Службы времени и имён

Помимо передачи пакетов, сети полагаются на фоновые службы, которые поддерживают согласованность и удобство работы. Две из самых важных — это синхронизация времени и разрешение имён.

Без точного времени нарушается работа журналов и систем безопасности; без разрешения имён пользователям пришлось бы запоминать IP-адреса. Эти незаметные службы лежат в основе почти всего остального в сети.

Синхронизированные часы нужны компьютерам по многим причинам: записи журналов на разных устройствах должны совпадать по времени для расследования инцидентов, сертификаты безопасности действуют в определённые временные интервалы, а системы аутентификации, такие как Kerberos, отклоняют запросы при слишком большом расхождении часов.

Даже несколько минут рассинхронизации могут нарушить вход в систему, запутать поиск неисправностей и вызвать трудно диагностируемые сбои во всей сети.

NTP (сетевой протокол времени) синхронизирует часы устройств в сети. Устройства запрашивают серверы NTP и корректируют свои часы в соответствии с ними, достигая точности до миллисекунд. NTP использует UDP-порт 123.

Это один из старейших интернет-протоколов, активно используемых до сих пор. Он незаметно следит за тем, чтобы все устройства — от маршрутизаторов до серверов — одинаково понимали текущее время.

NTP организует источники времени по уровням. Уровень 0 — это высокоточные эталонные часы, например атомные часы или часы GPS. Серверы уровня 1 подключаются к ним напрямую, уровень 2 синхронизируется с уровнем 1 и так далее.

Каждый последующий уровень немного менее точен. Обычно сети синхронизируются с общедоступными или внутренними серверами NTP, находящимися на несколько уровней ниже, чего более чем достаточно для обычной работы.

Самая важная служба имён — это DNS (система доменных имён), которая преобразует понятные человеку имена, например example.com, в IP-адреса. Это телефонная книга интернета, позволяющая использовать имена вместо чисел.

Каждое посещение веб-сайта, электронное письмо и подключение приложения обычно начинаются с запроса DNS, поэтому разрешение имён — одна из наиболее активно используемых служб в любой сети.

DNS настолько важен, что при его сбое большая часть сети кажется неисправной, хотя соединение работает. Пользователи не могут открывать сайты по именам, электронная почта приостанавливается, а приложения ждут ответа и завершаются по истечении времени ожидания — всё из-за проблемы с именами, а не с маршрутизацией.

Поэтому фраза «Это всегда DNS» стала среди сетевых инженеров ходячей шуткой: многие загадочные сбои оказываются связаны с проблемами DNS.

Организации часто запускают собственный внутренний DNS, чтобы присваивать имена серверам, принтерам и другим устройствам частной сети и находить их. Благодаря этому сотрудники могут использовать понятные внутренние имена вместо запоминания IP-адресов.

Внутренний DNS также интегрируется со службами каталогов, поэтому компьютеры и пользователи могут находиться и проходить аутентификацию по имени; это основа управляемых корпоративных сетей.

Когда вы вводите имя, устройство обращается к распознавателю (часто это ISP или общедоступная служба, например 8.8.8.8), чтобы найти соответствующий IP. Распознаватель проверяет свой кэш, затем при необходимости запрашивает иерархию DNS и возвращает адрес.

После этого устройство подключается к найденному IP. Весь обмен обычно занимает миллисекунды и незаметно происходит перед почти каждым вашим подключением к интернету.

Сети также используют другие фоновые службы:

• DHCP (протокол динамической настройки узла) автоматически выдаёт параметры IP.
• NTP синхронизирует время.
• DNS разрешает имена.

Вместе эти три службы образуют незаметный фундамент, делающий сеть пригодной для работы; когда одна из них выходит из строя, пользователи сразу это замечают, даже если причина невидима.

Основные службы представляют собой ценные цели для атак. Подмена DNS может перенаправить пользователей на поддельные сайты, а изменённое время — нарушить проверки безопасности. Для защиты используют DNSSEC (расширения безопасности DNS), чтобы подтверждать подлинность записей DNS, а также надёжные источники NTP с проверкой подлинности.

Поскольку от этих служб зависит так много процессов, точность и безопасность служб времени и именования крайне важны для работоспособной и заслуживающей доверия сети.

NTP синхронизирует часы (что крайне важно для журналов, сертификатов и аутентификации) с помощью иерархии уровней, а DNS сопоставляет имена с адресами и лежит в основе почти каждого соединения. Вместе с DHCP эти фоновые службы делают сеть пригодной для работы, а их защита с помощью таких средств, как DNSSEC, защищает всю основу сети.

Проверьте свои знания об именовании и времени.

Фоновые службы обеспечивают работоспособность сетей. NTP синхронизирует часы (что необходимо для журналов, сертификатов и аутентификации) с помощью иерархии уровней через UDP 123. DNS сопоставляет имена с адресами и лежит в основе почти каждого соединения, а DHCP выдаёт настройки. Защищайте их с помощью DNSSEC и надёжных источников времени.