Chương 1 TỔNG QUAN VỀ CÁC KIẾN TRÚC QUẢN TRỊ MẠNG 1. Giới thiệu Quản trị mạng là việc sử dụng các công cụ và thiết bị khác nhau để giám sát và duy trì hoạt động mạng. Sau giai đoạn thiết kế và triển khai mạng ban đầu, nhiệm vụ quản trị mạng đƣợc tập trung chủ yếu vào việc đảm bảo vận hành mạng ổn định hàng ngày và chuẩn bị cho việc hoạch định phát triển mạng tiếp theo. Khi độ phức tạp của mạng tăng lên (có các kết nối LAN, WAN với các mạng từ xa, có sử dụng pha tạp nhiều loại giao thức khác nhau), nếu thiếu một cơ quan quản trị vận hành mạng bài bản sẽ rất khó khăn trong việc phát hiện và sử lý kịp thời sự cố cũng nhƣ việc đảm bảo an ninh mạng và việc thực hiện một cách trơn tru về nâng cấp, mở rộng mạng về sau.
Nhiệm vụ quản trị vận hành mạng chia thành 5 nhóm chức năng gồm: quản trị tài nguyên mạng, quản trị hiệu suất, quản trị kế toán, quản trị lỗi và quản trị an ninh mạng. * Quản trị tài nguyên mạng Mục đích của quản trị tài nguyên mạng nhằm: - Hiểu rõ cấu hình mạng - Quản lý địa chỉ, tên, thông tin và phần mềm - Chuẩn bị cấu hình lại hệ thống và khắc phục sự cố Các hạng mục cần thiết cho quản trị tài nguyên là quản trị cấu hình, quản trị địa chỉ/ tên, quản trị phần mềm và quản trị các máy phụ vụ. + Quản trị cấu hình: Mục đích chính của quản trị cấu hình là theo dõi cấu hình toàn mạng, trạng thái kết nối các thiết bị cấu thành của mạng và sự thay đổi của chúng. Công việc quản trị cấu hình đƣợc cấu trúc hoá theo sơ đồ phân cấp.
+ Quản trị tên/địa chỉ: Địa chỉ (MAC và IP) của các hệ thống đầu - cuối và thiết bị kết nối mạng cần đƣợc quản lý một cách có hệ thống để tránh trùng lặp gây nên lỗi mạng. Địa chỉ MAC có loại toàn cầu (đã đƣợc xác định duy nhất) và loại do ngƣời dùng tự đặt. Điạ chỉ IP (32 bit gồm địa chỉ mạng và các địa chỉ trạm) cần đƣợc gán cho mỗi hệ thống đầu - cuối hay thiết bị kết nối mạng có sử dụng giao thức TCP/IP. Nên áp dụng địa chỉ toàn cầu (do nhà cung cấp dịch vụ mạng cấp cho) khi mạng có sự kết nối ra bên ngoài.
Số hóa bởi Trung tâm Học liệu – Đại học Thái Nguyên http://www.vn 3 Khi thiết kế điạ chỉ IP trƣớc tiên phải xác định các địa chỉ mạng (đƣợc kết nối bởi router) sao cho chúng là duy nhất; Sau đó gán địa chỉ các trạm trong từng mạng sao cho chúng là duy nhất trong mạng đó. Có thể nghiên cứu sử dụng Subnetnumber (một vài bit thuộc phần địa chỉ trạm) để mở rộng một địa chỉ mạng đơn lẻ thành hai địa chỉ mạng hay nhiều hơn. Khi sử dụng Subnetnumber thì tất cả các trạm và router nối vào mạng cấp dƣới đó nhất thiết phải biết về số lƣợng trong từng điạ chỉ IP. Việc này đƣợc sử dụng mạng cấp dƣới (Subnetmask) 32 bit, có các bit 1 ứng với địa chỉ mạng và các bit 0 ứng với các địa chỉ trạm.
+ Quản trị phần mềm: Quản trị phần mềm liên quan đến hai việc là đăng ký địa chỉ cổng (port number) cho các phần mềm ứng dụng và phân phối phần mềm trên mạng. Trong môi trƣờng làm việc mạng, để có thể giao tiếp với các ứng dụng mạng (theo thiết kế là để chạy trên tất cả các trạm đầu - cuối) cần phải gán cho chúng một địa chỉ cổng duy nhất. Một số địa chỉ mặc định đã đƣợc sử dụng cho các dịch vụ chuẩn nhƣ FPT=21, Telnet = 23, SMTP = 25 v.v… Khi ngƣời dùng đƣa ứng dụng của mình vào làm việc trên mạng thì phải tránh những những địa chỉ đó và nên đăng ký với ngƣời quản trị để tránh sự trùng lặp về sau với các ứng dụng khác. Việc thứ hai là cần quản lý các phần mềm đƣợc cài đặt trên các hệ thống đầu - cuối.
Phải xác định rõ phần mềm nào (và phiên bản của nó) đã đƣợc phân phối đến các hệ thống đầu cuối nào; Đảm bảo việc phân phối và cài đặt phần mềm tại các hệ thống đầu cuối đƣợc thực hiện đúng và để cho ngƣời sử dụng chọn bất kỳ phần mềm nào có thể cài đặt đƣợc. + Quản trị máy phục vụ: Bao gồm quản trị cấu hình các máy phục vụ chính trên mạng (tệp, Cơ sở dữ liệu, in mạng, thƣ điện tử), công việc này phải kiểm tra thƣờng xuyên và đảm bảo duy trì sự ổn định. - Máy phục vụ tệp: Phải đảm bảo đủ dung lƣợng đĩa trống, xoá các file không đƣợc truy cập sau một khoảng thời gian nhất định; Nhận diện những ngƣời dùng file, thực hiện sao lƣu/phục hồi dữ liệu định kỳ và theo dõi số lƣợng ngƣời đăng nhập (logged in). - Máy phục vụ cơ sở dữ liệu: Nên chuẩn bị một máy dành riêng, để theo dõi số lƣợng ngƣời đăng nhập.
- Máy phục vụ in mạng: Thực hiện xếp hàng đợi in với spooter (ghi tạm vào bộ nhớ hay đĩa, thực hiện in nên dần dần); Kiểm soát hệ thống giấy và kiểu giấy; Giám sát không gian trống trên đĩa khi có hàng đợi in. Số hóa bởi Trung tâm Học liệu – Đại học Thái Nguyên http://www.vn 4 - Máy phục vụ thƣ điện tử: Lƣu sổ các thƣ gửi và nhận một cách hệ thống cũng nhƣ kiểm soát thƣ chuyển đến từng cá nhân ngƣời dùng. Để tránh xảy ra nghẽn đƣờng truyền và bão hoà tải cần phải đánh giá về khả năng (số lƣợng ngƣời dùng) tối đa với từng loại máy phục vụ có thể đáp ứng đƣợc. + Quản trị lỗi: Mục tiêu chính của quản trị lỗi là phát hiện, cô lập và khắc phục lỗi trên mạng một cách kịp thời.
Lỗi trên mạng cần đƣợc phát hiện sớm nhất, có thể bằng cách sử dụng công cụ quản trị mạng LAN và kiểm tra định kỳ (thời gian thực) các lỗi trên mạng hoặc do ngƣời sử dụng mạng thông báo (khi gặp sự cố). Ngƣời quản trị mạng cần lập báo cáo sự cố bằng cách ghi lại những điểm chính về nguyên nhân, các biện pháp xử lý và kết quả. * Quản trị hiệu suất mạng Mục tiêu của quản trị hiệu suất là kiểm tra xem những tiêu chí về hiệu suất mạng ban đầu có thoả mãn không và thực hiện các biện pháp phòng ngừa để giữ cho hiệu suất mạng không suy giảm. Công việc quản trị hiệu suất gồm các bƣớc sau: 1.
Lên danh sách các thông số đánh giá hiệu suất mạng. Xác định khoảng thời gian định kỳ thu thập số liệu. Thu thập các số đo về hiệu suất mạng. Xử lý thống kê theo số liệu đo đƣợc.
Phân tích kết quả xử lý thống kê (Tốt -> bƣớc 3; Kém -> bƣớc 6). Các biện pháp cải thiện hiệu suất mạng. * Quản trị an ninh mạng Mục tiêu của quản trị an ninh mạng là loại trừ mọi sự thâm nhập trái phép vào tài nguyên mạng và phá hoại mạng. Công việc này đƣợc bắt đầu bằng việc xây dựng một chính sách đảm bảo an ninh mạng cho toàn cơ quan và hệ thống, đảm bảo việc triển khai thực hiện.
Tiếp đó là việc hàng ngày ngăn chặn mọi hành vi xâm nhập trái phép và chu trình cập nhật định kỳ các thông tin về an ninh mạng. Phát triển một chiến lƣợc an toàn là chiến lƣợc không đƣợc dựa trên sản phẩm hay công nghệ hiện tại hoặc tƣơng lai. Chiến lƣợc này phải đƣợc dựa trên nhu cầu chức năng và những hiểm hoạ đe dọa tổ chức. Phần khó khăn nhất trong phần phát triển chiến lƣợc an toàn là việc cần xác định xem phải đảm bảo an toàn cho cái gì, và ngăn ngừa ai.
An toàn có giá của nó, mỗi lần nâng cấp an toàn phải trả giá về độ phức tạp khi truy cập, mất thêm thời gian và hạn chế khả năng truyền thông. Số hóa bởi Trung tâm Học liệu – Đại học Thái Nguyên http://www.vn 5 Trƣớc khi phát triển một chiến lƣợc thì điều quan trọng là phải hiểu biết khái niệm về hiểm họa; Khi nói về hiểm họa đối với sự an toàn thì phải xác định hiểm họa gồm cả số liệu khách quan và nhận thức chủ quan dựa trên tâm lý cá nhân. Nội dung chủ yếu trong quản trị an ninh mạng là việc xác thực ngƣời dùng và kiểm soát truy nhập, mã hoá dữ liệu, kiểm soát truy cập router, bức tƣờng lửa và quản lý truy cập từ xa. - Xác thực ngƣời dùng và kiểm soát truy cập: Việc xác thực ngƣời dùng và kiểm soát truy cập vào các tài nguyên mạng là cần thiết.
Thông thƣờng quá trình đăng nhập mạng là việc thực hiện xác nhận ngƣời dùng bằng cách kiểm tra tên (userID) và mật khẩu theo một cơ sở dữ liệu ngƣời đã đƣợc thiết lập từ trƣớc và luôn đƣợc cập nhật. Việc kiểm soát truy cập giới hạn phạm vi và quyền truy cập tài nguyên mạng đƣợc triển khai cho những ngƣời dùng đã đƣợc quyền vào mạng. - Mã hoá dữ liệu: Khoá mã là nội dung quan trọng nhất cho sự an toàn của mạng. Ngoài sự bảo vệ thông tin đang truyền tải nó còn những công dụng khác nữa, đó là đảm bảo sự toàn vẹn của nội dung thông tin trong tài liệu hay hợp đồng hợp pháp khác khi hai bên đã đi đến thoả thuận.
Hiện nay có một vài kiểu khoá mã dùng những phần cứng đặc biệt, nhƣng cũng có khi chỉ hoàn toàn là phần mềm. Cũng có thể khoá mã bằng cách dùng công thức toán để xáo trộn thông tin. Cũng có ngƣời sử dụng công thức cung cấp một chìa khoá (1 từ hoặc 1 chuỗi ký tự) bằng công thức đã dùng để tạo ra khoá mã duy nhất. Ngày nay có hai loại khoá.
Loại thứ nhất gọi là khoá đối xứng, nghĩa là cùng một chuỗi ký tự vừa dùng để mã hoá thông tin lại vừa để hoàn nguyên thông tin về dạng bình thƣờng. Loại thứ hai gọi là khoá không đối xứng vì chuỗi ký tự dùng để mã hoá thông tin thì không có khả năng hoàn nguyên nó về dạng bình thƣờng; Phải dùng một chuỗi ký tự khác để giải mã thông tin. Số ký tự trong một khoá là một yếu tố để xác định độ khó trong việc đoán ra khoá và giải mã thông tin. Đối với các khoá không đối xứng có vài cách sử dụng rất thực dụng, chẳng hạn một trong hai chìa khoá có thể đƣa ra công cộng, còn chìa khoá kia thì giữ riêng.