Лекции по информационным сетям

WSDL – это XML ориентированный язык, предназначенный для определения Web сервисов и доступа к ним.

 

Разговор  служб – обмен между службами происходящий по определенным правилам и в определенном порядке

Бизнес  протокол – набор правил, регулирующих «разговор»

 

Внутренняя  и внешняя архитектура сетевых  служб

Внутренняя  инфраструктура:

Основная задача – получить запрос и предать его  внутренним системным программам реализованным  в локальной информационной системе;

Внутренняя  архитектура определяется конкретной реализацией информационной системы;

С т.з. интеграции не очень интересна.

 

Внешняя инфраструктура:

Основная задача - обеспечить интеграцию различных  служб между собой

Внешняя архитектура, посредством которой и реализуется  внешняя инфраструктура обеспечивает:

- журнализацию;

- транзакционные  гарантии;

- надежность;

- работу службы  именования;

- работу службы  справочников;

- координацию  взаимодействия служб друг с  другом;

- системную  поддержку работы служб:

- упаковка и  распаковка сообщений, которыми  обмениваются службы;

- преобразование  сообщений в формат понятный  внутреннему программному обеспечению;

- управление  рабочим потоком.

 

ВОПРОС?

Где лучше всего  размещать системную поддержку?

1) реализация  децентрализованной поддержки, где  все участники совместно выполняют работу службы именования (каталог)

«+» правильный подход (с т.з. теории)

«-» трудно добиться требуемого уровня надежности и доверия (проблема разделения ответственности)

 

2) использование  специальных брокеров (посредников)  – сервер именований; централизованный подход к управлению

«+» вариант  пригоден для всех видов систем

Последовательность  основных этапов работы в этом случае:

- поставщики  служб создают ее и определяют  интерфейс взаимодействия с ней;

- генерируют  описание сетевой службы и интерфейсов;

- публикуют  описание в реестре служб; реестр  воспринимается всеми также как  некая сетевая служба, которая  предоставляет информацию о других  службах; предполагается, что адрес  реестра известен всем.

 

Еще одна составляющая внешней архитектуры – инструментарий для композиции служб.

 

Механизм  взаимодействия сетевых служб по протоколу SOAP.

 

SOAP – это простой протокол доступа к объектам (Simple Object Access Protocol)

Существует  две реализации протокола: от Apache и Microsoft

Основные требования (пожелания, необходимые и достаточные условия) взаимодействия сетевых служб:

1) общим синтаксисом описания сетевых служб является XML

2) сетевые службы могут использовать в качестве транспортного протокола произвольный протокол, например, TCP/IP, HTTP, SMTP.

3) все участники должны быть слабосвязаны

Всем этим условиям удовлетворяет протокол SOAP.

Основной элемент  протокола – сообщение

Состоит из заголовка  и тела сообщения, имеет блочное  строение, заголовок необязателен.

Обязательно должен быть указан отправитель и получатель.

При передаче сообщения  может быть несколько промежуточных  узлов транспортировки.

 

Способы использования:

- в стиле  документов – асинхронный обмен XML документами

- в стиле RPC – содержит непосредственно имя вызываемого метода и его параметры

 

Реализация  взаимодействия на основе SOAP:

1) клиент делает вызов процедуры, который является обращением к процедуре-заместителю, размещенной в переходнике (промежуточное звено)

2) переходник  переправляет вызов в подсистему SOAP

3) в подсистеме SOAP вызов преобразуется в XTML документ (сообщение)

4) сообщение преобразуется в формат HTTP и передается на удаленный сервер (хост)

5) происходит  обратное преобразование на удаленном  сервере (хосте)

- модуль HTTP

- подсистема SOAP

- серверный  переходник

- вызов необходимой  функции

6) аналогичным  образом с сервера клиенту  передается результат работы  функции.

 

Может быть асинхронный  режим работы через систему очередей и использование протокола SMTP.

 

 

Протокол SSH

Архитектура протокола SSH

SSH является протоколом для удаленного безопасного входа и других сетевых сервисов безопасности в недостаточно надежно защищенной сети.

Основные компоненты

1. Протокол транспортного уровня (SSH-TRANS): обеспечивает аутентификацию сервера, конфиденциальность и целостность соединения. Также может дополнительно обеспечивать сжатие данных. Протокол транспортного уровня обычно выполняется поверх соединения TCP, но может использоваться и поверх любого другого надежного соединения.
2. Протокол аутентификации пользователя (SSH-USERAUTH): аутентифицирует клиента для сервера. Он выполняется поверх протокола транспортного уровня.
3. Протокол соединения (SSH-CONN): мультиплексирует несколько логических каналов в один зашифрованный туннель. Протокол выполняется поверх протокола аутентификации пользователя.

Ключи хоста

Каждый сервер должен иметь ключ хоста. Серверы могут иметь несколько ключей хоста, используемых различными алгоритмами шифрования. Несколько серверов могут разделять один ключ хоста.

С помощью ключа сервера при обмене можно проверить, действительно ли клиент общается с нужным сервером. Для того чтобы это было возможно, клиент должен предварительно знать об открытом ключе сервера.

Модели управления ключами

1. Клиент имеет локальную базу данных, связывающую каждое имя сервера с соответствующим открытым ключом. Этот метод не требует централизованной административной инфраструктуры и трехсторонней координации. В то же время, такую базу данных тяжело поддерживать при большом количестве клиентов и серверов, с которыми они должны взаимодействовать.
2. Взаимосвязь имя сервера – ключ проверяется некоторым доверенным сертификационным органом – СА. Клиент знает только ключ корневого CA и может проверить достоверность всех ключей серверов, сертифицированных этими СА.

 

В протоколе существует опция, которая позволяет не проверять связывание имя сервера – открытый ключ при первом соединении клиента с сервером. Это обеспечивает возможность взаимодействия без предварительного знания ключа сервера. В этом случае соединение также обеспечивает защиту от пассивного прослушивания; тем не менее, оно уязвимо для активных атак типа встреча посередине.

Протокол IPSec

 

IPSec предназначен для безопасного взаимодействия на основе криптографии для IPv4 и IPv6. Набор сервисов безопасности включает управление доступом, целостность соединения, аутентификацию исходных данных, конфиденциальность (шифрование) и конфиденциальный поток трафика.

IPSec поддерживает две формы целостности: целостность соединения и частичную целостность последовательности.

 

Основные компоненты

1. Протоколы безопасности – Authentication Header (AH) и Encapsulating Security Payload (ESP).
2. Безопасные Ассоциации
3. Управление ключом – ручное и автоматическое (Internet Key Exchange – IKE).
4. Алгоритмы, используемые для аутентификации и шифрования.

 

IPSec выполняется на хосте или шлюзе безопасности, обеспечивая защиту IP-трафика. Термин «шлюз безопасности» используется для обозначения промежуточной системы, которая реализует IPSec-протоколы.

Защита основана на требованиях, определенных в Базе Данных Политики Безопасности (Security Policy Database, SPD), определяемой и поддерживаемой системным администратором. SPD содержит упорядоченный список записей политики.

Пакеты обрабатываются одним из трех способов на основании  соответствия информации заголовка IP или транспортного уровня записям в SPD:

- пакет отбрасывается  сервисом безопасности IPSec$

- пакет пропускается без изменений;

- пакет обрабатывается сервисом IPSec на основе применения определенной политики.

 

Основные протоколы IPSec

IPSec использует два протокола для обеспечения безопасности трафика – Authentication Header (AH) и Encapsulating Security Payload (ESP).

• Authentication Header (AH) обеспечивает целостность соединения, аутентификацию исходных данных.
• Encapsulating Security Payload (ESP) протокол может обеспечивать конфиденциальность (шифрование) трафика.

Эти протоколы могут  применяться как по отдельности, так и в комбинации друг с другом для обеспечения необходимого набора сервисов безопасности в IPv4 и IPv6. Каждый протокол поддерживает два режима использования: режим транспорта и режим туннелирования.

В транспортном режиме протоколы обеспечивают защиту главным образом для протоколов более высокого уровня.

В режиме туннелирования протоколы применяются для скрытия IP-заголовков исходных пакетов.

Безопасные Ассоциации

Понятие Безопасные Ассоциации (Security Association – SA) является фундаментальным в IPSec.

SA – это однонаправленное логическое соединение, создаваемое для обеспечения безопасности. Весь трафик, передаваемый по SA, некоторым образом обрабатывается в целях обеспечения безопасности. И AH, и ESP используют в своей работе SAs.

SA – это совокупность параметров соединения, которые дают возможность сервисам обеспечивать безопасный трафик. SA определяет использование AH или ESP. Если к потоку трафика применяются оба протокола, AH и ESP, то создаются две SAs. При двунаправленном соединении между двумя хостами или между двумя шлюзами безопасности требуется два SA (по одному на каждое направление).

SA однозначно определяется тремя параметрами:

- Security Parameter Index (SPI),

- IP Destination Address (адресом назначения)

- идентификатором протокола безопасности (AH или ESP).

Комбинации SA

Иногда политика безопасности может требовать комбинации сервисов для конкретного потока трафика. В таких случаях необходимо установить несколько SAs для реализации принятой политики безопасности. Термин «узел безопасных ассоциаций» или «узел SA» применяется к последовательности SA, через которые должен проходить трафик для обеспечения требуемой политики безопасности.

Безопасные ассоциации могут комбинироваться в узлы двумя способами: транспортное соседство и повторное туннелирование.

• Транспортное соседство означает применение более одного протокола для одной и той же IP датаграммы без использования туннелирования. Данный подход при комбинировании AH и ESP допускает только один уровень комбинации.
• Повторное туннелирование означает применение нескольких протоколов, выполняющих туннелирование.

База данных Безопасной Ассоциации (SAD)

В IPsec существует База Данных Безопасных Ассоциаций, в которой каждая запись определяет параметры, связанные с конкретной SA. Соответственно, каждая SA имеет запись в SAD. Для выходящей обработки записи ссылаются на записи в SPD. Для входящей обработки каждая запись в SAD индексируется IP адресом назначения, типом протокола IPSec и SPI.

Для входящей обработки  следующие поля пакета используются для поиска SA в SAD:

• IP адрес назначения внешнего заголовка: IPv4 или IPv6 адрес назначения.
• Протокол IPSec: AH или ESP, используемый в качестве индекса SA в данной БД. Определяет протокол IPSec, применяемый к трафику для данной SA.
• SPI: 32-битное значение, применяемое для идентификации различных SA, заканчивающихся одним и тем же адресом назначения и использующих один и тот же IPSec протокол.

 

 

Основные задачи оптимизации локальных  сетей

 

Основные  задачи:

1. Сформулировать критерии эффективности работы сети (производительность и надежность), для которых требуется выбрать конкретные показатели оценки (время реакции и коэффициент готовности).

2. Определить множество варьируемых параметров сети, прямо или косвенно влияющих на критерии эффективности. Все варьируемые параметры могут быть сгруппированы различным образом.

3. Определить порог чувствительности для значений критерия эффективности. Так, производительность сети можно оценивать логическими значениями «Работает»/«Не работает», и тогда оптимизация сводится к диагностике неисправностей и приведению сети в любое работоспособное состояние. Другим крайним случаем является тонкая настройка сети, при которой параметры работающей сети могут варьироваться с целью повышения производительности.

 

Трактовка задачи оптимизации сети:

1. Приведение сети в любое работоспособное состояние.