А что у нас умеют кошки?

Игорь Федюкин

Хакер, номер #096, стр. 096-020-2

- Firewall (можно включить или выключить; при включении в конфиге создается две группы access list’ов, разрешающих любые соединения из LAN в WAN, ICMP-трафик извне и запрещающих все остальное; любое редактирование или добавление правил доступно только через консоль);

- DHCP (возможно поднять DHCP-сервер, который будет автоматически раздавать IP-адреса из указанного пула, а также доменное имя и адреса DNS-серверов);

- NAT (здесь настраивается соответствие внешних портов роутера внутренним IP-адресам пользователей сети, так называемый Static PAT);

- Routing (настройка статической маршрутизации);

- Security (здесь предлагается ввести дополнительное блокирование определенных сервисов, включить детальное логирование событий и криптование паролей).

Также в web-интерфейсе реализуется функция обновления прошивки.

Функциональные возможности

Как уже было сказано ранее, большая часть настроек доступна исключительно через консольный интерфейс. Роутер функционирует под управлением полноценной операционной системы Cisco IOS. Находятся, правда, и «мертвые» команды, такие как, например, вход в меню настроек несуществующих интерфейсов (CDMA-Ix, VIF) или конфигурирования неподдерживаемых протоколов (EIGRP, Frame-Relay). Однако если ты имел опыт работы с IOS, все будет знакомо и понятно. Также к командам и процессу настройки в целом будет нетрудно привыкнуть заядлым линуксоидам.

Теперь о том, что умеет «кошка». Встроенный свитч работает только на втором уровне модели OSI. Для него доступны настройки виртуальных сетей (VLAN) и определение до 16-ти очередей с различными приоритетами (Weighted Fair Queuing). Непосредственно трафик шейпинг доступен только для PPPoE-соединения. На WAN-интерфейсе можно задавать статический IP-адрес, поднимать PPPoE-клиент или IPSec-туннель. Также имеется возможность работать с туннелями L2TP, однако поддержка более распространенного у нас PPTP отсутствует напрочь. Разумеется, есть полный набор таких необходимых вещей, как трансляция портов NAT (Static/Dynamic/PAT) и фильтрации нежелательного трафика на основе фирменных Access List’ов.

Методика тестирования

Несмотря на то что данный девайс принадлежит к корпоративному сегменту рынка, где большее значение имеет функциональность железа, мы провели ряд стандартных замеров производительности, для того чтобы понять, насколько «корпоративное» железо быстрее или медленнее «обычного».

Для тестирования проводного сегмента использовался программный продукт NetIQ Chariot и скрипт Throughput с передачей пакетов максимального объема. На двух станциях устанавливались так называемые endpoint-программы, затем в консоле NetIQ Chariot запускался скрипт генерации трафика.

По умолчанию девайс работает в режиме чистой маршрутизации на третьем уровне модели OSI без задействования NAT. Механизм работы в таком случае отличается тем, что роутер не изменяет заголовок IP-пакета, подставляя в него свой IP-адрес (как это происходит в случае NAT) и, соответственно, тратит меньше процессорного времени на обработку каждого пакета. Следовательно, пропускная способность при таком раскладе должна быть больше, нежели в случае с NAT.