Budowa sieci lokalnej.

Transkrypt

1 mgr Artur Ejsmont Budowa sieci lokalnej. 1. Wstęp Przed rozpoczęciem projektowania sieci lokalnej warto zatrzymać się na chwilę i zadać sobie pytanie jakie usługi musi realizować nasza sieć, jakie powinna a jakie mogłaby. Trzeba też zadać sobie pytanie jakie usługi mogą być dostępne z zewnątrz naszej sieci, jakie muszą a jakie nie mogą. Te podstawowe informacje będą miały ogromne znaczenie podczas wybierania architektury i zastosowanych rozwiązań. Aby ułatwić sobie zadanie można sporządzić listę celów stawianych naszej sieci. dostęp do internetu z wnętrza sieci dostęp z internetu do wybranych komputerów dostęp z internetu do wszystkich komputerów dostęp komunikacji tylko z wnętrza na zewnątrz określenie złożonych reguł dostępu oraz ograniczeń dostępu do sieci utworzenie serwisu WWW reklamującego firmę lub pełniącego inne zadania utworzenie serwisu DNS w celu zarządzania domeną, domenami, poddomenami udostępnienie kont pocztowych pop3/smtp pracownikom udostępnienie kont pocztowych dostępnych poprzez WWW udostępnienie kont shell udostępnienie kont X Windows lub innych serwisów zdalnej pracy udostępnienie serwera DHCP w celu łatwej konfiguracji komputerów przenośnych itd udostępnienie serwera proxy w celu zmniejszenia ilości przesyłanych danych lub zaostrzenia zasad bezpieczeństwa udostępnienie serwera plików udostępnienie serwera logowania (konta w jednym miejscu i mobilne profile) udostępnienie serwera lub serwerów wydruku udostępnienie serwera WINS w celu poprawienia sieci windows udostępnienie serwera FTP dla sieci wewnętrznej lub dla świata zewnętrznego nastawienie na najnowszych klientów windows komputery w sieci są różnych typów i pod kontrolą różnych systemów nastawienie na systemy linux/unix Jak widzimy jest dość sporo podstawowych usług które możemy realizować w naszej sieci. Nie będziemy się jednak tym martwić i uprościmy wszystko jak się da :-) Na samym początku zastanówmy się czy w ogóle będziemy potrzebować serwera w naszej sieci i jeśli tak to jakie funkcje powinien on pełnić. Nie jest sztuką kupić komputer zainstalować na nim system i zamknąć wszystko w szafie na 4 lata a potem wywalić do kosza. Może okazać się że serwer w ogóle nie jest nam potrzebny. Stwórzmy więc listę usług które możemy zrealizować poza naszą siecią lub przy minimalnych nakładach. Wiadomo że serwer nie będzie działać sam wieki, trzeba mieć kogoś kto będzie go Materiały do zajęć przygotował Artur Ejsmont. 1 / 12

2 aktualizował, kogoś kto będzie zmieniał konfigurację itd. Zobaczmy więc co możemy zrobić po najmniejszej linii oporu. 2. Co można zrobić nie mając serwera? Router dostępowy neostrady (lub innej sieci) Sprzętowy router z wbudowanym modemem neostrady, maskowaniem adresów, serwerem dhcp oraz fireallem :-))))). To jest to co tygryski lubią bardzo bardzo... może nawet najbardziej. Zalety takiego urządzenia są na prawdę duże. Po pierwsze koszt takiego cacka na początku roku 2006 wacha się w okolicy 300 złotych co jest na prawdę mało biorąc pod uwagę co dostajemy w zamian. Modem do neostrady Nie można przeceniać tej funkcji ponieważ dostęp do neostrady czy innych połączeń dsl potrafi być na prawdę uciążliwy. Sterowniki pisane są niechlujnie, non stop się coś zawiesza itd. Jeśli będziemy używać nowych urządzeń dostępowych jest szansa że nie zainstalujemy ich w ogóle pod linuxem albo wystąpią z tym spore problemu. Zawsze gdy padnie sieć dostawalibyśmy po głowie że na pewno coś zmajstrowaliśmy z serwerem. Połączenia neostrady mają to do siebie że często są z nimi kłopoty, są zaniki sieci, spadki transferów itd. Łącząc się przez nasz serwer będziemy i tak dostawać baty, czy to nasza wina czy nie. Zawsze gdy padnie serwer nasza sieć straciłaby dostęp do internetu Zawsze gdy coś będzie nie tak wystarczy podejść do naszego routera sprzętowego i wyjąć wtyczkę zasilania a następnie po jakimś czasie podłączyć ją z powrotem. Jeśli router się zawiesi lub będzie coś nie tak z połączeniem, to prawie zawsze zrestartowanie routera rozwiąże problem. Jeśli restart routera nie pomoże wiemy już że to nie nasza wina i dzwonimy do naszego usługodawcy z żądaniem wyjaśnienia czemu sieć znów nie działa :-) Wbudowana funkcja firewalla i maskowania adresów Routery tego typu wykonują domyślnie maskowanie adresów. Co nam to daje? Otóż bardzo wiele. Po pierwsze możemy w naszej sieci wewnętrznej podłączać dowolną liczbę komputerów (bez względu na ilość adresów IP przyznanych przez usługodawcę). Po drugie maskowanie sieci zapewnia nam bardzo wysoki poziom zabezpieczenia w porównaniu z normalnym podłączeniem sieci poprzez switch lub słabo skonfigurowany router. Przypomnijmy sobie jak działa translacja adresów IP. W sieci wewnętrznej mamy adresy z klasy prywatnej. Na zewnątrz mamy tylko jeden adres IP. Połączenia z sieci wewnętrznej na zewnątrz przechodzą przez router. Router podmienia adres IP komputera źródłowego oraz numer portu. Zapamiętuje adresy IP oraz porty. Gdy przychodzi pakiet z internetu sprawdza wszystko wśród zapamiętanych połączeń. Po odnalezieniu, podmienia ponownie port i adres IP oraz przekazuje pakiet do komputera w sieci wewnętrznej. Jeśli zastanowimy się nad tym chwilę, to zdamy sobie sprawę, że nie ma możliwości wysłania (tak po prostu) danych (lub żądania połączenia) do żadnego z komputerów w sieci prywatnej. Nasza sieć nie jest dostępna z zewnątrz. Nie jesteśmy więc narażeni że zaatakuje nas robak internetowy, haker lub script kiddie. Istnieją metody penetrowania takiego firewalla jednak są skomplikowane i mają spore ograniczenia. Ponadto urządzenia takie mają też często wbudowane proste funkcje firewalla Materiały do zajęć przygotował Artur Ejsmont. 2 / 12

3 filtrującego. Pozwalają np. na blokowanie zakresów portów dla określonych komputerów lub określanie innych prostych zasad filtrowania. Prosta obsługa przez przeglądarkę internetową Obsługa urządzenia jest przeważnie bardzo prosta. Warto dowiedzieć się przed zakupem czy istnieje dobry podręcznik do urządzenia. Niektóre pokazują na obrazkach jak skonfigurować klientów windows lub jak ustawić poszczególne parametry by uzyskać najczęściej wykorzystywane konfiguracje. Instrukcja obsługi pozwala wręcz nieraz na naukę i konfigurację sieci kompletnemu laikowi. Przykładem jak wygląda interfejs może być dokumentacja Wbudowana funkcja DHCP Routery tego typu posiadają przeważnie wbudowany serwer DHCP. Można w nim często określić jakie karty sieciowe mogą dostawać adresy IP oraz jakie adresy powinny być na sztywno skojarzone z konkretnymi kartami. Brak ruchomych części i bez obsługowość Urządzenia takie nie posiadają dysku twardego i nie ma się w nich po prostu co zepsuć. Raczej nie podlegają awariom. Oprogramowanie jest zapisane w pamięci read only, więc nie ma szans się nic skasować, zrekonfigurować ani zawirusować. Ustawienia które zrobimy poprzez przeglądarkę zapisywane są w pamięci flash więc po awarii zasilania lub restarcie wszystkie ustawienia pozostają bez zmian Zawsze można przywrócić ustawienia fabryczne resetując pamięć flash. Nie ma czym administrować, jeśli coś się zawiesi to wyjmujemy wtyczkę z gniazdka i włączamy ponownie po minucie... nie ma prawa nie działać :-) Wbudowane funkcje VPN Jeśli mamy dobrą dokumentację przed zakupem, (najczęściej można pobrać w pdf) możemy też sprawdzić czy da się skonfigurować VPN za pomocą takiego urządzenia. Idea VPN polega na tunelowaniu komunikacji pomiędzy komputerem a routerem wewnątrz szyfrowanego połączenia. Pomiędzy komputerami które korzystają z szyfrowanych tuneli konfigurowana jest wirtualna sieć. Wygląda to tak że tworzona jest dodatkowa wirtualna karta sieciowa która jest zawsze połączona z tą samą siecią bez względu na to czy pracujemy z siedziby firmy czy z zewnątrz. Posiadając szyfrowaną komunikację i przezroczystą translację sieci, komputer może swobodnie korzystać z usług które udostępniamy tylko w siedzibie firmy. Idea VPN jest ostatnio bardzo popularna (i słusznie!). Pozwala na wyeliminowanie bardzo dużej ilości zagrożeń sieciowych. Przykładowo, jeśli zmusimy naszych pracowników by mięli w domu klienta VPN to nie będzie trzeba otwierać dostępu do poczty z poza naszej sieci prywatnej. Można będzie zaostrzyć zasady bezpieczeństwa itd. Wbudowane gniazdo lub kilka gniazd RJ45 Urządzenia te posiadają wyjścia RJ45 a jak wiemy budowa sieci lokalnej wykorzystuje przeważnie ten typ kabli. Możemy podłączyć router do switcha lub huba z dowolną ilością gniazd i przez to dowolną ilość komputerów (ogranicza nas tylko ilość portów w każdym z hubów i ilość hubów jakie możemy podłączyć w jednym segmencie). Jeśli jeszcze nie przekonałem jak wygodne, proste w obsłudze i tanie w utrzymaniu są takie urządzenia to chyba już nie dam rady ;-). Analizując naszą listę wymagań widzimy że jeden router dostępowy załatwia całkiem sporą liczbę naszych potrzeb przy MINIMALNYCH kosztach finansowych oraz czasowych. Trzeba przecież pamiętać że nawet jeśli serwer jest tani a system Materiały do zajęć przygotował Artur Ejsmont. 3 / 12

4 darmowy to trzeba go obsługiwać, a to będzie oznaczało to koszty. Zlecenia usług www+dns+mail+database firmie hostingowej Może nie jest to bardzo politycznie poprawne, żeby uczyć Państwa wykręcania się od pracy, ale musimy zdawać sobie sprawę z tego jak unikać kosztów i jakie rzeczy możemy zrobić poza naszą firmą. Jeśli zakładamy małą stronę, jedną domenę i konta pocztowe to zdecydowanie opłacalne wydaje się wykupienie usług hostingowych w jakiejś firmie. Wybór jest dość spory. Na uwagę zasługują firmy ze zautomatyzowaną obsługą, takie gdzie możemy sami zmieniać konfigurację oraz pliki bez konieczności kontaktu z firmą. Jak to działa? Firma hostingowa udostępnia swoje serwery tak, by można było umieszczać tam swoje strony www, serwery ftp, konta pocztowe oraz domeny DNS, bazy danych itd. Firma taka sama martwi się o to by wszystko działało. Firmy takie są wysoce specjalizowane i często posiadają dobre rozwiązania i dobrych administratorów. Można podejrzewać że serwery takie są dobrze zabezpieczone i dają szeroką gamę usług. Jeśli mamy do czynienia z dobrą firmą założenie konta oraz jego obsługa możliwa jest bez jakiegokolwiek kontaktu z firmą. Założenie konta sprowadza się do wypełnienia formularza, wydrukowaniu kwitu przelewu oraz dokonanie opłaty. Serwisy takie zakładają też od ręki konta. To znaczy że konto dostępne jest od chwili wypełnienia formularza. Dopiero jeśli nie zapłacimy w ciągu 7-14 dni zostaje usunięte. Od razu widać że praca z taką firmą to przyjemność. Żadnego czekania ani problemów. Klikasz i masz. Po założeniu konta logujemy się i dostajemy interfejs administracyjny. Interfejs taki powinien pozwalać nam w prosty sposób administrować usługami które kupiliśmy. Przeważnie wygląda to tak że mamy zakładki z poszczególnymi usługami np. konta www, konta ftp, konta bazy danych, domeny, konta pocztowe itd. W każdej z sekcji możemy dodać, zmienić lub usunąć wpisy, zmienić hasła itd. Takie podejście pozwala na uwolnienie naszej firmy i naszych administratorów od odpowiedzialności za te usługi. Trzeba tylko wejść na stronę, zalogować się, dodać konto pocztowe pracownika, zmienić przekierowanie domeny czy też dodać nowy podkatalog www i już. Konto działa, domena jest przekierowana a katalog dostępny i nie ma zmartwienia. Przeważnie ustawienia dostępne są od razu aktywowane tak że możemy od chwili założenia korzystać z kont pocztowych, domeny są odświeżane w ciągu kilkunastu minut a nowe dostępne od razu itd. Materiały do zajęć przygotował Artur Ejsmont. 4 / 12

5 Przećwiczmy więc to w praktyce. 1. Otwórzmy stronę 2. Jak widzimy ceny usług nie są wygórowane. Rejestracja samej domeny kosztuje w zależności od tego jaka jest promocja od 5-50 złotych za domenę.pl Oczywiście sama domena nie da nam kont pocztowych ani www. Na szczęście wymagania małej lub średniej firmy mogą zostać zaspokojone za niewielką opłatą. 3. My będziemy chcieli założyć konto business starter. Jak widać 1GB na pocztę oraz www to całkiem sporo. Będziemy mogli założyć np. stronę www oraz dziesięć kont pocztowych każde po 100MB. Dla większości małych firm to już wystarczy. Ponadto 300 zł miesięcznie plus wat daje około 30zł miesięcznego kosztu utrzymania co wydaje się na prawdę nie wielkim kosztem dla nawet niewielkiej firmy. 4. Serwis home.pl pozwala na skorzystanie z 14 dniowego okresu testowego oraz rezerwacji domeny. Oznacza to że na potrzeby naszych zajęć możemy założyć sobie konta i nie ma konieczności ich opłacania. Nie należy tylko wykorzystywać ich w żaden nielegalny sposób. 5. Klikamy więc na rejestruj w sekcji business starter. 6. Wpisujemy nazwę naszego konta. Nazwa konta nie ma zbyt wielkiego znaczenia. Będziemy się logować do głównego konta administracyjnego za pomocą tej nazwy. Nie ma to jednak wpływu Materiały do zajęć przygotował Artur Ejsmont. 5 / 12

6 na obsługiwane domeny. Wpiszmy więc swoje nazwisko lub jeśli będzie już zajęte nazwisko i pierwszą literę imienia lub coś takiego. 7. W kolejnym ekranie wpiszemy że chcemy domenę za złotówkę. 8. Jeśli nie wybierzemy żadnej dodatkowej domeny nasz serwis i konta pocztowe będą dostępne poprzez adres nazwisko.home.pl czyli nasze konto utworzy terz poddomenę w domenie home.pl Jeśli chcemy być postrzegani jako poważna firma musimy jednak założyć domenę com.pl lub pl. W najgorszym wypadku lodz.pl czy wedle uznania. 9. Zaznaczmy więc ptaszkiem domenę jaka nam się spodoba (na dole formularza). Wybierzmy nazwisko.pl i nazwisko.com.pl żeby nikt nam nie ukradł klientów ;-). Akceptujemy formularz. 10. W następnym formularzu zaklikujemy akceptację umowy oraz wpisujemy hasło i powtórkę hasła. Następnie klikamy dalej. 11. W następnym formularzu wpisujemy swoje dane osobowe. 12. W kolejnym klikamy rezygnację z udziału w promocji żeby nie przetwarzano naszych danych 13. Gratulacje właśnie założyliście Państwo konto. 14. Klikamy w prawym górnym rogu ekrany zaloguj się. 15. Wpisujemy nazwę konta którą proponowaliśmy i hasło. 16. Pojawia się kreator konta i układu graficznego, klikamy dalej a potem zapisz. 17. W tej chwili zobaczymy ekran mniej więcej taki jak na obrazku powyżej. Widzimy tu w prawym górnym rogu przyciski przełączające nas pomiędzy aktualną częścią serwisu do zarządzania kontem, pocztą elektroniczną, obsługą płatności oraz rejestracją i logowaniem. 18. Wejdźmy na zakładkę dostępne usługi i wybierzmy konta pocztowe. Dodajmy nowe konto o nazwie takiej jak nasze imię, dowolne hasło. 19. Kliknijmy wyloguj a następnie wpiszmy nazwę konta jako imię.nazwisko oraz hasło do konta pocztowego. 20. Pojawił się znów kreator który pyta nas jaki ma być opis konta wyświetlany w polu from naszych maili. 21. Zostaliśmy zalogowani na nowo utworzone konto pocztowe. Klikając po zakładkach widać że mamy dostęp tylko do naszej poczty. Widzimy że domyślnie nasze konto jest dostepne zarówno w domenie nazwisko.com.pl jak i nazwisko.pl oraz nazwisko.home.pl. 22. Klikając teraz na ikonę koperty w prawym górnym rogu przejdziemy do naszego konta pocztowego. Możemy tu odbierać i wysyłać maile itd. 23. Wylogujmy się i zalogujmy ponownie na główne konto 24. Wejdźmy w dostępne usługi, następnie dodaj element i wpiszmy nazwę poddomeny jako poddomena. Oczywiście domeny com.pl oraz pl nie są aktywowane od razu dlatego nasza domena nie jest jeszcze osiągalna. Wpisanie jednak nazwy naszego konta.home.pl pokaże nam domyślną pustą stronę home. 25. Przekierowanie domeny na dowolny adres IP albo katalog jest równie proste. Możemy więc łatwo zmienić serwer na którym będzie strona lub konta i wszystko będzie ok. Możemy też przekierowywać pocztę na inne konto pocztowe jeśli tego używamy tylko do celów reklamowych itd. 26. Teraz połączymy się przez FTP i przegramy pliki. 27. Utworzmy pusty plik o nazwie index.html z poniższą treścią <html><body> TEST OK </body></html> 28. Połączmy się z serwerem o adresie nazwa_konta.home.pl, podajmy nazwę użytkownika taką jak nazwa naszego konta oraz hasło takie jak podczas logowania przez www. Ponadto zaznaczmy żeby klient używał trybu pasywnego. (W windows comanderze wciskamy CTRL+F by wywołać kreator połączeń FTP). 29. Powinniśmy połączyć się z naszym kontem. 30. Skasujmy plik index.html który się tam znajduje i przegrajmy nasz. 31. Rozłączmy się i wpisujemy w przeglądarce internetowej nazwakonta.home.pl powinniśmy Materiały do zajęć przygotował Artur Ejsmont. 6 / 12

7 zobaczyć naszą stronę testową. 32. Aby wydrukować wzór opłaty wchodzimy w usługi -> faktury Jak widać w ciągu godziny jesteśmy w stanie utworzyć konto, skonfigurować serwer www, konta oraz opłacić wszystko na rok z góry. Przekierowania domen oraz maili są równie proste tak że nie ma problemu jeśli chcemy kupić tylko domenę lub jeśli chcemy używać aktywnie innego konta . Serwer proxy oraz firewall u ISP Często zdarza się też tak że nasz usługodawca oferuje nam dostęp do serwera proxy lub nawet jest w stanie dopasować reguły firewall do naszych potrzeb. Niestety nie jest to regułą a nieraz wręcz możemy liczyć na wrogość wobec takich pomysłów ;-) Tak czy inaczej można rozważyć lub zorientować się czy takie dodatkowe usługi wchodzą w grę. Podsumowanie Podsumowując jeśli mamy małą lub średnią firmę i potrzebujemy dostępu do sieci z firmy, strony www (statycznej lub dynamicznej), kont czy nawet jakiejś prymitywnej formy serwera ftp dla pracowników to mamy to już z głowy. Ponadto płacimy tylko 300 za modem i 300 rocznie za hosting. Do tego dojszie z 50 złotych rocznie za domenę. Jak widać łączne koszty nie są wysokie a uzyskaliśmy już całkiem sporą funkcjonalność z niemal zerowymi kosztami administracji oraz obsługi oraz co bardzo ważne nie ma ryzyka że coś przestanie działać. Oczywiście jeśli firma potrzebuje statycznej małej strony www można pokusić się o wykupienie samej domeny i przekierowanie jej na stronę zawieszoną na koncie neostrady lub innego usługodawcy. Można też wykupić same konta lub inną konfigurację usług. Można też poszukać tańszych dostawców lub takich z bardziej zróżnicowaną ofertą. 3. Co z resztą? Mimo iż udało nam się zaspokoić całkiem sporą ilość potrzeb to nadal pozostaje ich dużo: utworzenie serwisu WWW reklamującego firmę lub pełniącego inne zadania udostępnienie kont shell udostępnienie kont X Windows lub innych serwisów zdalnej pracy udostępnienie serwera proxy w celu zaostrzenia zasad bezpieczeństwa udostępnienie serwera plików udostępnienie serwera logowania (konta w jednym miejscu i mobilne profile) udostępnienie serwera lub serwerów wydruku udostępnienie serwera WINS w celu poprawienia sieci windows udostępnienie serwera FTP dla sieci wewnętrznej lub dla świata zewnętrznego nastawienie na najnowszych klientów windows komputery w sieci są różnych typów i pod kontrolą różnych systemów nastawienie na systemy linux/unix Materiały do zajęć przygotował Artur Ejsmont. 7 / 12

8 Jeśli nasza firma jest na prawdę mała możemy nadal próbować obyć się bez serwera i korzystać tylko z routera sprzętowego. Proste udostępnianie plików, udostępnianie drukarek oraz serwer ftp możemy osiągnąć bez potrzeby serwera. Jeśli tylko używamy nowych windowsów (2000/xp home lub xp professional) to nie jest tak źle. W tych systemach udostępnianie plików i drukarek jest całkiem sprawne i powinno spokojnie wystarczyć w małej firmie. Nie będzie też problemu z tym żeby zainstalować open sourceowy serwer FTP dla windows na którymś z komputerów i nie martwić się o ciągłe zawieszenia. Jeśli jednak potrzebujemy usług ze świata linuxa, potrzebujemy serwera wins, serwera plików i ftp z prawdziwego zdarzenia, do tego firewall musi być doskonały a użytkownicy potrzebują mobilnych profili to pozostaje nam serwer linyxa lub Windowsa 2000 / Nie ma już w zasadzie rozsądnej alternatywy. 4. Minimalistyczny projekt sieci Poniższy diagram pokazuje w uproszczeniu jak mogłaby wyglądać nasza sieć komputerowa jeśli zdecydujemy się na router sprzętowy (z modemem neostrady lub zwykły tani router sprzętowy) i hosting poza naszą siecią. Kalkulacja kosztów utworzenia takiej sieci: Switch: 80 zł za 8 portowy, 200 za 16 portowy. Kupując switch musimy wiedzieć ile komputerów chcemy podłączyć. Warto wziąć też zapas bo laptopy i nowe stanowiska to normalka. Router z modemem neostrady zł (ewentualnie inny router sprzętowy ) Materiały do zajęć przygotował Artur Ejsmont. 8 / 12

9 Wykupienie dostępu do internetu: 256Kbit ok zł mieś, 512Kbit ok zł zależnie od usług dodatkowych oraz lokalizacji może nawet mocno odbiegać od tych cen. Wykupienie hostingu oraz www: zł rocznie Okablowanie: podłączenie każdego komputera wymaga osobnego kabla rj45 oraz dwóch wtyków. Do tego licząc długość kabla trzeba brać spory zapas na zawijanie w rogach pomieszczeń, omijanie wind, przechodzenie pod sufitem itd. Metr kabla kosztuje w okolicach złotówki, wtyki są po kilkadziesiąt gruszy. Zaciskarka do kabli to wydatek rzędu 20-50zł ale opłaca się bo zawsze możemy łatwo zmienić okablowanie lub naprawić źle zrobiony kabel. W biurach podłączenie jednego komputera powinno kosztować średnio zł. Podsumowując koszty początkowe to około zł oraz za każdy kolejny miesiąc około 100 zł. Ponadto za każdy kolejny rok około 300 zł za hosting. Oczywiści to oszacowanie jest bardzo niedokładne ale pokazuje że zbudowanie sieci lokalnej tego typu nie jest ani trudne ani bardzo kosztowne. Naturalnie sieć taka ma rację bytu jeśli nie mamy za wiele komputerów. Myślę że dla 2-10 komputerów takie rozwiązanie może być przeważnie najkorzystniejsze. 4. Zwykła mała sieć Jest kilka powodów dla których powyższy przykład nie jest idealnym rozwiązaniem. Potrzebujemy większej elastyczności. Potrzebujemy większej ilości usług. Przeważnie chodzi o serwer plików (sieć windows), serwer wydruków (wszyscy podłączają serwer wydruków a on kolejkuje zadania na kilka drukarek), może też być potrzebny serwer FTP, konta shell lub serwer pracy zdalnej. Może się też zdarzyć że firmie bardzo zależy na poufności oraz bezpieczeństwie danych, korespondencji oraz np. bazy klientów prowadzonego sklepu internetowego. Bardzo rygorystyczne zasady bezpieczeństwa sieci wewnętrznej są trudne do wprowadzenia z użyciem prostych urządzeń. Tak więc jeśli nasza firma działa w sektorze o agresywnej konkurencji lub w grę wchodzą duże pieniądze to nie można pozwolić sobie by ściśle poufne dane korespondencji wewnętrznej pomiędzy pracownikami opuszczały w ogóle budynek firmy. Nie można też podejmować ryzyka składowania wszystkich (nieraz bardzo cennych danych) na serwerze hostingowym co do którego nie możemy mieć stu procentowego zaufania. Ponadto jeśli zależy nam na bezpieczeństwie sieci to rozwiązania sprzętowe po prostu mogą nie wystarczyć. Najważniejsza jest kalkulacja i rozwaga. Jeśli nie stać nas na zatrudnienie dobrego administratora co do którego będzie można mieć duże zaufanie. Albo jeśli nie będzie on w stanie zabezpieczać i aktualizować na bieżąco oprogramowania to cała idea nie ma sensu. Niestety zapewnienie wysokiego bezpieczeństwa sieci, wymaga regularnego aktualizowania oprogramowania oraz monitoringu i pielęgnacji. No więc do rzeczy, jeśli wiemy już że mini-sieć nie jest dla nas popatrzmy na dwa poniższe rysunki. Materiały do zajęć przygotował Artur Ejsmont. 9 / 12

10 Rysunek 1 Rysunek 2 Materiały do zajęć przygotował Artur Ejsmont. 10 / 12

11 Rysunek 1 pokazuje nam sieć w której zamiast sprzętowego routera postawiliśmy serwer. Serwer taki może być zwykłym komputerem kupionym za 1-4 tysiące złotych. Komputer ten pełni funkcje routera, firewala, serwera dhcp, DNS, WWW, , FTP, proxy oraz serwera plików. Oczywiście nie ma konieczności by wszystkie te usługi znajdowały się na naszym serwerze. Jeśli jednak i tak już go instalujemy to warto zapewnić szeroką gamę usług. Serwer taki najczęściej działa pod kontrolą darmowego systemu linux (np. debian, ubuntu, pld, gentoo) lub FreeBSD. Jak widzimy posiadając jeden taki komputer możemy już w pełni zaspokoić potrzeby naszej sieci. W zasadzie nawet komputer klasy pentium 3 powinien spokojnie poradzić sobie z takimi zadaniami. Warto tylko zainwestować w szybie i spore dyski oraz co najmniej 512-2GB ram. Konfiguracja wszystkich usług nie powinna być problemem. Jedyne na co warto zwrócić uwagę to by odpowiednio rygorystycznie i poprawnie skonfigurować reguły firewall oraz serwer mail. Niestety protokoły pop3 oraz smtp nie są nowoczesne i pozwalają na nadużycia. Warto upewnić się że nasz serwer będzie wymagał autoryzacji podczas wysyłania poczty oraz że będzie można łączyć się z nim poprzez ssl. Bez tych cech serwer będzie bardzo dużym zagrożeniem. Oczywiście jeśli sobie tego zażyczymy możemy konta lub www trzymać nadal na serwerze hostingowym by nie martwić się o ich administrację. Wszystko zależy od potrzeb. Należy też zwrócić uwagę by nie udostępniać wszystkich usług na zewnątrz. To znaczy że jeśli Materiały do zajęć przygotował Artur Ejsmont. 11 / 12

12 mamy serwer plików lub ftp czy też serwer poczty wewnętrznej to może nie warto otwierać dostępu do tych usług z internetu. Każda usługa dostępna z sieci jest potencjalnym oknem dla włamywacza lub robaka internetowego. Rysunek 2 przedstawia natomiast połączenie mini sieci z rysunkiem 1. Tutaj również musimy indywidualnie rozważyć jakie rozwiązanie będzie najlepsze. Sieć będzie składać się teraz z 2 podsieci. Obie podsieci będą mogły komunikować się tylko za pośrednictwem routera. Ważne jest aby nie korzystały z tego samego okablowania, komunikacja pomiędzy segmentami powinna odbywać się zawsze poprzez serwer (patrz rysunek 3). Rysunek 3. Takie połączenie naszych sieci wewnętrznych ze sobą oraz z internetem daje nam całkowitą kontrolę nad tym jakie połączenia mogą być wykonywane i przez kogo. Możemy teraz zabezpieczyć się że nasi pracownicy nie będą w stanie atakować słabo zabezpieczonych serwerów. Będą z kolei mogli korzystać z dodatkowych usług nie dostępnych z internetu (np. serwer plików i wydruków). W naszej strefie zdemilitaryzowanej (DMZ) możemy spokojnie zainstalować dowolną liczbę serwerów. Może to być jeden serwer lub 20 osobnych maszyn. Ważne jest że komputery te są dobrze chronione i mogą pełnić poszczególne funkcje bez martwienia się o zabezpieczenia i dostęp. Jeśli potrzebujemy tylko jeden wewnętrzny serwer nie potrzebujemy nawet dodatkowego switcha w sieci DMZ. Część usług prawdopodobnie może też pełnić router np. DHCP. Proszę też zwrócić uwagę na to że sieć DMZ na rysunku również posiada adres prywatny. Dostęp do poszczególnych usług można ukryć poprzez przekierowanie portów na routerze. W ten sposób komputery z internetu będą widzieć tylko jeden komputer który ma na poszczególnych portach uruchomione pewne usługi. Nie będą jednak w stanie dostać się w nieodpowiedni sposób do wnętrza sieci DMZ. Możliwe jest też prostsze ustawienie polegające na przypisaniu publicznych adresów IP serwerom tak że będą one dostępne bezpośrednio z internetu. W takim przypadku trzeba też oczywiści zablokować na routerze całą niechcianą komunikację. Zadanie: - Zaprojektuj sieć składającą się z 280 komputerów w trzech budynkach po 140 w każdym. Ponadto trzeba zainstalować 3 serwery jeden www jeden ftp oraz jeden z bazą danych. Serwer z bazą danych nie powinien być dostępny z internetu. Projekt jest dowolny ważne żeby działał i miał sens ;-) Materiały do zajęć przygotował Artur Ejsmont. 12 / 12