Architektura i zasady działania modularnych ruteråw JUNIPER

Transkrypt

1 Architektura i zasady działania modularnych ruteråw JUNIPER W literaturze informatycznej można znaleźć niewiele informacji na temat działania sieci rozległych i wnętrza Internetu. Z punktu widzenia większości firm i korporacji nie jest istotne, w jaki sposüb operatorzy telekomunikacyjni budują swoje sieci. Ważne jest, aby zapewnili odpowiedni poziom jakości i niezakłüconą łączność ich centralom, oddziałom, tele-pracownikom, itd. Sieci operatorüw telekomunikacyjnych stawiają urządzeniom (ruterom) wymagania nieporüwnywalnie większe od sieci LAN. Wymagania te dotyczą głüwnie przepustowości, stabilności pracy i odporności na sytuacje wyjątkowe (np. przeciążenia, ataki DoS). W odrüżnieniu od sieci LAN, gdzie wybür urządzeń następuje zwykle w efekcie dobrego działania marketingu dostawcy sprzętu, w sieciach operatorüw telekomunikacyjnych decydującą rolę odgrywa jakość technologii. Infrastruktura sieciowa operatora telekomunikacyjnego składa się dwüch podstawowych obszarüw - brzegu sieci (ang. network edge) oraz rdzenia sieci (ang. network core). Typowa struktura systemu teleinformatycznego została przedstawiona na poniższym rysunku. W obszarze rdzenia sieci występują rutery operujące na dużych odległościach z wysoką przepustowością. Zadanie rutera rdzeniowego polega na agregacji ruchu z wielu indywidualnych łączy klientöw (firm, korporacji) i szybkim przetransportowaniu go do docelowego miejsca przeznaczenia. Infrastruktura sieciowa systemäw teleinformatycznych

2 W obszarze rdzenia sieci rutery wykorzystują specjalnie opracowane do tego celu technologie sieciowe jak SONET/SDH 1. W zakresie sterowania ruchu i obsługi awarii stosowany jest protoköł dynamicznego rutingu BGP 2. Monitorowanie i optymalizowanie działania sieci określane jest terminem inżynierii ruchu (ang. traffic engineering). W tym zakresie popularnym rozwiązaniem jest protoköł MPLS 3. W obszarze brzegu i rdzenia sieci stosowane są zwykle inne urządzenia z uwagi na inne wymagania. Na brzegu sieci występują urządzenia typu B-RAS (ang. broadband remote access server), odpowiedzialne za zapewnienie dostępu do sieci operatora dla dużej liczby urządzeń klientüw przez łącza o niskiej i średniej przepustowości. Urządzenia B-RAS muszą wspierać dużą liczbę technologii sieci fizycznej (np. xdsl, ATM, Frame Relay). Jeszcze inne wymagania względem ruterüw występują się sieciach wewnętrznych firm i korporacji, gdzie najczęściej istnieje niewielka liczba łączy i stosowane są statyczne ustawienia rutingu, bądź w większych sieciach protokoły dynamicznego rutingu OSPF 4 i RIP 5. Urządzenia sieciowe Juniper Networks stanowią podstawę funkcjonowania największych operatoröw telekomunikacyjnych w Polsce i na świecie. Każdy z 25 największych, globalnych operatoröw telekomunikacyjnych na świecie korzysta z ruteröw Juniper (ponad 90% ruchu tranzytowego w Internecie jest obsługiwane przez rutery Juniper). W rdzeniu sieci wykorzystywane są rutery Juniper serii M i T. W obszarze brzegu sieci mogą zostać zastosowane rutery Juniper serii J oraz mniejsze modele serii M. Wynika to z faktu, że wydajność i stabilność pracy ruteröw Juniper jest nieosiągalna w żadnych rozwiązaniach konkurencyjnych. Obsługa szkieletu sieci dużego operatora i zapewnienie niezakłöconej obsługi ruchu o ogromnej intensywności wymaga odpowiedniej konstrukcji sprzętu (m.in. ASIC, redundancja) oraz architektury systemu operacyjnego ruteröw. 1 SONET (Synchronous Optical Network) - standard światłowodowej transmisji danych stosowany głñwnie w krajach Ameryki PÑłnocnej; międzynarodowym odpowiednikiem SONET ustandaryzowanym przez ITU jest SDH (Synchronous Digital Hierarchy); przepustowość sieci SDH wynosi Mbps. 2 BGP (Border Gateway Protocol) - protokñł wymiany informacji nt. rutingu w sieci (standard RFC 1771), powszechnie wykorzystywany przez operatorñw telekomunikacyjnych oraz firmy posiadające wiele łączy do Internetu. ProtokÑł BGP odpowiada za wymianę informacji nt. rutingu pomiędzy domenami rutowania, określanymi także jako systemy autonomiczne AS (Autonomous System). System autonomiczny AS to obszar sieci będący pod jedną administracją (zwykle jednej firmy), najczęściej wykorzystujący ten sam protokñł rutingu (np. RIP, OSPF). 3 MPLS (Multi Protocol Label Switching) - protokñł sterowania ruchu w sieciach rozległych, działający na bazie rñżnych sieci fizycznych (np. ATM, Frame Relay,linie dzierżawione/ppp i Ethernet); rutery posiadające implementację MPLS dodają do pakietñw specjalne identyfikatory, na podstawie ktñrych odbywa się ich dalsze przełączanie w sieci rozległej. ProtokÑł MPLS umożliwia konfigurowanie w sieci rozległej oznaczonych tras LSP (label-switched paths), poprzez ktñre odbywa się transmisja danych. 4 OSPF (Open Shortest Path First) - protokñł dynamicznego rutingu stosowany w sieciach wewnętrznych, opracowany przez Internet Engineering Task Force (IETF). Ustalanie tras rutingu odbywa się w oparciu o algorytm najkrñtszej ścieżki SPF (shortest-path-first), określany także algorytmem Dijkstry. Wybierana jest trasa rutingu, dla ktårej występuje najlepsza jakość łączy na drodze do miejsca przeznaczenia (m.in. łącza o najlepszej przepustowości). 5 RIP (Routing Information Protocol) - protokñł dynamicznego rutingu stosowany w sieciach wewnętrznych, oparty na algorymie Bellman-Ford. RIP to protokñł typu distance-vector tzn. wybierana jest trasa rutingu, dla ktñrej występuje najmniejsza liczba ruterñw na drodze do miejsca przeznaczenia. Ä 2005 CLICO SP. Z O.O. WSZELKIE PRAWA ZASTRZEŻONE 2

3 System operacyjny JUNOS Architektura systemu operacyjnego JUNOS stosowanego w ruterach Juniper składa się z dwöch odseparowanych komponentöw (patrz rysunek): moduł rutingu (Routing Engine) - ustalenie tras rutingu i zarządzanie urządzenia, moduł przekazywania pakietåw (Packet Forwarding Engine) - przełączanie pakietöw pomiędzy segmentami sieci obsługiwanymi przez urządzenie. Architektura systemu operacyjnego JUNOS w ruterach serii J W ruterach Juniper serii M i T przekazywanie pakietüw odbywa się wewnątrz układüw scalonych ASIC (ang. application specific integrated circuit). Zastosowanie specjalizowanych układöw ASIC ma na celu uzyskanie wysokich przepustowości obsługi ruchu sieciowego, jakie są wymagane w sieciach operatoröw telekomunikacyjnych. W urządzeniach serii J zaimplementowane zostały do tego celu działające w czasie rzeczywistym wątki systemu operacyjnego JUNOS (ang. real-time threads). Ä 2005 CLICO SP. Z O.O. WSZELKIE PRAWA ZASTRZEŻONE 3

4 Konstrukcja zastosowanego w urządzeniach Juniper systemu operacyjnego JUNOS sprawia, iż jest on niewrażliwy na problemy występujące w popularnych obecnie na rynku enterprise ruterach innych producentüw, m.in. wykonanie prostego ataku na jeden serwis rutera powoduje zablokowanie pracy całego urządzenia (np. bugtraq id , bugtraq id , bugtraq id , bugtraq id , bugtraq id , bugtraq id ), zmiana konfiguracji rutera powoduje zakłöcenia całej komunikacji sieciowej, czy też aktywowanie nowych serwisöw rutera powodujące spadek wydajności pracy urządzenia. Opracowane w ostatnim czasie rutery Juniper serii J z przeznaczeniem dla korporacji oraz średnich i małej wielkości firm dziedziczą własności ruteröw dedykowanych dla operatoröw. Zarządzanie systemu operacyjnego JUNOS w ruterach serii J może odbywać się z graficznej konsoli WebGUI lub wiersza poleceń (CLI) Ä 2005 CLICO SP. Z O.O. WSZELKIE PRAWA ZASTRZEŻONE 4

5 Rutery Juniper serii J Rutery serii J stanowią długo oczekiwane przez rynek enterprise uzupełnienie oferty Juniper, gdzie do tej pory dostępne były rutery M7i i M10i oraz NetScreen-5GT ADSL. Rutery M7i i M10i to urządzenia o wysokiej wydajności, dedykowane głüwnie dla centrüw danych oraz central dużych korporacji. Urządzenia NetScreen-5GT ADSL to zintegrowane urządzenia firewall, VPN, IPS, URL Filtering i AV wyposażone w interfejs ADSL (np. do sieci TPSA Neostrada). Techniczna prezentacja urządzenia NetScreen-5GT ADSL znajduje się w nr 3(9)/2004 biuletynu: Rutery serii J stanowią rozszerzenie obszernej oferty Juniper Networks zawierającej także dedykowane rozwiązania zabezpieczeń (urządzenia serii NetScreen). Do podstawowych własności ruterüw serii J można zaliczyć: protokoły dostępowe warstwy 2 OSI: Frame Relay, Ethernet oraz Point-to-Point Protocol/High level Data Link Control (PPP/ Cisco HDLC), interfejsy sieciowe: T1/E1, NxT1/E1, Fast Ethernet (FE), DS3 (w kolejnej wersji ADSL 2+ oraz ISDN BRI), obsługa protokołüw dynamicznego rutingu: RIP, IS-IS, OSPF i BGP, Ä 2005 CLICO SP. Z O.O. WSZELKIE PRAWA ZASTRZEŻONE 5

6 mechanizmy zabezpieczeń Stateful firewall, translacja adresüw NAT, ochrona komunikacji sieciowej IPSec oraz usługi J-Flow do monitorowania i rozliczanie transmisji, mechanizmy priorytetyzowania i zarządzania ruchem sieciowych QoS, zapewniające poprawne działanie krytycznych aplikacji, intuicyjne zarządzania za pomocą graficznej konsoli (Web GUI) oraz z wiersza inii poleceń (CLI). PoszczegÜlne modele routerüw serii J stosowane są w zależności od wymagań: J2300: obsługa sieci małych firm i odległych biur (przepustowość 8 Mbps), J4300: obsługa sieci średnich firmy i oddziałöw korporacji (przepustowość 16 Mbps), J6300: obsługa sieci central firm i korporacji (przepustowość 90 Mbps). Wykonując projekt sieci LAN/WAN można praktycznie dla każdego środowiska i jego wymagań zastosować urządzenia Juniper. Dla przykładu, przyjmując Juniper jako odpowiednik ruteröw Cisco można użyć modeli M7i i M10i zamiast Cisco 7000, J6300 zamiast Cisco 3600/3700 i 3800, J4300 zamiast Cisco 2600/2800 oraz J2300 zamiast Cisco 1700/1800. Ä 2005 CLICO SP. Z O.O. WSZELKIE PRAWA ZASTRZEŻONE 6

7 Własności ruterçw Juniper serii J Niezawodność i stabilność pracy rutera Modularna struktura systemu operacyjnego JUNOS zapewnia wysoki poziom niezawodności i stabilności pracy ruteröw Juniper. Budowa systemu operacyjnego JUNOS precyzyjnie rozdziela zadania sterowania urządzenia i obsługi ruchu sieciowego. Moduły systemu JUNOS pracują w oddzielnych obszarach pamięci. Dzięki tak przyjętemu rozwiązaniu ewentualne zakłöcenia w pracy jednego modułu JUNOS nie wpływają na inne moduły. W odröżnieniu od tradycyjnych ruteröw, gdzie mało znaczący bug systemu operacyjnego może zostać wykorzystany do zablokowania całego urządzenia, każdy moduł programowy JUNOS działa niezależnie i nie może zakłücać pracy innych funkcji rutera. Do innych własności niezawodnościowych ruterüw Juniper można zaliczyć nowej generacji interfejs konfiguracji CLI, weryfikujący polecania wprowadzane przez administratorüw oraz mechanizm szybkiego odtwarzania systemu i przywracania konfiguracji (rescue button, rollback). Ochrona przed atakami z sieci Rutery Juniper pracując od wielu lat w otwartym, narażonym na częste ataki środowisku dostawcüw telekomunikacyjnych posiadają zaimplementowane w systemie operacyjnym JUNOS mechanizmy ochrony rutera przed zewnętrznymi zagrożeniami. Konstrukcja JUNOS zapewnia stały dostęp administratorüw do urządzenia, także w trakcie ataküw. Port konsoli jest zawsze dostępny i przystosowany do szybkiego wprowadzania wymaganych filtrüw i polityk. Przewidywalna wydajność Urządzenia Juniper posiadają budowę sprzętową i własności oprogramowania, ktüre pozwalają na zagwarantowanie właściwej pracy strategicznych aplikacji systemu informatycznego nawet w czasie dużego przeciążenia sieci. Obsługa ruchu odbywa się na interfejsach sieciowych z procesorami Intel IXP4xx Network Procesor. Zawarte w JUNOS mechanizmy QoS odpowiednio sortują i kolejkują ruch sieciowy, nie dopuszczając do sytuacji zagłodzenia ważnych dla firmy aplikacji przez usługi i protokoły nie posiadające dużego znaczenia (np. HTTP, P2P). Otwartość i zgodność ze standardami Juniper obsługując sieci operatorüw telekomunikacyjnych musiał zadbać o dobrą wspüłpracy z występującymi w sieciach LAN urządzeniami pochodzącymi od rüżnych producentüw. Juniper jest jednym z nielicznych producentüw sprzętu sieciowego, ktüry nie tworzy własnych, specyficznych tylko dla swoich urządzeń protokołüw jak EIGRP i IGRP. Stosując rozwiązania Juniper nie istnieje zagrożenie uzależnienia klientüw od jednej technologii i utrudniania swobodnego rozwoju ich sieci. Obecnie wiele firm łączy swoje sieci w intranety Ä 2005 CLICO SP. Z O.O. WSZELKIE PRAWA ZASTRZEŻONE 7

8 i ekstranety (np. z sieciami partneröw handlowych i klientöw), gdzie poprawna wspöłpraca wymaga stosowania obowiązujących standardöw. Rozwiązanie specjalizowane bez funkcji zbędnych dla ruteråw Urządzenia Juniper zostały zaprojektowane jako sprzęt sieciowy spełniający zadania rutingu i zarządzania komunikacji sieciowej w heterogenicznych obszarach sieci LAN i WAN. Funkcjonalność ta jest rozwijana i doskonalona. Rutery Juniper nie posiadają zaimplementowanych funkcji zbędnych dla ruterüw (np. modułüw obsługujących VoIP). Juniper nie wspiera modnego w ostatnim czasie marketingowego trendu łączenia wielu funkcjonalności w jednym urządzeniu. Takie podejście bowiem osłabia podstawowe własności rutera, głüwnie w zakresie wydajnej i stabilnej pracy. Urządzenie łączące w sobie wiele niezwiązanych ze sobą funkcji posiada skomplikowaną konfigurację, stanowi pojedynczy punkt awarii dla wielu usług, a w razie wystąpienia zakłüceń w komunikacji sieciowej utrudnia ich diagnozowanie. Funkcje takie jak VoIP realizują specjalizowane do tego celu urządzenia. Rutery Juniper są kompatybilne z wiodącymi na rynku dostawcami urządzeń VoIP (np. Avaya IP Office), zapewniając dla nich usługi kontroli jakości QoS potrzebne do prowadzenia odpowiedniej jakości komunikacji głosowej. Więcej informacji na temat ruterüw Juniper można znaleźć na stronie producenta oraz na polskich stronach Ä 2005 CLICO SP. Z O.O. WSZELKIE PRAWA ZASTRZEŻONE 8