1. Коммутация второго уровня и управление доступом в локальных сетях предприятия
Коммутация второго уровня и управление доступом в локальных сетях предприятия
Представьте утро в крупном бизнес-центре: сотни сотрудников одновременно включают компьютеры, авторизуются в корпоративных сервисах, запускают видеоконференции и отправляют документы на печать. В этот момент тысячи кадров данных ежесекундно проносятся через порты коммутаторов. Если бы эта сеть была построена как единое пространство без сегментации, она бы мгновенно «захлебнулась» в широковещательном шторме, а любой злоумышленник, подключившийся к свободной розетке в коридоре, получил бы доступ к серверам бухгалтерии. Работа сетевого инженера начинается именно здесь — на втором уровне модели OSI (Data Link Layer), где закладывается фундамент производительности и безопасности всей инфраструктуры.
Механика работы коммутатора и логика таблицы MAC-адресов
В отличие от концентраторов (хабов) прошлого, которые просто копировали входящий сигнал на все порты, современный коммутатор принимает интеллектуальные решения на основе MAC-адресов. Этот процесс кажется элементарным, но именно в его нюансах кроются причины многих сетевых аномалий.
Когда кадр (frame) поступает на порт, коммутатор выполняет три последовательных действия:
Проблема «Unknown Unicast Flooding» часто становится причиной деградации сети. Если таблица CAM переполнена (например, в результате атаки MAC Flooding), коммутатор перестает обучаться и начинает работать как хаб, рассылая весь трафик на все порты. В корпоративной среде это недопустимо, так как это не только снижает полосу пропускания, но и позволяет перехватывать чужой трафик с помощью обычного сниффера.
Виртуальные локальные сети (VLAN) и транкинг
В современной сети физическая топология почти никогда не совпадает с логической. Бухгалтер, системный администратор и стажер могут сидеть в одном кабинете и быть подключены к одному коммутатору, но они должны находиться в разных широковещательных доменах.
VLAN (Virtual Local Area Network) решает три критические задачи: * Ограничение широковещательного трафика: ARP-запросы, DHCP-поиск и служебные сообщения ОС не покидают пределов своего VLAN. * Безопасность: По умолчанию трафик между разными VLAN невозможен без участия устройства третьего уровня (маршрутизатора или L3-коммутатора). * Гибкость: Переезд сотрудника в другой отдел требует лишь перенастройки порта на коммутаторе, а не прокладки нового кабеля.
Для передачи трафика нескольких VLAN по одному физическому кабелю (например, между двумя коммутаторами) используется тегирование. Стандартом де-факто является IEEE 802.1Q. К обычному Ethernet-кадру добавляется 4-байтовый тег, содержащий VLAN ID (число от 1 до 4094).
> Важно различать типы портов: > * Access-порт: Принадлежит только одному VLAN. Принимает и отправляет нетегированные кадры. При поступлении кадра внутрь коммутатора к нему «приклеивается» метка VLAN, назначенного порту. > * Trunk-порт: Передает трафик нескольких VLAN. Почти всегда используется тегирование. Исключение — Native VLAN (по умолчанию VLAN 1), трафик которого передается без тега даже в транке.
Опасность Native VLAN заключается в возможности атаки «VLAN Hopping». Если злоумышленник отправит кадр с двойным тегом, где внешний тег совпадает с Native VLAN транка, первый коммутатор снимет внешний тег и отправит кадр дальше. Второй коммутатор увидит внутренний тег и доставит кадр в целевой (чужой) VLAN. Профессиональный стандарт настройки — всегда менять Native VLAN на неиспользуемый (например, 999) и явно запрещать прохождение VLAN 1 через транки.
Борьба с петлями: Эволюция протокола STP
Избыточность — залог надежности. Мы всегда хотим иметь два линка между коммутаторами на случай обрыва кабеля. Однако на втором уровне модели OSI нет механизма TTL (Time to Live), который есть в IP-пакетах. Если в сети L2 возникает петля, кадр будет циклиться вечно, вызывая широковещательный шторм, который парализует сеть за считанные секунды.
Для предотвращения этой катастрофы используется Spanning Tree Protocol (STP, 802.1D). Его логика строится на выборе «Корневого моста» (Root Bridge) и блокировке избыточных путей.
Процесс выбора Root Bridge основан на значении Bridge ID (BID), которое состоит из приоритета (по умолчанию 32768) и MAC-адреса. Победителем становится коммутатор с наименьшим BID.
Если инженер не настроит приоритет вручную, Root Bridge будет выбран случайно (самый старый коммутатор с наименьшим MAC-адресом), что может привести к неоптимальным маршрутам трафика.
Классический STP работает крайне медленно: пересчет топологии при сбое занимает до 50 секунд. В современных сетях используются:
Для защиты топологии STP применяются дополнительные механизмы безопасности: * BPDU Guard: Если на порт, предназначенный для подключения компьютера (Access), придет пакет STP (BPDU), порт немедленно выключится. Это защищает от случайного подключения пользователем домашнего роутера, который может попытаться стать Root Bridge. * Root Guard: Запрещает порту становиться путем к новому Root Bridge. Полезно на границах сети с другими подразделениями.
Агрегирование каналов: EtherChannel и LACP
VLAN и STP позволяют управлять логикой, но что если нам не хватает пропускной способности одного гигабитного линка? Вместо покупки дорогостоящих 10G-модулей можно объединить несколько физических портов в один логический интерфейс. Эта технология называется EtherChannel (или Port Channel).
Наиболее распространенный протокол управления агрегацией — LACP (Link Aggregation Control Protocol, 802.3ad). Он позволяет объединять до 8 активных каналов.
Ключевой нюанс EtherChannel — алгоритм балансировки. Трафик не распределяется «бит в бит» между кабелями. Коммутатор использует хэш-функцию от параметров кадра (Source IP, Destination IP, MAC или порты TCP/UDP). Это означает, что одна сессия (например, копирование файла между двумя серверами) всегда будет идти через один физический кабель и никогда не превысит скорость 1 Гбит/с, даже если в канале 4 порта. Агрегация дает преимущество только при большом количестве разных потоков данных.
Управление доступом и безопасность портов (Port Security)
Физическая безопасность портов — «первая миля» защиты корпоративной сети. Самый простой и эффективный метод — Port Security. Он позволяет ограничить количество MAC-адресов на порту или привязать конкретный MAC к порту (Sticky MAC).
Рассмотрим сценарий: в офисе установлены IP-телефоны, к которым цепочкой подключены компьютеры. В этом случае на порту должно быть разрешено ровно два MAC-адреса. Если пользователь принесет из дома неуправляемый коммутатор и попытается подключить пять ноутбуков, порт перейдет в состояние err-disable и отключится.
Однако Port Security бессилен против подмены MAC-адресов. Для более серьезной защиты используется стандарт IEEE 802.1X. Это полноценная система аутентификации, включающая три роли:
Только после успешной проверки RADIUS-сервер дает команду коммутатору: «Открыть порт и поместить его в VLAN 10». Это позволяет реализовать концепцию динамических VLAN, когда сеть подстраивается под пользователя, независимо от того, в какую розетку он включил кабель.
Продвинутые механизмы защиты: DHCP Snooping и DAI
Даже если мы ограничили доступ к портам, сеть остается уязвимой для атак «внутреннего нарушителя». Две самые опасные атаки на L2 — это Rogue DHCP Server (поддельный DHCP-сервер) и ARP Poisoning.
DHCP Snooping превращает коммутатор в «умный фильтр». Мы разделяем порты на доверенные (Trusted) — те, где находятся настоящие серверы, и недоверенные (Untrusted) — те, где сидят пользователи. Если на недоверенный порт придет ответ от DHCP-сервера (DHCP Offer), коммутатор заблокирует его. Попутно коммутатор строит таблицу соответствия: «Порт Gi0/5 получил IP 192.168.1.10 для MAC-адреса ».
На основе этой таблицы работает Dynamic ARP Inspection (DAI). Она проверяет все ARP-ответы в сети. Если компьютер пытается сказать: «Я — шлюз по умолчанию», но его IP и MAC не совпадают с данными в таблице DHCP Snooping, такой пакет отбрасывается. Это полностью предотвращает атаки типа Man-in-the-Middle (MitM) на втором уровне.
Работа инженера на уровне коммутации требует баланса между избыточностью для отказоустойчивости и жестким контролем для безопасности. Правильно настроенный L2-сегмент — это «невидимая» сеть, которая не требует вмешательства месяцами, обеспечивая при этом мгновенную сходимость при авариях и надежный заслон от несанкционированного доступа.