Мрежова диагностика.

Ако възникне ситуация, при която възникнат неочаквани грешки или повреди във вашата мрежова връзка, можете да ги отстраните с помощта на диагностика на връзката. Инструментът за диагностика може да бъде намерен в прозореца Мрежови връзки.

Изберете прозореца " Отстраняване на неизправности“, който, анализирайки състоянието на връзката, предлага избор от възможни неизправности и методи за отстраняване на неизправности. За да започнете диагностика, трябва да щракнете с десния бутон върху мрежовата връзка и да изберете командата „Диагностика“ в контекстното меню.

Фигура 9. Отваряне на съветника за отстраняване на проблеми с локалната връзка.
Вторият начин да започнете да проверявате параметрите на вашата мрежова връзка е да изберете желаната мрежа и да кликнете върху бутона „Диагностика на връзката“. Бутонът може да се види на лентата с инструменти.
В диалоговия прозорец, който се отваря, за да диагностицирате връзката, просто следвайте стъпките на съветника за отстраняване на грешки и проблеми. Нищо сложно.

Деактивиране на мрежово устройство (мрежов адаптер).

Понякога възникват ситуации, когато проблемите с мрежовата връзка се решават не с помощта на съветник за разрешаване на грешки, а чрез просто изключване на мрежовия адаптер от компютъра. Това може лесно да се направи, като направите едно от следните:

1. Изберете мрежова връзка и щракнете върху бутона „Деактивиране на мрежовото устройство“, намиращ се в лентата с инструменти;
2. Щракнете с десния бутон върху мрежовата връзка и изберете „Прекъсване“ в контекстното меню, което се появява;

Заключение.

Статията подробно описва как да конфигурирате, свържете и диагностицирате мрежови връзки.
Ако имате някакви съмнения относно собствената си настройка на мрежата и възможностите за свързване, по-добре е да потърсите помощ от специалисти или внимателно да прочетете статията отново.

Тази статия съдържа общ преглед петопции за решаване на проблема с организирането на достъп до корпоративни мрежови услуги от Интернет. Прегледът предоставя анализ на опциите за безопасност и осъществимост, което ще помогне както на начинаещите, така и на по-опитните специалисти да разберат същността на проблема, да опреснят и систематизират знанията си. Материалите в статията могат да бъдат използвани за обосновка на вашите дизайнерски решения.

Когато разглеждаме опциите, нека вземем за пример мрежата, в която искате да публикувате:

1. Корпоративен пощенски сървър (Web-mail).
2. Корпоративен терминален сървър (RDP).
3. Екстранет услуга за контрагенти (Web-API).

Вариант 1: Плоска мрежа

Хостовете имат достъп до интернет чрез NAT и достъп до услуги от интернет чрез пренасочване на портове.

Плюсове на опцията:

1. Минимални изисквания за функционалност IFW(може да се направи на почти всеки рутер, дори домашен рутер).
2. Минимални изисквания към познанията на специалиста, реализиращ опцията.

1. Минимално ниво на сигурност. В случай на хак, при който Нарушителят получи контрол над един от сървърите, публикувани в Интернет, всички останали възли и комуникационни канали на корпоративната мрежа стават достъпни за него за по-нататъшни атаки.

Вариант 2. DMZ

1. От вътрешната мрежа можете да инициирате връзки към DMZ и към WAN (Wide Area Network).
2. От DMZ можете да инициирате връзки към WAN.
3. От WAN можете да инициирате връзки към DMZ.
4. Инициирането на връзки от WAN и DMZ към вътрешната мрежа е забранено.

1. Повишена сигурност на мрежата срещу хакване на отделни услуги. Дори ако някой от сървърите бъде хакнат, Нарушителят няма да може да получи достъп до ресурси, разположени във вътрешната мрежа (например мрежови принтери, системи за видеонаблюдение и др.).

1. Преместването на сървъри в DMZ само по себе си не повишава тяхната сигурност.
2. Необходима е допълнителна защитна стена за отделяне на DMZ от вътрешната мрежа.

Вариант 3. Разделяне на услугите на Front-End и Back-End

Като пример, помислете за корпоративна имейл услуга, която обслужва клиенти както от мрежата, така и от Интернет. Клиентите отвътре използват POP3/SMTP, а клиентите от Интернет работят през уеб интерфейса. Обикновено на етапа на внедряване компаниите избират най-простия метод за внедряване на услугата и поставят всички нейни компоненти на един сървър. След това, когато се осъзнае необходимостта от осигуряване на информационна сигурност, функционалността на услугата се разделя на части, като частта, която отговаря за обслужването на клиенти от Интернет (Front-End), се премества на отделен сървър, който взаимодейства през мрежа със сървъра, който изпълнява останалата функционалност (Back -End). В този случай Front-End се поставя в DMZ, а Back-End остава във вътрешния сегмент. За комуникация между Front-End и Back-End включен DFWсъздайте правило, което позволява иницииране на връзки от Front-End към Back-End.

Предимства на опцията:

1. Като цяло атаките, насочени срещу защитената услуга, могат да се „препънат“ в Front-End, което ще неутрализира или значително ще намали възможните щети. Например атаки като TCP SYN Flood или бавно http четене, насочени към услуга, ще доведат до факта, че Front-End сървърът може да стане недостъпен, докато Back-End ще продължи да функционира нормално и да обслужва потребителите.
2. По принцип Back-End сървърът може да няма достъп до интернет, което, ако бъде хакнат (например чрез локално стартиране на зловреден код), ще затрудни дистанционното му управление от интернет.
3. Front-End е много подходящ за хостване на защитна стена на ниво приложение (например защитна стена на уеб приложение) или система за предотвратяване на проникване (IPS, например snort).

1. За комуникация между Front-End и Back-End включен DFWсъздава се правило, което позволява инициирането на връзка от DMZ към вътрешната мрежа, което създава заплахи, свързани с използването на това правило от други възли в DMZ (например чрез прилагане на IP spoofing атаки, ARP отравяне, и т.н.)
2. Не всички услуги могат да бъдат разделени на Front-End и Back-End.
3. Компанията трябва да внедри бизнес процеси за актуализиране на правилата на защитната стена.
4. Компанията трябва да внедри механизми за защита срещу атаки от натрапници, които са получили достъп до сървъра в DMZ.

1. В реалния живот, дори и без да се разделят сървърите на Front-End и Back-End, сървърите от DMZ много често имат нужда от достъп до сървъри, разположени във вътрешната мрежа, така че посочените недостатъци на тази опция ще важат и за предишната разгледана опция.
2. Ако разгледаме защитата на приложенията, работещи през уеб интерфейса, тогава дори ако сървърът не поддържа разделянето на функциите на Front-End и Back-End, използването на http обратен прокси сървър (например nginx) като Front-End ще минимизира рисковете, свързани с атаки за отказ на услуга. Например атаките на SYN flood могат да направят http обратния прокси недостъпен, докато Back-End продължава да работи.

Опция 4: Защитете DMZ

Защита срещу DHCP атаки

Защита срещу MAC flood атаки

Защита срещу UDP flood атаки

Защита срещу TCP SYN flood атаки

1. Защита в мрежовия възел с помощта на технология TCP SYN Cookie.
2. Защита на ниво защитна стена (предмет на подмрежа на DMZ) чрез ограничаване на интензивността на трафика, съдържащ TCP SYN заявки.

Защита срещу атаки на мрежови услуги и уеб приложения

Защита срещу атаки за заобикаляне на удостоверяване

Окончателният списък със защитни мерки за тази опция:

1. DMZ е разделена на IP подмрежи с отделна подмрежа за всеки възел.
2. IP адресите се задават ръчно от администраторите. DHCP не се използва.
3. На мрежовите интерфейси, към които са свързани DMZ възли, се активират MAC и IP филтриране, ограничения върху интензивността на излъчвания трафик и трафика, съдържащ TCP SYN заявки.
4. Автоматичното договаряне на типове портове е деактивирано на комутаторите и използването на собствена VLAN е забранено.
5. TCP SYN Cookie се конфигурира на DMZ възли и вътрешни мрежови сървъри, към които се свързват тези възли.
6. Управлението на софтуерните уязвимости е внедрено за DMZ възли (и за предпочитане останалата част от мрежата).
7. IDS/IPS системи за откриване и предотвратяване на проникване се внедряват в DMZ сегмента.

1. Висока степен на сигурност.

1. Повишени изисквания към функционалността на оборудването.
2. Разходи за труд за изпълнение и поддръжка.

Вариант 5. Обратно свързване

При тези условия много от обсъдените по-рано атаки стават достъпни за Нарушителя, най-опасните от които ще бъдат:

• атаки, които ви позволяват да прихванете и модифицирате трафик (ARP отравяне, препълване на CAM таблица + отвличане на TCP сесия и др.);
• атаки, свързани с използването на уязвимости във вътрешни мрежови сървъри, към които могат да се инициират връзки от DMZ (което е възможно чрез заобикаляне на правилата за филтриране DFWпоради IP и MAC подправяне).

По този начин ние сме изправени пред задачата да защитим сървърите на вътрешната мрежа от атаки на нарушителя както от DMZ, така и от вътрешната мрежа (заразяването на работната станция с троян може да се тълкува като действия на нарушителя от вътрешната мрежа ).

Подходът, предложен по-долу, е насочен към намаляване на броя на каналите, през които един нарушител може да атакува сървъри, и има поне два такива канала. Първото е правилото за DFW, позволяващ достъп до вътрешния мрежов сървър от DMZ (дори и ограничен от IP адреси), а вторият е отворен мрежов порт на сървъра, през който се очакват заявки за връзка.

Можете да затворите тези канали, ако самият сървър на вътрешната мрежа изгражда връзки към сървъра в DMZ и прави това с помощта на криптографски защитени мрежови протоколи. Тогава няма да има нито отворен порт, нито правило за DFW.

Но проблемът е, че обикновените сървърни услуги не знаят как да работят по този начин и за прилагането на този подход е необходимо да се използва мрежово тунелиране, реализирано, например, с помощта на SSH или VPN, и в рамките на тунелите позволяват връзки от сървъра в DMZ към вътрешния мрежов сървър.

Общата схема на работа на тази опция е следната:

1. На сървъра в DMZ е инсталиран SSH/VPN сървър, а на сървъра във вътрешната мрежа е инсталиран SSH/VPN клиент.
2. Вътрешният мрежов сървър инициира изграждането на мрежов тунел към сървъра в DMZ. Тунелът е изграден с взаимно удостоверяване на клиент и сървър.
3. Сървърът от DMZ, в рамките на изградения тунел, инициира връзка със сървъра във вътрешната мрежа, през който се предават защитените данни.
4. Локална защитна стена е конфигурирана на вътрешния мрежов сървър, за да филтрира трафика, преминаващ през тунела.

Използването на тази опция на практика показа, че е удобно да се изграждат мрежови тунели с помощта на OpenVPN, тъй като има следните важни свойства:

• Кросплатформен. Можете да организирате комуникация на сървъри с различни операционни системи.
• Възможност за изграждане на тунели с взаимно удостоверяване на клиент и сървър.
• Възможност за използване на сертифицирана криптография.

Предимства на опцията:

1. Архитектурно намаляване на броя на векторите на атака върху сървъра на защитената вътрешна мрежа.
2. Гарантиране на сигурност при липса на филтриране на мрежовия трафик.
3. Защита на данните, предавани по мрежата, от неоторизиран преглед и промяна.
4. Възможност за селективно повишаване на нивото на сигурност на услугите.
5. Възможността за внедряване на двуконтурна система за защита, където първата верига се осигурява с помощта на защитна стена, а втората е организирана въз основа на тази опция.

1. Внедряването и поддръжката на тази опция за защита изисква допълнителни разходи за труд.
2. Несъвместимост със системи за откриване и предотвратяване на мрежови прониквания (IDS/IPS).
3. Допълнително изчислително натоварване на сървърите.

Локалната мрежа се състои от работни станции, периферни продукти и комутационни модули, свързани с отделни проводници. Скоростта на обмен и количеството на предаваните данни в мрежите се определят от модула за превключване, който може да се възпроизвежда от устройства за маршрутизиране или комутатори. Броят на работните станции в мрежата се определя от наличието на портове, използвани за връзка на превключващото устройство. Локалните мрежи се използват в рамките на една организация и са ограничени до малка територия. Има peer-to-peer мрежи, които е препоръчително да се използват, когато в офиса има два или три компютъра, както и мрежи с отделен сървър с централизирано управление. Създаването на мрежова среда, базирана на Windows 7, ви позволява ефективно да използвате компютърна мрежа.

Как работи мрежовата среда на Windows 7: изграждане и използване

В момента е невъзможно да си представим офис, институция или голяма организация, в която всички компютри и периферни устройства са свързани в една компютърна мрежа. По правило тази мрежа работи само в организацията и служи за обмен на информация между служителите. Такава мрежа е с ограничена употреба и се нарича интранет.

Интранет, или иначе наричан интранет, е затворена вътрешна мрежа на предприятие или институция, която работи с помощта на интернет протокола TCP/IP (протоколи за пренос на информация).

Добре проектираният интранет не изисква постоянен софтуерен инженер; периодичните проверки на хардуера и софтуера са достатъчни. Всички повреди и неизправности в интранет се свеждат до няколко стандартни. В по-голямата част от случаите интранет архитектурата улеснява откриването на причината за повредата и нейното отстраняване с помощта на предварително разработен алгоритъм.

Network Neighborhood в Windows 7 е системен компонент, чиято икона може да бъде представена на работния плот по време на първоначалната настройка, след инсталиране на операционната система на лаптоп или компютър. С помощта на графичния интерфейс на този компонент можете да видите наличието на работни станции в локалния интранет и тяхната конфигурация. За да прегледате работните станции в интранет, създадени на базата на Windows 7, да проверите тяхната готовност за предаване и получаване на информация, както и основни настройки, беше разработен модулът Network Neighborhood.

Тази опция позволява да се видят имената на конкретни работни станции в интранет, мрежови адреси, да се разграничат правата за достъп на потребителите, да се прецизира интранетът и да се коригират грешки, които възникват по време на работа на мрежата.

Интранет може да бъде създаден по две различни схеми:

Търсете мрежово съседство в Windows 7

Търсенето на мрежова среда е сравнително прост процес и се извършва, когато работна станция първоначално е свързана към съществуващ офис или корпоративна интранет.

За да търсите мрежова среда в Windows 7, трябва да изпълните редица стъпки според даден алгоритъм:

1. На "Desktop" щракнете двукратно върху прекия път "Network".
   

   На "Desktop" щракнете двукратно върху иконата "Network".

2. В панела, който се отваря, определете от кои работни станции е създаден локалният интранет. Щракнете върху раздела „Център за мрежи и споделяне“.

   В мрежовия панел щракнете върху раздела „Център за мрежи и споделяне“.

В „Център за мрежи и споделяне“ отидете на раздела „Промяна на настройките на адаптера“.

В панела изберете „Промяна на настройките на адаптера“

3. В модула „Мрежови връзки“ изберете текущия.

   Определяне на създадената мрежа

След като извършим тези операции, ние определяме броя на работните станции, името на интранет и конфигурацията на работните станции.

Как да създадете

Преди настройка на интранет, дължината на проводника с усукана двойка се изчислява за свързване на работни станции към кабелен рутер или мрежов комутатор и се вземат мерки за подготовка на комуникационни линии, включително кримпване на конектори и удължаване на мрежови проводници от работни станции до мрежов умножител.

Локалният интранет обикновено включва работни станции, разположени в апартамент, офис или предприятие. Комуникационният канал се осигурява чрез кабелна връзка или с помощта на безжична комуникация (Wi-Fi).

Когато създавате компютърна интранет с помощта на безжични комуникационни канали (Wi-Fi), работните станции се конфигурират с помощта на софтуера, включен в рутера.

Wi-Fi не се дешифрира по никакъв начин, противно на общоприетото схващане. Това име не е съкращение и е измислено, за да привлече вниманието на потребителите, играейки на фразата Hi-Fi (от английски High Fidelity - висока точност).

Когато използвате кабелни комуникационни канали, връзката се осъществява към LAN конекторите на компютър и мрежов комутатор. Ако интранетът е изграден с помощта на мрежови карти, тогава работните станции са свързани в кръгов модел и на една от тях е разпределено определено място за създаване на споделено мрежово устройство.

За да функционира пълноценно интранетът, е необходимо всяка работна станция да може да обменя информационни пакети с всички останали интранет станции. За да направите това, всеки интранет субект се нуждае от име и уникален мрежов адрес.

Как да настроите

След свързването на работните станции и структурирането им в единен интранет, на всеки сегмент се конфигурират индивидуални параметри на връзката, за да се създадат условия за коректна работа на устройствата.

Основната стъпка при настройката на конфигурацията на станциите е създаването на уникален мрежов адрес. Можете да започнете да настройвате своя интранет от произволно избрана работна станция. Когато настройвате конфигурацията, можете да използвате следния алгоритъм от инструкции стъпка по стъпка:

1. Отидете до услугата Център за мрежи и споделяне.

   В левия панел изберете „Промяна на настройките на адаптера“

2. Кликнете върху раздела „Промяна на настройките на адаптера“.
3. Панелът, който се отваря, ще покаже наличните връзки на работната станция.

   В мрежовите връзки изберете необходимото

4. Изберете връзката, която е избрана за използване при обмен на пакети информация в интранет.
5. Щракнете с десния бутон върху връзката и щракнете върху „Свойства“ в падащото меню.

   В менюто за свързване щракнете върху реда „Свойства“.

6. В „Свойства на връзката“ изберете елемента „Интернет протокол версия 4“ и щракнете върху бутона „Свойства“.

   В свойствата на мрежата изберете компонента „Интернет протокол версия 4 (TCP/IPv4)“ и натиснете бутона „Свойства“

7. В „Protocol Properties...“ превключете стойността на реда „Use the following IP address“ и въведете стойността 192.168.0.1 в „IP address“.
8. В „Маска на подмрежа“ въведете стойността - 255.255.255.0.

   В панела „Protocol Properties...“ въведете стойностите на IP адреса и подмрежовата маска

9. Когато настройките са завършени, натиснете бутона OK.

Извършваме същите операции с всички работни станции в интранет. Разликата между адресите ще бъде крайната цифра на IP адреса, което ще го направи уникален. Можете да зададете числата 1, 2, 3, 4 и така нататък.

Работните станции ще имат достъп до интернет, ако въведете определени стойности в параметрите „Шлюз по подразбиране“ и „DNS сървър“. Адресирането, използвано за шлюза и DNS сървъра, трябва да съответства на адреса на работната станция, която има права за достъп до Интернет. В параметрите на интернет станцията посочвате разрешение за свързване към интернет за други работни станции.

Онлайнсъздадени на базата на радиокомуникационни канали, стойностите на шлюза и DNS сървъра са идентични с уникалния адрес на Wi-Fi рутера, който е инсталиран за работа в Интернет.

Когато се свързвате към интранет, Windows 7 ви подканва да изберете опции за неговото местоположение:

• “Домашна мрежа” - за работни станции в къща или апартамент;
• “Enterprise network” - за институции или фабрики;
• “Обществена мрежа” - за гари, хотели или метро.

Изборът на една от опциите засяга мрежовите настройки на Windows 7. Избраната опция определя как разрешителните и ограничителните мерки ще се прилагат към работните станции, свързващи се към интранет.

Видео: настройка на мрежа в Windows 7

Веднага след конфигурирането се проверява правилната връзка на всички интранет сегменти.

Как да проверите връзката

Дали връзката е направена правилно или не, се проверява с помощта на помощната програма ping, вградена в Windows 7. За да направите това ви трябва:

1. Отидете до панела Run в услугата Accessories в менюто Start.
   

   Досега най-надеждният начин за проверка на връзката на компютъра с мрежата е използването на ping между работните станции. Малката помощна програма ping е разработена за първите мрежи, работещи в среда на дискова операционна система, но все още не е загубила своята релевантност.

2. В полето "Отвори" използвайте командата ping.

   В панела „Изпълнение“ въведете командата „Ping“

3. Ще се стартира конзолата „Администратор: команден ред“, което ви позволява да работите с DOS команди.
4. Въведете уникалния адрес на работната станция, отделена с интервал, връзката с която ще се проверява и натиснете клавиша Enter.

   В конзолата въведете IP адреса на проверявания компютър

5. Счита се, че връзката работи правилно, ако конзолата показва информация за изпращане и получаване на информация без загуба на IP пакети.
6. Ако има някакви повреди във връзката с порта, конзолата показва предупреждения „Интервалът на изчакване е превишен“ или „Посоченият хост е недостъпен“.

   Комуникацията между работните станции не работи

Същата проверка се извършва на всички интранет работни станции. Това ви позволява да идентифицирате грешки във връзката и да започнете да ги отстранявате.

В повечето случаи липсата на комуникация между работните станции в една зона, например в институция или в дома, се дължи на грешка на потребителите и има механичен характер. Това може да е огъване или прекъсване на проводника, свързващ превключващото устройство и работната станция, както и лош контакт на конектора с мрежовия порт на компютъра или комутатора. Ако мрежата работи между офисите на една институция в различни населени места, тогава недостъпността на възела най-вероятно се дължи на организацията, обслужваща комуникационните линии на дълги разстояния.

Видео: как да проверите наличието на достъп до интернет

Има ситуации, когато интранетът е напълно конфигуриран и има достъп до интернет, но мрежовата среда не се отразява в графичния интерфейс. В този случай трябва да намерите и коригирате грешката в настройките.

Какво да направите, ако Windows 7 Network Neighborhood не се показва

Най-лесният начин за отстраняване на грешката:

1. В „Контролен панел“ щракнете върху иконата „Администриране“.

   В „Контролен панел“ изберете секцията „Администриране“.

2. В „Администриране“ щракнете върху раздела „Локална политика за сигурност“.

   Изберете „Локална политика за сигурност“

3. В панела, който се отваря, щракнете върху директорията „Правила за управление на мрежов списък“.

   Изберете „Правила за управление на списъци с мрежи“

4. В директорията „Политики...“ разгънете името на мрежата „Идентификация на мрежи“.

   В папката изберете „Мрежова идентификация“

5. Преместваме „Тип местоположение“ в позиция „Общи“.

   В панела поставете превключвателя на позиция „Общи“.

6. Рестартирайте работната станция.

След рестартиране интранетът става видим.

Защо свойствата на моята мрежова среда не се отварят?

Свойствата може да не се отварят по различни причини. Един от начините за отстраняване на грешката:

Можете също така да направите нова мрежова връзка и да изтриете старата. Но това не винаги води до желания резултат.

Защо компютрите изчезват в мрежова среда и как да го поправим

Има проблеми с локалния интранет, когато всички компютри пингват и отварят по IP адрес, но нито една икона на работна станция не е в мрежата.

За да разрешите грешката, трябва да изпълните няколко прости стъпки:

Видео: какво да правите, когато работните станции не се показват в мрежата

Работните станции също може да не се виждат поради факта, че различни версии на Windows са инсталирани на различни станции. Интранет структурата може да бъде създадена от работни станции, базирани на Windows 7 и някои станции, работещи на Windows XP. Станциите ще определят наличието на аналози с друга система в интранет, ако е посочено едно и също име на мрежата за всички сегменти. Когато създавате споделени директории на Windows 7, трябва да зададете криптиране на 40-битово или 56-битово вместо 128-битово по подразбиране. Това гарантира, че компютрите със "седем" гарантирано ще видят работни станции с инсталиран Windows XP.

Как да предоставим достъп до работни станции

Когато предоставяте ресурси в интранет, трябва да се внимава достъпът да е ограничен до тези потребители, които действително са упълномощени да го правят.

Един от най-лесните начини е да зададете потребителско име и парола. Ако паролата е неизвестна, тогава не можете да се свържете с ресурса. Този метод не е напълно удобен за мрежова идентификация.

Windows 7 предоставя друг начин за защита на информацията от неоторизиран достъп. Това става чрез установяване на споделяне на мрежови ресурси, където е уточнено, че те ще бъдат предоставени на регистрирани групи. Регистрацията и проверката на правата на членове на групата е отговорност на програмата, която управлява интранет.

За да се установи достъп без парола до работни станции, се активира акаунтът „Гост“ и се предоставят определени права, за да се гарантира работата на мрежовите устройства.

1. За да активирате акаунта си, щракнете върху иконата „Потребителски акаунти“ в „Контролен панел“. Кликнете върху раздела „Управление на друг акаунт“.