Все дороги ведут в Рим, если не перекрыты шлагбаумами.

По данным статистики за последний год, количество постоянных подключений к Internet увеличилось в четыре раза, и эта тенденция будет сохраняться в ближайшие годы. Однако немало организаций заинтересовано не просто в подключении к Internet, а в его безотказной работе. Такое положение характерно для тех компаний, чей бизнес непосредственно связан с Internet, прежде всего для поставщиков и потребителей информационных услуг Internet. Со временем этот список будет увеличиваться, и ожидается, что туда войдут многие финансовые и коммерческие организации, ведущие дела по Internet. Еще одной важной проблемой является повышение производительности каналов связи. Часто для решения этой задачи компании просто-напросто увеличивают пропускную способность имеющегося канала связи, не задумываясь о других аспектах подключения, в особенности о надежности соединения.

При доступе к Internet корпоративный клиент пользуется двумя типами услуг: провайдера (поставщика услуг) Internet и оператора связи. Оператор связи предоставляет линии коммуникации, которые физически соединяют клиента и провайдера Internet. Задача провайдера состоит в организации непосредственного доступа клиента в Сеть. Нередко одна и та же организация выступает в качестве провайдера Internet и оператора связи, это характерно для телекоммуникационных компаний. Существенный недостаток такого подхода - невысокая гибкость: часто они поддерживают только свои линии связи. Кроме того, обычно они владеют достаточно скромными по пропускной способности внешними каналами связи (для выхода в Internet). В то же время специализированные первичные провайдеры предлагают большой выбор линий связи и сотрудничают со всеми серьезными операторами связи. Вдобавок ведущие провайдеры обладают мощными каналами выхода в Internet.

надежность связи с Internet зависит в общем случае от деятельности оператора связи и провайдера. К сожалению, в России полностью отсутствуют статистические сведения о надежности работы как операторов связи, так и провайдеров Internet, поэтому не представляется возможным провести какой-либо обобщенный анализ. Если же опираться на косвенные данные, то надежность работы и операторов связи и провайдеров Internet в России не внушает доверия, причем претензии к провайдерам высказываются гораздо чаще. Тут есть одна маленькая тонкость. По некоторым оценкам, полная пропускная способность всех внешних каналов связи (т. е. идущих за границу) российских провайдеров составляет не более 40 Мбит/с. Большинство провайдеров Internet имеют каналы связи с невысокой пропускной способностью. Поэтому, даже если службы провайдера работают нормально, но когда канал в Internet перегружен, клиент, для работы которого требуется связь с зарубежными странами, будет совершенно справедливо считать связь с Internet ненадежной. А как известно, на внешний трафик приходится 70% всего трафика российского Internet.

Корпоративным клиентам при выборе провайдеров Internet лучше ориентироваться на ведущих первичных провайдеров. В России к ним можно отнести прежде всего компании "Демос-Интернет", "Релком", "Совам Телепорт". Да, цены у них повыше, но игра стоит свеч. Кроме того, что у этих провайдеров мощные каналы, они хорошо проработали вопросы надежности за счет повышения отказоустойчивости основного оборудования и линий связи. Например, у компании "Демос-Интернет" имеется три идущих за границу канала по 2 Мбит/с. Отказ одного или даже двух не приведет к потере связи, хотя качество и понизится за счет снижения производительности. У ведущих провайдеров есть большой технический задел по расширению своей инфраструктуры, и они поддерживают практически все типы связи, начиная от обычной наземной на основе медных кабелей и кончая радио-, радиорелейными и спутниковыми каналами. К тому же эти провайдеры достаточно предупредительны и при возможных проблемах со связью стараются заранее информировать клиентов.

Дать рекомендации по выбору операторов связи гораздо сложнее. К сожалению, размер компании никак не связан с качеством ее работы. Низкое качество услуг таких гигантов (и, по существу, монополистов), как МГТС или АО "Электросвязь", стало притчей во языцех. И речь не только о качестве самой связи, которая порой не выдерживает никакой критики. Удивляет отношение к клиентам. Например, обрыв связи с клиентом без всякого предупреждения (даже при плановом ремонте) здесь дело совсем не редкое. При этом, само собой разумеется, никаких извинений не последует. Клиенту еще повезет, если оператор сам восстановит связь без напоминаний.

Более надежными считаются молодые и быстрорастущие компании, такие как "Голден Лайн", "Комстар" и ряд других. У них не такое наплевательское отношение к клиентам, да и качество связи много лучше, поскольку используют они современное оборудование. Но деятельность большинства из них ограничена крупными городами России. К тому же цены сильно кусаются, особенно в провинции.

Однако корпоративному клиенту, которого заботит отказоустойчивость соединения с Internet, не следует ограничиваться только выбором надежного провайдера и оператора связи. Он должен подумать о возможности подключения к Internet по крайней мере по двум независимым каналам связи. При этом необходимо, чтобы каналы вели к разным провайдерам Internet, и желательно к солидным. Очень хорошо, если каналы будут предоставлены разными операторами связи. Еще лучше, если линии связи будут использовать разную среду передачи, например одна линия - по медножильному кабелю, а вторая - по радиоканалу или спутниковому каналу связи. Тогда при ремонтных работах в вашем районе есть надежда, что экскаватором перерубят не всю связь.

Избыточное подключение к Internet полезно также для организаций, имеющих территориально-распределенные сети, между которыми проложены низкоскоростные линии связи, а также для компаний, строящих корпоративные сети на основе технологии Extranet.

При наличие двух и более каналов в Internet задача заключается в том, чтобы все каналы одновременно использовались как на прием, так и на передачу данных. Кроме того, необходимо, чтобы в случае отказа одного из каналов остальные продолжали нормально функционировать и могли взять на себя обязанности неработающего. Еще одно требование состоит в том, чтобы трафик между любыми двумя хостами внутри сети корпоративного клиента не выходил за пределы локальной сети. И наоборот, трафик, не относящийся к сети клиента, не должен проходить через его каналы связи (т. е. сеть клиента не должна выступать в качестве промежуточного звена для внешних сетей). Следует отметить, что если все каналы ведут к одному и тому же провайдеру, то никаких особенных настроек производить не надо: достаточно использовать провайдеро-зависимые IP-адреса и статическую маршрутизацию. Поэтому такой вариант мы рассматривать не будем.

Поставленные задачи не так-то просто реализовать, как это может показаться. Для их решения необходимо произвести соответствующую настройку программно-аппаратного обеспечения внутри корпоративных сетей (маршрутизаторов, серверов и хостов). Существует несколько типов различных конфигураций. Рассмотрим их более подробно, с описанием достоинств и недостатков.

Данный вариант можно считать основным при подключении сети по нескольким каналам связи. На Рисунке 1 представлен пример такого подключения. Основным его отличием является то, что сеть корпоративного клиента - это автономная система (АС). Автономной системой в Internet называют одну IP-сеть или группу IP-сетей, функционирующую независимо от остальной части Internet и управляемую единым административным органом. Внутри АС может использоваться статическая маршрутизация или любой из внутренних протоколов динамической маршрутизации (Interior Gateway Protocol, IGP), например RIP, OSPF и др. Автономные системы всегда имеют соседей, которые сами являются автономными системами или входят в состав базовой (backbone) сети Internet. В нашем случае роль соседей исполняют провайдеры Internet. Маршрутизаторы на границах автономных систем общаются между собой с помощью одного из протоколов внешней маршрутизации (Exterior Gateway Protocol, EGP). Сейчас практически повсеместно применяется протокол BGP версии 4 (Border Gateway Protocol, BGP) применяется практически повсеместно.

Рисунок 1.
Подключение корпоративного клиента к двум провайдерам Internet с использованием протокола BGP.

Каждая АС имеет свой уникальный номер, назначаемый централизованно. Именно его применяет для идентификации автономных систем протокол BGP. Сетям, входящим в состав автономной системы корпоративного клиента, присваивают провайдеро-независимые IP-адреса.

Таким образом, чтобы настроить такую конфигурацию, корпоративный клиент должен выполнить следующие организационные процедуры: получить провайдеро-независимые IP-адреса. Это можно сделать, послав заявку в РосНИИРОС (Российский НИИ Развития Общественных Сетей, http://www.ripn.net/); получить номер АС. Для этого необходимо обратиться в RIPE (Reseaux IP Europeens, http://www.ripe.net/); договориться о маршрутизации корпоративной сети по протоколу BGP со своими провайдерами. К сожалению, далеко не все могут предоставить такую услугу. Тем не менее все первичные провайдеры обеспечивают данный режим.

На практике эти мероприятия могут растянуться на полгода.

Протокол BGP v4 поддерживают практически все аппаратные маршрутизаторы, а также операционные системы NetWare и UNIX. Отличительной особенностью BGP v4 является то, что он предусматривает возможность агрегирования адресов по спецификации CIDR (Classless Inter-Domain Routing), т. е. объе-динения IP-адресов в блоки при рассылке маршрутов. При использовании BGP (или иного протокола EGP) хосты в корпоративной сети будут одновременно задействовать все каналы связи. При этом для доставки пакетов будет выбираться оптимальный маршрут. Например, пакет, передаваемый в Лондон, будет пересылаться к одному провайдеру, имеющему канал связи с Западной Европой, а пакет для Вологды будет отправляться через другого провайдера. Причем с любого хоста корпоративной сети будут одновременно доступны все каналы связи. При отказе одного из каналов весь трафик будет автоматически переправляться по другим каналам связи.

Если использование АС настолько эффективно, то возникает справедливый вопрос: а зачем нужны другие виды конфигурации? По нескольким причинам.

Во-первых, когда организация решает получить второй канал, она обычно уже имеет развернутую сеть, и чаще всего с установленными провайдеро-зависимыми IP-адресами. Смена адресов на провайдеро-независимые в крупной сети - очень непростая задача, особенно если переход необходимо осуществить за ограниченное время. Хорошим подспорьем здесь будет сервис DHCP или хотя бы BOOTP.

Но основной недостаток применения АС - в другом. В Internet существует проблема перегрузки магистральных маршрутизаторов. Таблицы маршрутизации у них настолько переполнены, что это сказывается на производительности работы всего Internet. Поэтому некоторые крупнейшие поставщики услуг Internet (например, Sprint) запрещают своим маршрутизаторам обрабатывать маршруты, ведущие к блокам сетей (в спецификации CIDR), в состав которых входит менее 32 IP-сети класса C (32 сети класса C могут включать до 8128 хостов).

При регистрации же АС количество IP-сетей ничем не регламентируется. Поэтому клиент может заполучить автономную систему, имея только одну провайдеро-независимую IP-сеть класса C (т. е. не более 254 хостов). Хотя российские провайдеры не накладывают ограничений на количество IP-сетей в блоке при маршрутизации, тем не менее у клиента будут наблюдаться проблемы при связи со многими узлами Internet (по существу, с ними не будет связи).

А если клиенту с маленькой сетью попробовать пойти на уловку и получить большой блок IP-адресов, состоящий из 32 сетей класса C? В связи с нехваткой IP-адресов это практически невозможно, поскольку InterNIC тщательно контролируют выдачу блоков адресов больших размеров.

Таким образом, использование автономной системы оправданно только для больших сетей, состоящих из многих тысяч хостов. Поэтому технология АС нашла свое применение в основном у провайдеров Internet и в крупных компаниях.

Альтернативный подход связан с использованием провайдеро-зависимых IP-адресов. На Рисунке 2 представлен пример подключения корпоративного клиента к двум провайдерам. Сеть корпоративного клиента физически разделена на две (сеть A и сеть B). Каждой из них назначаются провайдеро-зависимые IP-адреса: сети A от провайдера 1 и сети B от провайдера 2. При этом сети A и B соединены с Internet через провайдеров 1 и 2 соответственно. Таким образом, хост в сети A может общаться с Internet исключительно по одному каналу связи, а именно по каналу связи с провайдером 1.

Рисунок 2.
Корпоративная сеть разделена на две сети, каждая из которых имеет автономное подключение к Internet.

Для того чтобы локальный трафик между сетью A и B не выходил за границы корпоративной сети, между сетями A и B устанавливается внутренний маршрутизатор. Таблица маршрутизации здесь статическая и задает лишь маршруты между сетями A и B (внутренний маршрутизатор может также иметь маршрут по умолчанию для передачи данных за пределы сети клиента через один из каналов). Пограничные маршрутизаторы также имеют статические маршруты. Так, пограничный маршрутизатор в сети A имеет маршрут по умолчанию (default route), направленный в сторону провайдера 1, и маршрут в сеть B, направленный на внутренний маршрутизатор. Обычные хосты подключаются к одной из IP-сетей. В качестве маршрутизатора по умолчанию на хостах задается IP-адрес соответствующего (т. е. находящегося в одной с хостом IP-сети) пограничного маршрутизатора.

Если в корпоративной сети располагается DNS-, Web- или ftp-сервер, к которому необходим доступ извне, то его лучше подключать ко всем IP-сетям. Кроме того, каждому из серверов в базе DNS нужно присвоить два (и более) адреса. На сервере следует произвести настройки, чтобы каждая сетевая плата видела свою сеть, а одна из них поддерживала маршрут по умолчанию. Серверы DNS, Web, ftp и внутренний маршрутизатор могут размещаться на одном и том же компьютере. В этой конфигурации все платы сервера будут принимать данные из Internet, но передавать пакеты будет лишь одна. Т. е. если откажет канал, используемый в маршруте по умолчанию, то соответствующий сервер перестанет быть виден из Internet. В этом случае на сервере придется изменить маршрут по умолчанию (эту процедуру можно автоматизировать так, чтобы маршрут менялся при отказе канала). Если корпоративному клиенту необходима отказоустойчивость при доступе к его серверам из Internet, то есть смысл установить два идентичных Web- или ftp-сервера. С DNS-серверами проще, поскольку для регистрации зоны DNS необходимо иметь не менее двух серверов имен.

Достоинством решения с разделенными сетями является использование провайдеро-зависимых IP-адресов, которые входят в большие блоки IP-адресов. Здесь не будет проблем с маршрутизацией в Internet, характерных для небольших автономных систем. Кроме того, реализовать такую схему можно гораздо быстрее, чем вариант с автономной системой, так как не требуются длительные согласования для получения номера автономной системы и блока провайдеро-независимых IP-адресов. Этот вариант хорош еще и тем, что при добавлении каналов не надо изменять уже присвоенных IP-адресов.

Основным недостатком можно считать то, что при выходе из строя одного из каналов связь с Internet потеряют все хосты IP-сети, подключенной к этому каналу. Вдобавок, огромным недостатком является статическое закрепление хостов за одной IP-сетью. Может оказаться, что один канал будет работать с недогрузкой, а другой - с перегрузкой, и не существует простого способа перераспределения нагрузки. Чтобы перенести хост из одной сети в другую, администратору придется физически поменять точку подключения и изменить конфигурацию TCP/IP на хосте (т. е. изменить IP-адрес хоста, IP-адрес маршрутизатора и т. д.), а также поменять настройку DNS. Еще один минус - необходимость использования внутри сети клиента только статической маршрутизации, что может привести к неудобствам в случае сетей средних и больших размеров.

Раздельный доступ можно несколько улучшить, когда две и более логические IP-сети располагаются в пределах одной общей физической сети (Рисунок 3). Т. е. физическая сеть имеет два и более сетевых IP-адреса. Как и в случае разделенных сетей, используются провайдеро-зависимые IP-адреса. Маршрутизацию между IP-сетями осуществляет внутренний маршрутизатор. Он имеет несколько сетевых плат, каждая со своим IP-адресом, и все они подключены к одной физической сети. Пограничные маршрутизаторы объединяют свои IP-сети с Internet через соответствующих провайдеров. Все маршрутизаторы и серверы настраиваются полностью аналогично варианту с разделенными сетями. Каждый обычный хост входит в состав одной из IP-сеток. При этом хосты получают все необходимые IP-адреса при начальной загрузке от сервера DHCP (или BOOTP). Так же, как и внутренний маршрутизатор, сервер DHCP имеет несколько сетевых плат и может производить настройку сразу всех IP-сетей. Для перемещения хоста из одной IP-сети в другую достаточно внести изменение в базу DHCP и перезагрузить хост.

Рисунок 3.
Две логические IP-сети располагаются в пределах одной физической сети.

В данном варианте удается преодолеть некоторые ограничения варианта разделенных сетей. Прежде всего, с помощью сервиса DHCP принципиально возможно регулировать загрузку каналов. Например, можно написать программу для сервера DHCP, которая будет анализировать загрузку каналов доступа к Internet и в зависимости от этого присваивать хостам адреса в той или иной IP-сети. При выходе из строя одного из каналов необходимо произвести изменения в базе DHCP (эту процедуру можно автоматизировать), после чего перезагрузить хосты. При наличии сервера DNS рекомендуется, чтобы все хосты имели адреса во всех IP-сетях. Тогда при перемещении хоста из одной IP-сети в другую не надо задумываться о внесении изменений в базу DNS.

Еще один вариант состоит в использовании proxy-серверов с функцией трансляции сетевых адресов (Network Address Translation, NAT). На Рисунке 4 представлен вариант подключения корпоративной сети к Internet по двум каналам с применением proxy-серверов.

Рисунок 4.
Подключение с использованием proxy-серверов позволяет полностью скрыть структуру внутренней сети.

Принцип работы рroxy-сервера заключается в том, что он транслирует адреса хостов внутренней IP-сети в свой внешний (т. е. видимый извне) IP-адрес. И наоборот, анализируя приходящие извне пакеты, он передает их во внутреннюю сеть соответствующим хостам. Корпоративный клиент волен сам выбирать IP-адреса для внутренней сети, в том числе он может здесь использовать сети с адресами класса B или A. Каждый хост внутренней сети должен иметь маршрут по умолчанию, указывающий на один из рroxy-серверов. Таким образом, для любого хоста канал подключения к Internet будет определяться только маршрутом по умолчанию. Как и в предыдущем варианте, его можно задавать через DHCP-сервер.

При отключении одного из каналов необходимо будет внести изменения в базу DHCP (эту процедуру также можно автоматизировать), после чего перезагрузить хосты, у которых маршрут по умолчанию пролегает через неработающий канал. В некоторых операционных системах маршрут по умолчанию можно изменять, не перезагружая компьютер, что упрощает ситуацию. И вообще, во внутренней сети клиент волен творить все, что ему заблагорассудится. Правда, тут существует некоторое ограничение: назначенные клиентом внутренние IP-адреса будут недоступны для него в Internet. Например, если для внутренней сети он возьмет адрес 137.65.0.0, то больше не сможет связаться с серверами компании Novell, сеть которой имеет такой же адрес.

Кстати, внутренняя сеть необязательно должна быть сетью IP. Это может быть и IPX-сеть, а функции рroxy-серверов будут выполнять шлюзы IPX/IP. Некоторые маршрутизаторы поддерживают функцию NAT, и тогда отпадает нужда в специализированных рroxy-серверах.

Серверы Web, ftp, DNS и др., которые организация намерена сделать доступными из Internet, могут быть размещены по ту сторону от proxy-серверов во внешних IP-сетях, наподобие решения с разделением сетей.

В отличие от случая провайдеро-зависимых адресов, вариант с proxy-серверами имеет гораздо большую гибкость в назначении и переконфигурации IP-адресов, и здесь нет ограничения на использование внутри сети только статической маршрутизации. Но основные недостатки тем не менее остаются. Хост может работать только по одному из каналов связи с Internet. При отказе канала приходится переконфигурировать все хосты, работающие с ним. Достаточно сложно регулируется и загрузка каналов. С точки зрения оптимизации использования каналов связи с Internet данный вариант не идет ни в какое сравнение с вариантом автономной системы, но здесь нет проблем с маршрутизацией.

Использование proxy-серверов имеет также свои специфические недостатки. Трансляция адресов занимает достаточно много машинных ресурсов и хороша лишь при низкоскоростных каналах подключения. Кроме того, не все сетевые приложения поддерживают такого рода манипуляции.

Кому-то может показаться, что поднятая в статье тема в настоящее время не актуальна для России. Наверное, пока это действительно так. Но уже сейчас есть организации, бизнес которых очень сильно завязан на Internet. Несомненно, их количество будет увеличиваться. Кроме того, многие предприятия зависят от работы электронной почты. У них тоже есть интерес в повышении надежности связи. Корпоративные клиенты должны знать, какие проблемы их встретят при подключении к Internet по нескольким каналам. Каждое из возможных решений имеет свои плюсы и минусы, и среди них, к сожалению, отсутствует идеальное, подходящее для всех случаев жизни. Для больших предприятий лучшим вариантом будет установка автономной системы, тогда как для небольших - использование провайдеро-зависимых IP-адресов или proxy-серверов.

Константин Пьянзин - обозреватель LAN. С ним можно связаться по адресу: koka@osp.ru.