Товстий коаксіальний кабель також можливо використовувати як магістраль мережі, однак для нових кабельних систем більш раціонально використовувати оптоволоконний кабель тому, що він має більший термін служби і зможе в майбутньому підтримувати високошвидкісні і мультимедійні прикладення. Але для вже існуючих систем товстий коаксіальний кабель служив магістраллю системи багато років, і з цим потрібно рахуватися. Причинами його широкого застосування були: широка смуга пропускання, висока захищеність від електромагнітних перешкод і низьке радіовипромінювання.

Хоча товстий коаксіальний кабель і дешевше, ніж оптоволокно, але з ним набагато складніше працювати. Він особливо чутливий до різних рівнів напруги заземлення, що часто буває при переході від одного поверху до іншого. Цю проблему складно обійти, тому "кабелем номер один" для горизонтальної підсистеми сьогодні є волоконно-оптичний кабель.

Як і для вертикальних підсистем, оптоволоконний кабель є найкращим вибором для підсистем декількох будинків, розташованих у радіусі декількох кілометрів. Для цих підсистем також підходить товстий коаксіальний кабель.

При виборі кабелю для кампусу потрібно враховувати вплив середовища на кабель поза приміщенням. Для запобігання ураження блискавкою краще вибрати для зовнішньої проводки неметалевий оптоволоконний кабель. З багатьох причин зовнішній кабель виробляється в поліетиленовій захисній оболонці високої щільності. При підземній прокладці кабель повинен мати спеціальну вологозахисну оболонку (від дощу і підземної вологи), а також металевий захисний шар від гризунів і вандалів. Вологозахищений кабель має прошарок з інертного газу між діелектриком, екраном і зовнішньою оболонкою.

2.5 Висновок

Детальний аналіз фізичної сутності та порядка використання каналів передачі даних в гетерогенних комп'ютерних мережах дозволив зробити ряд висновків:

використання каналів передачі даних при побудові гетерогенних комп'ютерних мережах відбувається в рамках структурованої кабельної системи;

типова ієрархічна структура структурованої кабельної системи включає: горизонтальні підсистеми; вертикальні підсистеми; підсистему кампусу;

використання структурованої кабельної системи дає багато переваг: універсальність, збільшення терміну служби, зменшення вартості добавлення нових користувачів і зміни місць їх розташування, можливість легкого розширення мережі, забезпечення ефективнішого обслуговування, надійність;

при виборі типу кабелю приймають до уваги такі характеристики: пропускна спроможність, відстань, фізична захищеність, електромагнітна перешкодозахищеність, вартість;

найбільш поширеними є такі типи кабелю: кручена пара (екранована і неекранована), коаксіальний кабель, оптоволоконний кабель (одно- і багатомодовий);

для горизонтальної підсистеми найбільш прийнятним варіантом є неекранована кручена пара, для вертикальної підсистеми і підсистеми кампусу - оптоволоконний кабель або коаксіал;

Крім того, результати аналізу побудованої моделі комп'ютерної мережі за допомогою програмного пакету проектування і моделювання гетерогенних комп'ютерних мереж NetCracker Professional дозволили зробити висновок, про те що вибрані технології і фізичне середовище каналів передачі даних в мережі дозволяють функціонувати даної ГКМ в повному об'ємі покладених на неї функцій по обміну інформацією між хостами мережі.

Розділ 3. Сутність існуючих методів доступу до каналів комп'ютерних мереж

Методи доступу до загального поділюваного середовища передачі даних можна розділити на два великих класи: випадкові і детерміновані.

Випадкові методи доступу передбачають можливість захвату загального поділюваного середовища передачі даних будь-яким вузлом мережі у довільний випадковий момент часу, якщо в даний момент він вважає середовище вільним.

Через це не виключена можливість одночасного захоплення середовища двома або більше станціями мережі, що призводить до помилок передачі даних. Таке явище називається колізією. Таким чином, колізія в середовищі передачі - це спотворення даних, викликане накладенням сигналів при одночасній передачі кадрів декількома станціями.

Детерміновані методи, навпаки, передбачають можливість надання загального середовища в розпорядження вузла мережі за суворо визначеним (детермінованим) порядком. При використанні детермінованих методів колізії неможливі, але вони є більш складними в реалізації і збільшують вартість мережного обладнання.

3.1 Метод доступу до каналів комп'ютерних мереж з перевіркою несучої та виявленням колізій CSMA/CD

Метод багатостанційного доступу до середовища з контролем несучої та виявленням колізій (Carrier Sense Multiply Access / Collision Detection - CSMA/CD) походить від радіомереж.

Дана схема являє собою схему зі змаганням, у якій мережні вузли змагаються за право використання середовища. Вузол, що виграв змагання, може передати один пакет, а потім повинен звільнити середовище для інших вузлів. Якщо вузол вже використовує середовище, всі інші вузли повинні відкласти свої передачі, поки не звільниться середовище. При цьому здійснюється перевірка активності середовища (контроль несучої), коли відсутність активності означає, що середовище вільне. Тоді передачу можуть почати відразу декілька вузлів. Якщо один вузол встиг почати передачу, середовище стає зайнятим, а всі інші вузли, що спізнились, повинні чекати на його звільнення. Але якщо декілька вузлів починають передачу майже одночасно, спостерігається колізія. У цьому випадку всі передавачі повинні припинити свою передачу і зачекати деякий час перед її поновленням. Щоб уникнути повторення колізій, час чекання вибирається випадковим чином.

Рис. 3.1 представляє діаграму станів, яка ілюструє операції канального рівня, що реалізує схему CSMA/CD. Значну частину часу канальний рівень знаходиться в стані прослуховування каналу зв'язку. У цьому стані аналізуються всі кадри, передані фізичним рівнем (середовищем). Якщо заголовок кадру містить адресу отримувача, що збігається з адресою вузла, канальний рівень переходить до стану прийому, під час якого відбувається прийом кадру.

Рис. 3.1. Алгоритм CSMA/CD

Коли прийом кадру завершений, про це повідомляється вищому (мережному) рівню мережі, а канальний рівень повертається до стану прослуховування. Можливо, що колізія відбудеться під час прийому кадру. У цьому випадку прийом кадру переривається і канальний рівень переходить до стану прослуховування. Кадр можна передати в середовище тільки за запитом мережного рівня. Коли робиться такий запит і вузол не знаходиться в стані прийому, канальний рівень переходить до стану чекання. У цьому стані вузол чекає, коли середовище звільниться. Після звільнення середовища починається передача кадру. Якщо передача завершується успішно (без колізії), стан знову змінюється на стан прослуховування. Якщо під час передачі кадру трапляється колізія, передача переривається і її треба повторити знову. При цьому стан змінюється на стан затримки. У цьому стані вузол знаходиться деякий час і потім знову переходить до стану чекання.

Час затримки при кожній колізії обчислюється щоразу наново. Існує багато способів обчислення часу затримки. Основна мета полягає в недопущенні таких блокувань, із яких пара вузлів, що викликали колізію, не може вийти. Наприклад, такі блокування могли б зустрітися, якби час затримки був однаковим для всіх вузлів мережі. Після колізії обидва вузли затримали б свої операції на той самий час, а потім одночасно виявили, що середовище вільне, і знову одночасно почали передачу. У результаті виявилася б ще одна колізія, і цей процес ніколи не скінчився. Одним із способів запобігання взаємних блокувань є вибір часу затримки, пропорційний значенню адреси вузла (ID). Це ефективний спосіб, однак він забезпечує певні переваги вузлам із меншими значеннями адрес. Після колізії час затримки для вузла з найнижчим значенням адреси закінчується швидше інших, і він захоплює середовище. Інші вузли, зв'язані з колізією, при виході зі стану затримки знаходять середовище зайнятим. В іншому способі час затримки вибирається випадково. Цей спосіб не припускає ніяких пріоритетів, але він не застрахований від наступних колізій. У цьому випадку не можна гарантувати можливості передачі кадру протягом якогось фіксованого відрізка часу тому, що можуть зустрічатися повторні колізії, кількість яких невизначена.

Ethernet - це найпоширеніший стандарт локальних мереж. У мережах Ethernet використовується метод доступу до середовища передачі даних CSMA/CD.

Цей метод застосовується винятково в мережах із логічною загальною шиною. Одночасно всі комп'ютери мережі мають можливість негайно (із врахуванням затримки поширення сигналу по фізичному середовищу) одержати дані, які будь-який з комп'ютерів почав передавати на загальну шину (рис. 3.2). Простота схеми підключення - це один з факторів, що визначили успіх стандарту Ethernet. Кажуть, що кабель, до якого підключені всі станції, працює в режимі колективного доступу (Multiply Access - MA).

Рис. 3.2. Метод випадкового доступу CSMA/CD

Всі дані, передані по мережі, розміщуються в кадри визначеної структури і супроводжуються унікальною адресою станції-отримувача.

Щоб одержати можливість передавати кадр, станція повинна переконатися, що поділюване середовище вільне. Це досягається прослуховуванням основної гармоніки сигналу, що також називається несучою частотою (Carrier Sense - CS). Ознакою незайнятості середовища є відсутність в ньому несучої частоти, яка при манчестерському способі кодування дорівнює 5 ч 10 МГц, у залежності від послідовності одиниць і нулів, переданих на даний момент.

Якщо середовище вільне, то вузол має право почати передачу кадру. Цей кадр зображений на рис. 3.2 першим. Вузол 1 виявив, що середовище вільне, і почав передавати свій кадр. У класичній мережі Ethernet на коаксіальному кабелі сигнали передавача вузла 1 поширюються в обидва боки так, що їх одержують всі вузли мережі. Кадр даних завжди супроводжується преамбулою (preamble), що складається з 7 байтів, які складаються із значень 10101010, і 8-го байта, рівного 10101011. Преамбула потрібна для входження приймача в побітовий і побайтовий синхронізм із передавачем.

Всі станції, підключені до кабелю, можуть розпізнати факт передачі кадру, і та станція, яка розпізнає власну адресу в заголовках кадру, записує його вміст у свій внутрішній буфер, оброблює отримані дані, передає їх нагору по своєму стеку, а потім посилає по кабелю кадр-відповідь. Адреса станції-відправника міститься у вихідному кадрі, тому станція-отримувач знає, кому потрібно надіслати відповідь. Вузол 2 під час передачі кадру вузлом 1 також намагався почати передачу свого кадру, однак виявив, що середовище зайняте - в ньому присутня несуча частота - тому вузол 2 змушений чекати, поки вузол 1 не припинить передачу кадру.

Після закінчення передачі кадру всі вузли мережі зобов'язані витримати технологічну паузу (Inter Packet Gap) у 9,6 мкс. Ця пауза - так званий міжкадровий інтервал - потрібна для приведення мережних адаптерів до вихідного стану, а також для запобігання монопольного захоплення середовища однією станцією. Після закінчення технологічної паузи вузли мають право почати передачу свого кадру тому, що середовище вільне. Через затримку поширення сигналу по кабелю не всі вузли чітко одночасно фіксують факт закінчення передачі кадру вузлом 1. У наведеному прикладі вузол 2 дочекався закінчення передачі кадру вузлом 1, зробив паузу в 9,6 мкс і почав передачу свого кадру.

3.2 Методи подолання колізій

При описаному підході можлива ситуація, коли дві станції одночасно намагаються передати кадр даних по загальному середовищу. Механізм прослуховування середовища і паузи між кадрами не гарантують від виникнення такої ситуації, коли дві або більше станцій одночасно вирішують, що середовище вільне, і починають передавати свої кадри. Вважають, що при цьому відбувається колізія (collision) тому, що вміст обох кадрів зіштовхується на загальному кабелі і відбувається перекручування інформації - методи кодування, використовувані в Ethernet, не дозволяють виділяти сигнали кожної станції з загального сигналу.

Колізія - це нормальна ситуація в роботі мереж Ethernet. У прикладі, зображеному на рис. 3.3, колізію породила одночасна передача даних вузлами 3 і 1. Для виникнення колізії необов'язково, щоб декілька станцій почали передачу абсолютно одночасно, така ситуація малоймовірна. Набагато ймовірніше, що колізія виникає через те, що один вузол починає передачу раніше другого, але до другого вузла сигнали першого просто не встигають дійти на той час, коли другий вузол вирішує почати передачу свого кадру. Тобто колізії - це наслідок розподіленого характеру мережі.

Щоб коректно обробити колізію, всі станції одночасно спостерігають за виникаючими у кабелі сигналами. Якщо передані сигнали і сигнали, що спостерігаються, відрізняються, то фіксується виявлення колізії (collision detection, CD). Для збільшення імовірності швидкого виявлення колізії всіма станціями мережі станція, що виявила колізію, перериває передачу свого кадру (у довільному місці, можливо, і не на межі байта) і підсилює ситуацію колізії посиланням в мережу спеціальної послідовності з 32-х бітів - так званої jam-послідовності.

Після цього передаюча станція, яка виявила колізію, зобов'язана припинити передачу і зробити паузу протягом короткого випадкового інтервалу часу. Потім вона може знову почати спробу захоплення середовища і передачі кадру. Тривалість випадкової паузи вибирається за виразом

Пауза = T L,

де T - інтервал чекання, який дорівнює 512 бітовим інтервалам (у технології Ethernet прийнято всі інтервали вимірювати в бітових інтервалах; бітовий інтервал позначається як bt і відповідає часу між появою двох послідовних бітів даних на кабелі; для швидкості 10 Мбіт/с розмір бітового інтервалу дорівнює 0,1 мкс або 100 нс);

L - ціле число, обране з рівною імовірністю з діапазону [0, 2N], де N - номер повторної спроби передачі даного кадру: 1, 2,..., 10.

Після 10-ї спроби інтервал, із якого вибирається пауза, не збільшується. Таким чином, випадкова пауза може приймати значення від 0 до 52,4 мс.

Якщо 16 послідовних спроб передачі кадру викликають колізію, то передавач повинен припинити спроби і видалити цей кадр.

Із описання методу доступу CSMA/CD видно, що він носить ймовірнісний характер, і ймовірність успішного одержання у своє розпорядження загального середовища залежить від завантаженості мережі, тобто від інтенсивності виникнення у станцій потреби в передачі кадрів. При розробці цього методу наприкінці 70-х років передбачалося, що швидкість передачі даних у 10 Мбіт/с дуже висока в порівнянні з потребами комп'ютерів у взаємному обміні даними, тому завантаження мережі буде завжди невеликим. Це припущення залишається іноді справедливим і донині, однак уже з'явилися прикладення, які працюють у реальному масштабі часу з мультимедійною інформацією, що дуже завантажують сегменти Ethernet. При цьому колізії виникають набагато частіше. При значній інтенсивності колізій корисна пропускна спроможність мережі Ethernet різко падає тому, що мережа майже постійно зайнята повторними спробами передачі кадрів. Для зменшення інтенсивності виникнення колізій потрібно або зменшити трафік, скоротивши, наприклад, кількість вузлів у сегменті, чи замінивши прикладення, або підвищити швидкість протоколу, наприклад перейти на Fast Ethernet.

Слід зазначити, що метод доступу CSMA/CD взагалі не гарантує станції, що вона коли-небудь зможе одержати доступ до середовища. Звичайно, при невеликому завантаженні мережі імовірність такої події невелика, але при коефіцієнті використання мережі, що наближається до 1, така подія стає дуже ймовірною. Цей недолік методу випадкового доступу - плата за його надзвичайну простоту, що зробила технологію Ethernet найдешевшою. Інші методи доступу - маркерний доступ мереж Token Ring і FDDI, метод Demand Priority мереж 100VG-AnyLAN - не мають цього недоліку.

Чітке розпізнавання колізій всіма станціями мережі є необхідною умовою коректної роботи мережі Ethernet. Якщо якась станція, що передає, не розпізнає колізію і вирішить, що кадр даних переданий нею вірно, то цей кадр даних буде загублений. Через накладення сигналів при колізії інформація кадру перекрутиться, і він буде відбракований станцією, яка приймає (можливо, через розбіжність контрольної суми). Найімовірніше, перекручена інформація буде повторно передана яким-небудь протоколом верхнього рівня, наприклад, транспортним або прикладним, що працює зі встановленням з'єднання. Але повторна передача повідомлення протоколами верхніх рівнів відбудеться через значно триваліший інтервал часу (іноді навіть через декілька секунд) у порівнянні з мікросекундними інтервалами, якими оперує протокол Ethernet. Тому, якщо колізії не будуть надійно розпізнаватися вузлами мережі Ethernet, то це призведе до помітного зниження корисної пропускної спроможності даної мережі.

3.3 Метод маркерного доступу в локальних мережах з різною топологією

Даний метод характеризується тим, що в ньому право використання середовища передається від вузла до вузла організаційним способом, а не шляхом змагання. Право на використання середовища передається за допомогою унікального кадру (названого маркером) уздовж логічного кільця в мережі з використанням адресації вузлів. Кожен вузол ідентифікується власним ідентифікатором (ID). У схемі типу шини з передачею маркера кожному вузлу відомий ідентифікатор наступного вузла в логічному кільці (NID - Next ID). Зазвичай наступний вузол має адресу з більшим значенням ID. Рис. 3.4 ілюструє поняття логічного кільця.

Крім передачі маркера, схема із шиною повинна вирішувати проблему втрати маркера і реконфігурації кільця. Втрата маркера може відбутися через ушкодження одного з вузлів логічного кільця. На деякий момент часу маркер приходить до ушкодженго вузла, але вузол не пропускає його далі, і інші вузли не одержують маркер. Реконфігурація кільця виконується, коли в логічне кільце добавляється або з нього вилучається один із вузлів.

Під час нормальної роботи, тобто коли не виконується ні відновлення маркера, ні реконфігурація кільця, кожен вузол працює відповідно до діаграми станів, поданої на рис. 3.4. Велику частину часу канальний рівень знаходиться в стані прослуховування.

Рис. 3.4. Логічне кільце

Якщо заголовок вхідного кадру в якості адреси отримувача містить ID вузла, вузол переходить до стану прийому і відбувається прийом кадру. Якщо прийнятий кадр є кадром даних, мережний рівень інформується про прийом, а канальний рівень повертається до стану прослуховування. Однак, якщо прийнятий кадр є маркером, це означає, що вузол одержує право передачі в середовище. Якщо на той час є кадр даних, що чекає передачі, стан змінюється на стан передачі кадру і починається його передача.

Після завершення передачі кадру стан змінюється на стан передачі маркера і починається передача маркера. Якщо на момент одержання маркера вузол не має кадру даних для передачі, стан канального рівня змінюється відразу на стан передачі маркера. Після передачі маркера стан знову змінюється на стан прослуховування середовища.

Діаграма станів, що представляє операції канального рівня під час реконфігурації кільця і відновлення маркера, показана на рис. 3.5.

Рис. 3.5. Протокол для шини з передачею маркера (нормальна робота)

Для успішної реконфігурації кільця використовуються три стани: збою, бездіяльності й опитування. При наявності тільки одного вузла неможливо здійснити реконфігурацію кільця. Спроба реконфігурації з єдиним вузлом призводить до стану чекання збою, поки в мережу не буде доданий ще один вузол. Для відновлення маркера досить двох станів: бездіяльності й опитування. Як у випадку реконфігурації, так і у випадку відновлення маркера, як тільки встановлюється NID, стан канального рівня змінюється на стан нормальної роботи. Деталі цього стану подані на рис. 3.5. Зауважимо, що перехід канального рівня до стану нормальної роботи є фактично переходом до стану прослуховування відповідно до рис. 3.5. Відзначимо також, що маркер можна сприйняти як загублений (що викликає перехід до стану бездіяльності) тільки тоді, коли канальний рівень знаходиться в стані прослуховування. В усіх інших станах на рис. 3.6 вузол володіє маркером і тому не може загубити його.

Рис. 3.6. Протокол для шини з передачею маркера (реконфігурація мережі та відновлення маркера)

Коли новий вузол підключається до мережі, він входить до стану збою, при якому в середовище починає передаватися безперервна збійна послідовність. Перешкоди в середовищі повинні викликати втрату маркера, примушуючи таким чином усі вузли, що беруть участь у передачі маркера по логічному кільцю, почати процедуру відновлення маркера. Після збою всі вузли, включаючи і новий, переходять до стану бездіяльності.

Вузол можна збудити, коли мине час його бездіяльності або коли він одержить маркер. Час бездіяльності різний для кожного вузла і пропорційний значенню ID. Оскільки всі вузли входять до стану бездіяльності практично одночасно, вузол із меншим значенням ID збудиться першим.

Після збудження вузол переходить до стану опитування, у якому він посилає маркер наступному вузлу в логічному кільці, починаючи з вузла NID, адреса якого на одиницю більше його власного ID (названого "my" ID або MID). Після посилання маркера вузлу, адресованому поточним значенням NID, вузол, що опитує, якийсь час чекає відповіді. Якщо в мережі немає вузла з таким ID, то немає і відповіді, і вузол, що опитує, збільшує NID на 1 і знову посилає маркер. Якщо в мережі є вузол із таким ID, він повинен бути в стані бездіяльності. Прихід маркера збуджує його, і він сам починає опитування мережі. Початок опитування наступним вузлом розглядається попереднім вузлом як відгук, і він вважає, що NID встановлений і переходить до стану нормальної роботи. Таким чином, стан опитування переходить від одного вузла до іншого за напрямком зростання розміру ID.

Логічне кільце замикається, коли вузол із найбільшим ID встановлює NID, що є адресою вузла, який збудився першим (із найменшим значенням ID, наявним у мережі).

На цей момент вузол із найменшим значенням ID уже знаходиться в стані нормальної роботи. Таким чином, коли він одержує опитуючий маркер, він не продовжує опитування, а посилає маркер вузлу з попередньо встановленим NID. На цьому опитування завершується і реконфігурація кільця, або відновлення маркера, закінчується.

Схема доступу до кільцевого середовища з передачею маркера.

Основна відмінність між даною схемою і двома попередніми полягає у фізичній топології середовища. Як метод CSMA/CD, так і метод доступу до шини з передачею маркера, використовують спосіб фізичного підключення до шини, на той час як кільцева схема з передачею маркера будується на топології фізичного кільця.

Сигнали, передані вузлом мережі, заснованої на топології фізичної шини, поширюються по всьому середовищу (широкомовна передача). У топології фізичного кільця сигнали поширюються через однонаправлені двохточечні шляхи між вузлами мережі. Вузли й однонаправлені ланки з'єднуються послідовно, формуючи фізичне кільце. У шинній структурі вузли діють тільки як передавачі або приймачі. Якщо вузол видалиться з мережі із шинною структурою, наприклад, у результаті несправності, це не вплине на проходження сигналу до інших вузлів.

Деякі мережі з кільцевою топологією використовують метод естафетної передачі. Спеціальне коротке повідомлення-маркер циркулює по кільцю, поки комп'ютер не зажадає передати інформацію іншому вузлу. Він модифікує маркер, добавляє електронну адресу і дані, а потім відправляє його по кільцю. Кожен із комп'ютерів послідовно одержує даний маркер із доданою інформацією і передає його сусідній машині, поки електронна адреса не збіжиться з адресою комп'ютера-отримувача, або маркер не повернеться до відправника. Комп'ютер, що одержав повідомлення, повертає відправнику відповідь, яка підтверджує, що повідомлення прийняте. Тоді відправник створює ще один маркер і відправляє його в мережу, що дозволяє іншій станції перехопити маркер і почати передачу. Маркер циркулює по кільцю, поки якась із станцій не буде готова до передачі і не захопить його.

У кільцевій структурі при поширенні сигналу вузли відіграють активну роль. Для досягнення вузла-отримувача сигнали, породжені портом вузла-відправника, повинні бути передані всіма вузлами, розміщеними по кільцю між вузлами відправника і отримувача. Відзначимо, що, як показано на рис. 3.7, у кожному вузлі сигнали передаються усередині самого вузла від прийомного порту до передаючого порту. Під час цієї передачі вузли можуть аналізувати і модифікувати вхідні сигнали.

Рис. 3.7. Структура фізичного кільця

Перевага такого рішення полягає в тому, що сигнали під час передачі можуть підсилюватися, і, отже, максимальна довжина фізичного кільця не обмежується внаслідок ослаблення сигналу в середовищі. Однак ушкодження окремого вузла або кабельного сегмента фізичного кільця призводить до руйнації шляху проходження сигналів, і вся мережа виходить із ладу. Ця проблема кільцевих мереж із передачею маркера вирішується шляхом використання змішаної зірково-кільцевої топології (рис. 3.8).

Це рішення вимагає використання ведучих концентраторів, що можна легко (можливо, автоматично) переключити для обходження ушкоджених вузлів. Проста зміна внутрішньої конфігурації ведучого концентратора призводить до роз'єднання вузла C із мережею і зберігання кільцевого зв'язку для інших вузлів.

Як і у випадку шинної структури з передачею маркера, у схемі доступу до кільцевого середовища в якості маркера використовується унікальна послідовність бітів. Однак у цьому випадку маркер не має адреси. Замість цього маркер може перебувати в двох станах: вільному і зайнятому.

Рис. 3.8. Зірково-кільцева топологія

Якщо в жодному з вузлів кільця немає кадрів даних для передачі, вільний маркер циркулює по кільцю. Зауважимо, що на кожен конкретний момент часу в кільці циркулює тільки один вільний маркер (рис. 3.9, а). Вузол, у якого є кадр даних для передачі, повинен чекати, поки не одержить вільний маркер. На момент приходу вільного маркера вузол змінює його стан на "зайнятий", передає його далі по кільцю і добавляє до зайнятого маркера кадр даних.

Рис. 3.9. Передача маркера і пакета в кільцевій мережі з передачею маркера

Зайнятий маркер разом із кадром даних передається по всьому кільцю (рис. 3.9, б). Змінити стан маркера знову на вільний може тільки той вузол, який змінив його на зайнятий. Кадр даних містить у своєму заголовку адресу отримувача. При проходженні через вузол-отримувач кадр копіюється. Наприклад, кадр даних, сформований у вузлі А, був посланий вузлу С. Зайнятий маркер (разом із кадром даних, що надходить за маркером) повинен бути ретрансльованим вузлами B, С і D. Однак у вузлі С кадр даних буде скопійованим. Іншими словами, усі вузли кільця, за винятком вузла відправника, ретранслюють пакет, але його приймає тільки один із них (вузол-отримувач). Коли зайнятий маркер разом із кадром повертається у вузол відправника, стан маркера змінюється на вільний, а кадр даних видаляється з кільця, тобто просто не передається далі (рис. 3.9, в).

Як тільки маркер стає вільним, будь-який вузол може змінити його стан на зайнятий і почати передачу даних.

Протокол кільцевої мережі з передачею маркера повинен вирішувати проблему втрати маркера в результаті помилок при передачі, а також при збоях у вузлі або в середовищі. Ці функції виконуються мережним моніторним вузлом. Наприклад, відсутність передач у мережі означає втрату маркера. Якщо виявлена втрата маркера, мережний монітор починає процедуру відновлення кільця.

3.4 Висновок

Таким чином, методи доступу до загального поділюваного середовища передачі даних можна розділити на два великих класи: випадкові і детерміновані.

Детерміновані методи, навпаки, передбачають можливість надання загального середовища в розпорядження вузла мережі за суворо визначеним (детермінованим) порядком.

Розділ 4. Засоби здійснення авторізації доступу до каналів комп'ютерних мереж

4.1 Місце процесів авторизації доступу при організації інформаційних систем на основі комп'ютерних мереж

Інформація є одним з найбільш цінних ресурсів будь-якої компанії, тому забезпечення захисту інформації є одному з найважливіших і пріоритетніших завдань.

Безпека інформаційної системи (ІС) - це властивість, що укладає в здатності системи забезпечити її нормальне функціонування, тобто забезпечити цілісність і секретність інформації. Для забезпечення цілісності і конфіденційності інформації необхідно забезпечити захист інформації від випадкового знищення або несанкціонованого доступу до неї.

Під цілісністю розуміється неможливість несанкціонованого або випадкового знищення, а також модифікації інформації. Під конфіденційністю інформації - неможливість витоку і несанкціонованого заволодіння інформації, що зберігається, передаваної або такої, що приймається.

Відомі наступні джерела погроз безпеці інформаційних систем:

антропогенні джерела, викликані випадковими або навмисними діями суб'єктів;

техногенні джерела, що приводять до відмов і збоїв технічних і програмних засобів із-за застарілих програмних і апаратних засобів або помилок в ПЗ;

стихійні джерела, викликані природними катаклізмами або форс-мажорними обставинами.

У свою чергу антропогенні джерела погроз діляться:

на внутрішні (дії з боку співробітників компанії) і зовнішні (несанкціоноване втручання сторонніх осіб із зовнішніх мереж загального призначення) джерела;

на ненавмисні (випадкові) і навмисні дії суб'єктів.

Існує достатньо багато можливих напрямів витоку інформації і шляхів несанкціонованого доступу до неї в системах і мережах:

перехоплення інформації;

модифікація інформації (початкове повідомлення або документ змінюється або підміняється іншим і відсилається адресатові);

підміна авторства інформації (хтось може послати лист або документ від вашого імені);

використання недоліків операційних систем і прикладних програмних засобів;

копіювання носіїв інформації і файлів з подоланням мерів захисту;

незаконне підключення до апаратури і ліній зв'язку;

маскування під зареєстрованого користувача і привласнення його повноважень;

введення нових користувачів;

впровадження комп'ютерних вірусів і так далі.

Для забезпечення безпеки інформаційних систем застосовують системи захисту інформації, які є комплексом організаційно - технологічних мерів, програмно - технічних засобів і правових норм, направлених на протидію джерелам погроз безпеці інформації.

При комплексному підході методи протидії погрозам інтегруються, створюючи архітектуру безпеки систем. Необхідно відзначити, що будь-яка системи захисту інформації не є повністю безпечною. Завжди доводитися вибирати між рівнем захисту і ефективністю роботи інформаційних систем.

До засобів захисту інформації ІС від дій суб'єктів відносяться:

засоби захист інформації від несанкціонованого доступу;

захист інформації в комп'ютерних мережах;

криптографічний захист інформації;

електронний цифровий підпис;

захист інформації від комп'ютерних вірусів.

Під захистом інформації від несанкціонованого доступу понімається діставання доступу до ресурсів інформаційної системи шляхом виконання трьох процедур: ідентифікація, аутентифікація і авторизація.

Ідентифікація - привласнення користувачеві (об'єкту або суб'єктові ресурсів) унікальних імен і код (ідентифікаторів).

Аутентифікація - встановлення достовірності користувача, що представив ідентифікатор або перевірка того, що особа або пристрій, що повідомив ідентифікатор є дійсно тим, за кого воно себе видає. Найбільш поширеним способом аутентифікації є привласнення користувачеві пароля і зберігання його в комп'ютері.

Авторизація - перевірка повноважень або перевірка права користувача на доступ до конкретних ресурсів і виконання певних операцій над ними. Авторизація проводиться з метою розмежування прав доступу до мережевих і комп'ютерних ресурсів.

Для централізованого вирішення завдань авторизації в крупних мережах предназначена мережева служба Kerberos. Вона може працювати в середовищі багатьох популярних операційних систем. У основі цієї достатньо громіздкої системи лежить декілька простих принципів.

У мережах, що використовують систему безпеки Kerberos, всі процедури аутентифікації між клієнтами і серверами мережі виконуються через посередника, якому довіряють обидві сторони аутентифікаційного процесу, причому таким авторитетним арбітром є сама система Kerberos.

У системі Kerberos клієнт повинен доводити свою автентичність для доступу до кожної служби, послуги якої він викликає.

Всі обміни даними в мережі виконуються в захищеному вигляді з використанням алгоритму шифрування.

Мережева служба Kerberos побудована по архітектурі клієнт-сервер, що дозволяє їй працювати в найскладніших мережах. Kerberos-клиент встановлюється на всіх комп'ютерах мережі, які можуть звернеться до якої-небудь мережевої служби. У таких випадках Kerberos-клиент від імені користувача передає запит на Kerberos-сервер і підтримує з ним діалог, необхідний для виконання функцій системи Kerberos.

Отже, в системі Kerberos є наступні учасники: Kerberos-сервер, Kerberos-клиент і ресурсні сервери (рис. 4.1). Kerberos-клиенты намагаються дістати доступ до мережевих ресурсів - файлів, додатком, принтеру і так далі Цей доступ може бути наданий, по-перше, тільки легальним користувачам, а по-друге, за наявності у користувача достатніх повноважень, визначуваних службами авторизації відповідних ресурсних сервер, - файловим сервером, сервером додатків, сервером друку.

Рис. 4.1. Три етапи роботи системи Kerberos

Проте в системі Kerberos ресурсним серверам забороняється «безпосередньо» приймати запити від клієнтів, їм дозволяється починати розгляд запиту клієнта тільки тоді, коли на це поступає дозвіл від Kerberos-сервера. Таким чином, шлях клієнта до ресурсу в системі Kerberos складається з трьох етапів:

Визначення легальності клієнта, логічний вхід в мережу, отримання дозволу на продовження процесу діставання доступу до ресурсу.

Отримання дозволу на звернення до ресурсного сервера.

Отримання дозволу на доступ до ресурсу.

Для вирішення першого і другого завдання клієнт звертається до Kerberos-серверу. Кожне з цих завдань вирішується окремим сервером, що входить до складу Kerberos-сервера. Виконання первинної аутентифікації і видача дозволу на продовження процесу діставання доступу до ресурсу здійснюється так званим аутентифікаційним сервером (Authentication Server, AS). Цей сервер зберігає в своїй базі даних інформацію про ідентифікатори і паролі користувачів.

Другу задачу, пов'язану з отриманням дозволу на звернення до ресурсного сервера, вирішує інша частина Kerberos-сервера - сервер квитанцій (Ticket-Granting Server, TGS). Сервер квитанцій для легальних клієнтів виконує додаткову перевірку і дає клієнтові дозвіл на доступ до потрібного йому ресурсному серверу, для чого наділяє його електронною формою-квитанцією. Для виконання своїх функцій сервер квитанцій використовує копії секретних ключів всіх ресурсних серверів, які зберігаються у нього в базі даних. Окрім цих ключів сервер TGS має ще один секретний DES-ключ, який розділяє з сервером AS.

Третє завдання - отримання дозволу на доступ безпосередньо до ресурсу - вирішується на рівні ресурсного сервера.

Вивчаючи досить складний механізм системи Kerberos, не можна не задатися питанням: який вплив роблять всі ці численні процедури шифрування і обміну ключами на продуктивність мережі, яку частину ресурсів мережі вони споживають і як це позначається на її пропускній спроможності?

Відповідь вельми оптимістична - якщо система Kerberos реалізована і конфігурована правильно, вона трохи зменшує продуктивність мережі. Оскільки квитанції використовуються багато разів, мережеві ресурси, що витрачаються на запити надання квитанцій, невеликі. Хоча передача квитанції при аутентифікації логічного входу декілька знижує пропускну спроможність, такий обмін повинен здійснюватися і при використанні будь-яких інших систем і методів аутентифікації. Додаткові ж витрати незначні. Досвід впровадження системи Kerberos показав, що час відгуку при встановленій системі Kerberos істотно не відрізняється від часу відгуку без неї - навіть в дуже великих мережах з десятками тисяч вузлів. Така ефективність робить систему Kerberos вельми перспективною.

Серед вразливих місць системи Kerberos можна назвати централізоване зберігання всіх секретних ключів системи. Успішна атака на Kerberos-сервер, в якому зосереджена вся інформація, критична для системи безпеки, приводить до краху інформаційного захисту всієї мережі. Альтернативним рішенням могла б бути система, побудована на використанні алгоритмів шифрування з парними ключами, для яких характерний розподілене зберігання секретних ключів.

Ще однією слабкістю системи Kerberos є те, що початкові коди тих застосувань, доступ до яких здійснюється через Kerberos, мають бути відповідним чином модифіковані. Така модифікація називається «керберизацией» додатку. Деякі постачальники продають «керберизированные» версії своїх застосувань. Але якщо немає такої версії і немає початкового тексту, то Kerberos не може забезпечити доступ до такого застосування.

4.2 Настройка мережевих служб для здійснення авторизації доступу до мережі Інтернет

Страницы: 1, 2, 3, 4