VPN<\/a> v\u00f5i ilma selleta.<\/p>\nV\u00f5rgu kr\u00fcpteerimine jaotatud Etherneti v\u00f5rgus<\/i><\/p>\n
Ihned seadmed v\u00f5ivad olla kas spetsialiseeritud<\/b> (ainult kr\u00fcpteerimiseks m\u00f5eldud) v\u00f5i multifunktsionaalsed (h\u00fcbriidsed, konvergentsed<\/b>), mis t\u00e4hendab, et nad t\u00e4idavad ka muid funktsioone (n\u00e4iteks tulem\u00fc\u00fcri v\u00f5i ruuteri). Erinevad tootjad klassifitseerivad oma seadmeid erinevatesse klassidesse\/kategooriatesse, kuid see ei ole oluline \u2013 oluline on see, kas nad suudavad kr\u00fcptida saitide vahelist liiklust ja milliste omadustega nad sel juhul on.<\/p>\n
Igaks juhuks meenutan, et \u201ev\u00f5rgu kr\u00fcptimine\u201c, \u201eliikluse kr\u00fcptimine\u201c, \u201ekr\u00fcptija\u201c \u2013 need on mitteformaalne terminoloogia, kuigi neid kasutatakse sageli. Vene \u00f5igusaktides (sealhulgas neis, millega kehtestatakse GOST-e) ei kohtu te t\u00f5en\u00e4oliselt nendega.<\/p>\n
Kr\u00fcptimise tasemed ja edastusre\u017eiimid<\/h4>\n \nEnne kui asume iseloomustama ise omadusi, mida hakatakse hindama, tuleb esmalt aru saada \u00fchest olulisest asjast, nimelt \u201ekr\u00fcptimise tasemest\u201c. Olen t\u00e4hele pannud, et seda mainitakse sageli nii ametlikes tootja dokumentides (kirjeldustes, juhendites jne) kui ka mitteformaalsetes aruteludes (l\u00e4bir\u00e4\u00e4kimistel, koolitustel). Seega, tundub, et k\u00f5ik teavad, millest r\u00e4\u00e4gitakse, kuid olen isiklikult olnud tunnistajaks teatud segadusele.<\/p>\n
Nii et mis on siis \u201ekr\u00fcptimise tase\u201c? Selge on see, et r\u00e4\u00e4gitakse OSI\/ISO referentsv\u00f5rgumudeli tasemest, kus kr\u00fcptimine toimub. Loeme GOST R ISO 7498-2\u201399 \u201eTeabe tehnoloogia. Avatud s\u00fcsteemide vastastikune seos. P\u00f5hireferentsv\u00f5rgumudel. Osa 2. Teabe kaitse arhitektuur\u201c. Sellest dokumendist on v\u00f5imalik m\u00f5ista, et konfidentsiaalsuse teenuse tase (mille tagamiseks on \u00fcks mehhanism just kr\u00fcptimine) \u2013 see on protokolli tase, teenusploki andmed (\u201ekasulik koormus\u201c, kasutaja andmed), mille kr\u00fcptimine toimub. Nagu standardses on \u00f6eldud, v\u00f5ib teenust tagada nii sellel tasemel \u201eoma j\u00f5ududega\u201c kui ka madalama taseme kaudu (just nii, n\u00e4iteks, seda rakendatakse MACsecis k\u00f5ige sagedamini).<\/p>\n
Kuid praktikas on v\u00f5imalikud kaks re\u017eiimi kr\u00fcptitud teabe edastamiseks \u00fcle v\u00f5rgu (tuleb kohe meelde IPsec, kuid need re\u017eiimid esinevad ka teistes protokollides). Transport<\/b> (m\u00f5nikord nimetatakse seda ka native) re\u017eiimis kr\u00fcptitakse ainult teenusplokk<\/b> andmed, samas kui pealkirjad j\u00e4\u00e4vad \u201eavatuks\u201c, mitte kr\u00fcpteerituks (m\u00f5nikord lisatakse t\u00e4iendavaid v\u00e4li algoritmi kr\u00fcpteerimise teenuseteabe jaoks ning teisi v\u00e4lju muudetakse, \u00fcmber arvutatakse). In tunneli<\/b> samuti protokoll<\/b> andmeplokk (see on pakett ise) kr\u00fcpteeritakse ja paigutatakse sama v\u00f5i k\u00f5rgema taseme teenuseteenuse andmeplokkidesse, see t\u00e4hendab, et seda \u00fcmbritsevad uued pealkirjad.<\/p>\n
Kr\u00fcpteerimise tase ise koos teatud edastamisre\u017eiimiga ei ole ei hea ega halb, seega ei saa \u00f6elda, et n\u00e4iteks L3 transportre\u017eiimis on parem kui L2 tunneli re\u017eiimis. Selle m\u00f5ju hinnatakse paljude omaduste j\u00e4rgi, mille alusel hinnatakse seadmeid. N\u00e4iteks paindlikkus ja \u00fchilduvus. L1 (bitivoogude edastamine), L2 (raamimise vahetamine) ja L3 (pakettide marsruutimine) transportre\u017eiimis on vajalikud lahendused, mis kr\u00fcpteerivad samal v\u00f5i k\u00f5rgemal tasemel (vastasel juhul kr\u00fcpteeritakse aadressiteave ja andmed ei j\u00f5ua sihtpunkti), k\u00fcll aga lubab tunneli re\u017eiim seda piirangut \u00fcletada (t\u00f5si, tehnoloogia arvelt, v\u00e4\u00e4rtuslike omaduste kahandamisega).<\/p>\n
Kr\u00fcpteerimise transport- ja tunneli re\u017eiimid L2<\/i><\/p>\n
N\u00fc\u00fcd l\u00fclitume omaduste anal\u00fc\u00fcsi juurde.<\/p>\n
T\u00f5husus<\/h4>\n \nV\u00f5rgu kr\u00fcpteerimise puhul on j\u00f5udlus keeruline m\u00f5iste, mitmem\u00f5\u00f5tmeline. T\u00e4hendab, et teatud mudel v\u00f5ib \u00fches j\u00f5udluse omaduses olla parem, kuid halvem teises. Seet\u00f5ttu on alati kasulik vaadata k\u00f5iki kr\u00fcpteerimise j\u00f5udluse komponente ning nende m\u00f5ju v\u00f5rgu ja selle kasutavate rakenduste j\u00f5udlusele. Siin v\u00f5ib tuua analoogia autoga, mille puhul on oluline mitte ainult maksimaalne kiirus, vaid ka kiiruseni \u201esaja\u201c saavutamise aeg, k\u00fctusekulu jne. J\u00f5udluse omadustele p\u00f6\u00f6ravad tootjad ja nende potentsiaalsed kliendid suurt t\u00e4helepanu. Tavaline on, et just j\u00f5udluse alusel reastatakse m\u00fc\u00fcjate kr\u00fcpteerimisseadmete tooteid.<\/p>\n
Selge on, et j\u00f5udlus s\u00f5ltub nii seadmel t\u00e4idetavate v\u00f5rgu- ja kr\u00fcptograafiliste operatsioonide keerukusest (sh sellest, kui h\u00e4sti need \u00fclesanded talitlevad samal ajal ja torustikus), kui ka riistvara ja sisseehitatud tarkvara kvaliteedist. Seet\u00f5ttu kasutatakse k\u00f5rgemate mudelite puhul v\u00f5imekamat \"rauda\", m\u00f5nikord on v\u00f5imalus varustada neid t\u00e4iendavate protsessorite ja m\u00e4lu moodulitega. Kr\u00fcptograafiliste funktsioonide rakendamiseks on mitu l\u00e4henemist: universaalne keskprotsessor (CPU), spetsialiseeritud kohandatud integraalskeem (ASIC) v\u00f5i programmeeritav loogiline integraalskeem (FPGA). Igal l\u00e4henemisel on oma plussid ja miinused. N\u00e4iteks v\u00f5ib CPU muutuda kr\u00fcpteerimise \"pudelikaelaks\", eriti kui protsessoril ei ole spetsialiseeritud juhiseid kr\u00fcpteerimisalgoritmi toetamiseks (v\u00f5i kui neid ei kasutata). Spetsialiseeritud kiipidel puudub paindlikkus, kuna ei pruugi alati v\u00f5imalik olla neid uuendada j\u00f5udluse suurendamiseks, uute funktsioonide lisamiseks v\u00f5i haavatavuste k\u00f5rvaldamiseks. Lisaks muutub nende kasutamine kasutuks ainult suure tootmismahu korral. Seet\u00f5ttu on saanud populaarseks \"kuldne kesktee\" \u2013 FPGA (eesti keeles PLIS) kasutamine. Just PLIS-idel on loodud nn kr\u00fcptoaktselerid \u2013 sisseehitatud v\u00f5i \u00fchendatavad spetsialiseeritud riistvaramoodulid kr\u00fcptograafiliste operatsioonide toetamiseks.<\/p>\n
Kuna teema puudutab v\u00f5rgu<\/b> kr\u00fcpteerimist, on loogiline, et lahenduste j\u00f5udlust tuleb m\u00f5\u00f5ta samade n\u00e4itajate alusel nagu teiste v\u00f5rgu seadmete puhul \u2013 l\u00e4bilaskev\u00f5ime, kaotsimineku protsent (frame loss) ja viivitus (latency). Need n\u00e4itajad on m\u00e4\u00e4ratletud RFC 1242-s. Muide, sellel RFC-l ei r\u00e4\u00e4gita sageli mainitud viivitusvariatsioonist (jitter). Kuidas neid n\u00e4itajaid m\u00f5\u00f5ta? Ma ei leidnud ametlikult v\u00f5i mitte ametlikult (nt RFC) heakskiidetud meetodit just v\u00f5rgu kr\u00fcpteerimise jaoks. Loogiliselt oleks kasutada v\u00f5rgu seadmete jaoks kehtestatud meetodit, mis on kindlalt fikseeritud RFC 2544-s. Paljud tootjad j\u00e4rgivad seda \u2013 paljud, aga mitte k\u00f5ik. N\u00e4iteks edastavad nad katsetrafikut ainult \u00fches suunas, mitte m\u00f5lemad, nagu soovitatakse<\/b> standardsel juhul. Aga olgu.<\/p>\n
V\u00f5rgu\u0161ifreerimise seadmete j\u00f5udluse m\u00f5\u00f5tmisel on siiski omad erip\u00e4rad. Esiteks on \u00f5ige teha k\u00f5ik m\u00f5\u00f5tmised kahele seadmele: kuigi \u0161ifreerimisalgoritmid on s\u00fcmmeetrilised, ei ole \u0161ifreerimise ja des\u0161ifreerimise korral viivitused ja pakettide kadumine tingimata v\u00f5rdsed. Teiseks on m\u00f5istlik m\u00f5\u00f5ta t\u00e4pselt delta, v\u00f5rgu\u0161ifreerimise m\u00f5ju l\u00f5ppj\u00f5udlusele, v\u00f5rreldes kahte konfiguratsiooni: ilma \u0161ifreerimis seadmeteta ja nendega. V\u00f5i, nagu h\u00fcbriidseadmete puhul, mis \u00fchendavad mitmeid funktsioone lisaks v\u00f5rgu\u0161ifreerimisele, v\u00e4lja l\u00fclitatud ja sisse l\u00fclitatud \u0161ifreerimise puhul. See m\u00f5ju v\u00f5ib olla erinev ja s\u00f5ltuda \u0161ifreerimisseadmete \u00fchendusskeemist, t\u00f6\u00f6re\u017eiimidest, l\u00f5puks ka liikluse iseloomust. Eriti s\u00f5ltuvad paljud j\u00f5udluse parameetrid pakettide pikkusest, mist\u00f5ttu v\u00f5rgu\u0161ifreerimise lahenduste j\u00f5udluse v\u00f5rdlemiseks kasutatakse sageli graafikuid nende parameetrite s\u00f5ltuvusest pakettide pikkusest v\u00f5i kasutatakse IMIX-i \u2013 liikluse jaotust paketi pikkuste j\u00e4rgi, mis peegeldab reaalsust. Kui v\u00f5tame v\u00f5rdluseks sama p\u00f5hikonfiguratsiooni ilma \u0161ifreerimiseta, saame v\u00f5rrelda erinevaid v\u00f5rgu\u0161ifreerimise lahendusi, mis on erinevalt rakendatud, s\u00fcvenemata nende erinevustesse: L2 ja L3, \u201esalvesta ja edasta\u201c (store-and-forward) ja l\u00f5pp-l\u00e4bip\u00e4\u00e4s (cut-through), spetsialiseeritud ja konvergentsed, GOST ja AES jne.<\/p>\n
J\u00f5udluse testimise \u00fchendusskeem<\/i><\/p>\n
Esimene omadus, millele t\u00e4helepanu p\u00f6\u00f6ratakse, on \u0161ifreerimis seadme \"kiirus\", see t\u00e4hendab l\u00e4bip\u00e4\u00e4s<\/b> (bandwidth) tema v\u00f5rgu liidesed, bitivoogude kiirus. See m\u00e4\u00e4ratakse v\u00f5rgu standardite j\u00e4rgi, mida liidesed toetavad. Etherneti puhul on tavalised numbrid 1 Gbit\/s ja 10 Gbit\/s. Kuid, nagu me teame, on igas v\u00f5rgus maksimaalne teoreetiline l\u00e4bip\u00e4\u00e4s<\/b> (l\u00e4bivool) igal selle tasemel on alati v\u00e4iksem kui ribalaius: osa ribalaiusest \"s\u00f6\u00f6b\" \u00e4ra kaadrivahelised intervallid, teenuspealkirjad jne. Kui seade on v\u00f5imeline vastu v\u00f5tma, t\u00f6\u00f6tlema (meie puhul kr\u00fcpteerima v\u00f5i dekr\u00fcpteerima) ja edastama liiklust t\u00e4ieliku v\u00f5rgu liidese kiirusel, see t\u00e4hendab maksimaalse teoreetilise l\u00e4bilaskev\u00f5imega antud taseme v\u00f5rgu mudelis, siis \u00f6eldakse, et see t\u00f6\u00f6tab liini kiirusel<\/b>. Selleks peab seade mitte kaotama ega viskama pakette, s\u00f5ltumata nende suurusest ja nende j\u00e4rjekorrast. Kui kr\u00fcpteerimisseade ei toeta liini kiirusel t\u00f6\u00f6tamist, siis tavaliselt n\u00e4idatakse selle maksimaalset l\u00e4bilaskev\u00f5imet samades gigabittides sekundis (m\u00f5nikord koos paketi pikkuse n\u00e4itamisega \u2013 mida l\u00fchemad paketid, seda enamasti madalam l\u00e4bilaskev\u00f5ime). On v\u00e4ga oluline m\u00f5ista, et maksimaalne l\u00e4bilaskev\u00f5ime on maksimaalne kaotusteta<\/b> (isegi kui seade v\u00f5ib \"edastada\" liiklust suurema kiirusena, kuid kaotades samal ajal osa pakette). Lisaks tuleb t\u00e4helepanu p\u00f6\u00f6rata sellele, et m\u00f5ned tootjad m\u00f5\u00f5davad kogul\u00e4bilaskev\u00f5imet k\u00f5igi portide paaride vahel, mist\u00f5ttu need numbrid \u00fctlevad v\u00e4he, kui kogu kr\u00fcpteeritud liiklus l\u00e4heb l\u00e4bi \u00fcheainsa porta.<\/p>\n
Kus on eriti oluline t\u00f6\u00f6tamine liini kiirusel (v\u00f5i, teisiti, ilma pakettide kaota? Suure l\u00e4bilaskev\u00f5ime ja suurte viivitustega kanalites (n\u00e4iteks satelliitides), kus k\u00f5rge edastuskiiruse s\u00e4ilitamiseks tuleb seada suur TCP akna suurus, ja kus pakettide kaotused v\u00e4hendavad v\u00f5rgu j\u00f5udlust j\u00e4rsult.<\/p>\n
Kuid mitte kogu l\u00e4bilaskev\u00f5ime ei kasutata kasuliku info edastamiseks. Tuleb arvestada nn \u00fclekandekuludega<\/b> (overhead) l\u00e4bilaskev\u00f5ime. See on osa seadme kr\u00fcpteerimise l\u00e4bilaskev\u00f5imest (protsentides v\u00f5i baitides paketi kohta), mis tegelikult kaob (ei saa kasutada rakenduste andmete edastamiseks). \u00dclekanded tekivad esiteks andmete suuruse suurenemise (t\u00e4iendused, 't\u00e4itmine') t\u00f5ttu kr\u00fcpteeritud v\u00f5rgu pakettides (s\u00f5ltub kr\u00fcpteerimise algoritmist ja selle t\u00f6\u00f6re\u017eiimist). Teiseks pakettide pealkirjade pikkuse suurenemise t\u00f5ttu (tunnelire\u017eiim, kr\u00fcpteerimisprotokolli teeninduse sisestamine, viga sissetoomine jne, s\u00f5ltuvalt protokollist ja kr\u00fcpteerimise t\u00f6\u00f6re\u017eiimist) \u2013 need \u00fclekanded on tavaliselt k\u00f5ige olulisemad ja nendele p\u00f6\u00f6ratakse t\u00e4helepanu k\u00f5igepealt. Kolmandaks, pakettide fragmenteerimise t\u00f5ttu, kui \u00fcletatakse maksimaalne andmeploki suurus (MTU) (kui v\u00f5rk suudab MTU \u00fcletava paketi kaheks jagada, dubleerides selle pealkirjad). Neljandaks, lisateenuse (kontrollimise) liikluse tekkimise t\u00f5ttu seadmete vahel kr\u00fcpteerimise (v\u00f5tme vahetamise, tunnelite seadistamise jne) vahel. Madalad \u00fclekanded on olulised seal, kus kanali l\u00e4bilaskev\u00f5ime on piiratud. See on eriti m\u00e4rgatav v\u00e4ikeste pakettide, n\u00e4iteks h\u00e4\u00e4letarviku liikluses \u2013 seal saavad \u00fclekanded \u201es\u00fc\u00fca\u201c rohkem kui poole kanali kiirusest!<\/p>\n
L\u00e4bivusv\u00f5ime<\/i><\/p>\n
L\u00f5puks on veel lisatud viivitus<\/b> \u2013 vahe (osa sekundist) v\u00f5rgu latentsuses (aeg andmete edastamiseks sisendist v\u00f5rku ja v\u00e4ljundist) andmete edastamisel ilma v\u00f5rgu kr\u00fcptimise ja selle abil. \u00dcldiselt, mida v\u00e4iksem on latentsus (\"latentsus\") v\u00f5rkus, seda kriitilisemaks muutub kr\u00fcpteerimisseadmete tekitatud viivitus. Viivitust tekitab kr\u00fcpteerimise operatsioon ise (mis s\u00f5ltub kr\u00fcpteerimisalgoritmist, ploki pikkusest ja kr\u00fcpteerimise t\u00f6\u00f6re\u017eiimist, samuti selle rakendamise kvaliteedist tarkvaras) ja v\u00f5rgu paketi t\u00f6\u00f6tlemine seadmes. Tekitatud viivitus s\u00f5ltub nii pakettide t\u00f6\u00f6tlemise re\u017eiimist (l\u00e4bip\u00e4\u00e4s v\u00f5i \"salvesta ja edasta\") kui ka platvormi j\u00f5udlusest (\"riistvaraline\" rakendamine FPGA-l v\u00f5i ASIC-il on tavaliselt kiirem kui \"tarkvaraline\" CPU-l). L2 kr\u00fcpteerimine eristub peaaegu alati v\u00e4iksemast viivitusest v\u00f5rreldes L3 v\u00f5i L4 kr\u00fcpteerimisega: L3\/L4 kr\u00fcpteerimise seadmed on sageli konvergentsed. N\u00e4iteks k\u00f5rgkiiruslikud Etherneti kr\u00fcpteerijad, mis on rakendatud FPGA-l ja kr\u00fcptivad L2 tasemel, on kr\u00fcpteerimise operatsioonist tingitud viivitus olematult v\u00e4ike \u2013 m\u00f5nikord, kui kr\u00fcptimine on sisse l\u00fclitatud kahe seadme vahel, v\u00f5ib nende koguv\u00f5imetus isegi v\u00e4heneda! V\u00e4ike latentsus on oluline seal, kus see on v\u00f5rreldav signaali levimisega seotud viivitustega, mis on ligikaudu 5 \u00b5s kilomeetri kohta. Seega v\u00f5ib \u00f6elda, et linna taseme v\u00f5rgu jaoks (k\u00fcmned kilomeetrid l\u00e4bim\u00f5\u00f5duga) v\u00f5ivad mikrosekundid palju m\u00e4\u00e4rata. N\u00e4iteks andmebaaside s\u00fcnkroonseks replikatsiooniks, k\u00f5rge sagedusega kauplemiseks, sama blokiahela jaoks.<\/p>\n
Tekitatud viivitus<\/i><\/p>\nSkaleeritavus<\/h4>\n
\nSuured jaotatud v\u00f5rgud v\u00f5ivad sisaldada tuhandeid s\u00f5lmi ja v\u00f5rguseadmeid, sadu kohalikku v\u00f5rku. Oluline on, et kr\u00fcpteerimislahendused ei paneks mingeid t\u00e4iendavaid piiranguid jaotatud v\u00f5rgu suurusele ja topoloogiale. See kehtib eelk\u00f5ige s\u00f5lmede ja v\u00f5rkude maksimaalse arvu kohta. Selliste piirangutega v\u00f5idakse silmitsi seista n\u00e4iteks kr\u00fcpteeritud v\u00f5rgu mitme punkti topoloogia rakendamisel (iseseisvate turvaliste \u00fchenduste v\u00f5i tunnelite kaudu) v\u00f5i valikuline kr\u00fcpteerimine (nt protokolli numbri v\u00f5i VLAN'i alusel). Kui v\u00f5rgu aadresse (MAC, IP, VLAN ID) kasutatakse tabeli v\u00f5tmetena, mille ridade arv on piiratud, siis tulevad need piirangud esile.<\/p>\n
Lisaks on suurtes v\u00f5rkudes sageli mitu struktuuri taset, sealhulgas selgroov\u00f5rk, milles igal tasemel on oma aadressimise skeem ja routing-poliitika. Sellise l\u00e4henemise rakendamiseks kasutatakse sageli spetsiaalseid raami formaate (nt Q-in-Q v\u00f5i MAC-in-MAC) ja marsruutimisprotokolle. Et selliste v\u00f5rkude loomist mitte takistada, peavad kr\u00fcpteerimisseadmed \u00f5igesti k\u00e4sitlema selliseid raame (st selle m\u00f5ttes t\u00e4hendab skaleeritavus \u00fchilduvust \u2013 sellest r\u00e4\u00e4gitakse allpool).<\/p>\n
Paindlikkus<\/h4>\n \nSiin on juttu erinevate konfiguratsioonide, \u00fchendusskeemide, topoloogiate jms toetamisest. N\u00e4iteks genereeritud Etherneti p\u00f5hinevate kommutatsiooniv\u00f5rkude korral t\u00e4hendab see erinevate virtuaalsete \u00fchenduste (E-Line, E-LAN, E-Tree), erinevate teenuset\u00fc\u00fcpide (nii portide kui ka VLAN'i kaupa) ja erinevate transporditehnoloogiate toetamist (need on eelnevalt \u00fcles loetud). See t\u00e4hendab, et seade peab suutma t\u00f6\u00f6tada nii lineaarses (\"punkt-punkt\") kui ka mitme punktilises re\u017eiimis, looma erinevatele VLAN-idele eraldi tunnelid ning lubama pakettide juhuslikku saatmist kaitstud kanalis. Erinevate \u0161ifreerimisre\u017eiimide (sealhulgas sisu autentimisega v\u00f5i ilma) ja erinevate pakettide edastamise re\u017eiimide valimise v\u00f5imalus v\u00f5imaldab tagada tasakaalu vastupidavuse ja j\u00f5udluse vahel s\u00f5ltuvalt hetkeoludest.<\/p>\n
Samuti on oluline toetada nii erasektori v\u00f5rgustikke, mille seadmed kuuluvad (v\u00f5i on \u00fc\u00fcritud) \u00fchele organisatsioonile, kui ka operaatoriv\u00f5rke, mille erinevad segmendid on erinevate ettev\u00f5tete halduses. Hea oleks, kui lahendus lubaks haldamist nii enda j\u00f5ududega kui ka kolmanda osapoole organisatsiooni kaudu (haldamise teenuse mudel). Operaatoriv\u00f5rkudes on oluline veel \u00fcks funktsioon \u2013 mitme kasutaja toetamine (erinevate klientide \u00fchiseks kasutamiseks) kr\u00fcptograafilise isoleerimise n\u00e4ol, kus iga\u00fche (tellija) liiklus kulgeb sama kr\u00fcpteerimisseadmestiku kaudu. See n\u00f5uab reeglina iga kliendi jaoks eraldi v\u00f5tme- ja sertifikaatide komplekte.<\/p>\n
Kui seade ostetakse m\u00f5ne konkreetse stsenaariumi jaoks, ei pruugi k\u00f5ik need v\u00f5imalused olla \u00fcliolulised \u2013 tuleb vaid veenduda, et seade toetab seda, mis on hetkel vajalik. Kuid kui lahendus ostetakse 'kasvamiseks', et toetada ka tulevasi stsenaariume, ja valitakse 'ettev\u00f5tte standardina', siis paindlikkus ei tee paha \u2013 eriti arvestades erinevate tootjate seadmete vaheliste koostalitlusv\u00f5ime piiranguid (sellest allpool).<\/p>\n
Lihtsus ja mugavus<\/h4>\n \nTeenindusmugavus on samuti mitme teguri koosm\u00f5ju. Umbes v\u00f5ib \u00f6elda, et see on spetsialistide teatud kvalifikatsiooniga toetamiseks vajalik ajakulu, mis on vajalik lahenduse hooldamiseks selle eluts\u00fckli erinevatel etappidel. Kui kulutusi pole ja paigaldus, seadistamine, kasutamine on t\u00e4ielikult automatiseeritud, siis kulud on null ja mugavus absoluutne. Loomulikult ei esine sellist olukorda reaalses maailmas. M\u00f5istlik l\u00e4henemine on mudel \u201es\u00f5lm juhtmes\u201c<\/b> (bump-in-the-wire), v\u00f5i l\u00e4bipaistev \u00fchendus, kus kr\u00fcpteerimise seadmete lisamine ja eemaldamine ei n\u00f5ua v\u00f5rgu konfiguratsiooni k\u00e4sitsi ega automaatselt muutmist. See lihtsustab lahenduse haldamist: saate rahulikult sisse ja v\u00e4lja l\u00fclitada kr\u00fcpteerimise funktsiooni ning vajadusel lihtsalt \u201e\u00fcmbersuunata\u201c seade v\u00f5rgu kaabliga (see t\u00e4hendab, et \u00fchendate otse need portid, millega seade oli \u00fchendatud). T\u00f5si, on ka \u00fcks puudus \u2013 sama saab teha ka pahatahtlik. Tava \u201epjuura-pii\u201c rakendamiseks tuleb arvesse v\u00f5tta mitte ainult andmekihti<\/b>, vaid ka kontrolli ja halduse kihte<\/b> \u2013 seadmed peavad olema nende jaoks l\u00e4bipaistvad. Seet\u00f5ttu saab sellist liiklust kr\u00fcpteerida ainult siis, kui kr\u00fcpteerimise seadmete vahel ei ole v\u00f5rku andmete vastuv\u00f5tjaid, kuna selle eiramine v\u00f5i kr\u00fcpteerimine v\u00f5ib kr\u00fcpteerimise sisse- ja v\u00e4ljal\u00fclitamisel v\u00f5rgu konfiguratsiooni muuta. Kr\u00fcpteerimise seade v\u00f5ib olla l\u00e4bipaistev ka f\u00fc\u00fcsilise tasandi signaalide jaoks. Eelk\u00f5ige signaali kadumise korral peab see edastama selle kadumise (st oma saatjate v\u00e4ljal\u00fclitamise) edasi ja tagasi (\u201eenda\u201c kaudu) signaali suunas.<\/p>\n
Oluline on ka \u00f5iguste jaotamine organisatsiooni IT ja IS osakondade vahel, eriti v\u00f5rgu osakonna. Kr\u00fcpteerimise lahendus peab toetama organisatsioonis kehtestatud juurdep\u00e4\u00e4su ja auditi haldamise mudelit. Erinevate osakondade vahelise suhtluse vajadus rutiinsete toimingute t\u00e4itmiseks peab olema minimaalne. Seet\u00f5ttu on eelisel v\u00e4\u00e4rtust, et spetsiaalsed seadmed toetavad ainult kr\u00fcpteerimise funktsioone ja on maksimaalselt l\u00e4bipaistvad v\u00f5rgu toimingutele. Lihtsalt \u00f6eldes, IS osakonna t\u00f6\u00f6tajatel ei peaks olema p\u00f5hjust p\u00f6\u00f6rduda v\u00f5rguin\u017ein\u00f6\u00f6ride poole v\u00f5rgu seadete muutmiseks. Ja neil ei peaks olema vajadust kr\u00fcpteerimise seadete muutmiseks v\u00f5rgu teenindamise ajal.<\/p>\n
Veel teine tegur on haldust\u00f6\u00f6riistade v\u00f5imalused ja mugavus. Need peavad olema selged, loogilised, v\u00f5imaldama seadete importimist ja eksportimist, automatiseerimist jne. Tuleb kohe j\u00e4lgida, millised haldusvalikud on saadaval (tavaliselt on see kohandatud halduskeskkond, veebiliidese ja k\u00e4surea vahel) ja millised funktsioonide komplektid nendega kaasnevad (seal v\u00f5ivad esineda piirangud). Oluline funktsioon on tugi v\u00e4ljaspool ribasid<\/b> (out-of-band) haldamine, st l\u00e4bi eraldi haldamise v\u00f5rgu, ja sisemised ribad<\/b> (in-band) haldamine, st l\u00e4bi \u00fchise v\u00f5rgu, mille kaudu edastatakse kasulikku liiklust. Haldust\u00f6\u00f6riistad peavad m\u00e4rku andma k\u00f5igist erakorralistest olukordadest, sealhulgas k\u00fcberturbeintsidentidest. Rutiinsed, korduvad toimingud peaksid olema automaatsed. Eelk\u00f5ige kehtib see v\u00f5tmete haldamise kohta. Need peavad automaatselt genereerima ja jagama. PKI tugi on suur pluss.<\/p>\n\u00dchilduvus<\/h4>\n
\nT\u00e4psemalt \u00f6eldes seadme \u00fchilduvus v\u00f5rgustandarditega. Selle all peetakse silmas mitte ainult t\u00f6\u00f6stusstandardeid, mille on kehtestanud autoriteetsed organisatsioonid nagu IEEE, vaid ka kaubanduse juhtide firmasid nagu Cisco. \u00dchilduvuse tagamiseks on kaks p\u00f5hilist viisi: kas l\u00e4bi l\u00e4bipaistvuse<\/b>, v\u00f5i l\u00e4bi selge toe<\/b> protokollide osas (kui kr\u00fcptimisseade muutub teatud protokolli \u00fcheks v\u00f5rgus\u00f5lmeks ja t\u00f6\u00f6tleb selle protokolli juhtimisliikuvaid andmeid). Kontrollprotokollide rakendamise t\u00e4psus ja \u00f5igsus m\u00f5jutab \u00fchilduvust v\u00f5rkudega. Oluline on to support erinevaid PHY taseme variante (kiirus, edastusmeedia, kodeerimisskeemid), erinevate formaadiga Etherneti kaadreid igasuguste MTU-de jaoks, erinevaid L3 teenindusprotokolle (eelk\u00f5ige TCP\/IP perekonnast).<\/p>\n
L\u00e4bipaistvust tagatakse mutatsiooni mehhanismide, avatud pealdise sisule ajutise muutmise kaudu andmete edastamisel kr\u00fcptimate vahel, l\u00e4bit\u00f6\u00f6tlemise kaudu (kui \u00fcksikud paketid j\u00e4\u00e4vad kr\u00fcpteerimata) ja kr\u00fcpteerimise alguse viivitusest (kui tavaliselt kr\u00fcpteeritavad v\u00e4ljad ei ole kr\u00fcpteeritud).<\/p>\n
Kuidas tagatakse l\u00e4bipaistvus<\/i><\/p>\n
Seet\u00f5ttu selgitage alati, kuidas konkreetselt toetatakse teatud protokolli. Sageli on toetamine l\u00e4bipaistvas re\u017eiimis mugavam ja usaldusv\u00e4\u00e4rsem.<\/p>\n
\u00dchenduvus<\/h4>\n \nSee on ka \u00fchilduvus, kuid teisel moel, nimelt v\u00f5imalus t\u00f6\u00f6tada koos teiste kr\u00fcpteerimise seadmete mudelitega, sealhulgas teiste tootjate poolt. Siin s\u00f5ltub palju kr\u00fcpteerimisprotokollide standardimise seisundist. L1-l pole lihtsalt aktsepteeritud kr\u00fcpteerimise standardeid.<\/p>\n
Etherneti L2 kr\u00fcpteerimiseks on standard 802.1ae (MACsec), kuid see kasutab mitte otsest<\/b> (end-to-end), vaid portide vahel<\/b>, \"h\u00fcppe\" (hop-by-hop) kr\u00fcpteerimist ja oma algses redaktsioonis ei sobi see kasutamiseks jaotatud v\u00f5rkudes, seet\u00f5ttu on ilmunud selle kaubanduslikud laiendused, mis \u00fcletavad selle piirangu (loomulikult teiste tootjate seadmete \u00fchilduvuse arvelt). T\u00f5si, 2018. aastal lisati standardisse 802.1ae jaotatud v\u00f5rkude tugi, kuid GROST kr\u00fcpteerimisalgoritmide toetust ei ole endiselt. Seet\u00f5ttu erinevadL2 kaubanduslikud, mitte-standardsetele kr\u00fcpteerimisprotokollid tavaliselt suurema efektiivsuse (eriti v\u00e4iksemate ribalaiuse kulude) ja paindlikkuse (kr\u00fcpteerimisalgoritmide ja -re\u017eiimide vahetamise v\u00f5imaluse) poolest.<\/p>\n
K\u00f5rgematel tasanditel (L3 ja L4) on tuntud standardid, eelk\u00f5ige IPsec ja TLS, nii et siingi ei ole k\u00f5ik nii lihtne. Asjalood on nimelt sellised, et iga neist standarditest on protokollide kogum, millel on erinevad versioonid ja kohustuslikud v\u00f5i vabatahtlikud laiendused. Lisaks eelistavad m\u00f5ned tootjad rakendada oma kaubanduslikke kr\u00fcpteerimisprotokolle ka L3\/L4. Seet\u00f5ttu ei tasu enamasti t\u00e4ieliku \u00fchilduvuse peale lootma j\u00e4\u00e4da, kuid oluline on, et tagatakse v\u00e4hemalt koost\u00f6\u00f6 erinevate mudelite ja sama tootja erinevate p\u00f5lvkondade vahel.<\/p>\n
Usaldusv\u00e4\u00e4rsus<\/h4>\n \nErinevate lahenduste v\u00f5rdlemiseks v\u00f5ib kasutada kas keskmist aegumist riketeni v\u00f5i t\u00f6\u00f6valmiduse koefitsienti. Kui neid numbreid ei ole (v\u00f5i neile ei usaldata), on v\u00f5imalik teha kvalitatiivne v\u00f5rdlus. Eelis on seadmetel, mille juhtimine on mugav (v\u00e4hem vigu seadistamisel), spetsialiseeritud kr\u00fcpteerijatel (sama p\u00f5hjusel), samuti lahendustel, millel on minimaalne rikke avastamise ja k\u00f5rvaldamise aeg, sealhulgas \u201ekuuma\u201d varundamise meetoditega t\u00e4ielike s\u00f5lmede ja seadmete osas.<\/p>\n
Hind<\/h4>\n \nMis osas hindad, on m\u00f5istlik v\u00f5rrelda kogu omamishinda, nagu enamike IT-lahenduste puhul. Selle arvutamiseks ei pea jalgratast leiutama, vaid saab kasutada m\u00f5nda sobivat metoodikat (n\u00e4iteks Gartnerilt) ning mistahes kalkulaatorit (n\u00e4iteks seda, mida organisatsioon juba kasutab TCO arvutamiseks). Selge on, et v\u00f5rgu kr\u00fcpteerimise lahenduse puhul koosneb kogu omamishind otsestest<\/b> kuludest lahenduse ostmiseks v\u00f5i rentimiseks, infrastruktuuri jaoks, kus seadmed paiknevad, ning kuludest rakendamiseks, haldamiseks ja hooldamiseks (olgu need siis oma t\u00f6\u00f6tajate poolt v\u00f5i kolmandate osapoolte teenusena), samuti kaudsetest<\/b> kuludest, mis tulenevad lahenduse seiskamisest (mille p\u00f5hjustab l\u00f5ppkasutajate tootlikkuse kadu). Ilmselt on ainult \u00fcks n\u00fcanss. Lahenduse efektiivsust saab arvestada mitmeti: kas kaudsete kuludena, mis tulenevad tootlikkuse langusest, v\u00f5i kui \u201evirtuaalsed\u201c otsesed kulud seadmete ostmiseks\/uuendamiseks ja hooldamiseks, et kompenseerida v\u00f5rgu efektiivsuse langust kr\u00fcpteerimise rakendamisel. Igatahes, kulud, mille t\u00e4pset arvutamist on keeruline, on parem \u201ev\u00e4lja j\u00e4tta\u201c arvutamisest: nii on l\u00f5plik summasse usaldusv\u00e4\u00e4rsem. Ja nagu alati, on m\u00f5istlik v\u00f5rrelda erinevaid seadmeid TCO osas konkreetse kasutusstsenaariumi, olgu see reaalne v\u00f5i t\u00fc\u00fcpiline, jaoks.<\/p>\nVastupidavus<\/h4>\n
\nViimaseks omaduseks on lahenduse vastupidavus. Enamikul juhtudel saab vastupidavust hinnata vaid kvalitatiivselt, v\u00f5rreldes erinevaid lahendusi omavahel. Peame meeles pidama, et kr\u00fcpteerimisseadmed on mitte ainult vahend, vaid ka kaitseobjekt. Need v\u00f5ivad olla erinevate ohtude allikaks. K\u00f5ige enam murettekitavad on privaatsuse rikkumise, s\u00f5numite kordamise ja muutmise ohud. Need ohud v\u00f5ivad realiseeruda kr\u00fcptodefektide v\u00f5i nende re\u017eiimide haavatavuste kaudu, samuti kr\u00fcpteerimisprotokollide haavatavuste kaudu (sealhulgas \u00fchenduse loomise ja v\u00f5tmete genereerimise\/jagamise etappidel). Eelis on neil lahendustel, mis v\u00f5imaldavad kr\u00fcpteerimisalgoritmi vahetamist v\u00f5i kr\u00fcpteerimisre\u017eiimi vahetamist (kasv\u00f5i tarkvara uuendamise kaudu), lahendustel, mis tagavad maksimumi ulatuses kr\u00fcpteerimise, peites kurjategijate eest mitte ainult kasutajate andmeid, vaid ka aadressi- ja muud teenuslikku teavet, samuti lahendustel, mis mitte ainult ei kr\u00fcpteeri, vaid kaitsevad s\u00f5numeid kordamise ja muutmise eest. K\u00f5igi kaasaegsete kr\u00fcpteerimisalgoritmide, digitaalse allkirja, v\u00f5tme genereerimise ja muu, mis on standardites kindlaks m\u00e4\u00e4ratud, puhul v\u00f5ib vastupidavust pidada \u00fchesuguseks (vastasel juhul v\u00f5ib lihtsalt kaduma minna kr\u00fcptograafia junglis). Kas need peavad tingimata olema GOSTi algoritmid? Siin on k\u00f5ik lihtne: kui rakendusskeem n\u00f5uab FSB sertifitseerimist SKZI jaoks (ja Venemaal on see enamasti nii) enamiku v\u00f5rgu kr\u00fcpteerimise stsenaariumide puhul, siis valime ainult sertifitseeritud s\u00fcsteemide vahel. Kui ei \u2014 siis pole m\u00f5tet vaadata sertifitseerimata seadmeid.<\/p>\n
Teine oht \u2014 sissetungi oht, volitamata juurdep\u00e4\u00e4s seadmetele (sealhulgas f\u00fc\u00fcsilise juurdep\u00e4\u00e4su kaudu seest ja v\u00e4ljast). Oht v\u00f5ib realiseeruda l\u00e4bi
L\u00f5puks, veel \u00fcks ohtude t\u00fc\u00fcp - need on vead seadistamisel ja kasutamisel, inimfaktor puhtal kujul. Siin avaldub veel \u00fcks eelis spetsialiseeritud kr\u00fcptorite ees konvergentslahenduste ees, mis sageli on suunatud kogenud \"v\u00f5rguprofessionaalidele\" ja v\u00f5ivad tekitada raskusi \"tavalisemaid\", laiaprofiilseid IT-spetsialiste.<\/p>\n
Kokkuv\u00f5tteks<\/h4>\n \nP\u00f5him\u00f5tteliselt v\u00f5iks siin ettepanek teha mingi integreeritud n\u00e4itaja erinevate seadmete v\u00f5rdlemiseks, midagi sellist nagu<\/p>\n
$$display$$K_j=\u2211p_i r_{ij}$$display$$<\/p>\n
\nkus p - n\u00e4itaja kaal ja r - seadme j\u00e4rjekord selle n\u00e4itaja j\u00e4rgi, samas v\u00f5ib iga \u00fclalkirjeldatud omaduse jagada \"aatomaarseteks\" n\u00e4itajateks. Selline valem v\u00f5iks olla kasulik, n\u00e4iteks pakkumiste v\u00f5rdlemisel eelnevalt koosk\u00f5lastatud reeglite alusel. Kuid saab hakkama ka lihtsa tabeliga nagu<\/p>\n
Omadus
L\u00e4bivusv\u00f5ime
+++<\/p>\n
\u00dclekandekulud
+++<\/p>\n
Viivitus
++<\/p>\n
Skaleeritavus
+++<\/p>\n
Paindlikkus
+<\/p>\n
\u00dchenduvus
+<\/p>\n
\u00dchilduvus
+++<\/p>\n
Lihtsus ja mugavus
++<\/p>\n
Talitluskatkestustunne
++<\/p>\n
Hind
+<\/p>\n
Vastupidavus
+++<\/p>\n
\nOlen valmis vastama k\u00fcsimustele ja konstruktiivsetele kriitilistele m\u00e4rkustele.habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u042d\u0442\u043e\u0442 \u043e\u0431\u0437\u043e\u0440 (\u0438\u043b\u0438, \u0435\u0441\u043b\u0438 \u0445\u043e\u0442\u0438\u0442\u0435, \u0440\u0443\u043a\u043e\u0432\u043e\u0434\u0441\u0442\u0432\u043e \u0434\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f) \u044f \u043d\u0430\u043f\u0438\u0441\u0430\u043b, \u043a\u043e\u0433\u0434\u0430 \u043c\u043d\u0435 \u043f\u043e\u0440\u0443\u0447\u0438\u043b\u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432 \u0440\u0430\u0437\u043d\u044b\u0445 \u0432\u0435\u043d\u0434\u043e\u0440\u043e\u0432. \u041a \u0442\u043e\u043c\u0443 \u0436\u0435 \u044d\u0442\u0438 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043f\u0440\u0438\u043d\u0430\u0434\u043b\u0435\u0436\u0430\u043b\u0438 \u043a \u0440\u0430\u0437\u043d\u044b\u043c \u043a\u043b\u0430\u0441\u0441\u0430\u043c. \u041f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0442\u044c\u0441\u044f \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u0438 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u0438\u0441\u0442\u0438\u043a\u0430\u0445 \u0432\u0441\u0435\u0445 \u044d\u0442\u0438\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432 \u0438 \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u00ab\u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u043a\u043e\u043e\u0440\u0434\u0438\u043d\u0430\u0442\u00bb \u0434\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f. \u042f \u0431\u0443\u0434\u0443 \u0440\u0430\u0434, \u0435\u0441\u043b\u0438 \u043c\u043e\u0439 \u043e\u0431\u0437\u043e\u0440 \u043f\u043e\u043c\u043e\u0436\u0435\u0442 \u043a\u043e\u043c\u0443-\u0442\u043e: \u0420\u0430\u0437\u043e\u0431\u0440\u0430\u0442\u044c\u0441\u044f \u0432 \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-52834","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t