فايروال چيست ؟
فايروال نرم افزار و يا سخت افزاری است که اطلاعات ارسالی از طريق اينترنت به شبکه خصوصی و يا کامپيوتر شخصی را فيلتر می نمايد. اطلاعات فيلترشده ، فرصت توزيع در شبکه را بدست نخواهند آورد.
فرض کنيد، سازمانی دارای 500 کارمند باشد. سازمان فوق دارای ده ها کامپيوتر بوده که بر روی هر کدام يک کارت شبکه نصب شده و يک شبکه درون سازمانی ( خصوصی ) ايجاد شده است . سازمان فوق دارای يک يا چند خط اختصاصی ( T1 و يا T3 ) برای استفاده از اينترنت است . بدون استفاده از فايروال تمام کامپيوترهای موجود در شبکه داخلی، قادر به ارتباط با هر سايت و هر شخص بر روی اينترنت می باشند. کاربران مربوطه قادر به استفاده از برنامه هائی همچون FTP و يا Telnet بمنظور ارتباط مستقيم با افراد حقوقی و يا حقيقی موجود بر روی اينترنت می باشند. عدم رعايت مسائل ايمنی توسط پرسنل سازمان، می تواند زمينه دستيابی به اطلاعات موجود در شبکه داخلی را برای سارقين و متجاوزان اطلاعاتی اينترنت فراهم نمايد.
زمانيکه در سازمان فوق از فايروال استفاده گردد، وضعيت کاملا" تغيير خواهد کرد. سازمان مربوطه می تواند برروی هر يک از خطوط ارتباطی اينترنت يک فايروال نصب نمايد.فايروال مجموعه سياست های امنيتی را پياده سازی می نمايد. مثلا" يکی از قوانين فوق می تواند بصورت زير باشد :
- تمام کامپيوترهای موجود در شبکه مجاز به استفاده از اينترنت می باشند ، فقط يک فرد مجاز به استفاده از سرويس FTP است و ساير پرسنل مجاز به استفاده از سرويس فوق نخواهند بود.
يک سازمان می تواند برای هر يک از سرويس دهندگان خود ( وب ، FTP، Telnet و ... ) قوانين مشابه تعريف نمايد. سازمان قادر به کنترل پرسنل بهمراه ليست سايت های مشاهده خواهد بود. با استفاده از فايروال يک سازمان قادر به کنترل کاربران شبکه خواهد بود .
فايروال ها بمنظور کنترل ترافيک يک شبکه از روش های زير استفاده می نمايند:
- فيلتر نمودن بسته های اطلاعاتی . بسته های اطلاعاتی با استفاده ازتعدادی فيلتر، آناليز خواهند شد. بسته هائی که از آناليز فوق سربلند بيرون آيند از فايروال عبور داده شده و بسته ها ئی که شرايط لازم را برای عبور از فايروال را نداشته باشند دور انداخته شده و از فايروال عبور نخواهند کرد.
- سرويس Proxy . اطلاعات درخواستی از طريق اينترنت توسط فايروال بازيابی و در ادامه در اختيار درخواست کننده گذاشته خواهد شد. وضعيت فوق در موارديکه کامپيوتر موجود در شبکه داخلی، قصد ارسال اطلاعاتی را برای خارج از شبکه خصوصی داشته باشند ، نيز صدق می کند.
بهينه سازی استفاده از فايروال
فايروال ها را می توان با توجه به اهداف سازمانی بصورت کاملا" سفارشی نصب و پيکربندی کرد. در اين راستا امکان اضافه و يا حذف فيلترهای متعدد بر اساس شرايط متفاوت وجود خواهد داشت :
- آدرس های IP . هر ماشين بر روی اينترنت دارای يک آدرس منحصر بفرد با نام IP است . IP يک عدد 32 بيتی بوده که بصورت چهار عدد دهدهی که توسط نقظه از هم جدا می گردند نمايش داده می شود (Octet) . در صورتيکه يک آدرس IP خارج از شبکه، فايل های زيادی را از سرويس دهنده می خواند ( ترافيک و حجم عمليات سرويس دهنده را افزايش خواهد داد) فايروال می تواند ترافيک از مبداء آدرس فوق و يا به مقصد آدرس فوق را بلاک نمايد.
- اسامی دامنه ها ( حوزه ) . تمام سرويس دهندگان بر روی اينترنت دارای اسامی منحصر بفرد با نام " اسامی حوزه" می باشند. يک سازمان می تواند با استفاده از فايروال، دستيابی به سايت هائی را غيرممکن و يا صرفا" امکان استفاده از يک سايت خاص را برای پرسنل خود فراهم نمايد.
- پروتکل ها . پروتکل نحوه گفتگوی بين سرويس دهنده و سرويس گيرنده را مشخص می نمايد . پروتکل های متعدد با توجه به اهداف گوناگون در اينترنت استفاده می گردد. مثلا" http پروتکل وب و Ftp پروتکل مربوط به دريافت و يا ارسال فايل ها است . با استفاده از فايروال می توان، ميدان فيلتر نمودن را بر روی پروتکل ها متمرکز کرد. برخی از پروتکل های رايج که می توان بر روی آنها فيلتر اعمال نمود بشرح زير می باشند :
(IP) Internet Protocol پروتکل اصلی برای عرضه اطلاعات بر روی اينترنت است.
(TCP) Transport Control Protocol مسئوليت تقسيم يک بسته اطلاعاتی به بخش های کوچکتر را دارد.
HTTP)) Hyper Text Transfer Protocol پروتکل فوق برای عرضه اطلاعات در وب است.
FTP))File Transfer Protocol پروتکل فوق برای دريافت و ارسال فايل ها استفاده می گردد.
(UDP)User Datagram Protocol از پروتکل فوق برای اطلاعاتی که به پاسخ نياز ندارند استفاده می شود (پخش صوت و تصوير)
(ICMP)Internet control Message Protocol پروتکل فوق توسط روترها و بمنظور تبادل اطلاعات فی المابين استفاده می شود.
(SMTP)Simple Mail Transfer Protocol از پروتکل فوق برای ارسال e-mail استفاده می گردد.
(SNMP)Simple Network Management Protocol از پروتکل فوق بمنظور اخذ اطلاعات از يک کامپيوتر راه دور استفاده ميشود
Telnet برای اجرای دستورات بر روی يک کامپيوتر از راه دور استفاده می گردد.
- پورت ها هر سرويس دهنده ، خدمات مورد نظر خود را با استفاده از پورت های شماره گذاری شده بر روی اينترنت ارائه می دهد. مثلا" سرويس دهنده وب اغلب از پورت 80 و سرويس دهنده Ftp از پورت 21 استفاده می نمايد. يک سازمان ممکن است با استفاده از فايروال امکان دستيابی به پورت 21 را بلاک نمايد.
- کلمات و عبارات خاص . می توان با استفاده از فايروال کلمات و يا عباراتی را مشخص نمود تا امکان کنترل بسته های اطلاعاتی حاوی کلمات و عبارات فراهم گردد. هر بسته اطلاعاتی که حاوی کلمات مشخص شده باشد توسط فايروال بلاک خواهد شد.
همانگونه که اشاره شد فايروال ها به دو صورت نرم افزاری وسخت افزاری استفاده می گردند.فايروال های نرم افزاری بر روی کامپيوتری نصب می گردند که خط اينترنت به آنها متصل است .کامپيوتر فوق بمنزله يک Gateway رفتار می نمايد چون تنها نقطه قابل تماس، بمنظور ارتباط کامپيوتر و اينترنت است زمانيکه فايروال بصورت سخت افزاری در نظر گرفته شود ، تمام بخش فوق بصورت Gateway خواهد بود. امنيت فايروال های سخت افزاری بمراتب بيشتر از فايروال های نرم افزاری است .
تهديدات
حمله کنندگان به شبکه های کامپيوتری از روش های متعددی استفاده می نمايند.
- Remote Login . امکان برقراری ارتباط با کامپيوتر و کنترل آن توسط فرد غيرمجاز است . دامنه عمليات فوق می تواند از مشاهده و دستيابی به برخی از فايل ها تا اجرای برخی برنامه ها بر روی کامپيوتر باشد.
-Application Backdoors . برخی از برنامه ها دارای امکانات ويژه ای برای دستيابی از راه دور می باشند. برخی ديگر از برنامه ها دارای اشکالاتی بوده بگونه ای که يک Backdoor را ايجاد و يا امکان دستيابی مخفی را ارائه می دهند. در هر حالت امکان کنترل برنامه فراهم خواهد گرديد.
- SMTP session hijacking . پروتکل SMTP رايج ترين روش برای ارسال e-mail است . با دستيابی به ليستی از آدرس های e-mail ، يک شخص قادر به ارسال e-mail به هزاران کاربر ديگر خواهد شد.
- اشکالات سيستم های عامل . سيستم های عامل نظير ساير برنامه های کاربردی ممکن است دارای Backdoors باشند.
- انفجار E-mail . يک شخص قادر به ارسال صدها و هزاران e-mail مشابه در مقاطع زمانی متفاوت است . با توجه به وضعيت فوق سيستم پست الکترونيکی قادر به دريافت تمام نامه های ارسالی نخواهد بود.
- ماکرو اغلب برنامه های کاربردی اين امکان را برای کاربران خود فراهم می نمايند که مجموعه ای از اسکريپت ها را بمنظور انجام عمليات خاصی نوشته و نرم افزار مربوطه آنها را اجراء نمايد. اسکريپت های فوق " ماکرو " ناميده می شوند. حمله کنندگان به شبکه های کامپيوتری با آگاهی از واقعيت فوق، اقدام به ايجاد اسکريپت های خاص خود نموده که با توجه به نوع برنامه ممکن است داده ها را حذف و يا باعث از کار افتادن کامپيوتر گردند.
- ويروس رايج ترين روش جهت آسيب رساندن به اطلاعات، ويروس است . ويروس يک برنامه کوجک است که قادر به تکثير خود بر روی کامپيوتر ديگر است . عملکرد ويروس ها بسيار متفاوت بوده و از اعلام يک پيام ساده تا حذف تمام داده ها را می تواند شامل گردد.
سرويس دهنده Proxy
سرويس دهنده Proxy اغلب با يک فايروال ترکيب می گردد. سرويس دهنده Proxy بمنظور دستيابی به صفحات وب توسط ساير کامپيوترها استفاده می گردد. زمانيکه کامپيوتری درخواست يک صفحه وب را می نمايد، صفحه مورد نظر توسط سرويس دهنده Proxy بازيابی و در ادامه برای کامپيوتر متقاضی ارسال خواهد شد. بدين ترتيب تمام ترافيک (درخواست و پاسخ) بين درخواست کننده يک صفحه وب و پاسخ دهنده از طريق سرويس دهنده Proxy انجام می گيرد.
سرويس دهنده Proxy می تواند کارائی استفاده از اينترنت را افزايش دهد. پس از دستيابی به يک صفحه وب ، صفحه فوق بر روی سرويس دهنده Proxy نيز ذخيره (Cache) می گردد. در صورتيکه در آينده قصد استفاده از صفحه فوق را داشته باشيد صفحه مورد نظر از روی سرويس دهنده Proxy در اختيار شما گذاشته می شود (الزامی به برقراری ارتباط مجدد و درخواست صفحه مورد نظر نخواهد بود)
نرم افزار ISA
نرم افزار ISA يا Security and Acceleration Internet توسط شرکت Microsoft براي Windows عرضه
گرديده است. اين نرم افزار که در حقيقت نسخه جديدي از MSProxy است داراي قابليتها و تواناييهاي جالبي است. اما متأسفانه هنوز هيچ کتابي در اين مورد به زبان فارسي نوشته نشده است. حتي اکثر کساني که از اين نرم افزار استفاده مي کنند با بسياري از قابليتهاي ISA آشنا نيستند. در سايتها و وب لاگهاي کامپيوتري هم کمتر کسي پيدا مي شود که حتي اشاره اي به ISA کرده باشد.
نرم افزار ISA
نرم افزار ISA داراي دو قابليت اصلي است.
1- Firewall - 2 Cache
با استفاده از قابليت Caching مي توان Request هاي Http و Ftp کاربران شبکه را Cache کرد تا در هنگام درخواستهاي تکراري با صرفه جويي در زمان و پهناي باند بتوان به آن درخواستها از طريق اطلاعات Cache Server پاسخ گفت.
Cache
بخش caching خود، داراي قابليتهاي زير است:
1) Automatic & Scheduled Caching: در اين قابليت ISA بطور هوشمندانه در ساعات مشخصي (ساعاتي که ترافيک شبکه کم است) به سراغ سايتهايي که قبلا Cache شده اند اما زمان TTL آنها تمام شده است و Expire شده اند رفته و بطور اتوماتيک آنها را Update مي کند. ISA اين عمل را با اولويت سايتهاي محبوب (سايتهايي که بيش از ساير سايتها توسط کاربران درخواست شده اند) انجام مي دهد. نتيجه اين کار اين است که سايتهاي محبوب کاربران همواره بصورت Update شده در ISA براي تحويل به کاربران فراهم است. ضمن اينکه ما بصورت دستي نيز مي توانيم ساعاتي را براي Update کردن سايتهاي دلخواهمان تعيين کنيم.
2) Reverse Caching : با استفاده از اين قابليت ISA مي تواند اطلاعاتي را که بر روي Web Server داخلي شبکه قرار دارند را پس از آنکه يکبار در اختيار کاربران موجود در اينترنت قرار داد بر روي خود Cache نموده و در صورت تقاضاي مجدد بدون مراجعه به Web Server اطلاعات Cache شده را در اختيار کاربران Internet قرار دهد. اين خاصيت موجب کاسته شده ترافيک بر روي Web Server مي شود.
3) Transparent Cache: يکي از قابليتهاي ISA اين است که هم بصورت Proxy Base و هم بصورت Transparent قابليت Cache کردن را دارد. در جلسات بعد در اين مورد بيشتر صحبت خواهيم کرد.
4) Distributed and Hierarchical Caching : مي توان بجاي يک ISA Cache از چند ISA Cache در شبکه استفاده کرد. سپس همه آنها را بصورت يک Array درآورد. در اين حالت تمام ISAها دست به دست هم داده و يک Cache يکپارچه را تشکيل مي دهند. درصورتيکه Objectهاي Cache شده از لحاظ فيزيکي بر روي اين ISA Server ها توزيع شده است و هر کدام قسمتي از اطلاعات را Cache نموده اند. ضمنا" ما مي توانيم از يک Root System نيز استفاده کنيم بگونه اي که يک يا چند ISA Server به اينترنت مستقيما" وصل بوده و Object هاي مورد نياز خود را از طريق ISA Serverهاي بالاتر تأمين نمايد. در اين حالت با استفاده از پروتکلCARP يا Cache Array Routing Protocol اطلاعات مورد نياز Clientها از روي يک Array جمع آوري شده و در اختيار آنها قرار مي گيرد.
Firewall
امروزه Firewallها در دو نوع سخت افزاري و نرم افزاري وجود دارند. مزيت عمده Firewallهاي سخت افزاري در سرعت آنهاست. از نمونه هاي سخت افزاري مي توان به Cisco PIX Firewall اشاره کرد که Microsoft ادعا مي کند تمامي قابليتهاي يک Firewall سخت افزاري در ISA گنجانده شده است و بدليل قيمت بسيار کمتر براي استفاده اقتصادي تر است.
بطور کلي مي توان گفت قابليتهاي نرم افزار ISA در زمينه Firewall عبارتند از:
1- کنترل استفاده از اينترنت: در ISA مي توان با استفاده از Policyها ترافيک ورودي و خروجي را بر مبناي سايتها , Protocolها و محتويات Packetها Filter کرد.
2- مي توان Packetها را بر اساس لايه ها (از لايه Network تا Application) فيلتر نموده و حتي ترافيک هاي مربوط به DNS را کنترل کرد.
3- ISA با استفاده از قابليت Intrusion Detection مي تواند جلوي نفوذ هکرها را بگيرد. بر روي ISA روشهاي معروف Hack تعريف شده است و در صورتيکه فردي اقدام به استفاده از اين روشها نمايد ISA جلوي او را خواهد گرفت. به عنوان مثال ISA مي تواند Scan شدن Portها را تشخيص داده و جلوي آنرا بگيرد.
ISA داراي قابليتهاي مختلفي است که مي توان آنها را بصورت زير خلاصه کرد:
1- قابليت اعمال Policy هاي مختلف.
2- امکان کنترل Bandwidth (Qos).
توجه: در Linux و يا Cisco Routers شما مي توانيد Bandwidth کاربران را به يک سقف معين محدود کنيد.
(بعدها در اين مورد بيشتر صحبت خواهيم کرد.)
3- امکان پشتيباني از VPN.
4- امکان Publish کردن Webserverهاي داخلي شبکه.
پس از Publish کردن Webserverهاي داخلي هرگاه يک کاربر از طريق Internet بخواهد به Webserver ما دسترسي پيدا کند اطلاعات مورد نياز او از طريق ISA در اختيارش قرار مي گيرد. در نتيجه هيچکس از طريق Internet نمي تواند مستقيما" به Webserver هاي ما دسترسي داشته باشد.
5- H.323 GateKeeper: ويژه برنامه هايي است که از IP تلفني استفاده مي نمايند. (مثل NetMeeting)
6- Monitoring & Alerts.
نکته: ذکر اين نکته لازم است که هر سيستم عاملي که Http ver 1.1 را پشتيباني کند مي تواند به عنوان يک WebProxyClient عمل نمايد. اگر بخواهيم از ISA به عنوان يک Firewall استفاده نماييم بايد Clientها داراي Win95 به بعد باشند. Clientها مي توانند به عنوان SecureNAT Client عمل کرده و از خيلي از قابليتهاي ISA بهره مند شوند.
ISA Server مي تواند در دو حالت زير نصب شود:
1- Stand-alone : در اين حالت ISA Server ها مستقل از يکديگر عمل کرده و به يکديگر متصل نمي شوند.
مزاياي اين روش عبارت است از:
- هزينه کمترو تنظيمات کمتري نياز دارد.
- تمام قابليتهاي Caching و Firewall را داراست.
- از هرنوع Connection حتي Dialup مي تواند استفاده کند.
معايب اين روش هم عبارت است از:
- داراي Enterprise Policy نيست. بنابراين اگر از چند Stand-alone استفاده کنيم بايد هرکدام را جداگانه کنترل کنيم.
- Single Point of Failure: در حالت Stand alone همه چيز وابسته به ISA است و اگر ISA دچار مشکل گردد Internet قطع خواهد شد.
2- Enterprise Array: پياده سازي اين روش فقط بر روي Active Directory امکان پذير است. در اين روش يک Array مرکب از چندين ISA Server تشکيل مي شود که همگي بصورت منطقي از يک نقطه کنترل مي گردند. ضمنا" هر کدام از اعضاي Array قسمتي از اطلاعات را Cache مي کنند. در صورت نياز مي توان Array را گسترش داد. نکته قابل توجه اين است که يک Array فقط تحت يک Domain واحد قابل پياده سازي است. يعني اعضاي يک Array بايد همگي عضو يک Domain باشند.
مزاياي اين روش:
- امکان اعمال Enterprise Policy.
- امکان مديريت متمرکز
- No Single Point of Failure: در اين حالت اگر يک يا چند ISA Server دچار اختلال شود اختلالي در شبکه بوجود نمي آيد.
معايب اين روش:
- نيازمند ايجاد تغييراتي در توپولوژي شبکه است.
- از نظر هزينه نسبت به روش قبلي گرانتر است.
- در ابتداي کار نياز به مطالعه , تحقيق , برنامه ريزي و صرف وقت بيشتري براي پياده سازي دارد.
قابليت Array Chains: اين قابليت (Hierarchical Caching) اجازه مي دهد که يک ISA Server بدون آنکه مستقيما" به اينترنت متصل باشد از طريق Cache يک ISA Server ديگر به تعدادي Client سرويس دهد.
Publishing: در اين حالت تمام کساني که بخواهند از طريق اينترنت به WebServer ما دسترسي پيدا کنند مستقيما" با آن ارتباط ندارند بلکه ISA اين اطلاعات را در اختيار کاربران قرار مي دهد.
مزاياي Publish کردن:
- بالا رفتن Security شبکه درحالي که اطلاعات سرورهاي ما بدون هيچ مشکلي از طريق اينترنت قابل دريافت است.
- امکان Reverse Caching به کمک Publish کردن فراهم مي شود.
معايب Publish کردن:
- اگر طراحي را به دقت انجام ندهيم بار زيادي بر روي ISA Server اعمال مي شود.
- نياز به انجام تنظيمات دقيق داريم در نتيجه هنگام بروز مشکل براي رديابي آن به مدت زمان بيشتري نياز داريم.
فصل نهم
DNS
DNS مسئوليت حل مشکل اسامی کامپيوترها ( ترجمه نام به آدرس ) در يک شبکه و مسائل مرتبط با برنامه های Winsock را بر عهده دارد. بمنظور شناخت برخی از مفاهيم کليدی و اساسی DNS ، لازم است که سيستم فوق را با سيستم ديگر نامگذاری در شبکه های مايکروسافت(NetBIOS ) مقايسه نمائيم . قبل از عرضه ويندوز 2000 تمامی شبکه های مايکروسافت از مدل NetBIOS برای نامگذاری ماشين ها و سرويس ها ی موجود بر روی شبکه استفاده می کردند. NetBIOS در سال 1983 به سفارش شرکت IBM طراحی گرديد. پروتکل فوق در ابتدا بعنوان پروتکلی در سطح لايه " حمل " ايفای وظيفه می کرد.در ادامه مجموعه دستورات NetBIOS بعنوان يک اينترفيس مربوط به لايه Session نيز مطرح تا از اين طريق امکان ارتباط با ساير پروتکل ها نيز فراهم گردد. NetBEUI مهمترين و رايج ترين نسخه پياده سازی شده در اين زمينه است . NetBIOS برای شيکه های کوچک محلی با يک سگمنت طراحی شده است . پروتکل فوق بصورت Broadcast Base است . سرويس گيرندگان NetBIOS می توانند ساير سرويس گيرندگان موجود در شبکه را از طريق ارسال پيامهای Broadcast بمنظور شناخت و آگاهی از آدرس سخت افزاری کامپيوترهای مقصد پيدا نمايند. شکل زير نحوه عملکرد پروتکل فوق در يک شبکه و آگاهی از آدرس سخت افزاری يک کامپيوتر را نشان می دهد. کامپيوتر ds2000 قصد ارسال اطلاعات به کامپيوتری با نام Exeter را دارد. يک پيام Broadcast برای تمامی کامپيوترهای موجود در سگمنت ارسال خواهد شد. تمامی کامپيوترهای موجود در سگمنت مکلف به بررسی پيام می باشند. کامپيوتر Exeter پس از دريافت پيام ،آدرس MAC خود را برای کامپيوتر ds2000 ارسال می نمايد.
همانگونه که اشاره گرديد استفاده از پروتکل فوق برای برطرف مشکل اسامی ( ترجمه نام يک کامپيوتر به آدرس فيزيکی و سخت افزاری ) صرفا" برای شبکه های محلی با ابعاد کوچک توصيه شده و در شبکه های بزرگ نظير شبکه های اترنت با ماهيت Broadcast Based با مشکلات عديده ای مواجه خواهيم شد.در ادامه به برخی از اين مشکلات اشاره شده است .
● بموازات افزايش تعداد کامپيوترهای موجود در شبکه ترافيک انتشار بسته های اطلاعاتی بشدت افزايش خواهد يافت .
● پروتکل های مبتنی بر NetBIOS ( نظير NetBEUI) دارای مکانيزمهای لازم برای روتينگ نبوده و دستورالعمل های مربوط به روتينگ در مشخصه فريم بسته های اطلاعاتی NetBIOS تعريف نشده است .
● در صورتيکه امکانی فراهم گردد که قابليت روتينگ به پيامهای NetBIOS داده شود ( نظير Overlay نمودن NetBIOS بر روی پروتکل ديگر با قابليت روتينگ ، روترها بصورت پيش فرض بسته های NetBIOS را منتشر نخواهند کرد.
ماهيت BroadCast بودن پروتکل NetBIOS يکی از دو فاکتور مهم در رابطه با محدوديت های پروتکل فوق خصوصا" در شبکه های بزرگ است . فاکتور دوم ، ساختار در نظر گرفته شده برای نحوه نامگذاری است . ساختار نامگذاری در پروتکل فوق بصورت مسطح (Flat) است .
Flat NetBIOS Namespace
بمنظور شناخت و درک ملموس مشکل نامگذاری مسطح در NetBIOS لازم است که در ابتدا مثال هائی در اين زمينه ذکر گردد. فرض کنيد هر شخص در دنيا دارای يک نام بوده و صرفا" از طريق همان نام شناخته گردد. در چنين وضعيتی اداره راهنمائی و رانندگی اقدام به صدور گواهينمامه رانندگی می نمايد. هر راننده دارای يک شماره سريال خواهد شد. در صورتيکه از اداره فوق سوالاتی نظير سوالات ذيل مطرح گردد قطعا" پاسخگوئی به آنها بسادگی ميسر نخواهد شد.
- چند نفر با نام احمد دارای گواهينامه هستند؟
- چند نفر با نام رضا دارای گواهينامه هستند؟
در چنين حالی اگر افسر اداره راهنمائی و رانندگی راننده ای را بخاطر تخلف متوقف نموده و از مرکز و بر اساس نام وی استعلام نمايد که آيا " راننده ای با نام احمد قبلا" نيز مرتکب تخلف شده است يا خير ؟" در صورتيکه از طرف مرکز به وی پاسخ مثبت داده شود افسر مربوطه هيچگونه اطمينانی نخواهد داشت که راننده در مقابل آن همان احمد متخلف است که قبلا" نيز تخلف داشته است .
يکی از روش های حل مشکل فوق، ايجاد سيستمی است که مسئوليت آن ارائه نام بصورت انحصاری و غيرتکراری برای تمامی افراد در سطح دنيا باشد. در چنين وضعيتی افسر اداره راهنمائی و رانندگی در برخورد با افراد متخلف دچار مشکل نشده و همواره اين اطمينان وجود خواهد داشت که اسامی بصورت منحصر بفرد استفاده شده است . در چنين سيستمی چه افراد و يا سازمانهائی مسئله عدم تکرار اسامی را کنترل و اين اطمينان را بوجود خواهند آورند که اسامی بصورت تکراری در سطح دنيا وجود نخواهد داشت؟. بهرحال ساختار سيستم نامگذاری می بايست بگونه ای باشد که اين اطمينان را بوجود آورد که نام انتخاب شده قبلا" در اختيار ديگری قرار داده نشده است . در عمل پياده سازی اينچنين سيستم هائی غير ممکن است.مثال فوق محدوديت نامگذاری بصورت مسطح را نشان می دهد.
سيستم نامگذاری بر اساس NetBIOS بصورت مسطح بوده و اين بدان معنی است که هر کامپيوتر بر روی شبکه می بايست دارای يک نام متمايز از ديگران باشد. در صورتيکه دو کامپيوتر موجود بر روی شبکه های مبتنی بر NetBIOS دارای اسامی يکسانی باشند پيامهای ارسالی از يک کامپيوتر به کامپيوتر ديگر که دارای چندين نمونه ( نام تکراری ) در شبکه است، می تواند باعث بروز مشکلات در شبکه و عدم رسيدن پيام ارسال شده به مقصد درست خود باشد.
اينترفيس های NetBIOS و WinSock
DNS مسائل فوق را بسادگی برطرف نموده است . سيستم فوق از يک مدل سلسله مراتبی برای نامگذاری استفاده کرده است . قبل از پرداختن به نحوه عملکرد و جزئيات سيستم DNS لازم است در ابتدا با نحوه دستيابی برنامه ها به پروتکل های شبکه و خصوصا" نحوه ارتباط آنها با پروتکل TCP/IP آشنا شويم .
برنامه های با قابليت اجراء بر روی شبکه هائی با سيستم های عامل مايکروسافت، با استفاده از دو روش متفاوت با پروتکل TCP/IP مرتبط می گردنند.
● اينترفيس سوکت های ويندوز (WinSock)
● اينترفيس NetBIOS
اينترفيس های فوق يکی از مسائل اساسی در نامگذاری و ترجمه اسامی در شبکه های مبتنی بر TCP/IP را به چالش می کشانند.برنامه های نوشته شده که از اينترفيس NetBIOS استفاده می نمايند از نام کامپيوتر مقصد بعنوان " نقطه آخر" برای ارتباطات استفاده می نمايند در چنين مواردی برنامه های NetBIOS صرفا" مراقبت های لازم را در خصوص نام کامپيوتر مقصد بمنظور ايجاد يک session انجام خواهند داد. در حاليکه پروتکل های TCP/IP )IP,TCP) هيچگونه آگاهی از اسامی کامپيوترهای NetBIOS نداشته و در تمامی موارد مراقبت های لازم را انجام نخواهند داد.
بمنظور حل مشکل فوق( برنامه هائی که از NetBIOS بکمک اينترفيس NetBIOS با پروتکل TCP/IP مرتبط خواهند شد) از اينترفيس NetBT و يا NetBIOS over TCP/IP استفاده می نمايند. زمانيکه درخواستی برای دستيابی به يک منبع در شبکه از طريق يک برنامه با اينترفيس NetBIOS ارائه می گردد و به لايه Application می رسد از طريق اينترفيس NetBT با آن مرتبط خواهد شد.در اين مرحله نام NetBIOS ترجمه و به يک IP تبديل خواهد شد. زمانيکه نام NetBIOS کامپيوتر به يک آدرس فيزيکی ترجمه می گردد درخواست مربوطه می تواند لايه های زيرين پروتکل TCP/IP را طی تا وظايف محوله دنبال گردد. شکل زير نحوه انجام عمليات فوق را نشان می دهد.
اينترفيس Winsock
اغلب برنامه هائی که براساس پروتکل TCP/IP نوشته می شوند، از اينترفيس Winsock استفاده می نمايند. اين نوع برنامه ها نيازمند آگاهی از نام کامپيوتر مقصد برای ارتباط نبوده و با آگاهی از آدرس IP کامپيوتر مقصد قادر به ايجاد يک ارتباط خواهند بود.
کامپيوترها جهت کار با اعداد (خصوصا" IP) دارای مسائل و مشکلات بسيار ناچيزی می باشند.در صورتيکه انسان در اين رابطه دارای مشکلات خاص خود است . قطعا" بخاطر سپردن اعداد بزرگ و طولانی برای هر شخص کار مشکلی خواهد بود. هر يک از ما طی روز به وب سايت های متعددی مراجعه و صرفا" با تايپ آدرس مربوطه که بصورت يک نام خاص است (
www.test.com) از امکانات سايت مربوطه بهره مند می گرديم. آيا طی اين نوع ملاقات ها ما نيازمند آگاهی از آدرس IP سايت مربوطه بوده ايم؟ بهرحال بخاطر سپردن اسامی کامپيوترها بمراتب راحت تر از بخاطر سپردن اعداد (کد) است . از آنجائيکه برنامه های Winsock نيازمند آگاهی از نام کامپيوتر و يا Host Name نمی باشند می توان با رعايت تمامی مسائل جانبی از روش فوق برای ترجمه اسامی استفاده کرد.
فرآيند فوق را ترجمه اسامی (Host Name Resolution) می گويند.
موارد اختلاف بين NetBIOS و WinSock
برنامه های مبتنی بر NetBIOS می بايست قبل از ايجاد ارتباط با يک کامپيوتر، نام NetBIOS را به يک IP ترجمه نمايند.( قبل از ايجاد ارتباط نام NetBIOS به IP تبديل خواهد شد.) در برنامه های مبتنی بر WinSock می توان از نام کامپيوتر (Host name) در مقابل IP استفاده کرد. قبل از عرضه ويندوز 2000 تمامی شبکه های کامپيوتری که توسط سيستم های عامل ويندوز پياده سازی می شدند از NetBIOS استفاده می کردند. بهمين دليل در گذشته زمان زيادی صرف ترجمه اسامی می گرديد. ويندوز وابستگی به NetBIOS نداشته و در مقابل از سيستم DNS استفاده می نمايد.
DNS Namespace
همانگونه که اشاره گرديد DNS از يک ساختار سلسله مراتبی برای سيستم نامگذاری خود استفاده می نمايد. با توجه به ماهيت سلسله مراتبی بودن ساختار فوق، چندين کامپيوتر می توانند دارای اسامی يکسان بر روی يک شبکه بوده و هيچگونه نگرانی از عدم ارسال پيام ها وجود نخواهد داشت. ويژگی فوق درست نقطه مخالف سيستم نامگذاری NetBIOS است . در مدل فوق قادر به انتخاب دو نام يکسان برای دو کامپيوتر موجود بر روی يک شبکه يکسان نخواهيم نبود.
بالاترين سطح در DNS با نام Root Domain ناميده شده و اغلب بصورت يک “.” و يا يک فضای خالی “” نشان داده می شود. بلافاصله پس از ريشه با اسامی موجود در دامنه بالاترين سطح (Top Level) برخورد خواهيم کرد. دامنه های .Com , .net , .org , .edu نمونه هائی از اين نوع می باشند. سازمانهائی که تمايل به داشتن يک وب سايت بر روی اينترنت دارند، می بايست يک دامنه را که بعنوان عضوی از اسامی حوزه Top Level می باشد را برای خود اختيار نمايد. هر يک از حوزه های سطح بالا دارای کاربردهای خاصی می باشند. مثلا" سازمان های اقتصادی در حوزه .com و موسسات آموزشی در حوزه .edu و ... domain خود را ثبت خواهند نمود.شکل زير ساختار سلسله مراتبی DNS را نشان می دهد.
در هر سطح از ساختار سلسله مراتبی فوق می بايست اسامی با يکديگر متفاوت باشد. مثلا" نمی توان دو حوزه .com و يا دو حوزه .net را تعريف و يا دو حوزه Microsoft.com در سطح دوم را داشته باشيم .استفاده از اسامی تکراری در سطوح متفاوت مجاز بوده و بهمين دليل است که اغلب وب سايت ها دارای نام www می باشند.
حوزه های Top Level و Second level تنها بخش هائی از سيستم DNS می باشند که می بايست بصورت مرکزی مديريت و کنترل گردنند. بمنظور ريجستر نمودن دامنه مورد نظر خود می بايست با سازمان و يا شرکتی که مسئوليت ريجستر نمودن را برعهده دارد ارتباط برقرار نموده و از آنها درخواست نمود که عمليات مربوط به ريجستر نمودن دامنه مورد نظر ما را انجام دهند. در گذشته تنها سازمانی که دارای مجوز لازم برای ريجستر نمودن حوزه های سطح دوم را در اختيار داشت شرکت NSI)Network Solutions Incorporated) بود. امروزه امتياز فوق صرفا" در اختيار شرکت فوق نبوده و شرکت های متعددی اقدام به ريجستر نمودن حوزه ها می نمايند.
مشخصات دامنه و اسم Host
هر کامپيوتر در DNS بعنوان عضوی از يک دامنه در نظر گرفته می شود. بمنظور شناخت و ضرورت استفاده از ساختار سلسله مراتبی بهمراه DNS لازم است در ابتدا با FQDN آشنا شويم .
معرفی FQDN)Fully Qualified Domain Names)
يک FQDN محل يک کامپيوتر خاص را در DNS مشخص خواهد نمود. با استفاده از FQDN می توان بسادگی محل کامپيوتر در دامنه مربوطه را مشخص و به آن دستيابی نمود. FQDN يک نام ترکيبی است که در آن نام ماشين (Host) و نام دامنه مربوطه قرار خواهد گرفت . مثلا" اگر شرکتی با نام TestCorp در حوزه سطح دوم دامنه خود را ثبت نمايد (TestCorp.com) در صورتيکه سرويس دهنده وب بر روی TestCorp.com اجراء گردد می توان آن را www ناميد و کاربران با استفاده از
www.testCorp.com به آن دستيابی پيدا نمايند.
دقت داشته باشيد که www از نام FQDN مثال فوق نشاندهنده يک شناسه خدماتی نبوده و صرفا" نام host مربوط به ماشين مربوطه را مشخص خواهد کرد. يک نام FQDN از دو عنصر اساسی تشکيل شده است :
● Label : شامل نام حوزه و يا نام يک host است .
● Dots : نقطه ها که باعت جداسازی بخش های متفاوت خواهد شد.
هر lable توسط نقطه از يکديگر جدا خواهند شد. هر lable می تواند حداکثر دارای ۶۳ بايت باشد. دقت داشته باشيد که طول ( اندازه ) هر lable بر حسب بايت مشخص شده است نه بر حسب طول رشته . علت اين است که DNS در ويندوز 2000 از کاراکترهای UTF-8 استفاده می نمايد. بر خلاف کاراکترهای اسکی که قبلا" از آنان استفاده می گرديد. بهرحال FQDN می بايست دارای طولی به اندازه حداکثر 255 بايت باشد.
طراحی نام حوزه برای يک سازمان
قبل از پياده سازی سيستم ( مدل ) DNS برای يک سازمان ، می بايست به نمونه سوالات ذيل بدرستی پاسخ داد:
- آيا سازمان مربوطه در حال حاضر برای ارتباط اينترانتی خود از DNS استفاده می نمايد؟
- آيا سازمان مربوطه دارای يک سايت اينترنتی است ؟
- آيا سازمان مربوطه دارای يک حوزه( دامنه ) ثبت شده ( ريجستر شده ) است ؟
- آيا سازمان مربوطه از اسامی حوزه يکسان برای منابع مربوطه موجود بر روی اينترنت / اينترانت استفاده می نمايد؟
استفاده از نام يکسان دامنه برای منابع اينترنت و اينترانت
استفاده از اسامی يکسان برای نامگذاری دامنه بمنظور استفاده از منابع موجود داخلی و منابع اينترنتی در مرحله اول بسيار قابل توجه و جذاب خواهد بود. تمامی ماشين ها بعنوان عضو يک دامنه يکسان محسوب و کاربران نياز به بخاطر سپردن دامنه های متفاوت بر اساس نوع منبع که ممکن است داخلی و يا خارجی باشد نخواهند داشت. با توجه به وجود مزايای فوق، بکارگيری اين روش می تواند باعث بروز برخی مشکلات نيز گردد. بمنظور حفاظت از ناحيه (Zone) های DNS از دستيابی غير مجاز نمی بايست هيچگونه اطلاعاتی در رابطه با منابع داخلی بر روی سرويس دهنده DNS نگهداری نمود. بنابراين می بايست برای يک دامنه از دو Zone متفاوت استفاده نمود. يکی از Zone ها منابع داخلی را دنبال و Zone ديگر مسئوليت پاسخگوئی به منابعی است که بر روی اينترنت قرار دارند. عمليات فوق قطعا" حجم وظايف مديريت سايت را افزايش خواهد داد.
پياده سازی نام يکسان برای منابع داخلی و خارجی
يکی ديگر از عملياتی که می بايست در زمان پياده سازی دامنه های يکسان برای منابع داخلی و خارجی مورد توجه قرار دارد Mirror نمودن منابع خارجی بصورت داخلی است . مثلا" فرض نمائيد که Test.com نام انتخاب شده برای دستيابی به منابع داخلی ( اينترانت) و منابع خارجی ( اينترنت ) است.درچنين وضعيتی دارای سرويس دهنده وب برا یاينترانت باشيم که پرسنل سازمان از آن بمنظور دستيابی به اطلاعات اختصاصی و ساير اطلاعات داخلی سازمان استفاده می نمايند.در اين مدل دارای سرويس دهندگانی خواهيم بود که بمنظور دستيابی به منابع اينترنت مورد استفاده قرار خواهند گرفت . ما می خواهيم از اسامی يکسان برای سرويس دهندگان استفاده نمائيم . در مدل فوق اگر درخواستی برای
www.test.com صورت پذيرد مسئله به کامپيوتری ختم خواهد شد که قصد داريم برای کاربران اينترنت قابل دستيابی باشد. در چنين وضعيتی ما نمی خواهيم کاربران اينترنت قادر به دستيابی به اطلاعات شخصی و داخلی سازمان باشند. جهت حل مشکل فوق Mirror نمودن منابع اينترنت بصورت داخلی است و ايجاد يک zone در DNS برای دستيابی کاربران به منابع داخلی ضروری خواهد بود. زمانيکه کاربری درخواست
www.test.com را صادر نمائيد در ابتدا مسئله نام از طريق سرويس دهنده داخلی DNS برطرف خواهد شد که شامل zone داخلی مربوطه است . زمانی که يک کاربر اينترنت قصد دستيابی به
www.test.com را داشته باشد درخواست وی به سرويس دهنده اينترنت DNS ارسال خواهدشد که در چنين حالتی آدرس IP سرويس دهنده خارجی DNS برگردانده خواهد شد.
استفاده از اسامی متفاوت برای دامنه ها ی اينترنت و اينترانت
در صورتيکه سازمانی به اينترنت متصل و يا در حال برنامه ريزی جهت اتصال به اينترنت است می توان از دو نام متفاوت برای دستيابی به منابع اينترانتی و اينترنتی استفاده نمود. پياده سازی مدل فوق بمراتب از مدل قبل ساده تر است . در مدل فوق نيازی به نگهداری Zone های متفاوت برای هر يک از آنها نبوده و هريک از آنها دارای يک نام مجزا و اختصاصی مربوط به خود خواهند بود. مثلا" می توان نام اينترنتی حوزه را Test.com و نام اينترانتی آن را TestCorp.com قرار داد.
برای نامگذاری هر يک از زير دامنه ها می توان اسامی انتخابی را براساس نوع فعاليت و يا حوزه جفرافيائی انتخاب نمود.
Zones of Authority
DNS دارای ساختاری است که از آن برای گروه بندی و دنبال نمودن ماشين مربوطه براساس نام host در شبکه استفاده خواهد شد. بمنظور فعال نمودن DNS در جهت تامين خواسته ای مورد نظر می بايست روشی جهت ذخيره نمودن اطلاعات در DNS وجود داشته باشد.اطلاعات واقعی در رابطه با دامنه ها در فايلی با نام Zone database ذخيره می گردد. اين نوع فايل ها، فايل های فيزيکی بوده که بر روی سرويس دهنده DNS ذخيره خواهند شد. آدرس محل قرار گيری فايل های فوق %systemroot%\system32\dns خواهد بود. در اين بخش هدف بررسی Zone های استاندارد بوده که به دو نوع عمده تقسيم خواهند شد.
●Forward Lookup Zone
●Reverse Lookup Zone
در ادامه به تشريح عملکرد هر يک از Zone های فوق خواهيم پرداخت .
Forward Lookup Zone
از اين نوع Zone برای ايجاد مکانيزمی برای ترجمه اسامی host به آدرس IP برای سرويس گيرندگان DNS استفاده می گردد. Zone ها دارای اطلاعاتی هستند که بصورت رکوردهای خاص در بانک اطلاعاتی مربوطه ذخيره خواهند شد. اين نوع رکوردها را " رکوردهای منبع Resource Record " می گويند. رکوردهای فوق اطلاعات مورد نياز در رابطه با منابع قابل دسترس در هر Zone را مشخص خواهند کرد.
تفاوت بين Domain و Zone
در ابتدا می بايست به اين نکته اشاره نمود که Zone ها با دامنه ها (Domain) يکسان نبوده و يک Zone می تواند شامل رکوردهائی در رابطه با چندين دامنه باشد. مثلا" فرض کنيد ، دامنه
www.microsoft.com دارای دو زير دامنه با نام East , West باشد.
(West.microsoft.com,East.microsoft.com ). مايکروسافت دارای دامنه اختصاصی msn.com بوده که خود شامل دارای يک زيردامنه با نام mail.microsoft.com است
دامنه های همجوار و غير همجوار در شکل فوق نشان داده شده است . دامنه های همجوار همديگر را حس خواهند کرد ( برای يکديگر ملموس خواهند بود ) . در رابطه با مثال فوق دامنه های موجود در Zone Microsoft.com همجوار و دامنه های Msn.com و Microsoft.com غير همجوار هستند.
Zone ها مجوز واگذاری مسئوليت برای پشتيبانی منابع موجود در Zone را فراهم خواهند کرد. Zone ها روشی را بمنظور واگذاری مسئوليت پشتيبانی و نگهداری بانک اطلاعاتی مربوطه فراهم خواهند کرد. فرض کنيد شرکتی با نام TACteam وجودداشته باشد. شرکت فوق از دامنه ای با نام tacteam.net استفاده می نمايد. شرکت فوق دارای شعباتی در San Francisco, Dallas, and Boston است . شعبه اصلی در Dallas بوده که مديران متعددی برای مديريت شبکه در آن فعاليت می نمايند. شعبه San Francisco نيز دارای چندين مدير ورزيده بمنظور نظارت بر سايت است . شعبه Boston دارای مديريتی کارآمد برای مديريت DNS نمی باشد. بنابراين همواره نگرانی های مربوط به واگذاری مسئوليت نگهداری بانک اطلاعاتی به يک فرد در Boston خواهيم بود. منابع موجود بر روی سايت Dallas در حوزه tacteam.net بوده و منابع موجود در San Francisco در سايت west.tacteam.net و منابع موجود در Boston در سايت east.tacteam.net نگهداری می گردنند. در چنين وضعيتی ما صرفا" دو Zone را برای مديريت سه دامنه ايجاد خواهيم کرد. يک Zone برای tacteam.net که مسئوليت منابع مربوط به tacteam.net و east.tacteam.net را برعهده داشته و يک Zone ديگر برای west.tacteam.net که منابع موجود بر روی سايت San Francisco را برعهده خواهد گرفت . اسامی مورد نظر برای هر Zone به چه صورت می بايست انتخاب گردنند؟ هر Zone نام خود را از طريق ريشه و يا بالاترين سطح دامنه اقتباس خواهند شد. زمانيکه درخواستی برای يک منبع موجود بر روی دامنه west.tacteam.net برای DNS واصل گردد ( سرويس دهنده DNS مربوط به tacteam.net ) سرويس دهنده tacteam.net صرفا" شامل يک Zone نخواهد بود.در چنين وضعينی سرويس دهنده فوق دارای يک Delegation ( واگذاری مسئوليت ) بوده که به سرويس دهنده DNS مربوط به west.tacteam.net اشاره خواهد کرد. بنابراين درخواست مربوطه برای ترجمه اسامی به آدرس بدرستی به سرويس دهنده مربوطه هدايت تا مشکل برطرف گردد.
Zones
Zoneها ی از نوع Forward امکان ترجمه نام يک کامپيوتر به يک IP را فراهم می نمايند..يک Reverse Lookup اين امکان را به سرويس گيرندگان خواهد داد که عمليات مخالف عمليات گفته شده را انجام دهند: ترجمه يک آدرس IP به يک نام . مثلا" فرض کنيد شما می دانيد که آدرس IP مربوط به کامپيوتر مقصد 192.168.1.3 است اما علاقه مند هستيم که نام آن را نيز داشته باشيم . بمنظور پاسخگوئی به اين نوع درخواست ها سيستم DNS از اين نوع Zone ها استفاده می نمايد. Zone های فوق بسادگی و راحتی Forward Zone ها رفتار نمی نمايند. مثلا" فرض کنيد Forward Lookup Zone مشابه يک دفترچه تلفن باشد ايندکس اين نوع دفترچه ها بر اساس نام اشخاص است . در صورتيکه قصد يافتن يک شماره تلفن را داشته باشيد با حرکت بر روی حرف مربوطه و دنبال نمودن ليست که بترتيب حروف الفباء است قادر به يافتن نام شخص مورد نظر خواهيد بود. اگر ما شماره تلفن فردی را بدانيم و قصد داشته باشيم از نام وی نيز آگاهی پيدا نمائيم چه نوع فرآيندی را می بايست دنبال نمود؟. از آنجائيکه دفترچه تلفن بر اساس نام ايندکس شده است تنها راه حرکت و جستجو در تمام شماره تلفن ها و يافتن نام مربوطه است .قطعا" روش فوق روش مناسبی نخواهد بود. بمنظور حل مشکل فوق در رابطه با يافتن نام در صورتيکه IP را داشته باشيم از يک دامنه جديد با نام in-addr.arpa استفاده می گردد. دامنه فوق اسامی مربوطه به دامنه ها را بر اساس شناسه شبکه (Network ID) ايندکس و باعث افزايش سرعت و کارآئی در بازيابی اطلاعات مورد نظر با توجه به نوع درخواست ها خواهد شد.
با استفاده از برنامه مديريتی DNS می توان براحتی اقدام به ايجاد اين نوع Zone ها نمود. مثلا" اگر کامپيوتری دارای آدرس 192.168.1.0 باشد يک آدرس معکوس ايجاد و Zone مربوطه بصورت زير خواهد بود :1.168.192.in-addr.arpa.dns
قسمت بعدي: NAT
]
نحوه راه اندازي Isp قسمت پنجم 
