Разработка методов мандатной маршрутизации на базе ос мсвс

Разработка методов мандатной маршрутизации на базе ОС МСВС
Е.В. КОТОВ, С.В. КТИТРОВ
Национальный исследовательский ядерный университет «МИФИ»
РАЗРАБОТКА МЕТОДОВ МАНДАТНОЙ МАРШРУТИЗАЦИИ НА БАЗЕ ОС МСВС
Рассмотрены варианты построения отказоустойчивых вычислительных сетей, построенных на основе принципов
мандатного контроля доступа. Для решения задачи маршрутизации предложено использование модифицированных протоколов MPLS и OSPF. Это позволяет разграничивать зоны маршрутизации по признакам целостности информации,
характерным для ОС МСВС, в частности, мандатным меткам и категориям.
Мандатное управление доступом, реализованное в ОС МСВС, позволяет осуществлять построение защищенных систем с повышенными требованиями к безопасности и надежности. При
этом использование возможностей мандатной модели в большинстве случаев ограничивается рамками операционной системы или доверенной вычислительной сети.
На сегодняшний день существует ряд задач, решение которых выходит за рамки локальной
ЭВМ. Среди таких задач можно выделить реализацию следующих технологий:
 сетевые системы управления базами данных;
 безопасная виртуальная консолидация данных;
 защищенная электронная почта;
 службы каталогов (организация принципа Single-Sign-On);
 сетевая печать (маркировка документов в соответствии с мандатным уровнем пользователя);
 конференцсвязь.
На примере осуществления надежной связи посредством передачи звуковых и видео данных
через вычислительную сеть, другими словами, организацию видеоконференций, рассмотрим особенности маршрутизации с учетом политик доступа, реализованных в ОС МСВС.
Маршрутизация трафика в вычислительных сетях (с повышенными требованиями к конфиденциальности и отказоустойчивости) никак не учитывает уровни конфиденциальности, с которыми ассоциированы мандатные метки процессов, передающих данные по сети. При этом более
высокий уровень конфиденциальности данных подразумевает как более высокий приоритет при
передаче, так и более высокие требования к целостности данных.
При наличии множества маршрутов с различным качеством обслуживания (Quality of
Service – QoS) пакеты с более высоким уровнем конфиденциальности следует направлять по
маршруту с большей полосой пропускания, меньшими задержками при передаче пакета и меньшей вероятностью потери пакета.
Данная проблема становится более актуальной с внедрением технологий, использующих передачу мультимедийной информации в рамках вычислительной сети. По мере интенсификации
попыток использовать пакетные сети для обслуживания трафика реального времени появилась
необходимость каким-то образом гарантировать качество обслуживания QoS, создавать средства
для того, чтобы в периоды перегрузки ІР-сети трафик реального времени не был затронут или, по
крайней мере, получил бы более высокий приоритет, чем остальной трафик.
Передача звука и изображения по сети (конференцсвязь) требует большой пропускной способности сети, минимальных задержек передачи мультимедийной информации, возможностей динамического изменения маршрута в связи с потенциальными обрывами каналов передачи данных.
Сегодня виртуальные частные сети (Virtual Private Network – VPN) позволяют обеспечивать
мультисервисность (передача различных видов данных, голос, видео, сети хранения), разграничение доступа, создание двухточечных связей и связей «каждый с каждым» для групп точек и многое другое. Последнее время VPN создаются только на базе самого последнего поколения технологий MPLS (MultiProtocol Label Switching – мультипротокольная коммутация по меткам). При
этом обеспечиваются [1]:
 защита от аварийных сбоев (в том числе множественных) за время менее 50 мс
(технология MPLS Fast Reroute);
 гибкая многоуровневая поддержка качества обслуживания (QoS) и классов сервиса
(CoS) (технология MPLS Traffic Engineering);
 доступ на скоростях от 1 Мбит/с до 10 Гбит/c;
 общепринятый, не требующий конверсии интерфейс Ethernet.
Применительно к MPLS имеет смысл говорить о так называемых LSP-туннелях (LSP –
Labeled Switch Path – коммутируемый по меткам тракт), которые образуются не путем инкапсуля-
Разработка методов мандатной маршрутизации на базе ОС МСВС
ции пакетов, а с помощью средств коммутации по меткам. Классическими являются IP MPLS VPN
или L3 VPN. Они строятся на базе IP-подсетей и создаются за счет обмена маршрутной информацией с маршрутизаторами клиента. Условно говоря, L3 VPN выглядит для клиента как виртуальный маршрутизатор. Преимуществами IP MPLS VPN являются их распространенность и масштабируемость. Однако их отличает сложность, недостаточная гибкость и функциональность.
Использование мультипротокольной коммутации по меткам (MPLS) позволяет гарантировать качество обслуживания при передаче больших потоков информации. Однако следует учитывать, что одним из требований к используемым проколам является приоритезация сетевого трафика на основе мандатного разграничения доступа по признакам информации, характерных для ОС
МСВС. Как известно, мандатным управлением доступом является разграничение доступа субъектов к объектам, основанное на характеризуемой меткой конфиденциальности информации, содержащейся в объектах, и официальном разрешении (допуске) субъектов обращаться к информации
такого уровня конфиденциальности. При этом субъект с определенным правом доступа не может
передать это право любому другому субъекту. Под субъектом доступа подразумевается процесс,
действия которого регламентируются правилами разграничения доступа, а под объектом доступа –
единица информационного ресурса автоматизированной системы, доступ к которой регламентируется правилами разграничения доступа. В роли метки конфиденциальности в ОС МСВС выступают мандатные уровни и категории.
Основу реализации разграничительной политики доступа к ресурсам при защите конфиденциальной информации является требование к реализации, помимо дискреционного, мандатного
механизма управления доступом [2]. Требования к мандатному механизму состоят в следующем
(рис. 1).

Каждому субъекту и объекту доступа должны сопоставляться классификационные метки, отражающие их место в соответствующей иерархии (метки конфиденциальности). Посредством этих меток субъектам и объектам должны назначаться классификационные уровни (уровни уязвимости, категории конфиденциальности и т.п.), являющиеся комбинациями иерархических и не иерархических категорий. Данные метки должны
служить основой мандатного принципа разграничения доступа.

Система защиты при вводе новых данных в систему должна запрашивать и
получать от авторизованного пользователя классификационные метки этих данных. При
санкционированном занесении в список пользователей нового субъекта ему должны
назначаться классификационные метки. Внешние классификационные метки (субъектов,
объектов) должны точно соответствовать внутренним меткам (внутри системы защиты).

Система защиты должна реализовывать мандатный принцип контроля доступа применительно ко всем объектам при явном и скрытом доступе со стороны любого
из субъектов:
1) субъект может читать объект исключительно в том случае, если иерархическая классификация в классификационном уровне субъекта больше или равна иерархической классификации в
классификационном уровне объекта. Иерархические категории в классификационном уровне
субъекта обязаны включать в себя все иерархические категории в классификационном уровне объекта;
2) субъект может осуществлять запись в объект в случае, если классификационный уровень
субъекта в иерархической классификации меньше или равен классификационному уровню объекта
в иерархической классификации. Все иерархические категории в классификационном уровне
субъекта должны включаться в иерархические категории в классификационном уровне объекта.
Соответствующие правила должны распространяться на взаимодействие в рамках вычислительной сети. Другими словами, передача информации между клиентами, имеющими различные
мандатные уровни, должна быть ограничена указанными выше правилами. Кроме этого, исходя из
современных подходов к маршрутизации сетевых пакетов имеет смысл ограничить зоны распространения пакетов, введя мандатные зоны маршрутизации.
Разработка методов мандатной маршрутизации на базе ОС МСВС
Рис. 1. Мандатный контроль доступа
Для обеспечения мандатного разграничения доступа в рамках вычислительной сети требуется решить следующие задачи:
 модифицировать протокол выбора кратчайшего пути (OSPF) для учета маршрутов в
рамках вычислительной сети, нарушающих принципы мандатного контроля доступа;
 модифицировать протокол LDP (Label Distribution Protocol – протокол распространения меток) для реализации возможности обмена между LSP информацией о наличии
мандатных зон маршрутизации, для чего осуществляется внедрение в пакет соответствующих полей, содержащих мандатные метки, и корректное их заполнение;
 модифицировать протокол RSPV (Resource reSerVation Protocol – протокол резервирования ресурсов) с целью корректной передачи информации о мандатных метках маршрутизируемых зон.
Преимущество использования протокола MPLS перед обычной IP маршрутизацией состоит
в использовании заранее сформированных маршрутных таблиц меток. Для этого в каждом из узлов сети с использованием протокола маршрутизации создается база топологической информации
о сетевых маршрутах. Чаще всего для этой цели применяется протокол маршрутизации по состоянию каналов OSPF (Open Shortest Path First – первым выбирается кратчайший путь). В OSPF используется принцип контроля состояния канала (link-state protocol), а метрика представляет собой
оценку эффективности связи в этом канале: чем меньше метрика, тем эффективнее организация
связи. В простейшем случае метрика маршрута может равняться его длине в пересылках (hops),
как это имеет место в протоколе RIP. Но в общем случае значения метрики могут определяться в
гораздо более широком диапазоне.
Протокол OSPF позволяет определить для любой сети значения метрики в зависимости от
типа услуги ToS (Type of Service). Для каждой из метрик протокол OSPF строит отдельную таблицу маршрутизации. Чаще всего OSPF выбирает маршрут на основании полосы пропускания канала. В конечном счете, OSPF представляет собой протокол, основанный на контроле состояния каналов, распространяющий эту информацию и определяющий на ее основе маршруты наименьшей
стоимости в заданной метрике.
Маршрутизатор, работающий по протоколу OSPF, выполняет последовательно три операции: определяет отношения соседства и смежности с другими маршрутизаторами, обменивается с
ними OSPF-пакетами, формируя, таким образом, полную топологическую карту сети, а затем вычисляет дерево маршрутов, используя алгоритм SPF (Shortest Path First – «первым выбирается
кратчайший путь»), известный также как алгоритм Дейкстры. Для сети MPLS с помощью этого
алгоритма протокол OSPF, основываясь на базе данных об условиях использования возможных
связей, вычисляет кратчайшие пути между вершинами графа, являющимися маршрутизаторами
коммутации по меткам LSR (Label Switching Router), и всеми остальными вершинами. Результатом работы алгоритма является таблица, где для каждой вершины графа сети MPLS указан список
ребер, соединяющих ее со всеми другими вершинами этого графа по кратчайшему пути [3].
Каждый узел сети может характеризоваться соответствующими признаками целостности
информации ОС МСВС. В качестве этих признаков могут выступать мандатный уровень и категория. То есть при поиске кратчайшего пути в топологическом графе вычислительной сети необхо-
Разработка методов мандатной маршрутизации на базе ОС МСВС
димо отбрасывать те маршруты, которые проходят через узлы с мандатным уровнем ниже, чем
мандатный уровень взаимодействующих клиентов (рис. 2).
Клиент A
Уровень 5
Уровень 4
Уровень 3
Клиент B
Уровень 2
Уровень 1
Уровень 3
Уровень 3
Рис. 2. Варианты маршрута при ограничениях мандатного контроля доступа
Вычислительная сеть разбивается на зоны маршрутизации сетевого трафика в соответствии
с мандатными уровнями и категориями узлов сети. Обеспечивается попадание сетевого пакета в
мандатную зону с таким же или более высоким мандатным уровнем. При этом допускается сквозное прохождение сетевого пакета через зоны с более низким мандатным уровнем. Таким образом,
может быть распределенная вычислительная сеть на основе ОС МСВС.
СПИСОК ЛИТЕРАТУРЫ
1. Гольдштейн А.Б. Исследование механизма туннелирования мультимедийного трафика в сети
MPLS: дис. … канд. техн. наук: 05.12.13: Санкт-Петербург, 2004 128 c. РГБ ОД, 61:04-5/2975.
2. Гольдштейн А.Б, Гольдштейн Б.С. Технология и протоколы MPLS. С-Пб.: БХВ, 2005.