli hálózatot úgy terveztem meg, hogy a helyszín teljes területén biztosítva legyen a -65 dBm-es jelszint. A 4.20. ábrán látható, hogy a szimuláció eredménye alapján, a kialakított vezetéknélküli hálózat biztosítja ezt a követelményt. •
VPN technológiák
A VPN technológiákat a kiválasztott tűzfalak támogatják.
54
6. Összefoglalás A diplomatervem készítése során megismerkedtem és összegyűjtöttem azokat a hálózati technológiákat, szabványokat, és tervezési ajánlásokat, amelynek segítségével kialakítható a mai kor igényeinek megfelelő hálózat. Kidolgoztam az igényfelmérés lépéseit, amelyek a tervezési munkálatok alapjául szolgálnak. Egy valós hálózat kialakításán keresztül mutattam be a tervezési döntéseket, illetve alternatívákat. A tervezett hálózat egy komplex hálózat, mert egyszerre kell kielégítenie irodai és ipari igényeket is. Bár egy valós hálózatot terveztem, diplomamunkám kellően általános ahhoz, hogy a leírtak alapján más hálózatok is kialakíthatók. Dolgozatom során nem az implementáción volt a hangsúly, de a 6.1. ábrán egy általános implementációs terv folyamatai láthatók. Az implementáció a tervezési folyamattal ellentétben jól párhuzamosítható. A különböző eszköztípusok beállítása egy időben is történhet.
6.1. ábra. Implementációs terv Dolgozatom hasznos információforrás lehet kis- és középvállalatok hálózatának tervezéséhez, mert tartalmazza a legtöbb tervezési irányelvet, és részletesen tárgyalja az tervezés összes rétegét. 55
Irodalomjegyzék [1] Aruba Networks Inc., Indoor 802.11n Site Survey and Planning, http://community.arubanetworks.com/aruba/attachments/aruba/ArubaVRDs/13/3/Indoor%20802.11n%20Site%20Survey%20and%20Planning%20%20PDF.pdf (2015. dec.) [2] Andrew Oliviero, Bill Woodward, „Cabling: The Complete Guide to Copper and Fiber-Optic Networking,” 5th edition, 2014 [3] „Information technology – Generic cabling for customer,” ISO/IEC 11801:2002(E) [4] John Smith, „Determining the Right Media,” BICSI News, vol. 28, num. 2, pp. 20–23, March/April 2007 [5] Shane Weaver, Differences Between Cat6 and Cat6a Cables, http://www.cableorganizer.com/articles/what-is-difference-between-cat6cat6a.html (2015. dec.) [6] Tony Casazza, Fiber Type Vs. Speed and Distance, http://www.lanshack.com/Fiber-Type-vs-Speed-and-Distance.aspx (2015. dec.) [7] „IEEE Standard for Local and metropolitan area networks – Link Aggregation,” IEEE Std 802.1AX-2014 [8] Cisco Systems Inc., Configuring IEEE 802.1x Port-Based Authentication, http://www.cisco.com/c/en/us/td/docs/ios/12_4t/12_4t11/ht_8021x.pdf (2016. máj.) [9] „Remote Authentication Dial In User Service (RADIUS),” RFC 2865, 2000 [10] „RADIUS Accounting,” RFC 2866, 2000 [11] „Security Architecture for the Internet Protocol,” RFC 4301, 2005 [12] Microsoft Corporation, Tunnel mode, https://technet.microsoft.com/en-gb/library/cc737154(v=ws.10).aspx (2016. máj) [13] Juniper Networks Inc., Concepts & Examples-ScreenOS Reference GuideHigh Availability, http://www.juniper.net/techpubs/software/screenos/screenos6.3.0/630_ce_HA.pdf (2016. máj.) [14] „Light Weight Access Point Protocol (LWAPP),” Internet Draft, 2003, https://tools.ietf.org/id/draft-calhoun-seamoby-lwapp-00.txt (2016 máj.) [15] Hewlett Packard Enterprise Co., HPE OfficeConnect 1920 Switch Series, https://www.hpe.com/h20195/v2/GetDocument.aspx?docname=4AA54095ENW (2016. máj.) [16] Juniper Networks Inc., EX2200 Ethernet Switch, https://www.juniper.net/assets/de/de/local/pdf/datasheets/1000307-en.pdf (2016. máj.)
56
[17] Cisco Systems Inc., Cisco 300 Series Switches, http://www.cisco.com/c/en/us/products/collateral/switches/small-businesssmart-switches/data_sheet_c78-610061.pdf (2016. máj.) [18] „Amendment 3: Data Terminal Equipment (DTE) Power via the Media Dependent Interface (MDI) Enhancements,” IEEE Std 802.3at-2009 [19] Hewlett Packard Enterprise Co., HPE OfficeConnect 1950 Switch Series, https://www.hpe.com/h20195/v2/GetDocument.aspx?docname=4AA56730ENW (2016. máj.) [20] Juniper Networks Inc., EX3300 Ethernet Switch, http://www.juniper.net/assets/us/en/local/pdf/datasheets/1000389-en.pdf (2016 máj.) [21] Cisco Systems Inc., Cisco 500 Series Switches, http://www.cisco.com/c/en/us/products/collateral/switches/small-business-500series-stackable-managed-switches/c78-695646_data_sheet.pdf (2016. máj.) [22] Hewlett Packard Enterprise Co., Aruba 2920 Switch Series, https://www.hpe.com/h20195/v2/GetDocument.aspx?docname=4AA45213ENW (2016. máj.) [23] Juniper Networks Inc., EX4300 Ethernet Switch, http://www.juniper.net/assets/us/en/local/pdf/datasheets/1000467-en.pdf (2016. máj.) [24] Matthew Gast, „802.11ac: A Survival Guide,” O’Reilly Media, 2013 [25] Hewlett Packard Enterprise Co., Aruba Instant 205/HP 205 Insant Access Point, http://www8.hp.com/h20195/V2/getpdf.aspx/c04692927.pdf (2016. máj.) [26] Ruckus Wireless Inc., ZoneFlex R310 indoor 802.11ac access point, https://www.ruckuswireless.com/products/access-points/zoneflex-indoor/zoneflex-r310 (2016. máj) [27] Cisco Systems Inc., Cisco WAP571 Wireless-AC/N Premium Dual Radio Access Point with PoE, http://www.cisco.com/c/en/us/products/collateral/wireless/small-business-500-series-wireless-access-points/datasheet-c78736449.pdf (2016. máj.) [28] Sonicwall Inc., SonicWALL TZ series, http://www.sonicwall.com/documents/sonicwall-tz-series-datasheet-68221.pdf (2016. máj.) [29] Juniper Networks Inc., SRX Series Services Gateways for the Branch, http://www.juniper.net/assets/us/en/local/pdf/datasheets/1000281-en.pdf (2016. máj.) [30] Cisco Systems Inc., Cisco ASA with FirePOWER Services, http://www.cisco.com/c/en/us/products/collateral/security/asa-5500-seriesnext-generation-firewalls/datasheet-c78-733916.pdf (2016. máj.) [31] „IEEE Standard for Local and metropolitan area networks – Media Access Control (MAC) Bridges,” IEEE Std 802.1D-2004
57
[32] „IEEE Standard for Local and metropolitan area networks – Bridges and Bridged Networks,” IEEE Std 802.1Q-2014 [33] SANS Institute, Virtual LAN Security: weaknesses and countermeasures, https://www.sans.org/reading-room/whitepapers/networkdevs/virtual-lan-security-weaknesses-countermeasures-1090 (2016. máj.) [34] Aruba Networks Inc., High-Density Wireless Networks for Auditoriums Validated Reference Design, http://community.arubanetworks.com/aruba/attachments/aruba/Aruba-VRDs/21/1/High-Density%20Wireless%20Networks%20for%20Auditoriums.pdf (2016. máj.) [35] Computer Aided Solutions Llc., The Basics of Signal Attenuation, http://www.dataloggerinc.com/content/files/whitepaper/wireless_data_loggers_accsense_temperature_datalogger.pdf (2016. máj)
58
