Известно, что пространство Internet является объединением множества сетей различных организаций, каждая из которых отвечает за поддержание в работоспособном состоянии принадлежащего ей сегмента. В качестве базового стека протоколов во всех сетях используется TCP/IP. За обеспечение соединений между сетями отвечают поставщики услуг Internet, или Internet Service Provider (ISP), как правило, крупные телефонные компании, являющиеся обладателями каналов связи и/или оборудования передачи данных. ISP берут на себя вопросы маршрутизации протокола TCP/IP между сетями организаций и другими ISP, а также вопросы интеграции служб разрешения имен, почтовых и прочих сервисов Internet.
Для подключения к Internet, вашей организации необходимо следующее:
Одной из составляющих процесса подключения является получение диапазона легальных адресов IP и имени домена для сегмента вашей сети, подключенной к Internet. Большинство ISP предоставляют услуги по выделению IP-адресов и имен доменов, однако размер адресного пространства, как правило, весьма ограничен, а домены являются подмножеством пространства имен ISP. Получение же собственных IP-адресов и регистрация имени домена требует обращения в Internet Network Information Center напрямую или через того же ISP. К сожалению, в связи с бурным ростом Internet и грядущим исчерпанием адресного пространства, вероятность успеха в последнем случае для небольшой организации более чем сомнительна.
При выборе канала доступа следует предварительно оценить какое количество пользователей будет использовать услуги Internet. В таблице 6.3 приведены приблизительные оценки зависимости допустимого числа активных пользователей для каждого типа канала:
Таблица 3. Ориентировочное число пользователей для различных типов каналов доступа
| Тип канала | Пропускная способность | Число пользователей |
|---|---|---|
| PPP/SLIP | до 28.800 bps | 2-3 |
| Frame Relay | до 56.000 bps | 10-20 |
| ISDN | до 128.000 bps | 10-50 |
| T1 | до 1.540.000 bps | 100-500 |
| T3 | до 45.000.000 bps | свыше 5000 |
Хотя использование коммутируемых линий для организации доступа к вашему серверу из Internet возможно, но трудно ожидать от такой конфигурации удовлетворительного времени отклика. Если вы планируете предоставлять услуги пользователям Internet, следует арендовать каналы с большей пропускной способностью.
Поскольку скорость отклика сервера Internet в большей мере зависит от пропускной способности каналов доступа, для поддержания достаточного большого числа пользователей, достаточен не очень мощный сервер. Так, по рекомендациям Microsoft, для обеспечения нормальной работы 100 пользователей достаточно компьютера на базе Intel 486DX50 с 52 Mb оперативной памяти. При оценочных расчетах можно исходить из цифры 256 Кб оперативной памяти на пользователя. На каждом из двух серверов, обслуживающих www.microsoft.com и обрабатывающих более 3 миллионов обращений в день, установлено 4 процессора Pentium 66, 128 Мб оперативной и 8 Гб дисковой памяти.
Ниже приведены две типичные схемы подключения сервера Windows NT с IIS к Internet.
В первом случае используются коммутируемые линии (как аналоговые, так и Dial-Up ISDN) и статическая маршрутизация, так как NT не поддерживает динамических протоколов маршрутизации на коммутируемых линиях. Эта возможность должна появиться в версии 5.0.
Во втором случае используется протокол динамической маршрутизации RIP для IP. В этом случае на сервере должна быть установлена карта ISDN или T1/T3, которую Windows NT может рассматривать как сетевую, а соединение с ISP должно быть постоянным.
Рис. 85. Схема подключения к Internet по коммутируемым линиям
Рис. 86. Схема подключения к Internet при наличии постоянного соединения
Подключение организации к Internet - это всегда большой риск. Несанкционированный доступ к данным и их умышленная или случайная модификация могут привести к большим финансовым потерям как для организации, так и для администраторов, допустивших просчет в выборе средств отсечения злоумышленников. В связи с этим следует отметить, что защита информации может быть реализована на нескольких уровнях, конечный выбор которых зависит от степени допустимого риска и финансовых возможностей конкретной фирмы.
Применительно к IIS методы защиты могут быть следующие:
Наибольший эффект, естественно, даёт сочетание означенных методов.
Internet-сервер позволяет контролировать права клиента на получение информации, используя базу учетных записей пользователей Windows NT и списки контроля доступа (Access Control List) файловой системы NTFS.
Средства Windows NT
Рекомендуется:
Собственные средства IIS
IIS поддерживает следующие средства защиты информации:
Всегда следует помнить, что случае использования анонимного режима доступа полномочия клиента определяются правами пользователя, под которым функционируют сервисы IIS. Поэтому набор полномочий этого пользователя в домене NT должен быть минимальным.
При использовании FTP сервиса следует иметь ввиду, что пароли и имена пользователей передаются по сети нешифрованными, поэтому любой пользователь, имеющий средства сетевого мониторинга может их получить. Поэтому наиболее защищенным в этом случае является режим считается анонимного доступа, когда пользователь регистрируется под именем anonymous и указывает вместо пароля почтовый адрес. Рекомендованная схема применения сервера FTP - разрешение только анонимного доступа.
Использование базового метода проверки полномочий также несет в себе скрытую угрозу, так как имя и пароль, передаваемые через сеть кодируются с использованием примитивного алгоритма base64 и могут быть легко перехвачены и дешифрованы. Однако это единственный метод проверки, поддерживаемый браузерами не-Microsoft.
Метод Challenge/Response является наиболее защищенным, однако он требует применения Microsoft Internet Explorer версии 2.0 и выше.
При использовании базового метода или метода NT Challenge/Response IIS проверяет имя и пароль через базу учетных записей пользователей и порождает процесс, исполняющийся в контексте данного пользователя. Все права на ресурсы в таком случае определяются набором полномочий этого пользователя.
Алгоритм проверки полномочий пользователя сервером приведен на рисунке 87.
Рис. 87. Алгоритм проверки полномочий пользователя сервером IIS
Применение алгоритма шифрования Secure Socket Layer позволяет защитить весь трафик между клиентом и сервером, что позволяет использовать в Internet передачу конфиденциальной информации и выполнять торговые операции. Алгоритм построен на принципе публичных ключей и позволяет использовать ключ длиной до 1024 бит. Выполнение операций кодирования-декодирования значительно увеличивает нагрузку на процессор сервера. Поэтому следует разумно ограничивать количество ресурсов, требующих использования SSL.
К сожалению, чтобы воспользоваться возможностью шифрования необходимо предварительно получить соответствующий сертификат.
Схемы подключения
Ниже приведены схемы в порядке увеличения степени защищенности.
Рис. 89. Запрет маршрутизации TCP/IP между картами сервера
Позволяет изолировать внутреннюю сеть от Internet. В этом и достоинство и недостаток данной схемы. В случае взлома пароля администратора маршрутизация достаточно легко восстанавливается.
(a)
(б)
Рис. 90 (а) Изоляция на уровне протокола
(б) Изоляция на уровне протокола с репликацией данных
Обеспечивает очень высокий уровень защиты внутренних сетей, за счет применения протоколов, имеющих значительно больший уровень защищенности, нежели IP.
Рис. 91. Полная изоляция внутренних сетей от Internet
Достоинством и недостатком такой схемы является полное отсутствие взаимодействия между Internet и Intranet. Пользователи, активно работающие с Internet осуществляют доступ со специально оборудованных рабочих мест - киосков Internet. Угроза доступа к закрытой информации полностью исключена.
Основные нововведения в Internet Information Server 3.0 касаются в основном расширения возможностей выполнения логики Internet приложений непосредственно на сервере, использования объектов в страницах HTML и преодоление таких недостатков протокола HTTP, как отсутствие постоянного соединения сервера с клиентом.
Активные серверные страницы (Active Server Pages)
Активные серверные страницы, или ASP файлы, позволяют использовать для создания WWW страниц как код HTML, так и сценарии на различных языках программирования. В IIS 3.0 стандартно поддерживаются два языка сценариев - VBScript и Jscript, однако без особых проблем может быть подключен любой другой интерпретатор. По желанию автора сценарии в ASP файлах могут исполняться на сервере, а результирующий выходной поток HTML передаваться клиенту в виде динамически сформированной WWW страницы. В процессе исполнения сценарии могут обращаться к любым зарегистрированным объектам отвечающим спецификации COM или DCOM. Отсутствие этапа компиляции при использовании сценариев позволяет упростить процесс отладки приложений, так как для получения результата в окне браузера после внесения изменений в код программы требуется всего лишь пересчитать текущую страницу.
Использование встроенных сценариев и возможности манипуляции объектами позволяют при помощи ASP достаточно изящно реализовать так называемое динамическое содержание (dynamic content), подразумевающее возможность распознавания клиента, создания и ведения для него индивидуального окружения, построенного на основании предпочтений и/или привилегий пользователя.
ActiveX Scripting for IIS 3.0 (объектные сценарии сервера)
Выгоды, получаемые от централизованного исполнения сценариев неоспоримы, начиная со снижения нагрузки с линий передачи данных до защиты прав на интеллектуальную собственность. В IIS 3.0 появился компонент, предоставляющий унифицированный метод подключения интерпретаторов языков сценариев - ActiveX scripting engine (script-машина). В стандартный набор IIS входят два интерпретатора - VBScript и Jscript, ожидается что в ближайшем будущем будет реализована поддержка REXX, Perl и Tcl. Поскольку языковый контекст script-машины может переключаться динамически, в теле одного файла могут одновременно использоваться сценарии на нескольких языках. Стандартная поддержка COM позволяет из любого языка сценариев инициировать OLE объекты и манипулировать ими на усмотрение разработчика. Кроме того, реализация самой script-машины в виде сервера OLE позволяет инициировать выполнение новых сценариев как из текущего сценария, так и из ActiveX компонентов.
ActiveX Server Components (ActiveX объекты сервера)
ActiveX Server Components представляют из себя OLE Automation серверы. С их помощью приложение может получать доступ к источникам информации находящимся как на локальном сервере, так и в произвольном месте сети. Наличие широкого выбора готовых компонентов и большого количества средств их разработки, позволяет создавать Web приложения произвольной функциональности.
В состав IIS 3.0 входит следующий набор готовых объектов:
IIS 3.0 содержит массу примеров создания приложений на основе технологии ASP и достаточно подробные руководства для создателей страниц HTML и программистов на VBScript, Jscript и ADO.