Программно-аппаратный комплекс "ФПСУ Х.25" содержит специальные программные средства, позволяющие осуществлять централизованное дистанционное управление и мониторинг состояний МЭ (в режиме времени близком к реальному) с использованием графического интерфейса работой группы СФ (до 128) с одного компьютера из любого фрагмента сети Х.25. Для обеспечения указанной возможности комплекс включает в себя подсистему удалённого администрирования, состоящую из программного обеспечения для АРМ управляющего администратора и ряда подсистем в комплексе "ФПСУ Х.25", поддерживающих работу удаленной части системы администрирования.
Главный принцип удаленного администрирования - взаимная аутентификация при обмене информацией между СЕТЕВЫМ ФИЛЬТРОМ и удалённым администратором (далее УА). Для обеспечения взаимной аутентификации МЭ и удалённый администратор должны быть взаимно зарегистрированы, т.е. каждый администратор должен зарегистрировать подконтрольные МЭ и сам должен быть зарегистрированным этими МЭ, получив при регистрации от их локальных администраторов определенные конкретные полномочия на контроль и управление МЭ.
Обмен информацией между УА и МЭ ведётся в режиме "клиент-сервер", т.е. запрос данных осуществляет администратор, а МЭ ему высылает ответ, и никогда наоборот.
Удаленный администратор МЭ имеет собственный сетевой адрес для осуществления запросов к МЭ, передачи приказов и получения необходимой информации, но иные обращения по сети (исходящие или входящие) к нему запрещены.
В подсистеме удаленного администрирования реализованы следующие механизмы защиты от НСД:
Программное обеспечение удалённого администратора может быть установлено на любом компьютере сети с обычной операционной системой, отвечающем условиям применения (см. Раздел 2 "Условия применения комплекса"), и включает в себя ряд модулей со следующими функциями:
|
Модули |
Назначение |
|
Модуль регистрации |
Регистрация СЕТЕВЫХ ФИЛЬТРОВ с целью их последующей идентификации и аутентификации при запросах удаленного администратора |
|
Модуль статистики |
Дистанционный контроль за работой МЭ |
|
Модуль мониторинга |
|
|
Модуль конфигурации |
Дистанционное управление МЭ |
В локальном комплексе для поддержки дистанционного управления реализованы:
Подсистема удаленного администрирования даёт администратору (при наличии зарегистрированных полномочий) следующие возможности:
В подсистеме удаленного администрирования реализовано несколько механизмов защиты от НСД работы самой подсистемы и её программной и информационной частей:
Идентификация администратора при попытках запуска подсистемы удалённого администрирования МЭ осуществляется путем запроса на предъявление персональных аутентификационных данных подсистемы удалённого администрирования, хранимых на дискете. При непредъявлении таких данных или предъявлении некорректных данных доступ неидентифицированному субъекту не предоставляется, регистрируется попытка выполнения несанкционированных действий и программа подсистемы удалённого администрирования МЭ автоматически заканчивает свою работу.
Аутентификация администратора при попытках запуска подсистемы удалённого администрирования МЭ осуществляется посредством запроса на предъявление вводимого с клавиатуры личного пароля администратора (от 5 до 15 символов) и сравнением его с ранее зарегистрированным паролем администратора. В случае ввода пустого или неверного пароля доступ неаутентифицированному администратору не предоставляется, регистрируется попытка выполнения несанкционированных действий и программа подсистемы удалённого администрирования МЭ автоматически заканчивает свою работу.
Кроме вышеописанных механизмов идентификации и аутентификации администратора при попытках запуска подсистемы удалённого администрирования МЭ, существует возможность установления режима блокировки действий администратора в процессе его работы в подсистеме администрирования до выполнения аутентификации. Подсистема удалённого администрирования при включенной блокировке продолжает исполнение автоматических функций по запросу, приему и анализу регистрационных данных со всех зарегистрированных на ней МЭ. Возможны следующие режимы блокировки:
Снятие режима блокировки произойдет только после аутентификация администратора при попытке выполнения любых действий с использованием клавиатуры компьютера или манипулятора "мышь". Аутентификация осуществляется посредством запроса на предъявление вводимого с клавиатуры личного пароля администратора (размером от 5 до 15 символов) и сравнением его с ранее зарегистрированным паролем администратора. В случае ввода пустого или неверного пароля попытка выполнения действий игнорируется, регистрируется попытка выполнения несанкционированных действий и подсистема удалённого управления продолжает исполнение автоматических функций по запросу, приему и анализу регистрационных данных со всех зарегистрированных на ней СФ.
Для обеспечения возможности удалённого управления работой СФ необходимо зарегистрировать подсистему удалённого администрирования на СФ, дать администратору соответствующие полномочия (права), выдать аутентификационные данные СФ для регистрации удалённым администратором и зарегистрировать СФ на компьютере удалённого администратора.
Каждая подсистема удалённого администрирования должна иметь уникальный номер, определяемый удаленным администратором при первом запуске и контролируемый СФ в процессе регистрации.
Модуль регистрации СФ подсистемы удалённого администрирования позволяет зарегистрировать удалённые СФ по их уникальному серийному номеру, вырабатываемому в процессе генерации инсталляционных дискет с программно-аппаратным комплексом "ФПСУ Х.25", а также просматривать и редактировать список зарегистрированных СФ.
Регистрация производится путём обмена проверочными частями аутентификационных данных, вырабатываемыми самостоятельно каждой из регистрируемой сторон и записываемыми на дискеты.
Права на доступ к подсистемам МЭ для удалённых администраторов устанавливает локальный администратор МЭ (только классов "администратор" и "главный администратор") при взаимной регистрации МЭ и удалённого администратора. Удалённому администратору могут быть предоставлены следующие права:
При запросах удаленного администратора на контроль и управление МЭ производятся обязательные взаимные процедуры идентификации и аутентификации.
На этапе идентификации будет проверено, что удалённый администратор, осуществляющий попытку установления соединения передачей пакета "Запрос вызова", является зарегистрированным по его уникальному номеру и не производит работу с данным МЭ в текущее время, а удаленный МЭ, ответивший на этот запрос, имеет тот же серийный номер МЭ, к которому обращался удалённый администратор. Таким образом реализуется схема взаимной идентификации.
На этапе аутентификации будет проверено, что удалённый администратор, от которого пришел вызов, обладает теми же знаниями, которыми должен обладать администратор с выявленным в процессе идентификации номером, а также что МЭ, к которому обращался удалённый администратор, обладает теми же знаниями, которыми должен обладать МЭ с данным серийным номером. Таким образом реализуется схема взаимной аутентификации.
Взаимная аутентификация будет производиться как при запросе на установление связи (проключение виртуального канала), так и на каждый блок передаваемой информации.
Механизм идентификации заключается в том, что при передаче пакета "Запрос вызова" подсистема удалённого администрирования дополняет его полями, содержащими собственный уникальный номер и уникальный серийный номер МЭ, к которому он обращается. При получении этого запроса МЭ производит поиск в регистрационной таблице удалённых администраторов по указанному уникальному номеру. В случае отрицательного результата идентификация удалённого администратора на МЭ считается невыполненной, будет выдан приказ на разъединение проключаемого виртуального соединения с регистрацией данного события в подсистеме статистики и процесс идентификации будет закончен с отрицательным результатом.
В случае положительного результата поиска МЭ вышлет пакет "Подтверждение вызова", снабдив его собственным серийным номером и уникальным номером удалённого администратора, идентификация которого осуществлена. Подсистема удаленного администрирования, приняв пакет, проверяет совпадение посланных и полученных данных. При несовпадении идентификация удалённого МЭ администратором считается невыполненной, будет выдан приказ на разъединение установившегося виртуального соединения с регистрацией данного события в подсистеме статистики и процесс идентификации будет закончен с отрицательным результатом.
После успешной идентификации удалённый МЭ и удалённый администратор начинают процедуру взаимной аутентификации при вызове посредством передачи друг другу некоторых случайно сгенерированных вопросов и ответов на эти вопросы с использованием, выработанным при генерации персональных аутентификационных данных. Каждая из сторон проверит ответ на свой вопрос с использованием зарегистрированных проверочных аутентификационных данных. При отрицательном результате аутентификация любой из сторон противоположной стороной считается невыполненной, будет выдан приказ на разъединение установившегося виртуального соединения с регистрацией данного события в подсистеме статистики и процесс взаимной аутентификации будет закончен с отрицательным результатом.
В дальнейшем при передаче конкретных запросов на выполнение действий по дистанционному контролю или управлению МЭ по установившемуся виртуальному соединению будет также производиться взаимная аутентификация МЭ и удалённого администратора с контролем прав, установленных для данного удалённого администратора (подлинность уникального номера которого была выяснена в процессе идентификации и аутентификации при попытке установления виртуального соединения) при регистрации на МЭ локальным администратором соответствующего класса и реализуемых данным удалённым администратором в текущем запросе. При отрицательном результате аутентификации или превышении прав на доступ в текущем запросе будет выдан приказ на разъединение установившегося виртуального соединения с регистрацией данного события в подсистеме статистики и процесс удалённого управления или контроля будет закончен с отрицательным результатом.
Алгоритм выработки ответа на аутентификацию и проверки его построен по рекомендациям протокола ITU-T X.509.
Реализованная таким образом в программно-аппаратном комплексе "ФПСУ X.25" схема аутентификации удалённого администратора при запросах на доступ к МЭ с целью контроля или управления обеспечивает устойчивость передачи данных к пассивному и активному перехвату информации в сетях Х.25.
Модуль мониторинга работает параллельно с другими компонентами программы администратора и предназначен для сбора и просмотра состояний одного или группы МЭ практически в реальном масштабе времени, накопления, автоматического анализа и отображения запрограммированных событий.
Модуль мониторинга предоставляет администратору следующие возможности:
Информация, отображаемая графически на экране монитора (на топологии сети) одновременно для всех зарегистрированных удаленным администратором МЭ, включает в себя:
При вызове соответствующих информационных окон администратор способен отследить:
Удалённый администратор может запрограммировать оперативную графическую и звуковую реакцию подсистемы на следующие события (соответствующие временные и количественные параметры также задаются администратором):
Программируется также временной период опроса состояния (с какой частотой будут опрашиваться МЭ).
Подробное руководство по использованию мониторинга и описание графического интерфейса его работы содержится в Руководстве удалённого администратора СЕТЕВОГО ФИЛЬТРА X.25.
Модуль статистики подсистемы удалённого администрирования предоставляет администратору возможность запросить и получить данные статистики с локального комплекса.
Подсистема удаленного администрирования взаимодействует с подсистемой регистрации событий и состояний, входящей в локальный комплекс "ФПСУ X.25", в двух режимах: режиме непрерывного автоматического получения данных с заданной периодичностью и в режиме немедленного получения требуемых сведений от нужного МЭ - режиме ручного управления.
Удаленный администратор МЭ имеет возможность просмотреть текущее состояние работы подсистемы по опросу статистики в автоматическом режиме и прервать или возобновить автоматическое получение данных статистики для конкретного МЭ, зарегистрированного подсистемой.
Подсистема удаленного администрирования выполняет автоматический сбор статистики с СФ, для которых разрешен опрос. Администратор может установить нужные ему типы и подтипы регистрационных данных и временной интервал, по которым будет производиться автоматический запрос на поиск и получение их из MIB-базы удаленного МЭ. Если отмечены типы данных, на получение которых администратор не имеет прав, они ему переданы не будут.
Удаленный администратор МЭ может:
При неполадках в работе сети (например, временном отсутствии связи) и невозможности опроса МЭ требуемая информация о его работе может быть записана локальным администратором МЭ на дискеты, которые будут переданы удаленному администратору. Удаленный администратор может внести полученные данные в хранилище и работать с ними описанным выше способом.
Модуль удалённого конфигурирования реализует следующие возможности подсистемы:
Процесс удалённого управления конфигурацией МЭ состоит из нескольких этапов: запроса и получения текущей конфигурации, редактирования конфигурации средствами подсистемы удалённого администрирования и передачи приказа на изменение конфигурации.
[Назад] [Содержание] [Вперед]