Система управления трафиком Ellacoya IPSCS

Архитектура Ellacoya - это первая среда, облегчающая построение и управление умными широкополосными сетями. Высокая интеграция и расширенная функциональность этой архитектуру позволяет операторам строить распределенные системы для управления полосой пропускания, контролем сети и создания новых пакетов услуг.
 
Архитектура Ellacoya выполняет четыре ключевые взаимосвязанные функции, не реализованные в традиционных платформах коммутации и маршрутизации - классификации по приложениям, идентификации абонентов, измерения использования полосы пропускания и применения политик. В основе системы лежит производительная аппаратная платформа, ориентированная на работу с IP потоками, и легко расширяемые интерфейсы (API) для простой интеграции с внешними системами управления услугами и биллинга.
С помощью архитектуры Ellacoya операторы могут распределять коммутаторы Е30 по всей сети с произвольной топологией и географией и управлять всеми ими как единой системой. Профили абонентов и политики для приложений определяются и хранятся в централизованной базе данных. Во время работы системы политики для абонентов и приложений по мере надобности распределяются по всем коммутаторам Е30. Такая архитектура позволяет крупным операторам управлять полосой в сетях с миллионом и боле абонентов, создавая единую интеллектуальную среду, обеспечивающую сквозное качество обслуживания для каждого клиента или приложения.

Ellacoya e30 - это коммутатор, работающий на уровнях 1-7 ориентированный на работу с IP потоками. С его помощью оператор может контролировать и формировать потоки, в соответствии с политиками для каждого абонента и/или приложения.
 
Коммутатор Ellacoya e30 сочетает производительную аппаратную платформу со сложным ПО, что обеспечивает прозрачность и контроль трафика в сети. Встроенное ПО ассоциирует трафик с абонентом, используя какой-либо из пяти возможных способов. Далее e30 обращается к программному обеспечению Service Logic Software (SLS), получает политику для работы с трафиком данного абонента и использует ее для дальнейшей классификации потоков. Когда абонент создает новый IP поток, ПО распознает тип трафика, используя первый пакет нового потока и подпись приложения. Эта информация затем поступает в таблицу потоков на e30.
Затем коммутатор использует информацию о потоках для измерений использования сети и приведения трафика в соответствие с политиками. Матрица коммутации применяет правила политик для каждого IP потока. Каждая политика позволяет осуществлять одно действие – разрешить, запретить, перемаркировать, перенаправить, ограничить скорость или поместить в очередь. Алгоритмы ограничения скорости позволяют ограничивать скорость как для абонента, так и для приложения, что позволяет определить процент полосы пропускания для класса приложений (например, для PtoP). Так же e30 снимает статистику с точностью, достаточной для биллинга.

ПО Service Logic Software™ (SLS) - это центр управления системой формирования трафика Ellacoya, который позволяет управлять любым количеством e30, установленных в сети.
 
Программное обеспечение SLS использует платформу J2EE/Unix/SQL (например, платформа Sun, операционная система Solaris) с возможностью доступа при помощи web/java клиентов.
Service Logic Software™ предоставляет полную информацию о сети, обрабатывая грубые данные от коммутаторов e30 и формируя отчеты, показывающие характер загрузки, изменения загрузки во времени и аномальное поведение сети. Так же с помощью SLS можно задавать политики формирования трафика для каждого абонента и или приложения.
SLS позволяет определять новые приложения, например, HTTP, FTP и peer-to-peer, с помощью иерархической сервисной модели Ellacoya. Таким образом, работа с новыми приложениями не требует замены ПО. Также возможно крайне простое определение пакета услуг, состоящего из набора политик по приоритезации и ограничению скоростей. Данные пакеты услуг могут быть применены к отдельным абонентам или группам абонентов. Возможна легкая интеграция платформы Ellacoya с существующими системами управления сетью или услугами.
SLS позволяет так же настраивать способы привязки потоков к абонентам, при этом используются базовые алгоритмы, такие как пассивная аутентификация по DHCP или RADIUS. В отчетах каждый абонент фигурирует под уникальным идентификатором, которым может быть MAC или имя пользователя, что позволяет использовать отчеты для формирования счетов абонентов.
Таким образом, SLS - это существенная часть системы формирования трафика Ellacoya, позволяющая определять политики и получать отчеты о трафике в сети.
 

Сетевые атаки реальны
Для провайдера широкополосного доступа новая ситуация, в которой сеть повергается значительному количеству атак, в первую очередь приводит к недостатку сетевых ресурсов. Даже с учетом того, что пользователи со временем становятся осторожней, вирусы продолжают распространяться, нарушая работу незараженных машин и создавая дополнительную нагрузку на центры поддержки клиентов. Вирусы зачастую остаются на шаг впереди ПО, призванного бороться с ними, а создаваемая ими нагрузка на сеть (и, соответственно, операционные расходы операторов) растет взрывными темпами.
Обнаружение вторжений
В такой среде системы обнаружения вторжений (IDS) стали критически важным элементом сетевой безопасности, позволяющим наблюдать за сетью и обнаруживать потенциальные угрозы. Крайне важно находить опасный трафик на самом раннем этапе для того, чтобы принять меры для подавления атаки. Некоторые платформы IDS в ходе эволюции обрели интерфейс к сетевым элементам, с помощью которого они могут автоматически подавлять атаки извне сети.
Но вирусы тоже становятся более сложными, некоторые могут маскироваться под обычные пользовательские приложения, чтобы не быть обнаруженными, но продолжать распространяться по сети. Вместо атак из внешних сетей все больше атак приходит от абонентов собственных сетей операторов.
Комбинация IDS и систем управления трафиком
Модуль Ellacoya NIM (контроль за вторжениями в сеть), интегрированный с любой системой обнаружения вторжений, заполняет разрыв между системой управления трафика и системами обнаружения вторжений. В итоге получаем систему обнаружения вторжений, знающую, какой именно клиент стал источником атаки, и позволяющую эффективно с ними бороться.
NIM - это программный модуль для системы Ellacoya, который взаимодействует с сенсорами вторжения (Intrusion Senser). Когда какой либо абонент опознается как пораженный вирусами или червями, система автоматически принимает меры для того, чтобы прекратить распространение угрозы. При этом к абоненту могут быть применены правила, заранее определенные оператором для той или иной угрозы. Так он может быть перенаправлен на web-сервер с инструкциями по борьбе с вирусом или предоставленная абоненту скорость может быть снижена для предотвращения DoS атак. Абонент также может быть автоматически восстановлен в правах если с его компьютера не будет обнаружено атак в течение заранее заданного периода времени.