5. Общие рекомендации к ЛВС

5.1. ЛВС должна обеспечивать возможность подключения пользователей ООВО к ИСиР.

5.2. Функциональные рекомендации к ЛВС:

должна предоставлять коммуникационные услуги сетевого, транспортного уровней согласно семиуровневой модели OSI и обеспечивать доступ к услугам прикладного уровня согласно рекомендациям ITU и ISO;

должна обеспечивать возможность передачи различного типа графика (данных, голоса, видео);

должна обеспечивать возможность масштабирования сети без замены оборудования и/или изменения архитектуры решения и иметь запас емкости по портам не менее 20%;

оборудование ЛВС должно обеспечивать поддержку механизмов обеспечения качества обслуживания (QoS/CoS) в рамках всей ЛВС;

оборудование ЛВС должно поддерживать механизм аутентификации и авторизации администраторов;

должна обеспечиваться возможность подключения оборудования ЛВС к системам мониторинга и администрирования с возможностью рассылки уведомлений SNMP-серверу (по протоколу SNMP v1 или v2c, или v3) и получения управляющих команд по протоколу SNMP;

должна обеспечиваться возможность передачи пакетов по протоколу IPv4/v6, поддержка IPv4/v6 адресации на интерфейсах, а также возможность управления по IPv4/v6. Перечисленные функции также должны быть реализованы для устройств, выпущенных производителем начиная с 2012 года;

пользователи ЛВС должны обеспечиваться сервисами в течение рабочего времени, принятого в ООВО;

коммуникационная среда ЛВС реализуется на базе современных версий протоколов по технологии Ethernet (серия стандартов IEEE 802.3).

5.3. Рекомендации к оборудованию ЛВС:

5.3.1. Оборудование сегмента подключения пользователей должно:

обеспечивать сегментирование сети по технологии VLAN, в том числе поддерживать организацию магистральных каналов передачи данных (802.1q);

обеспечивать защиту сети на уровне L2 от появления колец Spanning Tree Protocol (STP, RSTP, MSTP);

поддерживать технологию агрегирования каналов связи (протокол 802.3ad);

при необходимости разграничения доступа на основании сетевой информации оборудование должно поддерживать списки контроля доступа (на основе уровней L4. L3. L2 модели OSI);

поддерживать протокол управления групповой (multicast) передачей данных (IGMP);

поддерживать протоколы сетевой аутентификации и авторизации (RADIUS и/или TACACS+ или их аналоги);

поддерживать протокол синхронизации времени (NTP);

поддерживать технологию зеркалирования трафика;

поддерживать протоколы управления (SSH и/или Telnet - обязательно, http или https - опционально);

обеспечивать достаточное количество портов для подключения АРМ пользователей и периферийного оборудования;

обеспечивать подключение линиями связи, соответствующими спецификациям, включая их комбинации, 802.3u 100BASE-TX (10/100 Ethernet over copper), или 802.3ab 1000BASE-T (10/100/1000 Ethernet over copper), или 802.3z Gigabit Ethernet, или 802.3bz 1000/2500BASE-T;

в случае необходимости, обеспечивать подключение магистральных линий связи, соответствующих спецификации 802.3ae 10 Gigabit Ethernet;

при необходимости ограничения доступа, обеспечивать возможность контроля подключения к порту на основе MAC-адреса рабочей станции.

5.3.2. Оборудование магистрального сегмента должно:

обеспечивать сегментирование сети по технологии VLAN, в том числе поддерживать организацию магистральных каналов передачи данных (802.1q), поддерживать логические маршрутизируемые ip интерфейсы VLAN;

обеспечивать защиту сети на уровне L2 от появления колец Spanning Tree Protocol (STP, RSTP, MSTP);

предпочтительна возможность объединения устройств ЛВС в единый стек:

поддерживать технологию агрегирования каналов связи (протокол 802.3ad);

поддерживать списки контроля доступа (на основе уровней L4, L3, L2 модели OS1);

поддерживать протокол управления групповой (multicast) передачей данных (IGMP);

поддерживать протоколы сетевой аутентификации и авторизации (RADIUS и/или TACACS+ или их аналоги);

поддерживать протокол синхронизации времени (NTP);

поддерживать технологию зеркалирования трафика;

поддерживать протоколы управления (SSH и/или Telnet - обязательно, http и/или https - опционально);

поддерживать протокол управления групповой (multicast) передачей данных IGMP);

при наличии распределенного магистрального сегмента обеспечивать статическую и динамическую маршрутизацию (протоколы RIPv1, RIPv2, RIPng, OSPFv2, OSPFv3, BGP-4, BGP-4+);

поддерживать протокол VRRP или его аналоги;

поддерживать протокол регистрации событий Syslog;

обеспечивать пропускную способность в соответствии с требованиями технического задания;

обеспечивать предоставление информации о потоках трафика (протокол NetFlow, или NetStream, или Cflow, или Jflow, или cflowd, или sFlow, или их аналоги);

обеспечивать подключение линиями связи, соответствующими спецификациям, включая их комбинации, 802.3u 100BASE-TX (10/100 Ethernet over copper), или 802.3ab 1000BASE-T (10/100/1000 Ethernet over copper), или 802.3z Gigabit Ethernet, а также, в случае необходимости, 802.3ae 10 Gigabit Ethernet;

при подключении к общедоступным сетям, обеспечивать функцию защиты ЛВС и ее пользователей от сетевых атак, а также возможность трансляции IP адресов (NAT/PAT).

В случае необходимости организации защищенных туннелей через общедоступные сети, должен обеспечиваться криптографическая защита передаваемой информации в соответствии с ГОСТ Р 34.10-2012, ГОСТ Р 34.11 2012.

Перечисленные функции могут поддерживаться как отдельным устройством, так и набором из двух или нескольких устройств.

5.3.3. Рекомендации к беспроводной ЛВС:

5.3.3.1. Рекомендации к наличию и характеристикам беспроводной ЛВС определяются конкретным проектом создания и модернизации ИТИ. Решение по организации беспроводной ЛВС принимается каждой образовательной организацией самостоятельно. Обязательно проведение предварительного радио обследования объекта, на котором планируется разворачивание беспроводной ЛВС.

5.3.3.2. В основу архитектуры беспроводной ЛВС должно быть положено использование беспроводных точек доступа, автономных или работающих под управлением контроллеров.

5.3.3.3. В состав беспроводной ЛВС должны входить точки беспроводного доступа.

5.3.3.4. Дополнительно в состав беспроводной ЛВС могут входить:

контроллеры;

система управления беспроводным доступом.

5.3.3.5. Все оборудование беспроводной ЛВС должно быть совместимо друг с другом.

5.3.3.6. Точки доступа беспроводной ЛВС должны:

поддерживать стандарты не ниже IEEE 802.11a/b/g/n/ac;

поддерживать технологию Multi-SSID;

обеспечивать сегментирование сети по технологии VLAN, в том числе поддерживать организацию магистральных каналов передачи данных (802.1q);

обеспечивать возможность подключения SSID к определенному VLAN;

поддерживать списки контроля доступа (на основе уровней L3, L2 модели OSI);

поддерживать следующие протоколы и функциональность: AES, TKIP, WPA/WPA2 Personal, WPA/WPA2 Enterprise, 802.1x аутентификацию, ограничение по MAC-адресам;

поддерживать получение электропитания по витой паре по стандарту IEEE 802.3af или 802.3at.

5.3.3.7. Контроллеры беспроводной ЛВС должны:

быть совместимыми с точками доступа и системой управления беспроводной ЛВС (при ее наличии);

осуществлять разграничение доступа;

обеспечивать необходимый уровень отказоустойчивости (при необходимости обеспечения беспрерывной работы беспроводной ЛВС контроллеры должны работать в кластерной конфигурации);

должны иметь возможность как автономного управления по ssh, https, так и централизованного - при помощи системы управления.

5.3.3.8. Система управления беспроводной ЛВС, при ее наличии должна:

обеспечивать централизованное управление и мониторинг беспроводной сети объекта в целом;

поддерживать возможность настройки беспроводных точек доступа;

осуществлять сетевой мониторинг;

получать в реальном времени уведомления о событиях в беспроводных сетях;

формировать карты беспроводных сетей;

предоставлять статистические отчеты.

5.4. Рекомендации к архитектуре и топологии ЛВС.

5.4.1. Рекомендации к архитектуре и топологии проводной ЛВС:

5.4.1.1. Классификацию решений проводной ЛВС ООВО, можно отнести к одному из следующих вариантов, связанных с количеством портов ЛВС:

вариант 1 - от 5 до 40 включительно;

вариант 2 - от 41 до 120 включительно;

вариант 3 - от 121 до 300 включительно;

вариант 4 - более 300.

5.4.1.2. Рекомендации к архитектуре ЛВС от 5 до 40 портов включительно (вариант 1): для реализации данного варианта, как правило, достаточно одного коммутатора и оборудования магистрального сегмента (маршрутизатор) или двух объединенных между собой коммутаторов и маршрутизатора.

5.4.1.3. Рекомендации к архитектуре ЛВС от 41 до 120 портов включительно (вариант 2): для реализации данного варианта, как правило, требуется более двух коммутаторов, в связи с чем, необходимо предусмотреть магистральный сегмент, который может быть выполнен как в виде отдельного устройства, такт за счет функции стекирования или в виде модуля в устройстве другого сегмента.

5.4.1.4. Рекомендации к архитектуре ЛВС от 121 до 300 портов включительно (вариант 3): данная классификация - наряду с остальными модулями ЛВС требует обязательного наличия выделенного коммутатора магистрального сегмента. Коммутатор магистрального сегмента должен обеспечивать подключение всех коммутаторов сегмента подключения пользователей.

5.4.1.5. Рекомендации к архитектуре ЛВС более 300 портов (вариант 4): решение должно приниматься индивидуально на основании предварительного обследования объекта, оценки функциональных требований конечных пользователей и сформированного по результатам технического задания в отношении конкретного объекта с соблюдением общих рекомендаций, указанных в данном документе.

5.4.1.6. Коммутаторы по возможности, должны объединяться в единое. логическое устройство по высокоскоростным стековым каналам. В случае территориального распределения коммутаторов в пределах одного объекта допускается их объединение в стек через оптические каналы (если коммутатор поддерживает подобное объединение).

5.4.1.7 В случае отсутствия технической возможности объединения в одно логическое устройство сетевое взаимодействие между коммутаторами распределенного магистрального сегмента должно обеспечиваться на 3-ем уровне модели OSI. Допускается также взаимодействие коммутаторов в пределах одного объекта на 2-ем уровне модели OSI, но при этом каждое отдельное кольцо протокола Spanning Tree должно включать не более 3-х устройств.

5.4.1.8. Взаимодействие между коммутаторами ЛВС должно быть обеспечено каналами с пропускной способностью не менее 100 Мбит/с.

5.4.1.9. Для повышения отказоустойчивости между коммутаторами рекомендуется организовать отказоустойчивые соединения с подключением к двум различным устройствам, либо агрегированными каналами. Агрегирование каналов также требуется в случае необходимости канала связи определенной пропускной способности, превышающей скорость одного порта. Выбор скорости каналов и количества агрегированных каналов производится в соответствии с техническим заданием.

5.4.2. Рекомендации к архитектуре беспроводной ЛВС:

5.4.2.1. Беспроводная ЛВС должна обеспечивать уверенное покрытие в зонах и помещений ООВО.

5.4.2.2. Уровень отказоустойчивости ЛВС и подходы к ее обеспечению выбираются в зависимости от максимально допустимого времени простоя ЛВС объекта в целом:

менее 3-х часов и для объектов, в отношении которых требуется беспрерывный доступ пользователей к ИСиР - требуется резервирование оборудования магистрального сегмента, установка СБЭ;

- до 6-ти часов - возможно обеспечение отказоустойчивости организационными мерами, такими как наличие ЗИП и/или сервисных контрактов.

Полный отказ любого из каналов либо неполадки отдельных устройств и их модулей в магистральной части ЛВС, на объектах, где она присутствует, не должны приводить к неработоспособности сети в целом.

Подробные требования к отказоустойчивости отражаются в техническом задании и формируются на основании оценки функциональных требований конечного пользователя и необходимого уровня надежности функционирования ИСиР, используемых на конкретном объекте.

5.4.3. Оборудование ЛВС должно обеспечивать режим эксплуатации в соответствии с установленным графиком работы пользователей на объекте и пользователей ИСиР объекта.

5.4.4. Анализ необходимости модернизации ЛВС объекта должен проводиться эксплуатирующей службой или организацией не реже одного раза в 5 лет.

5.4.5. Документация на ЛВС должна поддерживаться в актуальном состоянии. Любые изменения структуры, топологии, конфигурации ЛВС должны быть отражены в исполнительной документации.

5.4.6. Гарантия на вновь поставляемое оборудование ЛВС должна быть не менее 12 месяцев. При этом должна быть обеспечена возможность послегарантийного обслуживания оборудования ЛВС.

5.4.7. Все элементы ЛВС должны быть однозначно идентифицированы и промаркированы. Маркировка должна быть выполнена типографским (или при помощи принтера) способом и надежно закреплена на оборудовании. Соединительные кабели маркируются на двух концах. К исполнительной документации должен быть приложен список идентифицированных элементов сети с указанием места установки.

5.4.8. Оборудование устанавливается в 19-дюймовые телекоммуникационные шкафы. Допустимо устанавливать активное оборудование ЛВС совместно с оборудованием СКС в одних шкафах.