Разделение подсети на два фрагмента ФПСУ на уровне маршрутизации |
Представим теперь, что до установки ФПСУ-IP существовала одна IP-подсеть с адресом 203.0.113.0 и маской 255.255.255.0, которую необходимо разделить физически на два независимых фрагмента (например, по функциональному признаку) без переконфигурирования программного обеспечения хостов, причем требуется регламентировать обмены данными между хостами независимых фрагментов. Отметим, что в предыдущем примере (см. пункт «Защита локальной сети, состоящей из двух IP-подсетей») разделение абонентов на две подсети было логическим, то есть для его осуществления была необходима особая конфигурация TCP/IP-стека защищаемых хостов, при изменении которой выполнение наложенных в примере требований было бы невозможно. В данном примере рассматривается физическое разделение подсети, при котором абоненты отдельных фрагментов физически не могут обмениваться пакетами друг с другом в обход комплекса ФПСУ-IP. IP-адреса 1 и 2 портов ФПСУ-IP совпадают, для ФПСУ-IP это допустимо, если в локальной сети доступно ограниченное количество свободных IP-адресов. После установки ФПСУ-IP сеть имеет вид, изображенный на рисунке ниже. Помимо физического разделения на работу двух подсетей накладываются следующие требования: •хосты области 1, исключая хост 203.0.113.1, и все хосты области 2 должны иметь полный доступ друг к другу, в том числе должна обеспечиваться возможность поиска и подключения сетевых дисков; •хост 203.0.113.1 не должен иметь доступа в область 2. С точки зрения конфигурирования ФПСУ-IP, для работы в условиях такой топологии и удовлетворения наложенных требований принципиальным является следующее: •со стороны портов 1 и 2 ФПСУ-IP существует одна и та же IP-подсеть, маршрутизаторы и другие ФПСУ-IP отсутствуют; •обмен хостов через комплекс может производиться только в режиме ретрансляции, сжатие и криптозащита не применимы; •работа с ключевыми данными при такой топологии не производится; •абоненту с IP-адресом 203.0.113.1 должен быть запрещен обмен пакетами с абонентами со стороны порта 2; •для обеспечения поиска и подключения сетевых дисков необходимо разрешить передачу через ФПСУ-IP широковещательных пакетов. Конфигурация ФПСУ-IP должна содержать следующие установки: Порт 1: Номер 1; Адрес 203.0.113.7; Маска 255.255.255.0 (24 разряда); ФПСУ не определены; Маршрутизаторы не определены; Абоненты: Подсеть; 203.0.113.0; 255.255.255.0 (24 разряда); режим работы ретрансляция; режим партнера этого порта - выключен; режим партнера другого порта - включен только в ретрансляции; флаг "Только Broadcast" выключен; флаг "Отвечать на Ping" - на усмотрение администратора; флаг "Работа разрешена" включен. Хост; 203.0.113.1; режим работы ретрансляция; режим партнера этого порта - выключен; режим партнера другого порта - включен только в ретрансляции; флаг "Отвечать на Ping" - выключен; флаг "Работа разрешена" выключен. Порт 2: Номер 2; Адрес 203.0.113.7; Маска 255.255.255.0 (24 разряда); ФПСУ не определены; Маршрутизаторы не определены; Абоненты: Подсеть 203.0.113.0; 255.255.255.0 (24 разряда); режим работы ретрансляция; флаг "Только Broadcast" включен; флаг "Работа разрешена" включен. Хост; 203.0.113.5; режим работы ретрансляция; режим партнера этого порта - выключен; режим партнера другого порта - включен только в ретрансляции; флаг "Отвечать на Ping" - на усмотрение администратора; флаг "Работа разрешена" включен. Хост; 203.0.113.6; режим работы ретрансляция; режим партнера этого порта - выключен; режим партнера другого порта - включен только в ретрансляции; флаг "Отвечать на Ping" - на усмотрение администратора; флаг "Работа разрешена" включен. Хост; 203.0.113.8; режим работы ретрансляция; режим партнера этого порта - выключен; режим партнера другого порта - включен только в ретрансляции; флаг "Отвечать на Ping" - на усмотрение администратора; флаг "Работа разрешена" включен. Хост; 203.0.113.9; режим работы ретрансляция; режим партнера этого порта - выключен; режим партнера другого порта - включен только в ретрансляции; флаг "Отвечать на Ping" - на усмотрение администратора; флаг "Работа разрешена" включен.
Исходя из принципов конфигурирования ФПСУ-IP, со стороны одного из портов (в текущем примере - с порта 1) описана вся подсеть через хост вида «подсеть» с указанием адреса и маски сети (это сделано для простоты конфигурирования, чтобы не указывать индивидуальные адреса всех входящих в подсеть со стороны данного порта хостов), а со стороны противоположного порта - указаны индивидуальные адреса хостов, физически присутствующих с этой стороны, для регламентирования передачи индивидуальных пакетов и один повторный описатель типа «Подсеть» для регламентации широковещательных передач. Для абонента 203.0.113.1 запрещение работы с абонентами области 2 осуществляется через выключение флага «Работа разрешена». |