ostupnym. Process mozhno opisat'
sleduyushchim obrazom:</p>
<p>1. Klient vvodit set' IP v sostoyanii
inicializacii i peredaet po
shirokoveshchatel'noe soobshchenie po vsem
dostupnym setyam s zaprosom na poluchenie IP
adresa i opisaniem trebovanij k soedineniyu
(DHCPDISCOVER).</p>
<p>2. Agent retranslyacii BOOTP obnaruzhivaet eto
soobshchenie i peredaet ego vsem dostupnym
serveram DHCP dlya obrabotki.</p>
<p>3. Kazhdyj server DHCP otvechaet na zapros
klienta s soobshcheniem predlozheniya (DHCPOFFER),
kotoroe sostoit iz dostupnogo adresa IP i
informacii konfiguracii na osnove
predopredelennyh administratorom
trebovanij k soedineniyu dlya etogo uzla.</p>
<p>4. Klient poluchaet vse otvety ot serverov i
opredelyaet nailuchshee predlozhenie
ispol'zuya vstroennyj algoritm.</p>
<p>5. Zatem klient otpravlyaet vybrannomu
serveru zapros na poluchenie adresa i informacii
konfiguracii (DHCPREQUEST).</p>
<p>6. V zaklyuchenie, vybrannyj server DHCP
posylaet v set' soobshchenie o podtverzhdenii
polucheniya obsluzhivaniya (DHCPACK). Posle etogo
vse drugie servera, kotorye ne byli vybrany,
osvobozhdayut adresa IP, kotorye oni
predlozhili klientu i vozvrashchayutsya v rezhim
oprosa seti, ozhidaya sleduyushchij paket DHCPDISCOVER.</p>
<p>7. Posle togo, kak server DHCP poluchaet
podtverzhdenie ot klienta DHCP, server
avtomaticheski modificiruet server imen DNS v
sootvetstvii s etim adresom IP.</p>
<p>8. Tak kak adres IP, naznachennyj klientu
vydan tol'ko vremenno (arenduetsya) on dolzhen
byt' periodicheski vozobnovlyat'sya, klient
startuet tajmer i ustanavlivaet ego na
polovinu prodolzhitel'nosti arendnogo
dogovora.</p>
<p>9. Kogda vremya tajmera istekaet, klient
posylaet DHCPREQUEST paket serveru, zaprashivaya
obnovlenie &quot;arendnogo dogovora&quot;.</p>
<p>10. Esli klient ne poluchaet nikakogo otveta
ot servera, to on zhdet do istecheniya treh
chetvertej prodolzhitel'nosti &quot;arendnogo
dogovora&quot; i zatem peredaet DHCPREQUEST paket
ko vsej seti, chtoby zaprosit' obsluzhivanie
u novogo servera. |tot process garantiruet,
chto servis DHCP prodolzhaetsya bez preryvaniya. </p>
<p>Prodolzhitel'nost' vremeni &quot;arendnogo
dogovora&quot; ustanavlivaetsya
administratorom, kogda on konfiguriruet
server DHCP. Vsya klientura DHCP vnutri seti ili
podseti imeet odno i to zhe vremya &quot;arendnogo
dogovora&quot;; odnako, pol'zovateli, v sluchae
neobhodimosti, mogut otmenyat' zadannyj po
umolchaniyu promezhutok &quot;arendnogo
dogovora&quot;.</p>
<p>DHCP - protokol prikladnogo urovnya
osnovannyj na BOOTP, kotoryj vypolnyaetsya pri
pomoshchi protokola UDP. Esli razmer seti
trebuet obsluzhivaniya DHCP vo mnogih
svyazannyh setyah mezhsetevoj marshrutizator
dolzhen podderzhivat' vozmozhnost' peredachi
soobshchenij agenta retranslyacii BOOTP. Kak
ukazano vyshe, etot agent retran-lyacii
otvetstvenen za peredachu soobshcheniya BOOTP
mezhdu dvumya IP setyami. Prohozhdenie takogo
soobshcheniya trebuetsya v sluchae, esli DHCP
klient i server nahodyatsya v raznyh setyah.</p>
<p>Servis DHCP v krupnyh, svyazannyh mezhdu soboj,
setyah (s obshchim chislom uzlov bolee 5000) mozhet
vyzyvat' massivnye shtormy
shirokoveshchatel'nyh soobshchenij. V etom sluchae
rekomenduetsya ustanovit' bol'shee
kolichestvo DHCP serverov v raznyh setyah. </p>
<h2>DHCP v AIX V4</h2>
<p>Realizaciya klienta i servera DHCP v AIX
sostoit iz sleduyushchih modulej:</p>
<p>˛ Demon klienta dhcpcd<br>
˛ Demon servera dhcpsd<br>
˛ Demon agenta retranslyacii dhcprd </p>
<p>Tekushchaya realizaciya DHCP dlya RS/6000
podderzhivaet takie LAN-osnovannye protokoly,
kak Ethernet, Token-Ring i FDDI. |ta realizaciya kak
klienta, tak i servera DHCP sootvetstvuet
vsem dostupnym RFC i takzhe byla proverena na
sovmestimost' s drugimi klientami i
serverami DHCP.</p>
<p>Tablica nizhe pokazyvaet perechen'
produktov, sposobnyh rabotat' s
realizaciej DHCP dlya AIX.</p>
<table border="0" width="100%" cellspacing="0" cellpadding="0">
  <tr>
    <td width="50%"><b>Server DHCP</b></td>
    <td width="50%"><b>Klienty DHCP</b></td>
  </tr>
  <tr>
    <td width="50%">AIX V4.2</td>
    <td width="50%">MacOS, Windows 3.x, Windows 95,Windows NT 3.5, Chameleon,FTP
      Software, AIX V4.1.4</td>
  </tr>
  <tr>
    <td width="50%">AIX V4.1.4</td>
    <td width="50%">OS/2 Warp Connect </td>
  </tr>
  <tr>
    <td width="50%">OS/2 Warp Server, SUN Solaris,FTP Software, Competitive
      Automation</td>
    <td width="50%">AIX V4.2, AIX V4.1.4</td>
  </tr>
</table>
<p>Kazhdaya mashina RS/6000 mozhet vypolnyat' odnu iz
treh rolej: rol' servera, rol' klienta ili
rol' agenta peredachi soobshchenij BOOTP.</p>
<h1>Konfigurirovanie servera DHCP</h1>
<p>Server DHCP generiruet i predlagaet adresa
IP, osnovannye na nabore predopredelennyh
atributov ili sred. Pol'zovateli mogut
sozdavat' eti oblasti opredeleniya,
redaktiruya ASCII fajl ili ispol'zuya
graficheskij interfejs pol'zovatelya (GUI).</p>
<p>Process konfigurirovaniya servera DHCP
sostoit iz opredeleniya treh glavnyh oblastej:
global'nye resursy dlya vseh setej,
individual'nye resursy dlya kazhdoj seti i
resursy dlya specificheskih klientov ili
naborov klientov.</p>
<p>Vnutri servera DHCP, predstavlenie
informacii klienta ispol'zuya klyuchi. S etimi
klyuchami server DHCP mozhet naznachat' IP adresa
klientu.</p>
<p>Pervyj klyuch - pozicionirovanie
pol'zovatelya v seti. |ta poziciya pomogaet
opredelyat' iz kakogo diapazona dostupnyh
adresov predlagat' adres dlya klienta. Krome
togo, klient mozhet byt' vklyuchen v nekij
nabor uzlov, oboznachennyj kak klass, imeyushchij
odinakovye osobennosti. |ta specifikaciya
klassa daet vozmozhnost' serveru
predostavlyat' klientam dopolnitel'nye
vozmozhnosti i uchityvat' ih osobennosti.</p>
<p>Vtoroj klyuch - identifikator klienta.
Identifikatorom klienta mozhet byt' imya
uzla TCP/IP ili MAC adres. Server mozhet
ispol'zovat' identifikator klienta, chtoby
obespechit' bolee specificheskie
vozmozhnosti.</p>
<p>Global'nye resursy ispol'zuyutsya, chtoby
obespechit' polnuyu neprotivorechivost' i
davat' kazhdomu klientu bazovye funkcii.
Klient poluchaet global'nye resursy tol'ko
togda, kogda bolee specificheskie
vozmozhnosti ne mogut byt' emu dany. Takie
vozmozhnosti vklyuchayut (kak minimum) setevye
funkcii, zatem vozmozhnosti klassa, zatem
specificheskie vozmozhnosti klienta.</p>
<p>Takim obrazom, ierarhiya dlya naznacheniya
vozmozhnostej resursa klienta vyglyadit
sleduyushchim obrazom:</p>
<p>˛ specificheskij klient;<br>
˛ klass;<br>
˛ set';<br>
˛ global'naya peremennaya.</p>
<p>Imeyutsya dva drugih menee vazhnyh klyucha dlya
razmeshcheniya klassa i klassa proizvoditelya.
Vmeste eti chetyre klyucha identificiruyut
logicheskuyu gruppirovku, dlya kotoroj IP
uslugi opredeleny i obespechivayutsya.</p>
<p>Kogda klient daet informaciyu klassa na
server, server mozhet bystrej vozvratit'
zadannye po umolchaniyu uslugi dlya etogo
klassa. Naprimer, klass ucheta mozhet predstavlyat'
pol'zovatelej v otdele ucheta, kotorye
nuzhdayutsya v dostupe k specificheskomu
vysokokachestvennomu printeru.</p>
<h2>Scenarij konfiguracii servera</h2>
<p>V nizhesleduyushchem DHCP scenarii konfiguracii
servera firma &quot;H&quot; imeet shest' IP setej i
imeet naznachennye Centrom Informacii Seti
Internet (InterNIC) seti diapazon adresov IP odin
klassa C i odin klassa B.</p>
<p>Obshchie pol'zovateli firmy &quot;H&quot;
sgruppirovany kak ili dinamicheskie ili
staticheskie.</p>
<p>Set' klassa C ispol'zuetsya dlya otdela
marketinga i kommercheskimi agentami,
kotorye prihodyat v ofis inogda (dinamicheski)
i ispol'zuyut lyubuyu dostupnuyu komnatu. Dlya
etih dinamicheskih pol'zovatelej, kazhdaya
komnata v zdanii imeet port interfejsa i
stanciyu stykovki.</p>
<p>Set' klassa B ispol'zuetsya i razdelyaetsya
lyud'mi v pyati staticheskih rabochih gruppah:
buhgalteriya, vychislitel'nyj centr, otdel
proektirovaniya i razrabotok,
proizvodstvennyj otdel i otdel kontrolya
kachestva.</p>
<p>Set' klassa B razbita na pod seti klassa C
dlya pyati rabochih grupp. Imeetsya tol'ko
chetyre seti klassa C, potomu chto rabochie
gruppy buhgalterii i vychislitel'nogo
centra sovmestno ispol'zuyut odnu set'
klassa C.</p>
<p>Nizhe pokazyvaetsya, kak skonfigurirovana
set' klassa C dlya otdela marketinga. </p>
<p>Sostoyanie network imeet dva parametra: pervyj
parametr - setevoj adres, i vtoroj parametr
opredelyaet diapazon razreshennyh adresov,
kotorye mogut byt' naznacheny. </p>
<p>Diapazon - ot 2 do 240, potomu chto 1
ispol'zuetsya marshrutizatorom &quot;H&quot; i ne
dolzhen byt' naznachen, i adresa vyshe 240
zarezervirovany dlya budushchih staticheskih
pol'zovatelej. </p>
<p>(Esli vtoroj parametr ne opredelen, eto
podrazumevaet, chto mozhno prisvoit' vse
adresa.)</p>
<pre style="mso-pagination:none"><span lang="RU" style="font-size: 10.0pt; mso-bidi-font-family: Times New Roman">network  192.100.10.0 192.100.10.2-192.100.10. 240
{
option 1 255.255.255.0 * Maska podseti dlya klassa C
option 3 193.100.10.1 * Zadannyj adres gateway/marshrutizatora po umolchaniyu
option 6 129.35.40.5 * Zadannyj po umolchaniyu adres servera DNS
option 5 2 hours<span style="mso-spacerun: yes">  </span>* Vremya &laquo;arendnogo dogovora&raquo;, ustanovleno 2 chasa,<span style="mso-spacerun: yes">
                  </span>* potomu chto kommercheskie agenty obychno<span style="mso-spacerun: yes">
                  </span>* nahodyatsya v ofise v techenie tol'ko odnogo chasa.
option 15 &quot;marketing.x.com&quot;<span style="mso-spacerun: yes">  </span>* Zadannoe po umolchaniyu imya domena
}</span></pre>
<p class="MsoNormal" style="mso-pagination:none">Nizhe pokazany
setevye konfiguracii setej klassa C dlya
rabochih grupp otdela proektirovaniya i
razrabotok, proizvodstvennogo otdela i
otdela kontrolya kachestva.</p>
<pre style="mso-pagination:none"><span lang="RU" style="font-size: 10.0pt; mso-bidi-font-family: Times New Roman">network 129.35.0.0 24 * naznachennyj NIC adres seti klassa B 129.35.0.0<span style="mso-spacerun: yes">
                      </span>* ispol'zuetsya maska podseti s 24 bitami<span style="mso-spacerun: yes">
 </span>{<span style="mso-spacerun: yes">
 </span>option 1 255.255.255.0 * Maska podseti dlya klassa B<span style="mso-spacerun: yes">
 </span>subnet 129.35.10.0 * Adres podseti<span style="mso-spacerun: yes">
  </span>{ * Mozhno prisvaivat' vse adresa podseti<span style="mso-spacerun: yes">
  </span>client 0 0 129.35.10.1 * Adres 129.35.10.1<span style="mso-spacerun: yes">
                         </span>* zarezervirovan dlya marshrutizatora<span style="mso-spacerun: yes">
  </span>option 3 129.35.10.1 * Zadannyj adres gateway/marshrutizatora po umolchaniyu<span style="mso-spacerun: yes">
  </span>option 6 129.35.40.5 * Zadannyj po umolchaniyu adres servera DNS<span style="mso-spacerun: yes">
  </span>option 15 &quot;producttest.x.com&quot; * Zadannoe po umolchaniyu imya domena<span style="mso-spacerun: yes">
  </span>}

subnet 129.35.20.0 129.35.20.2-129.35.20.200<span style="mso-spacerun: yes">
 </span>{ * Opredelennyj diapazon adresov dlya podseti<span style="mso-spacerun: yes">
 </span>option 3 129.35.20.1 * Zadannyj adres gateway/marshrutizatora po umolchaniyu
<span style="mso-spacerun: yes"> </span>option 6 129.35.40.5 * Zadannyj po umolchaniyu adres servera DNS<span style="mso-spacerun: yes">
 </span>option 15 &quot;manufacturing.x.com&quot; * Zadannoe po umolchaniyu imya domena<span style="mso-spacerun: yes">
 </span>}

subnet  129.35.30.0 129.35.30.2-129.35.30.215<span style="mso-spacerun: yes">
 </span>{ * Diapazon vseh prisvaivaemyh adresov<span style="mso-spacerun: yes">
 </span>option 3 129.35.30.1 * Zadannyj adres gateway/marshrutizatora po umolchaniyu<span style="mso-spacerun: yes">
 </span>option 6 129.35.40.5 * Zadannyj po umolchaniyu adres servera DNS<span style="mso-spacerun: yes">
 </span>option 15 &quot;rnd.x.com&quot; * Zadannoe po umolchaniyu imya domena<span style="mso-spacerun: yes">
 </span>}
}</span></pre>
<p style="mso-pagination:none">Nizhe pokazana setevaya
konfiguraciya dlya rabochih grupp buhgalterii
i vychislitel'nogo centra, kotorye
sovmestno ispol'zuyut set' klassa C.</p>
<pre style="mso-pagination:none"><span lang="RU" style="font-size: 10.0pt; mso-bidi-font-family: Times New Roman">network 129.35.0.0 25 * nic-naznachil klass B adresuet 129.35.0.0<span style="mso-spacerun: yes">
                      </span>* maska podseti s 25 bitami ispol'zuetsya potomu chto<span style="mso-spacerun: yes">
                      </span>* 256 adresov razdeleny dve podseti.
{
option 1 255.255.255.128 * Maska podseti dlya seti klassa B
subnet 129.35.40.0 129.35.40.64-129.35.40.12 6
* Opredelennyj diapazon adresov dlya podseti<span style="mso-spacerun: yes">
 </span>{ <span style="mso-spacerun: yes">
 </span>option 3 129.35.40.1 * Zadannyj adres gateway/marshrutizatora po umolchaniyu<span style="mso-spacerun: yes">
 </span>option 6 129.35.40.5 * Zadannyj po umolchaniyu adres servera DNS<span style="mso-spacerun: yes">
 </span>option 15 &quot;netserver.x.com&quot; * Zadannoe po umolchaniyu imya domena<span style="mso-spacerun: yes">
 </span>}

subnet 129.35.40.128 * Adres podseti<span style="mso-spacerun: yes">
 </span>{ <span style="mso-spacerun: yes">
 </span>option 3 129.35.40.129 * Zadannyj adres gateway/marshrutizatora po umolchaniyu<span style="mso-spacerun: yes">
 </span>option 6 129.35.40.5 * Zadannyj po umolchaniyu adres servera DNS<span style="mso-spacerun: yes">
 </span>option 15 &quot;accounting.x.com&quot; * Zadannoe po umolchaniyu imya domena<span style="mso-spacerun: yes">
 </span>client 0 0 129.35.40.129 * Klientskij adres 129.35.40.129 udalen
client 10x1005ACABADAE 129.35.40.130 * IP adres 129.35.40.130<span style="mso-spacerun: yes">  </span>zarezervirovan</span><span style="font-size: 10.0pt; mso-bidi-font-family: Times New Roman; mso-ansi-language: EN-US">
* </span><span lang="RU" style="font-size: 10.0pt; mso-bidi-font-family: Times New Roman">dlya</span><span style="font-size: 10.0pt; mso-bidi-font-family: Times New Roman; mso-ansi-language: EN-US"> Ethernet </span><span lang="RU" style="font-size: 10.0pt; mso-bidi-font-family: Times New Roman">adresa</span><span style="font-size: 10.0pt; mso-bidi-font-family: Times New Roman; mso-ansi-language: EN-US"> 0x1005ACABADAE</span><span style="mso-spacerun: yes; font-size: 10.0pt; mso-bidi-font-family: Times New Roman; mso-ansi-language: EN-US">
 </span><span lang="RU" style="font-size: 10.0pt; mso-bidi-font-family: Times New Roman">}
}</span></pre>
<p>Nizhe pokazan spisok global'nyh
parametrov. </p>
<pre style="mso-pagination:none"><span lang="RU" style="font-size: 10.0pt; mso-bidi-font-family: Times New Roman">supportunlistedClients<span style="mso-spacerun: yes">  </span>yes * Podderzhka vsej klientury bez yavnogo<span style="mso-spacerun: yes">
                            </span>* zadaniya ih spiska v etom fajle
supportBOOTP<span style="mso-spacerun: yes">            </span>yes * Firma &laquo;H&raquo; imeet H-stancii i setevye printery,<span style="mso-spacerun: yes">
                            </span>* ispol'zuyushchie protokol BOOTP
leasetimedefault<span style="mso-spacerun: yes">        </span>5 days * Vremya &laquo;arendnogo dogovora&raquo; dlya adresa IP
leaseexpireInterval<span style="mso-spacerun: yes">     </span>1 day<span style="mso-tab-count:1"> </span>* Vremya dlya servera DHCP dlya vosstanovleniya <span style="mso-spacerun: yes">
                            </span><span style="mso-tab-count:1">      </span>* IP adresa, poteryannogo iz-za togo, chto<span style="mso-spacerun: yes">
                            </span><span style="mso-tab-count:1">      </span>* klient pri otklyuchenii ne vyhodil iz<span style="mso-spacerun: yes">
                            </span><span style="mso-tab-count:1">      </span>* seansa svyazi korrektno</span></pre>
<p style="mso-pagination:none">Konfiguraciya servera
sostoit iz inicializacii vseh parametrov
DHCP dlya vseh potencial'nyh klientov.</p>
<p style="mso-pagination:none">Dannye konfiguracii
sohranyayutsya v fajle /etc/dhcpsd.cnf.</p>
<p style="mso-pagination:none">Server mozhet startovat'
avtomaticheski ispol'zuya
posledovatel'nost', razmeshchennuyu v /etc/rc.tcpip
ili, ispol'zuya SMIT.</p>
<p style="mso-pagination:none"># Smit tcpip Further Configuration - &gt; Server
Network Services - &gt; Other Available Services - &gt; Dhcpsd Subsystem</p>
<h2 style="mso-pagination:none">Graficheskij interfejs</h2>
<p style="mso-pagination:none">Graficheskij interfejs
servera DHCP pomogaet spryatat' slozhnost'
sintaksisa fajla konfiguracii i uproshchaet
ego konfiguraciyu. Dlya starta graficheskogo
interfejsa servera ispol'zuetsya komanda <b>dhcpsconf</b>.</p>
<p style="mso-pagination:none">Panel' graficheskogo
interfejsa sostoit iz treh osnovnyh
rabochih oblastej:</p>
<p style="mso-pagination:none">Option list - spisok vybiraemyh
opcij, podderzhivaemyh serverom<br>
Key list - znacheniya, kotorye opisyvayut klienta,
vklyuchaya setevuyu poziciyu, klass i
identifikator<br>
Main window list - rezyume opcij dlya kazhdogo klyucha</p>
<h2 style="mso-pagination:none">Konfigurirovanie DHCP
klienta</h2>
<p style="mso-pagination:none">Dlya klientov, cel' DHCP
sostoit v tom, chtoby obespechit' polnuyu
mobil'nost' bez neobhodimosti
rekonfiguracii kazhdyj raz kogda sozdano
novoe soedinenie. |ta cel' dostigaetsya
opredeleniem nabora predpochtenij klienta,
kotorye opredelyayut to, chto klient trebuet
ot servera i seti. Klient peredaet po seti
informaciyu o svoih predpochteniyah vo vremya
soedineniya. Odin ili bol'shoe kolichestvo
serverov DHCP issleduyut ego predpochteniya i
delayut svoi predlozheniya. Klient zatem
ispol'zuet algoritm opredeleniya
nailuchshego sootvetstviya, chtoby opredelit'
optimal'nyj server dlya sebya. Kogda klient
ne imeet nikakih predpochtenij, DHCP vse zhe
obespechivaet bazovyj uroven' obsluzhivaniya,
osnovannom na servernoj konfiguracii po
umolchaniyu.</p>
<p style="mso-pagination:none">Klienty imeyushchie
predpochteniya, mogut byt' razdeleny na dve
kategorii: </p>
<p style="mso-pagination:none"><b>Otnositel'no seti TCP/IP</b> -
staticheskie marshruty, server imen NetBIOS i t.p. </p>
<p style="mso-pagination:none"><b>Otnositel'no uslug
servera</b> - upravlyayushchaya programma
lokal'nogo printera i spulera (LPR), server
imen (DNS), setevoj server vremeni (NTP) i t.p.</p>
<p style="mso-pagination:none">Konfiguracionnaya
informaciya soderzhitsya v dvuh fajlah:</p>
<p style="mso-pagination:none"><b>dhcpcd.ini</b> - fajl
konfiguracii DHCP, sostoyashchij iz direktiv,
kotorye mogut byt' opredeleny dlya klienta.
Soderzhit spisok privilegirovannyh opcij.</p>
<p style="mso-pagination:none"><b>/etc/rc.net</b> - informaciya dlya
interfejsa zapuska.</p>
<p style="mso-pagination:none">Klient ustanavlivaetsya
ispol'zuya SMIT nizhesleduyushchim obrazom:</p>
<pre style="mso-pagination:none">smit tcpip- &gt; Use DHCP for TCP/IP Configuration &amp; Startup</pre>
<p style="mso-pagination:none">Komandy SMIT mogut takzhe
ispol'zovat'sya, chtoby konfigurirovat' DHCP
dlya TCP/IP i zapuskat' upravlenie demonom
klienta sleduyushchim obrazom: </p>
<p style="mso-pagination:none">smit tcpip -&gt; Further Configuration - &gt;
Server Network Services - &gt; Other Available Services - &gt; Dhcpcd Subsystem</p>
<h2 style="mso-pagination:none">Kombinacii parametrov dlya
zayavlenij klienta</h2>
<p style="mso-pagination:none">Zayavleniya klienta
obespechivayut opcii specificheskie
konkretno dlya nego, naprimer, neobhodimost'
rezervirovaniya adresa IP ili udaleniya
adresa iz diapazona.</p>
<p style="mso-pagination:none">Pri ispol'zovanii
parametra &lt;stroka&gt;, kazhdaya &lt;stroka&gt;
dolzhna byt' unikal'na. Stroka klienta -
ustrojstvo-zavisimaya stroka, kotoraya mozhet
ispol'zovat'sya, chtoby identificirovat'
specificheskoe ustrojstvo sootvetstvuyushchim
MAC-adresom.</p>
<p style="mso-pagination:none">Stroka daet vozmozhnost'
serveru DHCP identificirovat' klienta i
obespechit' ego korrektnoe obsluzhivanie.</p>
<p style="mso-pagination:none">Sintaksis dlya zayavleniya
klienta pokazyvaetsya nizhe:</p>
<pre style="mso-pagination:none"><span style="mso-bidi-font-family: Times New Roman; mso-bidi-font-weight: normal"><span><span lang="RU" style="mso-bidi-font-family: Times New Roman; mso-bidi-font-weight: normal">Client     &lt; tip apparatury&gt;<span style="mso-spacerun: yes; mso-bidi-font-family: Times New Roman; mso-bidi-font-weight: normal">  </span>&lt; adres apparatury &gt;<span style="mso-spacerun: yes; mso-bidi-font-family: Times New Roman; mso-bidi-font-weight: normal">  </span>&lt; IP adres &gt;</span><span style="mso-bidi-font-family: Times New Roman; mso-ansi-language: EN-US; mso-bidi-font-weight: normal">
1=Ethernet </span><span lang="RU" style="mso-bidi-font-family: Times New Roman; mso-bidi-font-weight: normal">adres</span><span style="mso-bidi-font-family: Times New Roman; mso-ansi-language: EN-US; mso-bidi-font-weight: normal"> &lt;</span><span lang="RU" style="mso-bidi-font-family: Times New Roman; mso-bidi-font-weight: normal">stroka</span><span style="mso-bidi-font-family: Times New Roman; mso-ansi-language: EN-US; mso-bidi-font-weight: normal">&gt; &lt;none&gt;
6=token-ring<span style="mso-spacerun: yes; mso-bidi-font-family: Times New Roman; mso-bidi-font-weight: normal">            </span>&lt;any&gt;
1=FDDI
0= &lt;</span><span lang="RU" style="mso-bidi-font-family: Times New Roman; mso-bidi-font-weight: normal">stroka</span><span style="mso-bidi-font-family: Times New Roman; mso-ansi-language: EN-US; mso-bidi-font-weight: normal">&gt; on the next field</span></span></span></pre>
<p style="mso-pagination:none">Razlichnye kombinacii etih
parametrov imeyut razlichnyj effekt.
Rezul'taty iz opredeleniya razlichnyh
kombinacij perechisleny nizhe:
</p>
<table border="0" width="100%" cellspacing="0" cellpadding="0">
  <tr>
    <td width="25%"><b>Tip apparatury</b></td>
    <td width="25%"><b> Apparatnyj adres</b></td>
    <td width="25%"><b> IP adres</b></td>
    <td width="25%"><b> Rezul'tat</b></td>
  </tr>
  <tr>
    <td width="25%">0</td>
    <td width="25%">0</td>
    <td width="25%">&lt;IP adres&gt;</td>
    <td width="25%"> &lt;IP adres&gt; dolzhen byt'
      udalen iz diapazona</td>
  </tr>
  <tr>
    <td width="25%">0</td>
    <td width="25%"> &lt;stroka&gt;</td>
    <td width="25%">&lt;IP adres&gt;</td>
    <td width="25%">
 Klientu, kotoryj identificirovan &lt;strokoj&gt;
dolzhen byt' prisvoen &lt;IP adres&gt;</td>
  </tr>
  <tr>
    <td width="25%">&lt;type&gt;</td>
    <td width="25%">&lt;address&gt;</td>
    <td width="25%">&lt;IP adres&gt;</td>
    <td width="25%">
  Konkretnomu ustrojstvu &lt;type&gt;
  s adresom &lt;address&gt; dolzhen byt' prisvoen adres IP
      &lt;IP adres&gt;</td>
  </tr>
  <tr>
    <td width="25%">&lt;type&gt;</td>
    <td width="25%">&lt;address&gt;</td>
    <td width="25%">none</td>
    <td width="25%"> Ne davat' IP adres dlya konkretnoj apparatury
  s konkretnym adresom</td>
  </tr>
  <tr>
    <td width="25%"> 0</td>
    <td width="25%"> &lt;stroka&gt;</td>
    <td width="25%"> none </td>
    <td width="25%"> Ne
  otvechat' dlya konkretnogo klienta
  identificirovannogo &lt;strokoj&gt;</td>
  </tr>
  <tr>
    <td width="25%">&lt;type&gt;</td>
    <td width="25%">&lt;address&gt;</td>
    <td width="25%">any</td>
    <td width="25%"> Predostavit' lyuboj svobodnyj adres IP
dlya konkretnoj apparatury s konkretnym
apparatnym adresom. Ispol'zuetsya v
kombinacii s vystavlennym parametrom
supportunlistedclients=no.</td>
  </tr>
  <tr>
    <td width="25%"> 0</td>
    <td width="25%"> &lt;stroka&gt;</td>
    <td width="25%"> any </td>
    <td width="25%"> Predostavit'
lyuboj svobodnyj adres IP dlya klienta
identificirovannogo &lt;strokoj&gt;.
Ispol'zuetsya v kombinacii s vystavlennym
parametromsupportunlistedclients=no.</td>
  </tr>
</table>
<h2>Agent
retranslyacii BOOTP</h2>
<p>Pri marshrutizacii
soobshchenij BOOTP iz odnoj podseti v druguyu,
marshrutizator obychno vypolnyaet
retranslyaciyu; odnako, AIX podderzhivaet
progressivnuyu marshrutizaciyu BOOTP peresylki.
<p>Agent retranslyacii BOOTP startuet i
ostanavlivaetsya podobno serveru DHCP.
<p>
Konfiguraciya zavershatsya vneseniem stroki v
fajl<b> /etc/dhcprd.cnffile</b>. Agent retranslyacii poshl£t
paket vsem serveram, opredelennym v etom
fajle.
<h2>Trebovaniya k diskovomu prostranstvu
dlya servera DHCP</h2>
<p>Trebovaniya k diskovomu
prostranstvu dlya servera zavisyat ot chisla
klientov. Trebuemoe diskovoe
ispol'zovanie dlya podderzhki odnogo klienta
- 360 bajt.
<p> <a href="#gsindex.html">K soderzhaniyu</a>
<a href="#gs18.html">Vpered</a>   <a href="#gs16.html">Nazad</a></p>

</body>

</html>
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">

<html>

<head>
<meta http-equiv="Content-Language" content="ru">
<title>Reshenie problem i nastrojka
proizvoditel'nosti v seti TCP/IP</title>
</head>

<body bgcolor="#C0C0C0">

<a name=gs18.html></a>

<p> <a href="#gsindex.html">K soderzhaniyu</a>
<a href="#gs19.html">Vpered</a>   <a href="#gs17.html">Nazad</a></p>

<h1>Reshenie problem i nastrojka
proizvoditel'nosti v seti TCP/IP</h1>
<h2>Dekompoziciya problemy</h2>
<p>Dazhe v samom prostom sluchae seti s dvumya
uzlami, sushchestvuet mnogo apparatury i
parametrov programmnogo obespecheniya,
vzaimosvyaz' mezhdu kotorymi mozhet
znachitel'no vliyat' na effektivnost' raboty
seti. Obychno, podhod k takoj slozhnoj
probleme dolzhen nachinat'sya s dekompozicii
obshchej problemy na bolee melkie chasti i tak
dalee, do nahozhdeniya pervoistochnikov
problemy i zatem uzh vypolnyaetsya
sistematicheskij i logicheskij plan udaleniya
vozmozhnyh prichin, poka ne budet dostignuto
e£ reshenie.</p>
<p>Tak s chego zhe nachat'? Kvalificirovannyj
setevoj analitik vsegda nachinaet s polnogo
ponimaniya tekushchej setevoj sredy. Voobshche,
etot podhod podrazumevaet
dokumentirovanie setevoj topologii,
prikladnyh programm i ispol'zuemyh
protokolov.</p>
<p>Esli setevaya konfiguraciya neizvestna,
ispol'zujte komandu ping -R hostname i/ili komandy
traceroute. Opciya - R komandy ping dopuskaet
ispol'zovanie vozmozhnosti zapisi marshruta
IP. Otricatel'nyj rezul'tat vypolneniya ping
oznachaet, chto ne rabotaet ili uzel ili set'.
Dlya togo, chtoby uznat', chto imenno ne
rabotaet, trebuetsya vospol'zovat'sya
drugimi sredstvami. Komanda ping takzhe ne
daet informacii o sostoyanii uzla-adresata.
Komanda traceroute, analogichno vyvodit marshrut,
kotoryj pakety IP berut na setevom uzle, no
nakaplivaet informaciyu nemnogo po-drugomu. </p>
<p>Komanda traceroute ispol'zuet dva sposoba
proslezhivaya peredachu informacii do
adresata: malen'koe znachenie ttl (vremya zhizni)
i otkazavshij nomer porta. </p>
<p>Traceroute zapuskaet pakety UDP s malen'kimi
znacheniyami ttl, chtoby obnaruzhit'
promezhutochnye marshrutizatory. Komanda
traceroute byla sozdana dlya setevogo
testirovaniya, izmereniya i upravleniya. Vy
dolzhny ispol'zovat' e£ prezhde vsego dlya
obnaruzheniya neispravnosti vruchnuyu. Iz-za
nagruzki, kotoruyu ona nalagaet na set', vy
ne dolzhny ispol'zovat' komandu traceroute v
techenie normal'nyh operacij ili iz
avtomatizirovannyh scenariev.</p>
<p>Pri normal'no rabotayushchej seti
zadokumentirujte parametry, vydavaemye vam
vysheukazannymi komandami. |to pozvolit vam
sravnit' s nimi izmenenie parametrov seti,
voznikshie pri dobavlenii novoj apparatury
ili programm.</p>
<p>CHtoby sozdaniya polnogo obzora
effektivnosti i konfiguracionnoj
informacii seti, ispol'zujte paket <b>PerfPMR</b>.
CHtoby poluchat' naibolee polnye dannye o
seti vy dolzhny vypolnit' komandu <b> perfpmr 3600</b> v
tot chas, kogda nagruzka na set' yavlyaetsya
maksimal'noj. Vyhodnye fajly etoj komandy
poyavyatsya v kataloge /var/perf/tmp.</p>
<p>Esli vozmozhno, ustanovite, chto yavlyaetsya
&quot;normal'yu&quot; dlya vashej seti, kontroliruya
trafik v techenie neskol'kih mesyacev.</p>
<h2>Pojmite problemu</h2>
<p>Ogranichivayut proizvoditel'nost' TCP/IP v AIX
obychno sleduyushchie faktory:</p>
<p>˛ nedostatochnoe otnositel'noe
bystrodejstvie apparatnyh sredstv;<br>
˛ kolichestvo ciklov CPU, neobhodimyh dlya
vypolneniya dannoj chasti koda ;<br>
˛ razmer paketov peredavaemyh dannyh ;<br>
˛ proizvoditel'nost', s kotoroj dannye
keshiruyutsya v klientskoj pamyati,
promezhutochnom zvene i sistemah servera;<br>
˛ kachestvo koda pol'zovatelej, kotoryj
obrashchaetsya k podsisteme lokal'noj
vychislitel'noj seti.</p>
<p>Takim obrazom, vy dolzhny ponyat', kak
kazhdyj iz etih faktorov sposobstvuet
nedostatochnoj setevoj effektivnosti.</p>
<p>Vse uzly, prisoedinennye k lokal'noj
vychislitel'noj seti sovmestno ispol'zuyut
obshchij kanal peredachi. Poetomu seti s
bol'shim kolichestvom serverov i sotnyami
rabochih stancij, peredacha mul'timedijnyh
dannyh i t.p. mogut sovershenno zagruzit'
kanal peredachi dannyh.</p>
<p>Nastrojka effektivnosti raboty CPU
yavlyaetsya predmetom osobogo rassmotreniya i
v etoj knige ne privoditsya.</p>
<p>Razmer paketa dannyh takzhe igraet bol'shuyu
rol' v ogranichenii effektivnosti seti.
Obychnoe rassuzhdenie privodit nas k vyvodu,
chto bol'shie pakety luchshe, tak kak
umen'shaetsya kolichestvo peredavaemoj
sluzhebnoj informacii (adres i t.p.) i
snizhaetsya nagruzka uzlov. |to verno do toj
stepeni velichiny paketov, kotoraya ne
vyzyvaet fragmentaciyu, tak kak
fragmentaciya paketov mozhet predstavlyat'
uzhe druguyu problemu.</p>
<p>Pri nedostatochnoj pamyati klienta dlya
keshirovaniya poluchaemyh dannyh, nekotorye
dannye mogut byt' propushcheny. Pri postoyannom
zatore proishodit effekt &quot;ping-ponga&quot;,
kogda peredayushchij uzel vs£ vremya pytaetsya
peredat' pakety prinimayushchemu uzlu, a tot
otbrasyvaet ih obratno.</p>
<h2>Vybor &quot;pravil'nogo&quot; instrumenta</h2>
<p>Dlya kontrolya i nastrojki sovremennyh
geterogennyh setej administratory dolzhny
imet' sootvetstvuyushchie instrumental'nye
sredstva.</p>
<p>Setevye diagnosticheskie
instrumental'nye sredstva mozhno razdelit'
na dve kategorii: na te, kotorye soobshchayut
vam, chto proishodit i na te, kotorye,
pozvolyayut nekotorym obrazom
proreagirovat' na to, chto proishodit.</p>
<h3><b>Dlya fizicheskogo urovnya:</b> tester (TDR)</h3>
<p>Dlya setej Ethernet, veroyatno, naibolee
poleznyj instrument - tester (TDR). TDR
prisoedinyaetsya k seti vmesto odnogo iz
terminatorov. Zatem tester ispuskaet
signal izvestnoj moshchnosti i formata i
izmeryaet otvet. Kazhdyj tip setevoj
neispravnosti daet specificheskij tip
otveta na TDR. Vy dolzhny oznakomit'sya s
dokumentaciej na tester, chtoby
interpretirovat' eti otvety. Vy dolzhny
pravil'no ustanovit' parametry TDR dlya
raznyh tipov kabelej.</p>
<h3><b>Dlya kanal'nogo urovnya:</b> komanda ifconfig </h3>
<p>Vy mozhete ispol'zovat' komandu ifconfig,
chtoby proverit' sostoyanie fizicheskogo
setevogo interfejsa (yavlyaetsya li on
rabotosposobnym i gotovym poluchat' pakety,
pravil'no li vy ego skonfigurirovali,
tekushchij adres Internet).</p>
<h3><b>Dlya setevogo urovnya:</b> komanda tokstat</h3>
<p>Komanda tokstat otobrazhaet statistiku,
opredelennogo drajvera ustrojstva Token-Ring.</p>
<h3><b>Dlya setevogo urovnya:</b> komanda ping</h3>
<p>Komanda Packet InterNet Groper (ping) posylaet
dejtagrammu ECHO_REQUEST protokola ICMP (ne trebuet
nalichiya servernyh processov na zondiruemom
uzle) na konkretnyj uzel, chtoby opredelit'
yavlyaetsya li etot uzel dostupnym. CHast'
otveta, kotoruyu vy poluchaete ot ping - eto
vremya peredachi dejtagrammy tuda i obratno. </p>
<p>Izmenyaya kolichestvo dannyh i vydavaya ping na
promezhutochnye uzly, vy mozhete poluchat'
informaciyu o tom, kakie uzly vklyucheny i
rabotayut. V vypolnenii komandy ping uchastvuyut
sistema marshrutizacii, shemy razresheniya
adresov i setevye shlyuzy, poetomu dlya
dostizheniya uspeshnogo rezul'tata etoj
komandy set' dolzhna byt' v bolee ili menee
rabotosposobnom sostoyanii. Esli otveta ot
uzla net, vy mozhete byt' sovershenno uvereny,
chto bolee slozhnye sredstva tem bolee ne
rabotayut.</p>
<h3>Dlya setevogo urovnya: komanda traceroute</h3>
<p>Vy mozhete ispol'zovat' komandu traceroute,
chtoby vyyavlyat' posledovatel'nost' shlyuzov,
cherez kotorye prohodyat pakety dlya
dostizheniya opredelennogo uzla.</p>
<h3>Dlya setevogo urovnya: komanda iptrace</h3>
<p>Vy dolzhny ispol'zovat' komandu iptrace
vsyakij raz, kogda vy dolzhny rassmotret'
pakety, kotorye mashina posylaet i poluchaet.
No sleduet uchityvat' sleduyushchee: eta komanda
zahvatyvaet vse peredavaemye i poluchaemye
pakety na setevom urovne v sootvetstvii
naboru fil'trov v komande iptrace. Tak kak eta
komanda yavlyaetsya pol'zovatel'skim
processom ona dolzhna konkurirovat' s
drugimi processami za CPU. Sledovatel'no, na
sil'no zagruzhennoj mashine, iptrace mozhet ne
zahvatyvat' vse pakety. I tak kak iptrace
otslezhivaet pakety na setevom urovne, to
net nikakih dokazatel'stv togo, chto paket
popal v kabel', tak kak prezhde paket dolzhen
projti cherez drajver i adapter, chtoby
dobrat'sya do kabelya.</p>
<p>V sluchayah, kogda vse zhe neyasno, chto
privodit k zatoram v seti, vy dolzhny
ispol'zovat' specializirovannyj setevoj
analizator.</p>
<h3>Dlya transportnogo urovnya: komanda tcpdump</h3>
<p>Komanda tcpdump sledit za trafikom v seti i
registriruet zagolovki paketa, kotorye
sootvetstvuyut bulevu vyrazheniyu,
zadavaemomu pol'zovatelem. Esli nikakih
parametrov ne zadano, komanda budet
otslezhivat' vse pakety v seti.</p>
<h3>Dlya kanal'nogo, setevogo i transportnogo
urovnej: komanda netstat</h3>
<p>Komanda netstat vozvrashchaet nabor statistiki
otnositel'no sostoyaniya seti. Komanda netstat -
horoshij instrument, chtoby pomoch'
opredelit' razmeshchenie problemy.</p>
<p>Kak tol'ko problema izolirovana, vy
mozhete ispol'zovat' bolee slozhnye
instrumental'nye sredstva, chtoby
prodolzhit' e£ reshenie. Naprimer, vy mogli by
ispol'zovat' komandy netstat -i i netstat -v, chtoby
opredelit', imeetsya li problema s
konkretnym apparatnym interfejsom i zatem
vypolnit' diagnostiku, chtoby eshch£ bolee
izolirovat' problemu.</p>
<p>Ili, esli komanda netstat -s pokazyvaet, chto
sushchestvuyut oshibki protokola, vy mogli by
zatem ispol'zovat' komandu iptrace dlya
detalizirovannogo analiza.</p>
<h3>Dlya kanal'nogo, setevogo i transportnogo
urovnej: komanda netpmon</h3>
<p>|tot instrument kontroliruet i vyda£t
statistiku setevogo vvoda-vyvoda i
svyazannogo s obsluzhivaniem seti
ispol'zovaniya CPU.</p>
<p>Komanda netpmon pokazhet trafik uzla na
kanal'nom, setevom i transportnom urovnyah (protokoly
TCP i UDP). |ta komanda mozhet takzhe obnaruzhit'
trafik v drugie seti i otobrazhat' setevuyu
statistiku trafika sortiruya informaciyu po
uzlam.</p>
<h3>Dlya kanal'nogo, setevogo i transportnogo
urovnej: setevye analizatory</h3>
<p>Pri specificheskih problemah dlya izucheniya
soderzhaniya paketov dannyh v seti vy mozhete
ispol'zovat' analizator protokola.
Analizator protokola fiksiruet polnuyu
strukturu setevyh dannyh, bez svyazi s
ispol'zuemymi protokolami ili s setevoj
operacionnoj sistemoj. On obrabatyvaet
strukturu kak neobrabotannye dannye. </p>
<p>Dostupny neskol'ko kommercheskih paketov.
Oni budut fiksirovat' strukturu dannyh i
dekodirovat' ih soglasno tipa protokola,
pokazyvaya informaciyu upravleniya v
sootvetstvuyushchih urovnyah modeli OSI.</p>
<p>Analizator protokola - ochen' cennyj
instrument, no trebuet neplohogo znaniya
setevyh protokolov.</p>
<p>Vy takzhe dolzhny znat', chto termin &quot;setevoj
analizator&quot; mozhet oznachat' razlichnye
veshchi u raznyh prodavcov. Nekotorye prodavcy
mogut polagat', chto setevoj monitor budet
nazyvat'sya setevym analizatorom. Monitory
fiksiruyut informaciyu o trafike, tipa
kolichestvo peredannyh frejmov v sekundu
ili chislo frejmov, kotorye soderzhat oshibki.
|ti ustrojstva ne yavlyayutsya istinnymi
analizatorami, tak kak oni nesposobny
dekodirovat' informaciyu protokola bolee
vysokogo urovnya, kotoruyu soderzhit
peredannyj frejm.</p>
<h3>Dlya urovnej ot kanal'nogo do prikladnogo:
Performance Reporter</h3>
<p>Ranee bylo nevozmozhno poluchit' svodnoe
predstavlenie obo vseh sistemah i setevoj
effektivnosti v slozhnoj i raspredelennoj
srede. IBM SystemView for AIX Performance Reporter (Performance Reporter)
ustranyaet etu problemu obespechivaya
effektivnye, informativnye otchety
osnovannye na dannyh, sgenerirovannyh iz
vstroennoj bazy dannyh. |tot instrument
pozvolyaet chasto obnaruzhivat' vozmozhnye
problemy do ih vozniknoveniya.</p>
<p>Dannye, sobrannye Performance Reporter pomogut vam
uznat' to, kakie pol'zovateli ispol'zuyut
kakie resursy i proanalizirovat' uzkie
mesta i drugie problemy proizvoditel'nosti.</p>
<p>Vy mozhete sobrat' informaciyu o
proizvoditel'nosti s uzlov pod upravleniem
AIX, Sun Solaris, i HP-UX. Vy mozhete legko
ispol'zovat' dannye iz bazy dannyh Performance
Reporter v drugih prikladnyh programmah. Model'
dannyh horosho zaregistrirovana i prosto
izmenyaetsya.</p>
<p>Performance Reporter podderzhivaet SUBD DB2/6000 i Oracle.</p>
<p> <a href="#gsindex.html">K soderzhaniyu</a>
<a href="#gs19.html">Vpered</a>   <a href="#gs17.html">Nazad</a></p>

</body>

</html>
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">

<html>

<head>
<meta http-equiv="Content-Language" content="ru">
<title>Bezopasnost'</title>
</head>

<body bgcolor="#C0C0C0">

<a name=gs19.html></a>

<p> <a href="#gsindex.html">K soderzhaniyu</a>
<a href="#gs20.html">Vpered</a>   <a href="#gs18.html">Nazad</a></p>

<h1>Bezopasnost'</h1>
<p>Sistema bezopasnosti AIX sootvetstvuet
urovnyu bezopasnosti S2. |tot standart
pred®yavlyaet k sisteme osnovnye shest'
trebovanij:</p>
<blockquote>
<p>˛ Dolzhny byt' vvedeny chetko
sformulirovannye pravila bezopasnosti;<br>
˛ Dolzhny byt' odnoznachno opredeleny vse
pol'zovateli i ih prava dostupa;<br>
˛ Vse ob®ekty dolzhny byt' pomecheny
sootvetstvuyushchim urovnem bezopasnosti;<br>
˛ Sistema dolzhna otslezhivat' vse dejstviya,
svyazannye s zashchitoj, i zakryvat' etu
informaciyu;<br>
˛ Sistema dolzhna obespechivat' bezopasnost'
i byt' sposobna dokazat' effektivnost'
etogo obespecheniya;<br>
˛ Sistema dolzhna byt' sposobna zashchitit'
sama sebya.</p>
</blockquote>
<p>Svidetel'stvo na sootvetstvie urovnyu
bezopasnosti ne garantiruet togo, chto
sistema zashchity sovershenna. Nalichie
svidetel'stva prosto govorit o tom, chto
sistema proshla testy na sootvetstvie
urovnyu bezopasnosti.</p>
<p>Nabora sredstv dlya obespecheniya
bezopasnosti, vstroennyh v AIX, vpolne
dostatochno dlya realizacii priemlemoj
politiki bezopasnosti kommercheskih
organizacij. Vazhno tol'ko umet' pravil'no
vospol'zovat'sya etimi sredstvami.</p>
<h2>Politika bezopasnosti</h2>
<p>&quot;Bezopasnost' - funkciya upravleniya&quot;.
|to utverzhdenie povtoryaetsya pri lyubom
obsuzhdenii problem bezopasnosti - i&#8230;
chasto ignoriruetsya. Nikakaya kombinaciya
apparatnyh sredstv i programm zashchity
programmnogo obespecheniya ne budet
effektivna bez sootvetstvuyushchej sredy
upravleniya, vklyuchaya vse urovni upravleniya. </p>
<p>Kazhdaya organizaciya nuzhdaetsya v politike
bezopasnosti. |to utverzhdenie mozhet
pokazat'sya ochen' prostym, no ono dolzhno
odnoznachno byt' ponyato kazhdym sotrudnikom
v organizacii. Politika bezopasnosti i e£
realizaciya obsuzhdalas' vo mnogih
istochnikah. Postarayus' ne povtoryat' eti
dokumenty. No neobhodimo eshch£ raz otmetit'
to, chto politika bezopasnosti ochen' vazhna,
tak kak ochen' prosto oshibit'sya pri
ustanovke zashchity informacionnoj sistemy
bez znaniya celej bezopasnosti. </p>
<p>|lementy politiki bezopasnosti dolzhny
vklyuchat' v sebya otvety na sleduyushchie voprosy: </p>
<p>Granicy bezopasnosti mezhdu sotrudnikami,
gruppami, organizaciej i ostal'noj chast'yu
mira. Dlya etogo nuzhno imet' otvety na
sleduyushchie voprosy:</p>
<blockquote>
  <p>˛ Kakie tipy dannyh dolzhny byt'
  ogranicheny dlya konkretnyh lyudej?<br>
  ˛ Kakie dannye razdelyaetsya mezhdu otdelami
  ili drugimi gruppami?<br>
  ˛ CHto yavlyaetsya dostupnym kazhdomu v
  organizacii?<br>
  ˛ CHto yavlyaetsya dostupnym dlya vneshnego mira?<br>
  ˛ Kak dolzhna organizaciya razdelena po
  gruppam (v smysle dostizheniya celej
  bezopasnosti)?<br>
  ˛ Kakie urovni bezopasnosti neobhodimy
  dlya etih razlichnyh grupp?<br>
  ˛ Gde razdel mezhdu udobstvom v rabote i
  trebuemoj zashchitoj?<br>
  ˛ Kakova stoimost' bezopasnosti?<br>
  ˛ CHto takoe dlya vas priemlemaya stoimost'
  bezopasnosti? (Zatraty na
  administrirovanie i dostavlyaemoe
  neudobstvo pol'zovatelyam - eto takzhe chasti
  obshchej stoimosti bezopasnosti).<br>
  ˛ Kakova stoimost' poteryannyh,
  razrushennyh ili skomprometirovannyh
  dannyh?<br>
  ˛ Sopostavima li ona so stoimost'yu
  zatrachennyh sredstv na obespechenie
  bezopasnosti?<br>
  ˛ Kto budet upravlyat' obespecheniem
  informacionnoj bezopasnosti?<br>
  ˛ Kto budet osushchestvlyat' kontrol'? |ti
  funkcii trebuyut vremeni i kvalifikacii.
  Ved' poka net takih intellektual'nyh
  avtomatizirovannyh sredstv kotorye sami
  soboj podderzhivali by neobhodimyj uroven'
  bezopasnosti<br>
   ˛ Kak vazhno soblyudat' politiku
  bezopasnosti sotrudnikami?<br>
  ˛ Kakovy mehanizmy prinuzhdeniya? Naprimer,
  v nekotoryh organizaciyah cheloveka mogut
  tol'ko pozhurit' za narushenie im
  trebovanij bezopasnosti. V drugih
  organizaciyah etot chelovek byl by uvolen
  nemedlenno za to zhe samoe narushenie.</p>
</blockquote>
<h2>Ot kogo zashchishchaemsya?</h2>
<p>Pri slove &quot;bezopasnost'&quot; chashche vsego
voznikayut obrazy zashchity ot promyshlennogo
shpionazha i hakerov. No eto lish' ochen'
malen'kij element obespecheniya
informacionnoj bezopasnosti. Praktika
pokazyvaet, chto osnovnye problemy zashchity
informacii svyazany bol'she s vnutrennimi
pol'zovatelyami, chem s vneshnimi. I glavnymi
problemami yavlyayutsya:</p>
<p>1. <b> Oshibki.</b> Naprimer, pol'zovatel' mozhet
oshibochno udalit' fajl. Zashchishchennye vazhnye
fajly i horoshaya procedura rezervirovaniya (kotoraya
yavlyaetsya takzhe elementom bezopasnosti)
umen'shat eti problemy.</p>
<p>2. <b> Obizhennye sluzhashchie (ili uvolennye
sluzhashchie).</b> Oni mogut unichtozhit', ukrast' i
peredat' tret'ej storone konfidencial'nuyu
informaciyu, vnesti zavedomo nepravil'nye
dannye, ili mogut prosto napakostit' v
sisteme.</p>
<p>3. <b> Lyubopytnye sluzhashchie.</b> Naprimer, kazhdyj iz
nih hotel by chitat' (i vozmozhno izmenyat')
mnogie sluzhebnye fajly i platezhnuyu
vedomost'.</p>
<p>4. <b> Sluzhashchie &quot;s otkloneniyami&quot;.</b> Vzlom
sistemy bezopasnosti yavlyaetsya
razvlecheniem dlya nekotoryh lyudej. Bez
zhelaniya nanesti vred. Odnako, esli
konfidencial'naya informaciya dolzhna
ostat'sya konfidencial'noj, ona dolzhna
ostat'sya