ДОВЕРЯЙ, НО ПРОВЕРЯЙ
Работа шифраторов контролировалась очень просто: в том же сегменте сети, где был установлен шифратор, была размещена машина под управлением Linux с установленной на ней программой tcpdump. На порту коммутатора, к которому подключен шифратор, была включена функция мониторинга. Трафик дублировался на порт коммутатора, к которому была подключена машина под управлением Linux с программой tcpdump. Сетевой интерфейс машины перевели в режим приема всех пакетов (promiscuous mode). Tcpdump настроили так, чтобы отслеживать только пакеты, у которых адреса источника и получателя принадлежали к виртуальным сетям шифраторов. Таким образом, было видно, что пакеты инкапсулируются, а их содержимое зашифровано.
Естественно, разработанная нами схема подключения не является единственно возможной и наверняка в каждом конкретном случае можно создать другую, в большей степени отвечающую нуждам организации.
Автор выражает благодарность Мяснянкину Владиславу (hugevlad@yahoo.com) и Карфидову Игорю (karfidoff@rambler.ru), с чьей помощью была развернута вышеописанная сеть VPN.
Павел Покровский — специалист по информационной безопасности. С ним можно связаться по адресу: underling@yandex.ru.
В рассмотренном выше примере маршрутизаторы A и B не смогли корректно определить отказ узла D. Не помогло и правило расщепления горизонта. Подобную проблему помогает решить метод временного отказа от приема сообщений (hold-down), используемый современными протоколами вектора расстояний.
Правило отказа от приема запрещает маршрутизатору, получившему сообщение об отказе узла, принимать объявления маршрута до этого узла в течение некоторого времени. Получив от C уведомление о недоступности D, маршрутизатор А не должен доверять сообщению узла B, так как в момент обмена тот не имел достоверной информации о D. Лишь спустя некоторое время, когда можно быть уверенным, что информация об отказе D распространилась по всей сети, маршрутизатор A может вновь начинать принимать объявления о путях до D. (За это время и А и B сотрут информацию о маршруте до D, так как оно превышает время хранения записи в таблице маршрутизации.)
