Innledning "Intranett er et bedriftsinternt nettverk basert på TCP/IP-protokollen. Nettverket tar i bruk åpne Internett-standarder og -applikasjoner. Nettverket er normalt bare åpent for organisasjonens medlemmer eller andre med spesiell autorisasjon." Beskrivelse av TCP/IP Introduksjon Vi har allerede skrevet litt om TCP/IP i kapitel 1, men her ønsker vi å utdype emnet. I grove trekk kan vi si at TCP tar seg av meldingene som skal sendes, mens IP tar seg av adresseringen. For å forstå hvordan TCP/IP fungerer ønsker vi først å se på OSI- modellen, deretter utdype temaet TCP/IP, og til slutt se på IP-adressering og subnett. Det er viktig å presisere at TCP/IP ikke er bygd på OSI-modellen, men blir ofte sammenliknet med den. TCP/IP (Transmission Control Protocol/Internett Protocol) Kommunikasjon mellom ulike nettverk bygger på protokoller. TCP/IP er navnet på en gruppe protokoller som tilbyr pålitelig overføring av data. Med protokoll menes et sett med lover og regler som definerer hvordan data blir utvekslet i et datanettverk. TCP/IP ble utviklet som et resultat av ekspansjonen av Internett og har også blitt den viktigste protokollen for interne nettverk. Man kan si at TCP/IP dekker to lag i OSI modellen. På transportlaget finner man TCP, og på nettverkslaget finner man IP TCP TCP er forbindelsesorientert og tilbyr pålitelig datatransport. En forbindelsesorientert tjeneste vil si at du har en opp- og nedkoblingssekvens. Du må koble deg opp mot mottaker før du kan sende. Fordelen er at du har større kontroll om data har kommet frem fordi protokollen garanterer avlevering. Ulempen er at oppkoblingssekvensen tar tid. Siden TCP krever oppkobling før sending sender den først en forespørsel til en annen maskin. For å kunne sende en slik forespørsel, må senderen spesifisere mottakerens adresse og portnummer. Når denne såkalte "handshake-prosedyren" er gjennomført, tilbyr TCP en full duplex-forbindelse, dvs. at data kan strømme i begge retninger på samme tid. Når forbindelsen skal avsluttes, blir det fra en av maskinene sendt en beskjed om at det ikke er mer data å sende. Den andre maskinen bekrefter beskjeden, og data kan ikke lenger bli sendt. 1
Figur 1: Hvordan data blir innkapslet i hver lag. TCP setter en TCP-headeren på datagrammet og bruker sende-tjenesten i IP-laget for å sende det. Figur 2: TCP- header TCP-headeren inneholder 20 oktetter. De viktigste delene av headeren er sender- og mottakeradresse, portnummer og sekvensnummeret. TCP-headeren bestemmer også rekkefølgen til datagrammet. Hvis et datagram har feil sjekksum eller et datagram mangler, vil TCP sende datagram om igjen. IP IP-laget mottar data fra TCP-laget i form av datagrammer, dvs en datamengde, som bare sendes til adressanten uten noen form for kvittering. IP-laget mottar datagrammet med TCP-headeren og setter på en IP-header før det blir sendt. IPlaget sender datagrammet fra avsender, gjennom nettverket, til mottaker. IP er en forbindelseløs protokoll som ikke gir garanti for levering eller feilfrie pakker. Dette overlates til TCP. Figur 3: Format på IP-pakke 2
IP-nettverk Tjenester i et IP-nettverk DHCP (Dynamic Host Configuration Protocol DNS (Domain Name System) E-mail (SMTP, IMAP, POP) Alle maskiner som skal bruke IP i et lokalnett, må ha sin egen IP-adresse. Dette nummeret kan konfigureres lokalt på hver maskin, eller maskinen kan ved oppstart henvende seg til en tjener for å motta en adresse. Tildelingsprotokollen DHCP (Dynamic Host Configuration Protocol) gjør det mulig for nettverkstjeneren å dele ut dynamiske adresser til de maskinene i lokalnettet som ber om det. Derimot må tjeneren ha en fast IP-adresse for å kunne tildele klientene adresser, og for å bli gjenkjent av Internett-brukere. IP-adresser for internbruk i lokalnettet kan settes opp av IT-avdelingen og trenger ingen godkjenning. Det er likevel viktig å skille disse fra de "ekte" Internett IPadressene, og man må være på vakt slik at man ikke oppretter to like adresser. Interne adresser blir ikke sett fra eksterne Internettbrukere. IP- adresser IP-adresser er et 32-bit nummer (for eksempel 128.136.128.128) som identifiserer senderen eller mottakeren. En IP-adresse består av to elementer: nettverksnummer host-nummer Når man snakker om IP-adresser er disse protokollene involvert: ARP (Lag 2) DNS (Lag 3) Deling av subnett IP-adressering tillater en oppdeling av en nettadresse i subnett. Har man fått tildelt en IP-adresse innenfor for eksempel klasse B kan man dele opp hele datanettet i enkelte subnett, med egne subnett-adresser. Nettmasken bestemmer hvor stor del av den totale adressen som skal være subnett-adresse. For hvert subnett blir to adresser borte, den ene angir identifikasjonen til nettverket og den andre er broadcast-adressen til nettverket. Man kan dele adressene i 5 forskjellige klasser av nett: Klasse A bruker den første byten til å identifiserer nettverket. Første bit (0) viser at det er en A-adresse. Denne klassen omfatter adressene i mellomrommet 0.0.0.1 til 127.255.255.254. 7 bit brukes til å identifisere nettverket, og 24 bit til å identifisere datamaskiner. Denne klassen av adresser brukes i nettverk med svært mange hoster. Klasse B bruker de to første bytene til å identifisere nettverket. De to første bitene (10) viser at det er en B-adresse. Adressene strekker seg fra 128.0.0.1 til 191.255.255.254. 14 bit brukes for for å identifisere nettverket, og 16 bit til å identifisere maskiner. Denne klassen av adresser brukes i nettverk med et moderat antall hoster. Klasse C bruker de tre første bytene til å identifisere nettverket. De tre første bitene (110) viser at det er en C-adresse. Adressene er mellom 192.0.0.1 og 223.255.255.254. 21 bit brukes for nettverksidentifikasjon, og 8 bit til maskinidentifikasjon. Denne klassen passer for små installasjoner, med få hoster. Klasse D er reservert til spesielt bruk. Klasse E er reservert til spesielt bruk. Sikkerhetsproblematikken rundt en server 3
En server yter tjenester til nettverket. En server kan være en web-, mail-, news-, fileller diskserver. En server er den viktigste komponenten i et lokal- og intranett. Det er mange andre komponenter i nettet som er avhengig av og som aktivt bruker serveren. Skulle serveren gå ned vil hele lokal- og intranettet, og ikke minst bedriften lide. Sikkerhet handler ikke bare om feil på komponenter og nedetid. De fleste nett inneholder viktig og sensitiv informasjon. Informasjon de ikke vil at andre skal få tak i. Både bedriftens ansatte og andre utenfra kan være interessert i å misbruke denne informasjonen. Det er derfor viktig å sikre denne informasjonen både mot misbruk innenfra og utenfra bedriften. Forskjellige bedrifter har ulike krav til sikkerheten. Hva bedriften trenger å sikre, hvem og hva vi skal sikre det mot er spørsmål hver bedrift må finne svar på. Valg av hvilket sikkerhetsnivå bedriften skal basere seg på er en avveining av tre faktorer, integritet, tilgjengelighet og konfidensialitet. Figur 4: Sikkerhetstriangel Tilgjengelighet Tar for seg hvem som har tilgang til informasjon og hvor enkelt denne tilgangen skal være. Konfidensialitet Tar for seg informasjon som ingen skal ha tilgang til. Integritet Være sikker på at informasjonen er korrekt, og at den som står bak informasjonene er den den utgir seg for. En kan ikke velge å ha full konfidensialitet og samtidig full integritet. Bedriften må finne en god mellomting mellom disse tre faktorene slik at nettet er brukervennlig med likevel sikkert. To måter å sikre utstyr på: Fysisk sikring Denne sikringer har med å sikre utstyr med f.eks låser, alarmer og detektorer. Som nevnt tidligere er serveren en veldig viktig komponent i nettverket. Den bør plassere i et eget, avlåst rom hvor få har fysisk tilgang til den. Det kan forekomme strømavbrudd eller strømvariasjoner som gjør at strømmen til serveren blir brutt og den går ned. For å sikre dataen når dette skjer kobler man en UPS (Uninterruptible Power Supply) til serveren. En UPS kommunisere med serveren og gjennom et signal forteller at strømmen er gått. Batterireserve tar over og 4
serveren har tid å ta slå seg av på en kontrollert måte. Ved strømvariasjoner vil UPSen holder serveren i gang. Figur 5: Hvordan vi kan koble en USP i et nettverk Logisk sikring Her skal bedriften sikre seg mot at kun de som har tilgang til nettverket skal få tilgang. Dette gjelder både mennesker utenfor og innenfor lokalnettet. For å sikre at mennesker utenfra ikke får tilgang til nettet bruker bedriften en brannmur. Behovet for brannmur er ganske generelt uansett hva slags nettverk man har. Henviser til delen om 'Internettproblem' i kapittel 1. Der står det litt om forskjellige brannmurer, og hvordan de fungerer. For å få best mulig utbytte av et nett deler bedriften ressursene mellom brukere. En bruker er: En bruker er en logisk representasjon av en person som skal benytte deler av ressursene i nettverket. En bruker er vanligvis personlig, og en brukeridentitet knyttes derfor oftest til en konkret person. Det finnes også anonyme brukere i noen systemer. Til brukeridentiteten knyttes det ressurser i form av rettigheter. Disse rettighetene bestemmer hva brukeren har lov til å gjøre i nettverket. For at brukeren skal få tilgang til sine ressurser har man brukernavn og passord. Passordet skal være en sikkerhet på at du er den du sier du er. For at passordet ikke skal være for enkelt kan en sette opp visse retningslinjer for hvordan passordet skal være. Serveren kan for eksempel bare godta passord som består av 8 bokstaver. En god regel er at passordet skal bestå av en blanding av store og små bokstaver og at det skal minst ha 2 spesialtegn. Dette er en god måte å sikre seg mot at passordene blir for enkle og opplagte. Når man skal få lov til å ha tilgang til sine ressurser er også en logisk sikkerhet. Serveren kan nekte innlogging til bestemte tider, ha en grense på hvor mange samtidige innlogginger man kan ha og en begrensning på hvilke maskiner brukerne kan logge seg på. Sikkerhetskopiering Logisk og fysisk sikring er noe enhver bedrift må ha. Selv med veldig gode rutiner og regler for sikring er det mulig at uforutsette ting skjer. Det at mennesker ødelegger data og at servere går ned er noe bedrifter opplever. Når dette skjer er det viktig at bedriften har gode backup-rutiner. Har man ikke gode rutiner vil man miste verdifulle data, tid og penger. 5
Det er viktig å ta kopi av både statisk- (programvare) og dynamisk data (endres hele tiden). For statisk data er det ofte nok å ta en backup når man oppgraderer programvaren. Dynamiske data er nødvendige for den daglige driften av bedriften, så her må man ta backup ofte. Hvor ofte er litt avhengig av hva bedriften driver med. En god backupstrategi "skal være slik at backup tas ofte nok og grundig nok til at bedriften fortsatt kan være produktiv dersom datafeil oppstår". Det er noen ulike former for backup, full, inkrementell og differensiell: Ved full backup tar man kopi av alle filene Ved inkrementell backup tar man kopi av filer som er endret siden siste backup Differensiell backup inneholder kopi av alle filer som er endret siden siste fulle backup. Det er ulike medier å velge mellom når man tar backup. Magnetbånd er det vanligste, men det brukes også disketter, zip, cd-plate, dvd-plate og skuffedisker. Tjenester på en Internett/intranett server Vi kan dele de tjenester som kan gå på en Internett/intranett-server i to underkategorier: synlige tjenester skjulte tjenester Synlige tjenester Webserver En webside kan være en del av webserveren. Det går an å opprette virtuelle webservere på en fysisk webserver. Mailserver En mailserver er den mest brukte funksjonen i et Internett/intranett. Windows NT/2000 blir ikke levert med egen Mailserversoftware, men det finnes mange forskjellige typer av Mailserversoftware. Microsoft selger eget mailserver program i tillegg til Windows NT/2000, men det finnes også gode mailserver program som er gratis og kan lastes ned fra nettet, for eksempel Vintra mail-server. Elektronisk post er basert på protokollen SMTP (Simple Mail Transfere Protocol). SMTP protokollen brukes mellom de enkelte mailserverne, og er tekstbasert. FTPserver Kommandostyrt FTP er som regel tilgjengelig på klienter og servere i et intranett/internett. Det går greit å bruke en webleser for å hente noen få enkeltfiler fra FTP. Newsserver Når en oppretter en newsserver kan en opprette mange diskusjonsgrupper på intranett/internett. Det er enkelt å følge med på de newsgruppene en selv har interesse for. Telnet daemon Telnet er en tjeneste for terminalbruk mot en annen nettverksmaskin. IRC server Dette er en funksjon som en kan bruke til å sette opp egne diskusjonskanaler. Lyd/video streaming Dette vil si å sette opp serveren til å sende lyd og video. 6
Oppring samband Det vil si å installere modem eller ISDN-kontakter på serveren slik at den kan brukes som en Internett-node for brukerne. Skjulte tjenester Disse tjenestene vil bare bli nevnt og ikke beskrevet. Database Index-server Proxy server Firewall Router Ulike typer av rutere Innledning En helt generell beskrivelse av ruterens oppgave er å fange opp pakker på det lokale nettsegmentet som har en mottakeradresse som ligger på utsiden av dette segmentet. Når ruteren har fanget opp pakken sendes den videre. Hensikten med en ruter er altså å komme i kontakt med maskiner som befinner seg utenfor det lokal nettsegmentet. Du bruker ruteren til å koble sammen flere nettverkstyper og der du ønsker å koble brukerne opp mot Internett. Ruteren befinner seg på lag 3 i OSI-modellen (nettverkslaget), og kan forstå logiske adresser eller IP-adresser. Den er en avansert komponent som er i stand til å velge vei gjennom nettet, avhengig av hva som er beste rute. For å finne den beste rutem kommuniserer flere rutere med hverandre. Bruksområde I et lokalt nettverk har ruterens betydning blitt mindre den siste tiden. Svitsjene har overtatt mye av den funksjonaliteten som ruterne tidligere stod for. I tillegg finnes det broer som er rimeligere enn rutere og som samtidig er blitt mer avanserte. Det viktigste bruksområdet til rutere i dag er å ta seg av trafikken inn og ut av lokalnettverket. Et vanlig og naturlig sted for plassering av ruteren vil derfor være mellom lokalnettverket og Internett. Hva slags rutere? Det finnes forskjellige typer rutere, men de kan grovt deles i to hovedtyper: statiske rutere dynamiske rutere Forskjellen på disse er at statiske rutere krever at administratoren setter opp og konfigurerer ruting-tabellen og definerer hver enkelt rute. De dynamiske ruterne finner automatisk andre ruter og må derfor ikke mates manuelt med informasjon. 7
Figur 6: Eksempel på et nettverk som benytter ruter En annen måte å inndele ruterne kan være: Dedikert boks (en enhet som utelukkende er en ruter) For eksempel Cisco, Zyxel, 3Com. Disse har flere tilkoblingspunkter som de forskjellige nettverkssegmentene kobles til. Dedikerte rutere med flere innganger er forholdsvis dyre. PC-baserte rutere Dette kan være en rimeligere løsning der man kan benytte MS Windows 2000 server og tjenesten RRAS(Routing and remote access), eller benytte en Linux-boks og manuelt konfigurere ruting på den. Tjenermaskinen som skal fungere som ruter må ha flere nettverkskort som tilkobles de ulike nettverkssegmentene. ISDN-ruter Denne har ISDN-port og Ethernetport og kan benyttes i mindre nettverk, for eksempel for småbedrifter eller hjemmekontorer. Kort oppsummering av ruterens funksjon/oppgaver Kan koble sammen nettverk av ulik type Inneholder rutingtabeller 2 typer: o Statiske o dynamiske Viktigste oppgave er sammenkobling av lokalnett og Internett Filtrerende ruter = enkel brannmur Opererer på lag 3 i OSI-modellen 8