Справка мсэк об инвалидности: Справка МСЭ \ Акты, образцы, формы, договоры \ Консультант Плюс

Как должны выглядеть документы, подтверждающие инвалидность

Минздравсоцразвития утвердило новые формы документов, которые получают граждане в учреждениях медико-социальной экспертизы (МСЭ), если после прохождения освидетельствования им устанавливается инвалидность.

В житейском плане правильность оформления всякого рода справок и других документов, особенно если они необходимы для решения каких-то имущественных или денежных вопросов, очень важна. Мало ли было случаев, когда одна ошибочная буква в написании фамилии или адреса, не там поставленная запятая или смазанная печать в дальнейшем вынуждали обладателя содержащего неточности документа по новой обивать пороги чиновников.

Поэтому публикуемый сегодня приказ минздравсоцразвития хоть и носит, по большому счету, технический характер (поскольку изменяет только формы документов, подтверждающих инвалидность), не только регламентирует работу учреждений МСЭ, но и даст возможность самому человеку убедиться, что после проведения экспертизы все необходимые документы оформлены правильно. Речь, собственно, идет о двух основных документах: форме справки, подтверждающей факт установления инвалидности, а также выписке из акта освидетельствования гражданина, признанного инвалидом.

В минздравсоцразвития «Российской газете» пояснили, что формы эти необходимо было менять, поскольку с 2010 года вступил в силу 213-й федеральный закон (от 24 июля 2009 года), по которому установление инвалидам пенсий, ежемесячных денежных выплат и предоставление мер социальной поддержки производится в зависимости от группы инвалидности, а не от степени ограничения способности к трудовой деятельности.

И хотя закон вступил в силу уже больше года назад, до сих пор не были отменены прежние формы документов, где обязательно должна присутствовать запись об установленной инвалиду степени ограничения трудоспособности. Нынешним документом это противоречие устраняется.

В министерстве просят обратить внимание: публикуемый приказ вступает в силу с 1 апреля 2011 г. Такой переходный период нужен, чтобы обеспечить бесперебойную работу службы медико-социальной экспертизы по освидетельствованию граждан. До 1 апреля, пока не будут напечатаны новые формы справок и выписок, документы, оформляемые при освидетельствовании, будут выдаваться инвалидам по прежним формам, утвержденным постановлением Минтруда России от 30 марта 2004 г. N 41. «Таким образом, граждане, признанные инвалидами, смогут получить соответствующие справки и выписки без задержки, с момента принятия решения федеральными госучреждениями медико-социальной экспертизы», — уточнили сотрудники департамента по делам инвалидов минздравсоцразвития.

Помимо формы справки и выписки из акта освидетельствования (бланки которых, кстати, относятся к защищенной полиграфической продукции), приказ министерства содержит подробную инструкцию по их заполнению. Например, при каждом переосвидетельствовании в особой строке должна быть указана дата очередного освидетельствования, причем определяться она должна с учетом графика работы учреждения МСЭ. Если же инвалидность установлена бессрочно, в той же строке это обязательно оговаривается. Также порядок оформления документов содержит точные указания, как должны оформляться документы, если, например, инвалид поменял фамилию. Каким образом выдаются дубликаты, если справки были утеряны. Одним словом, вооружившись текстом приказа, человек всегда сможет проверить, не ошиблись ли чиновники, оформляя ему важные бумаги.

Источник: Российская газета

С 2022 года справку об инвалидности будут выдавать только в электронном виде

Минюст РФ 21 декабря зарегистрировал приказ Минтруда №789н от 17 ноября 2020 года, которым изменяется форма справки, подтверждающей факт установления инвалидности, и порядок ее выдачи. Согласно приказу, справка об инвалидности с 1 января 2022 года будет выдаваться только в электронном виде. До этого периода документ можно будет получать как в электронном, так и в бумажном формате.

«С 1 января 2022 года выписка из акта освидетельствования гражданина, признанного инвалидом, выдаваемая федеральными государственными учреждениями медико-социальной экспертизы, составляется исключительно в форме электронного документа», – уточняется в приказе.

В начале декабря Минтруд подготовил проект постановления о внесении изменений во Временный порядок признания лица инвалидом – поправки позволят получать направление на медико-социальную экспертизу (МСЭ) при тяжелых состояниях и нарушениях функций организма, подтвержденных медицинской организацией, без дополнительных обследований. Изменения предполагаются для тех случаев, когда медорганизация впервые направляет на МСЭ гражданина, у которого диагностированы заболевания, дающие основание для установления инвалидности.

«Временный порядок предполагает автоматическое продление ранее установленной инвалидности на последующие шесть месяцев. Он также позволяет присваивать инвалидность впервые без личного обращения гражданина в бюро медико-социальной экспертизы. Все необходимые документы теперь поступают в инстанции с помощью системы электронного межведомственного взаимодействия», – сообщили в Правительстве РФ.

Ранее министр труда и социальной защиты РФ Антон Котяков заявил, что одна из целей в этом направлении – «полностью автоматизировать взаимоотношения между МСЭ и медицинской организацией».

Поделиться в соц.сетях

Я потерял справку МСЭ!Что делать?

Лицу, признанному инвалидом, по результатам проведения медико-социальной экспертизы (МСЭ) федеральными государственными учреждениями МСЭ (далее — бюро МСЭ) выдается справка, подтверждающая факт установления инвалидности. В случае утраты данной справки вы можете получить ее дубликат (п.

Шаг 1. Подготовьте заявление о выдаче дубликата справки МСЭ и подайте его в бюро МСЭ

Для получения дубликата справки МСЭ вам (вашему законному представителю) необходимо подать составленное в произвольной форме заявление в бюро МСЭ по месту жительства (месту пребывания, фактического проживания, месту нахождения пенсионного дела в случае выезда на постоянное жительство за пределы РФ). В заявлении должны быть указаны, в частности, обстоятельства утраты справки и место ее выдачи (абз. 1, 2 п. 9 Порядка).

Шаг 2. Получите дубликат справки МСЭ

Дубликат справки выдается на основании акта освидетельствования, в соответствии с которым была выдана утраченная справка. При этом без дополнительного освидетельствования вас в бюро МСЭ оформляется новый акт освидетельствования, в котором делается запись о выдаче дубликата справки взамен утерянной, и оформляется протокол.

В случае утери также акта освидетельствования, в соответствии с которым была выдана утраченная справка, ее дубликат выдается на основании копии выписки, подлинник которой хранится в ПФР (копия выписки выдается по запросу бюро МСЭ) (абз. 3, 5 п. 9 Порядка).

Примечание. Срок оформления дубликата справки уточните в бюро МСЭ, в которое вы подали заявление.

Дубликат справки выдается на бланке справки установленного образца, действующего на период его выдачи. В правом верхнем углу бланка справки, на котором оформляется дубликат, делается запись «Дубликат», ниже строки «Дата выдачи справки» делается запись «Дубликат выдан» и указывается дата выдачи дубликата. Заключение о характере и условиях труда, а также других формах социальной защиты, вписанное в утраченную справку, в дубликате вносится в строку «Дополнительные заключения» (абз. 6 — 8 п. 9 Порядка).

Если утраченная (испорченная) справка (выписка) была выдана в период с 01. 01.2004 по 31.12.2009, в дубликате справки ниже строки «Причина инвалидности» прописью делается запись о ранее установленной степени ограничения способности к трудовой деятельности (абз. 9 п. 9 Порядка).

С 1 января 2020 года смягчены критерии установления инвалидности, в том числе при онкологической патологии

С 1 января 2020 года при установлении инвалидности гражданам федеральные учреждения медико-социальной экспертизы (МСЭ) используют усовершенствованную версию Классификаций и критериев, используемых при осуществлении медико-социальной экспертизы (утверждены приказом Минтруда России от 27 августа 2019 года № 585н).

В разработке и последующем согласовании новой версии Классификаций и критериев приняли активное участие большинство главных специалистов Минздрава России по всем основным группам болезней, группа ведущих врачей-экспертов Минтруда России, эксперты Общероссийского народного фронта.

Целью работы было не только усовершенствовать Классификации и критерии (например, определить дополнительно критерии для установления инвалидности при многих редко встречающихся заболеваниях, отсутствовавших в предыдущей версии документа, или уточнить более подробно клинико-функциональную характеристику имевшихся ранее), но и ни в коем случае не допустить их ужесточения, а по ряду наиболее тяжелых инвалидизирующих патологий – смягчить их.

Особое внимание разработчики документа уделили такой патологии как онкологические заболевания.

В результате, снято ограничение на установление инвалидности более чем на пять лет, которое фигурировало в предыдущей версии Классификаций и критериев, по отдельным нозологическим формам новообразований, в частности, при злокачественных новообразованиях молочных желез.

В настоящее время сроки установления инвалидности регулируются Правилами признания лица инвалидом (постановление Правительства России от 20 февраля 2006 года № 95), в которых определено, что всем детям в случае выявления злокачественного новообразования категория «ребенок-инвалид» устанавливается сроком не менее чем на пять лет при первичном освидетельствовании, с возможностью последующего продления.

Также согласно Правилам признания лица инвалидом взрослым при наличии злокачественных новообразований с неблагоприятным клиническим прогнозом инвалидность устанавливается бессрочно не позднее двух лет наблюдения.

Минтруд России организовал мониторинг применения Классификаций и критериев в федеральных учреждениях медико-социальной экспертизы. Особое внимание при проведении мониторинга будет уделено срокам, на которые устанавливается инвалидность при онкопатологии.

Федеральному Бюро медико-социальной экспертизы дано поручение обеспечить методическое сопровождение установления инвалидности при онкологической патологии, при этом особое внимание обращать на установление инвалидности при злокачественной патологии молочной железы и сроки ее установления.

Также ФБ МСЭ поручено провести аудит всех принятых до настоящего времени решений по онкопатологии.

Документы — Правительство России

Постановление от 16 мая 2019 года №607. В целях сокращения сроков и упрощения процедуры освидетельствования граждан для установления инвалидности в Правила признания лица инвалидом внесены изменения, согласно которым направление на медико-социальную экспертизу (МСЭ) будет передаваться медицинской организацией в бюро МСЭ в форме электронного документа с использованием информационных систем медицинских организаций и МСЭ без участия инвалида.

Справка

Документ

• Постановление от 16 мая 2019 года №607

Подготовлено Минтрудом во исполнение поручения Президента России по итогам встречи с инвалидами и представителями общественных организаций и профессиональных сообществ, оказывающих содействие инвалидам, 5 декабря 2017 года (№Пр-50 от 13 января 2018 года, подпункт «а» пункта 2), поручения Правительства по итогам встречи Дмитрия Медведева с представителями общероссийских общественных организаций инвалидов, состоявшейся 21 ноября 2018 года (№ДМ-П12-8409 от 27 ноября 2018 года, пункт 6).

Правила признания лица инвалидом (далее – Правила) утверждены постановлением Правительства от 20 февраля 2006 года №95.

Согласно действующей редакции Правил, медицинские организации, а также органы, осуществляющие пенсионное обеспечение, и органы социальной защиты населения направляют граждан на медико-социальную экспертизу (далее – МСЭ) для установления инвалидности. При этом процедура освидетельствования проводится по заявлению гражданина, подаваемому им в бюро МСЭ, в письменной форме с приложением направления на МСЭ и других медицинских документов.

Федеральным проектом «Создание единого цифрового контура в здравоохранении на основе единой государственной информационной системы здравоохранения» национального проекта «Здравоохранение» предусмотрено, что до конца 2021 года не менее 90% медицинских организаций государственной и муниципальной систем здравоохранения субъектов Федерации перейдут на межведомственное электронное взаимодействие, в том числе с учреждениями МСЭ.

В целях сокращения сроков и упрощения процедуры освидетельствования граждан для установления инвалидности предусматривается поэтапный переход к обмену необходимыми документами между медицинскими организациями и учреждениями МСЭ в электронном виде без участия инвалидов.

В связи с этим подписанным постановлением в Правила внесены изменения, согласно которым направление на МСЭ будет передаваться медицинской организацией в бюро МСЭ в форме электронного документа с использованием информационных систем медицинских организаций и МСЭ без участия гражданина, а при отсутствии доступа к информационным системам – на бумажном носителе с учётом требований законодательства в области персональных данных и соблюдением врачебной тайны.

Кроме того, внесёнными изменениями устанавливается возможность подачи гражданином через Единый портал государственных и муниципальных услуг запроса в электронном виде на получение копий акта МСЭ и протокола проведения МСЭ, а также заявлений на обжалование решений первичных и главных бюро МСЭ.

Порядки и условия признания лица инвалидом

Признание гражданина инвалидом, осуществляется при проведении медико-социальной экспертизы, исходя из комплексной оценки состояния организма гражданина на основе анализа его клинико-функциональных, социально-бытовых, профессионально-трудовых и психологических данных, с использованием классификаций и критериев, утверждаемых Министерством здравоохранения и социального развития Российской Федерации.

Медико-социальная экспертиза проводится для установления структуры и степени ограничения жизнедеятельности гражданина (в том числе степени ограничения способности к трудовой деятельности) и его реабилитационного потенциала.

Специалисты бюро (главного бюро, Федерального бюро) обязаны ознакомить гражданина (его законного представителя) с порядком и условиями признания гражданина инвалидом, а также давать разъяснения гражданам по вопросам, связанным с установлением инвалидности.

Условия признания гражданина инвалидом

Условиями признания гражданина инвалидом являются:

а) нарушение здоровья со стойким расстройством функций организма, обусловленное заболеваниями, последствиями травм или дефектами.

б) ограничение жизнедеятельности (полная или частичная утрата гражданином способности или возможности осуществлять самообслуживание, самостоятельно передвигаться, ориентироваться, общаться, контролировать свое поведение, обучаться или заниматься трудовой деятельностью).

в) необходимость в мерах социальной защиты, включая реабилитацию.

Наличие одного из условий не является основанием, достаточным для признания гражданина инвалидом.

В зависимости от степени ограничения жизнедеятельности, обусловленного стойким расстройством функций организма, возникшего в результате заболеваний, последствий травм или дефектов, гражданину, признанному инвалидом, устанавливается I, II или III группа инвалидности, а гражданину в возрасте до 18 лет — категория «ребенок-инвалид».            

Инвалидность I группы устанавливается на 2 года, II и III групп на 1 год.

Категория «ребенок-инвалид» устанавливается на 1 или 2 года, либо до достижения гражданином возраста 18 лет.

В случае признания гражданина инвалидом, датой установления инвалидности считается день поступления в бюро заявления гражданина о проведении медико-социальной экспертизы.

Инвалидность устанавливается до 1-го числа месяца, следующего за месяцем, на который назначено проведение очередной медико-социальной экспертизы гражданина (переосвидетельствования).

Гражданам устанавливается группа инвалидности без указания срока переосвидетельствования, а гражданам, не достигшим 18 лет, — категория «ребенок-инвалид до достижения гражданином возраста 18 лет:                     

В случае признания гражданина инвалидом, в качестве причины инвалидности указываются общее заболевание, трудовое увечье, профессиональное заболевание, инвалидность с детства, инвалидность с детства вследствие ранения (контузии, увечья), связанная с боевыми действиями в период Великой Отечественной войны, военная травма, заболевание, полученное в период военной службы, инвалидность, связанная с катастрофой на Чернобыльской АЭС, последствиями радиационных воздействий и непосредственным участием в деятельности подразделений особого риска, а также иные причины, установленные законодательством Российской Федерации.

При отсутствии документов, подтверждающих факт профессионального заболевания, трудового увечья, военной травмы или других предусмотренных законодательством Российской Федерации обстоятельств, являющихся причиной инвалидности, в качестве причины инвалидности указывается общее заболевание. В этом случае гражданину оказывается содействие в получении указанных документов. При представлении в бюро соответствующих документов причина инвалидности изменяется со дня представления этих документов без дополнительного освидетельствования инвалида.

Порядок проведения медико-социальной экспертизы гражданина

Медико-социальная экспертиза гражданина проводится в бюро по месту жительства (по месту пребывания, по месту нахождения пенсионного дела инвалида, выехавшего на постоянное жительство за пределы Российской Федерации).

В главном бюро медико-социальная экспертиза гражданина проводится в случае обжалования им решения бюро, а также по направлению бюро в случаях, требующих специальных видов обследования.

В федеральном бюро медико-социальная экспертиза гражданина проводится в случае обжалования им решения главного бюро, а также по направлению главного бюро в случаях, требующих особо сложных специальных видов обследования.

Медико-социальная экспертиза может проводиться на дому в случае, если гражданин не может явиться в бюро (главное бюро, Федеральное бюро) по состоянию здоровья, что подтверждается заключением организации, оказывающей лечебно-профилактическую помощь, или в стационаре, где гражданин находится на лечении, или заочно по решению соответствующего бюро.

Медико-социальная экспертиза проводится по заявлению гражданина (его законного представителя).

Заявление подается в бюро в письменной форме с приложением направления на медико-социальную экспертизу, выданного организацией, оказывающей лечебно-профилактическую помощь (органом, осуществляющим пенсионное обеспечение, органом социальной защиты населения), и медицинских документов, подтверждающих нарушение здоровья.

Медико-социальная экспертиза проводится специалистами бюро (главного бюро, Федерального бюро) путем обследования гражданина, изучения представленных им документов! анализа социально-бытовых, профессионально-трудовых, психологических и других данных гражданина.

При проведении медико-социальной экспертизы гражданина ведется протокол.

В проведении медико-социальной экспертизы гражданина по приглашению руководителя бюро (главного бюро, Федерального бюро) могут участвовать с правом совещательного голоса представители государственных внебюджетных фондов, Федеральной службы по труду и занятости, а также специалисты соответствующего профиля (далее — консультанты).

Решение о признании гражданина инвалидом либо об отказе в признании его инвалидом принимается простым большинством голосов специалистов, проводивших медико-социальную экспертизу, на основе обсуждения результатов его медико-социальной экспертизы.

Решение объявляется гражданину, проходившему медико-социальную экспертизу (его законному представителю), в присутствии всех специалистов, проводивших медико-социальную экспертизу, которые в случае необходимости дают по нему разъяснения.

По результатам медико-социальной экспертизы гражданина составляется акт, который подписывается руководителем соответствующего бюро (главного бюро, Федерального бюро) и специалистами, принимавшими решение, а затем заверяется печатью.

В случаях, требующих специальных видов обследования гражданина в целях установления структуры и степени ограничения жизнедеятельности (в том числе степени ограничения способности к трудовой деятельности), реабилитационного потенциала а также получения иных дополнительных сведений, может составляться программа дополнительного обследования, которая утверждается руководителем соответствующего бюро (главного бюро, Федерального бюро). Указанная программа доводится до сведения гражданина, проходящего медико-социальную экспертизу, в доступной для него форме.

Программа дополнительного обследования может предусматривать проведение необходимого дополнительного обследования в медицинской, реабилитационной организации: запрос необходимых сведений, проведение обследования условий и характера профессиональной деятельности, социально — бытового положения гражданина и другие мероприятия.

После получения данных, предусмотренных программой дополнительного обследования,               специалисты соответствующего бюро (главного бюро, Федерального бюро) принимают решение о признании гражданина инвалидом либо об отказе в признании его инвалидом.

В случае отказа гражданина (его законного представителя) от дополнительного   обследования и предоставления требуемых документов решение о признании гражданина инвалидом либо об отказе в признании его инвалидом принимается на основании имеющихся данных, о чем делается соответствующая запись в акте медико-социальной экспертизы гражданина.

Для гражданина, признанного инвалидом, специалистами бюро (главного бюро, Федерального бюро), проводившими медико-социальную экспертизу, разрабатывается индивидуальная программа реабилитации, которая утверждается руководителем соответствующего бюро.               

Выписка из акта медико-социальной экспертизы гражданина, признанного инвалидом, направляется соответствующим бюро (главным бюро, Федеральным бюро) в орган, осуществляющий его пенсионное обеспечение, в 3-дневный срок со дня принятия решения о признании гражданина инвалидом.

Гражданину, признанному инвалидом, выдаются справка, подтверждающая факт установления инвалидности, с указанием группы инвалидности и степени ограничения способности к трудовой деятельности либо с указанием группы инвалидности без ограничения способности к трудовой деятельности, а также индивидуальная программа реабилитации.

Гражданину, не признанному инвалидом, попето желанию выдается справка о результатах медико-социальной экспертизы.

Гражданину, имеющему документ о временной нетрудоспособности и признанному инвалидом, группа инвалидности и дата ее установления проставляются в указанном документе.

Порядок переосвидетельствования инвалида

Переосвидетельствование инвалидов I группы проводится 1 раз в 2 года, инвалидов II и III групп — 1 раз в год, а детей-инвалидов — 1 раз в течение срока, на который ребенку установлена категория «ребенок-инвалид».               

Переосвидетельствование гражданина, инвалидность которому установлена без указания срока переосвидетельствования, может проводиться по его личному заявлению (заявлению его законного представителя), либо по направлению организации, оказывающей лечебно-профилактическую помощь, в связи с изменением состояния здоровья, либо при осуществлении главным бюро, Федеральным бюро контроля за решениями, принятыми соответственно бюро, главным бюро.

Переосвидетельствование инвалида может осуществляться заблаговременно, но не более чем за 2 месяца до истечения установленного срока инвалидности.

Переосвидетельствование инвалида ранее установленного срока проводится по его личному заявлению (заявлению его законного представителя), либо по направлению организации, оказывающей лечебно-профилактическую помощь, в связи с изменением состояния здоровья, либо при осуществлении главным бюро, Федеральным бюро контроля за решениями, принятыми соответственно бюро, главным бюро.

Порядок обжалования решений бюро, главного бюро, Федерального бюро

Гражданин (его законный представитель) может обжаловать решение бюро в главное бюро в месячный срок на основании письменного заявления, подаваемого в бюро, проводившее медико-социальную экспертизу, либо в главное бюро.

Главное бюро не позднее 1 месяца со дня поступления заявления гражданина проводит его медико-социальную экспертизу и на основании полученных результатов выносит соответствующее решение.

В случае обжалования гражданином решения главного бюро главный эксперт по медико-социальной экспертизе по соответствующему субъекту Российской Федерации с согласия гражданина может поручить проведение его медико-социальной экспертизу к другому составу специалистов главного бюро.

Решение главного бюро может быть обжаловано в месячный срок в Федеральное бюро на основании заявления, подаваемого гражданином (его законным представителем) в главное бюро, проводившее медико-социальную экспертизу, либо в Федеральное бюро.

Федеральное бюро не позднее 1 месяца со дня поступления заявления гражданина проводит его    медико-социальную экспертизу и на основании полученных результатов выносит соответствующее решение.

                Решения бюро, главного бюро, Федерального бюро могут быть обжалованы в суд гражданином (его законным представителем) в порядке, установленном законодательством Российской Федерации.

Бюро медико-социальной экспертизы в Ростовской области переходит на частичное заочное установление инвалидности

Если Вы хотите открыть английскую версию официального портала Правительства Ростовской области, пожалуйста, подтвердите, что Вы являетесь реальным человеком, а не роботом. Спасибо.

If you want to open the English version of the official portal Of the government of the Rostov region, please confirm that you are a human and not a robot. Thanks.

Дата публикации: 27 мар. 2020 12:30

В связи с профилактикой распространения новой коронавирусной инфекции Бюро медико-социальной экспертизы по Ростовской области изменило график приема граждан, расширены возможности по заочному проведению медико-социальной экспертизы.

— По желанию гражданина справка об инвалидности и программа реабилитации выдается лично либо направляется по почте с уведомлением, — пояснил заместитель руководителя по экспертной работе Андрей Пайков.

Для разграничения потока напрямую обращающихся граждан, в структурных подразделениях ФКУ «ГБ МСЭ по Ростовской области» Минтруда России изменен график работы сотрудников.

Для предотвращения распространения инфекции, в бюро проводятся профилактические мероприятия по дезинфекции помещений. На входе посетителей ждет измерение температуры с помощью бесконтактного термометра. Аналогичный температурный контроль дважды в день проводится для сотрудников всех подразделений.

Напомним, что в бюро работает горячая линия для граждан: 8 (863) 210-29-11(пн-пт: с 9:00 до 16:30).

Размещено: 27 мар. 2020 12:30

Поиск по разделу производится только по той форме слова, которая задана, без учета изменения окончания.

Например, если задан поиск по словам Ростовская область, то поиск будет производиться именно по этой фразе, и страницы, где встречается фраза Ростовской области, в результаты поиска не попадут.

Если ввести в поиск запрос Ростов, то в результаты поиска будут попадать тексты, в которых будут слова, начинающиеся с Ростов, например: Ростовская, Ростовской, Ростов.

Лучше задавать ОДНО ключевое слово для поиска и БЕЗ окончания

Для более точного поиска воспользуйтесь поисковой системой сайта

Справка об освобождении от инвалидности

Справка об освобождении от инвалидности (CRD) — это способ устранить определенные побочные последствия осуждения за совершение уголовного преступления. Наличие CRD может снять запреты на подачу заявления на работу, лицензии, государственное жилье и многое другое. Если вы подаете заявление и получаете CRD, вы будете иметь право подать заявление так же, как и человек без судимости. Но наличие CRD не является гарантией того, что ваше заявление будет удовлетворено. И, даже если у вас есть CRD, вы все равно должны указать, что у вас есть судимость, когда вы заполняете заявление о приеме на работу.

Если с момента признания вас виновным в совершении преступления прошло более 10 лет, вы можете попросить суд опечатать ваши записи. Посетите Sealed Records: через 10 лет.

Требования

Вы имеете право на получение CRD, если вы были осуждены за любое количество проступков или нарушений, но не были осуждены более чем за 1 уголовное преступление (2 или более обвинительных приговора в одном суде в один день засчитываются как 1 уголовное преступление для CRD). Если вы были осуждены за 2 или более тяжких уголовных преступления (не одновременно), или если вы хотите подать заявление на работу в государственном офисе, вы не можете подать заявление на CRD, но вы можете получить сертификат соответствия Руководить. См. Свидетельство о добросовестном поведении. Вам потребуется отдельный CRD для каждого обвинительного приговора. Если вы не уверены в своей криминальной истории, посетите раздел «Досье судимости и опечатка», чтобы узнать больше.

Когда и куда подавать заявление

• При вынесении приговора: Вы можете подать заявление на CRD при вынесении приговора. Это можно сделать, попросив у судьи CRD. Если вы собираетесь потерять лицензию на работу или государственное жилье из-за вашего осуждения, важно попросить CRD при вынесении приговора.
• После вынесения приговора: вы можете подать заявление в любое время после вынесения приговора о CRD, за исключением того, что вы не можете подать заявление, пока находитесь в тюрьме штата.После вынесения приговора вы подаете заявление в суд, который вынес вам приговор, если ваш приговор не повлек за собой тюремное заключение штата. См. «Обращение в суд за справкой об освобождении от инвалидности».
• После тюрьмы штата: Если вы отбыли срок в тюрьме штата и были освобождены, вы подаете заявление в Департамент исправительных учреждений и общественного надзора для получения CRD.

Выберите графство Олбани Аллегани Бронкс Брум Каттарагус Каюга Чаутоква Чемунг Ченанго Клинтон Колумбия Кортленд Делавэр Датчесс Эри Эссекс Франклин Фултон Джинеси Грин Гамильтон Херкимер Джефферсон Кингз
(Бруклин) Льюис Ливингстон Мэдисон Монро Монтгомери Нассау Нью-Йорк
(Манхэттен) Ниагара Онейда Онондага Онтарио Оранжевый Орлеан Освего Отсего Путнам Квинс Ричмонд
(Статен-Айленд) Rensselaer Rockland Saratoga Schenectady Schoharie Schuyler Seneca St.Лоуренс Стойбен Суффолк Салливан Тиога Томпкинс Ольстер Уоррен Вашингтон Уэйн Вестчестер Вайоминг Йейтс

и / или

Выберите тип судаПодразделения апелляционных судовУсловия апелляцииГородской судГражданский суд Окружной суд Нью-Йорка (и жилищного) Апелляционный судКонтактный суд Уголовный суд Районный суд Нью-ЙоркаСемейный судСуррогатный судСуррогатный судГородской судДеревенский суд
Найди суд

ietf-msec-ipsec-extensions-04 — Расширения многоадресной рассылки для архитектуры безопасности для Интернет-протокола

Рабочая группа MSEC B. Weis
Интернет-проект Cisco Systems
Истекает: Апрель 2007 г. Гросс
                                                    Безопасность IdentAware
                                                            Д. Игнятич
                                                                Polycom
                                                          Октябрь 2006 г.

    Расширения многоадресной рассылки для архитектуры безопасности для Интернета
                                 Протокол
                  проект-ietf-мсек-ipsec-расширения-04.текст

Статус этого меморандума

   Отправляя этот Интернет-проект, каждый автор представляет, что
   любой применимый патент или другие притязания на интеллектуальную собственность, которыми он или она является
   известно, были или будут раскрыты, и любой из которых он или она
   становится известно, будет раскрыто в соответствии с разделом 6
   BCP 79.

   Интернет-проекты - это рабочие документы Интернет-инжиниринга.
   Целевая группа (IETF), ее направления и рабочие группы. Обратите внимание, что
   другие группы могут также распространять рабочие документы как Интернет-
   Черновики.Интернет-проекты - это проекты документов, срок действия которых составляет не более шести месяцев.
   и могут быть обновлены, заменены или исключены другими документами в любое время
   время. Использовать Интернет-черновики в качестве справочника неуместно.
   материала или цитировать их иначе, как «незавершенная работа».

   Со списком текущих Интернет-проектов можно ознакомиться по адресу
        http://www.ietf.org/ietf/1id-abstracts.txt

   Список Интернет-черновиков теневых каталогов можно найти по адресу
        http://www.ietf.org/shadow.html.

Уведомление об авторских правах

   Авторские права (C) The Internet Society (2006).Абстрактный

   Архитектура безопасности для Интернет-протокола [RFC4301]
   описывает службы безопасности для трафика на уровне IP. Который
   архитектура в первую очередь определяет сервисы для интернет-протокола (IP)
   одноадресные пакеты, а также настроенные вручную многоадресные IP-пакеты. 
   Этот документ дополнительно определяет службы безопасности для ручного и
   пакеты многоадресной рассылки IP с динамическим ключом в пределах этой безопасности
   Архитектура.





Срок действия Weis истекает в апреле 2007 г. [Страница 1] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


Оглавление

1.Вступление................................................. ....... 3
  1.1 Объем ................................................ ............ 3
  1.2 Терминология ................................................ ...... 4
2. Обзор многоадресной IP-рассылки .................................. 5
3. Режимы сопоставления безопасности .......................................... 6
  3.1 Туннельный режим с сохранением адреса ............................ 6
4. Ассоциация безопасности ................................................ 7
  4.1 Основные базы данных IPsec ............................................ 7
    4.1.1 База данных групповой политики безопасности (GSPD) ........................ 8
    4.1.2 База данных ассоциации безопасности (SAD) .......................... 9
    4.1.3 База данных авторизации одноранговых узлов (PAD) ........................... 9
  4.2 Ассоциация групповой безопасности (GSA) ................................ 10
  4.3 Аутентификация источника данных ..................................... 12
  4.4 Group SA и управление ключами .................................... 13
    4.4.1 Сосуществование нескольких протоколов управления ключами ........... 13
    4.4.2 Новые атрибуты ассоциации безопасности ......................... 13
5. Обработка IP-трафика ............................................. .14
  5.1 Обработка исходящего многоадресного IP-трафика ....................... 14
  5.2 Обработка входящего многоадресного IP-трафика ....................... 14
6. Соображения безопасности ............................................ 14
  6.1. Проблемы безопасности, решаемые расширениями многоадресной рассылки IPsec. ........... 14
  6.2 Проблемы безопасности, не решаемые расширениями многоадресной рассылки IPsec ........ 15
    6.2.1 Атаки посторонних ........................................... 15
    6.2.2 Внутренние атаки ............................................. 15
  6.3 Проблемы внедрения или развертывания, влияющие на безопасность ........ 16
    6.3.1 Возможности однородных групповых криптографических алгоритмов ...... 16
    6.3.2 Группы, охватывающие два или более доменов политики безопасности ....... 16
    6.3.3 Трансляция сетевых адресов ................................. 17
7. Вопросы IANA .............................................. ..19
8. Благодарности ............................................... .... 19
9. Ссылки ............................................... .......... 19
  9.1 Нормативные ссылки ............................................ 20
  9.2 Информационные ссылки .......................................... 20
Приложение A. Модели служб приложений многоадресной рассылки ..................... 23
  A.1 Однонаправленные многоадресные приложения........................... 23
  A.2 Двунаправленные надежные многоадресные приложения .................. 23
  A.3 Приложения многоадресной рассылки Any-To-Any ............................... 24
Адрес автора ................................................ ...... 25
Заявление об интеллектуальной собственности ....................................... 26
Заявление об авторских правах ................................................ ... 26




Weis и др. Срок действия истекает апрель 2007 г. [Страница 2] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


1.Вступление

   Архитектура безопасности для Интернет-протокола [RFC4301]
   предоставляет услуги безопасности для трафика на уровне IP. Это описывает
   архитектура для систем, совместимых с IPsec, и набор средств безопасности
   услуги для уровня IP. Эти службы безопасности в первую очередь описывают
   общие службы и семантика для ассоциаций безопасности (SA) IPsec
   между двумя устройствами IPsec.  Обычно сюда входят SA с трафиком.
   селекторы, которые включают одноадресный адрес в поле IP-адреса назначения,
   и приводит к пакету IPsec с одноадресным адресом в IP
   поле назначения.Службы безопасности, определенные в RFC 4301, также могут
   использоваться для туннелирования многоадресных IP-пакетов, где туннель является
   попарная связь между двумя устройствами IPsec. RFC4301 определен
   управляемый вручную транспортный режим Поддержка IPsec SA для IP-пакетов с
   адрес многоадресной рассылки в поле IP-адреса назначения. Тем не мение,
   RFC4301 не определяет взаимодействие подсистемы IPsec с
   Протокол группового управления ключами или семантика туннельного режима IPsec
   SA с многоадресным IP-адресом во внешнем IP-заголовке.В этом документе описаны расширения RFC 4301, которые дополнительно определяют
   архитектура безопасности IPsec для групп устройств IPsec для совместного использования
   SAs. В частности, он поддерживает SA с селекторами трафика, которые
   включить адрес многоадресной рассылки в поле IP-адресата, и результаты
   в пакете IPsec с IP-адресом многоадресной рассылки в IP-адресе
   поле. Он также описывает дополнительную семантику для ключа группы IPsec.
   Подсистемы управления (ГКМ). Обратите внимание, что в этом документе используется термин
   "Протокол GKM" в общем, и поэтому он не предполагает
   конкретный протокол GKM.1.1 Сфера применения

   Расширения IPsec, описанные в этом документе, поддерживают IPsec.
   Связи безопасности, которые приводят к пакетам IPsec с IPv4 или IPv6
   групповые адреса многоадресной рассылки в качестве адреса назначения. Оба с любым источником
   Многоадресная рассылка (ASM) и многоадресная рассылка с учетом источника (SSM) [RFC3569]
   Поддерживаются групповые адреса [RFC3376].

   Эти расширения также поддерживают ассоциации безопасности с IPv4.
   Широковещательные адреса, которые приводят к широковещательной рассылке IPv4 на уровне каналов.
   пакет и адреса Anycast IPv6 [RFC2526], которые приводят к IPv6
   Пакет Anycast. Эти типы адресов назначения имеют много общего
   те же характеристики многоадресных адресов, потому что могут быть
   несколько получателей пакета, защищенного IPsec.

   Архитектура IPsec не предъявляет требований к объектам, которые не
   участие в IPsec (например, сетевые устройства между IPsec
   конечные точки). Таким образом, эти расширения многоадресной рассылки не требуют
   промежуточные системы в многоадресной сети для участия в
   IPsec. В частности, не предъявляются требования к использованию
   протоколы многоадресной маршрутизации (например,g., PIM-SM [RFC2362]) или многоадресная рассылка
   протоколы доступа (например, IGMP [RFC3376].

Weis и др. Срок действия истекает апрель 2007 г. [Страница 3] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.



   Все модели реализации IPsec (например, «удар в стеке», «удар -
   in-the-wire ") поддерживаются.

   Эта версия спецификации расширения многоадресного IPsec требует
   что все устройства IPsec, участвующие в ассоциации безопасности,
   однородный.Они ДОЛЖНЫ использовать общий набор криптографических преобразований.
   и возможности обработки протокола. Семантика «IPsec
   составная группа "[COMPGRP], разнородная криптографическая группа IPsec
   образованный из объединения двух или более подгрупп, является областью для
   будущая стандартизация.

1.2 Терминология

   Ключевые слова «ДОЛЖНЫ», «НЕ ДОЛЖНЫ», «ОБЯЗАТЕЛЬНО», «ДОЛЖНЫ», «НЕ ДОЛЖНЫ»,
   «ДОЛЖЕН», «НЕ ДОЛЖЕН», «РЕКОМЕНДУЕТСЯ», «МОЖЕТ» и «ДОПОЛНИТЕЛЬНО» в этом
   документ следует интерпретировать, как описано в RFC 2119 [RFC2119].В этом документе используются следующие ключевые термины.

   Многоадресная передача от любого источника (ASM)
      Модель службы многоадресной рассылки Интернет-протокола (IP), как определено в
      RFC 1112 [RFC1112]. В этой модели источник одного или нескольких отправителей
      пакеты на один IP-адрес многоадресной рассылки. Когда получатели присоединяются к
      группы, они получают все пакеты, отправленные на этот многоадресный IP-адрес. 
      Это известно как группа (*, G).

   Сервер ключей группового контроллера (GCKS)
      Сервер протокола Group Key Management (GKM), который управляет IPsec.
      состояние для группы.GCKS аутентифицирует и предоставляет IPsec SA
      политика и ключевые материалы для членов группы GKM.

   Протокол группового управления ключами (GKM)
      Протокол управления ключами, используемый GCKS для распространения IPsec.
      Политика ассоциации безопасности и ключевой материал. Протокол GKM
      используется, когда группе устройств IPsec требуются одинаковые SA. За
      Например, когда IPsec SA описывает пункт назначения многоадресной IP-рассылки,
      отправитель и все получатели должны иметь группу SA.

   Подсистема управления ключами группы
      Подсистема в устройстве IPsec, реализующая групповое управление ключами.
      протокол.Подсистема GKM предоставляет IPsec SA для IPsec.
      подсистема на устройстве IPsec. См. RFC 3547 [RFC3547] и RFC.
      4535 [RFC4535] для получения дополнительной информации.

   Член группы
      Устройство IPsec, принадлежащее группе. Член группы
      уполномочен быть групповым спикером и / или групповым приемником.



Weis и др. Срок действия истекает апрель 2007 г. [Страница 4] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


   Владелец группы
      Административный объект, который выбирает политику для группы.Ассоциация групповой безопасности (GSA)
      Коллекция ассоциаций безопасности (SA) IPsec и GKM
      SA подсистемы, необходимые члену группы для получения ключевых обновлений.
      GSA описывает рабочую политику группы. Обратитесь к RFC 4046
      [RFC4046] для получения дополнительной информации.

   База данных групповой политики безопасности (GSPD)
      GSPD - это база данных политик безопасности с возможностью многоадресной рассылки, поскольку
      упомянутые в RFC3740 и RFC4301, раздел 4.4.1.1. Его семантика
      являются расширенным набором одноадресных SPD, определенных в разделе RFC4301
      4. 4.1. В отличие от одноадресного SPD-S, в котором защита точка-точка
      ассоциации по своей сути двунаправленные, безопасность многоадресной рассылки
      ассоциации в GSPD-S вводят "только отправитель" или "получатель"
      только "или" симметричный "атрибут направления SA. См. раздел
      4.1.1 для более подробной информации.

   Групповой приемник
      Член группы, уполномоченный получать пакеты, отправленные на
      группа спикером группы.

   Спикер группы
      Член группы, которому разрешено отправлять пакеты группе.Многоадресная рассылка с привязкой к источнику (SSM)
      Модель службы многоадресной рассылки Интернет-протокола (IP), как определено в
      RFC 3569 [RFC3569]. В этой модели каждая комбинация отправителя
      и групповой IP-адрес считается группой. Это известно
      как (S, G) группа.

   Туннельный режим с сохранением адреса
      Тип туннельного режима IPsec, используемый шлюзом безопасности.
      реализации при инкапсуляции многоадресных IP-пакетов, таких что
      они остаются пакетами многоадресной IP-рассылки. Этот режим необходим для IP
      многоадресная маршрутизация для правильной маршрутизации многоадресных IP-пакетов
      защищен IPsec.2. Обзор многоадресной IP-рассылки

   Многоадресная IP-рассылка - это средство отправки одного пакета на "хост
   группа ", набор из нуля или более хостов, идентифицируемых одним IP-адресом.
   адрес назначения. Пакеты многоадресной IP-рассылки - это пакеты данных UDP.
   доставляется всем членам группы с помощью "максимальных усилий"
   [RFC1112] или надежная доставка (например, NORM) [RFC3940].

   Отправитель в группу многоадресной рассылки IP устанавливает место назначения пакета.
   на IP-адрес, выделенный для многоадресной IP-рассылки.Выделено
   IP-адреса многоадресной рассылки определены в RFC 3171, RFC 3306 и RFC.
   3307 [RFC3171] [RFC3306] [RFC3307]. Возможные получатели пакета

Weis и др. Срок действия истекает апрель 2007 г. [Страница 5] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г. 


   "присоединиться" к группе многоадресной IP-рассылки, зарегистрировавшись с помощью сетевой маршрутизации
   устройство [RFC3376] [RFC3810], сигнализирующее о своем намерении получать пакеты
   отправлено в определенную группу многоадресной рассылки IP.Устройства сетевой маршрутизации, настроенные для передачи многоадресных IP-пакетов
   участвовать в протоколах многоадресной маршрутизации (например, PIM-SM) [RFC2362].
   Протоколы многоадресной маршрутизации поддерживают состояние относительно того, какие устройства
   зарегистрировались для получения пакетов для определенного многоадресного IP-адреса
   группа. Когда маршрутизатор получает многоадресный IP-пакет, он пересылает
   копию пакета для каждого интерфейса, для которого известны
   приемники.

3. Режимы ассоциации безопасности

   IPsec поддерживает два режима использования: транспортный и туннельный.В
   транспортный режим, заголовок аутентификации IP (AH) [RFC4302] и IP
   Инкапсуляция полезной нагрузки безопасности (ESP) [RFC4303] обеспечивает защиту
   в первую очередь для протоколов следующего уровня; в туннельном режиме AH и ESP
   применяется к туннелированным IP-пакетам.

   Реализация IPsec на хосте с использованием расширений многоадресной рассылки МОЖЕТ использовать
   либо транспортный режим, либо туннельный режим для инкапсуляции многоадресной IP-рассылки
   пакет. Эти правила обработки идентичны описанным правилам.
   в [RFC4301, раздел 4.1]. Однако адрес назначения для
   Пакет IPsec - это многоадресный IP-адрес, а не одноадресный хост
   адрес.Реализация шлюза безопасности IPsec с использованием многоадресной рассылки.
   расширения ДОЛЖНЫ использовать SA туннельного режима по причинам, описанным в
   [RFC4301, раздел 4.1]. В частности, шлюз безопасности должен использовать
   туннельный режим для инкапсуляции входящих фрагментов, поскольку IPsec не может
   непосредственно работать с фрагментами.

3.1 Туннельный режим с сохранением адреса

   При включенном туннельном режиме требуется новая семантика построения заголовка. 
   используется для инкапсуляции многоадресных IP-пакетов, которые должны оставаться IP
   многоадресные пакеты.Это связано со следующими уникальными требованиями.
   протоколов многоадресной IP-маршрутизации (например, PIM-SM [RFC2362]).

   - Протоколы многоадресной IP-маршрутизации сравнивают адрес назначения на
     пакет в состояние многоадресной маршрутизации. Если пункт назначения
     Пакет многоадресной IP-рассылки изменен, он больше не будет правильно
     проложен. Следовательно, шлюз безопасности IPsec должен сохранять
     IP-адрес назначения многоадресной рассылки после инкапсуляции туннеля IPsec.

     Подсистема GKM на шлюзе безопасности, реализующая IPsec
     расширения многоадресной рассылки сохраняют IP-адрес многоадресной рассылки как
     следует.Во-первых, подсистема GKM устанавливает удаленный адрес PFP.
     в записи GSPD-S для селекторов трафика. Этот флаг
     приводит к тому, что удаленный адрес пакета соответствует трафику IPsec SA

Weis и др. Срок действия истекает апрель 2007 г. [Страница 6] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


     селекторы, которые будут переданы в инкапсуляцию туннеля IPsec.
     Во-вторых, подсистема GKM должна сигнализировать этому месту назначения.
     сохранение адреса действует для конкретной IPsec SA.В
     Протокол GKM ДОЛЖЕН определять атрибут, который сигнализирует о месте назначения.
     сохранение адреса в подсистеме GKM на безопасности IPsec
     шлюз.

   - Протоколы многоадресной IP-маршрутизации также обычно создают многоадресную рассылку.
     деревья распределения на основе адреса источника. Если IPsec
     шлюз безопасности изменяет исходный адрес многоадресной IP-рассылки
     пакет (например, на собственный IP-адрес), результирующий IPsec
     защищенный пакет может не пройти проверку переадресации обратного пути (RPF) на
     другие роутеры.Неудачная проверка RPF может привести к тому, что пакет будет
     упавший.

     Чтобы обеспечить проверку RPF протокола маршрутизации, подсистема GKM на
     реализация шлюза безопасности, реализующего многоадресную рассылку IPsec
     расширения должны сохранять исходный IP-адрес источника пакета как
     следует.  Во-первых, запись GSPD-S для селекторов трафика должна
     иметь установленный флаг PFP адреса источника. Этот флаг заставляет удаленный
     адрес, который будет передан в IPsec SA. Во-вторых, ГКМ
     Подсистема должна сигнализировать, что сохранение адреса источника находится в
     эффект для конкретной IPsec SA.Подсистема GKM ДОЛЖНА определять
     атрибут протокола, который сигнализирует о сохранении адреса источника для
     Подсистема GKM на шлюзе безопасности IPsec.

   Для некоторых приложений сохранения адреса может потребоваться только
   адрес назначения, который необходимо сохранить. По этой причине
   спецификация сохранения адреса назначения и адреса источника
   Сохранение разделены в приведенном выше описании.

   Сохранение адреса применимо только для SA IPsec в туннельном режиме.
   которые определяют IP-версию инкапсулирующего заголовка как
   та же версия, что и у внутреннего заголовка.Когда версии IP
   другая семантика туннельной обработки, описанная в RFC 4301, ДОЛЖНА быть
   последовал.

   Таким образом, сохранение IP-адресов источника и назначения
   внутренний IP-заголовок позволяет протоколам многоадресной IP-маршрутизации маршрутизировать
   пакет независимо от того, какой пакет защищен IPsec. Этот
   результат необходим для того, чтобы расширения многоадресной рассылки разрешили
   шлюз безопасности для предоставления услуг IPsec для многоадресных IP-пакетов.
   Этот метод туннельного режима RFC 4301 известен как "туннельный режим с
   сохранение адреса ».4. Ассоциация безопасности

4.1 Основные базы данных IPsec



Weis и др. Срок действия истекает апрель 2007 г. [Страница 7] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


   В следующих разделах описывается подсистема GKM и расширение IPsec.
   взаимодействие с основными базами данных IPsec. Основной IPsec
   базам данных требовалась расширенная семантика для полной поддержки многоадресной рассылки.

4.1.1 База данных групповой политики безопасности (GSPD)

   База данных групповой политики безопасности - это база данных политики безопасности. 
   возможность реализации обеих одноадресных ассоциаций безопасности, как определено
   RFC4301 и расширениями многоадресной рассылки, определенными этим
   Технические характеристики.Новый атрибут базы данных групповой политики безопасности (GSPD)
   введена: направленность входа GSPD. Направленность может принимать
   три типа. Каждая запись GSPD может быть помечена как «симметричная», «только отправитель».
   или "только приемник". "Симметричные" записи GSPD являются общими записями
   как указано в RFC 4301. "Симметричный" ДОЛЖЕН быть значением по умолчанию.
   направленность, если не указано иное. Записи GSPD помечены как
   "только отправитель" или "только получатель" ДОЛЖНЫ поддерживать многоадресный IP.
   адреса в селекторах адресов назначения.Если обработка
   запрошено - пропустить или отклонить, и настроен тип "только отправитель"
   запись ДОЛЖНА быть помещена только в GSPD-O. Взаимно, если тип
   "только получатель", запись ДОЛЖНА идти только в GSPD-I. SSM поддерживается
   с помощью селекторов одноадресных IP-адресов, как описано в RFC 4301.

   Записи GSPD, созданные GCKS, могут иметь идентичные SPI для SPD.
   записи, созданные IKEv2 [RFC4306]. Это не проблема для
   входящий трафик в качестве соответствующих SA может быть сопоставлен с помощью
   алгоритм, описанный в разделе 4 RFC 4301.1. Кроме того, SA с
   идентичные значения SPI, но не введенные вручную, могут быть различимы
   потому что они содержат ссылку на свои родительские записи SPD. Тем не менее
   исходящий трафик должен быть сопоставлен с селекторами GSPD, чтобы
   что соответствующая SA может быть создана по прибытии пакета. IPsec
   реализации, поддерживающие многоадресную рассылку, ДОЛЖНЫ использовать пункт назначения
   адрес в качестве дополнительного селектора и сопоставьте его с GSPD
   записи с пометкой «только отправитель».

   Для облегчения динамического группового ключа исходящий GSPD ДОЛЖЕН реализовывать
   возможность действия политики, которая запускает регистрацию протокола GKM
   обмен (согласно [RFC4301] раздел 5. 1). Например, Группа
   Политика GSPD динамика может сработать при совпадении с указанным
   пакет приложения многоадресной рассылки. Последующая регистрация спикера группы
   Exchange настроит исходящую запись SAD спикера группы, которая
   шифрует поток данных многоадресного приложения. В обратном
   В направлении, групповая политика может также настроить входящую IPsec SA.

   На конечных точках групповых получателей политика GSPD может срабатывать на
   совпадение с пакетом многоадресного приложения, отправленным из Группы
   Оратор.Последующий обмен регистрацией получателя группы настроит
   входящая запись SAD группового получателя, которая расшифровывает многоадресную рассылку
   поток данных приложения. В обратном направлении групповая политика
   может также настроить исходящую IPsec SA (например, при поддержке ASM
   сервисная модель).


Weis и др. Срок действия истекает апрель 2007 г. [Страница 8] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


   Подсистема IPsec МОЖЕТ предоставлять механизмы политики GSPD (например,грамм. спусковой крючок
   при обнаружении группового обмена IGMP / MLD), который автоматически
   инициировать обмен по отмене регистрации протокола GKM. Отмена регистрации
   сводит к минимуму раскрытие секретного ключа группы. Это также минимизирует стоимость
   для тех групп, стоимость которых зависит от продолжительности членства.

   Кроме того, подсистема GKM МОЖЕТ установить состояние GSPD / SAD.
   информация, не зависящая от состояния многоадресного приложения. В этом
   сценария, владелец группы издает управленческие директивы, которые
   сообщает подсистеме GKM, когда она должна начать регистрацию GKM и де-
   обмен протоколами регистрации.Обычно политика регистрации
   стремится убедиться, что состояние подсистемы IPsec группы
   «всегда готов» в ожидании запуска многоадресного приложения
   его исполнение.

4.1.2 База данных ассоциации безопасности (SAD)

   База данных ассоциации безопасности (SAD) может поддерживать многоадресные SA, если
   настроен вручную.  Исходящая многоадресная SA имеет такую ​​же структуру.
   как одноадресный SA. Исходным адресом является адрес спикера группы и
   адрес назначения - это адрес группы многоадресной рассылки.Входящий
   многоадресная SA должна быть настроена с адресами источника каждого
   Узел Group Speaker, авторизованный для передачи в многоадресную SA в
   вопрос. Значение SPI для многоадресной SA предоставляется GCKS, а не
   получателем, как это происходит для одноадресной SA. Помимо SPI
   назначение и демультиплексирование входящих пакетов, описанные в
   RFC4301 раздел 4.1, SAD ведет себя идентично для одноадресной и
   многоадресные ассоциации безопасности.

4.1.3 База данных авторизации одноранговых узлов (PAD)

   База данных авторизации одноранговых узлов (PAD) должна быть расширена, чтобы
   для размещения коллег, которые могут брать на себя определенные роли в группе.Такими ролями могут быть GCKS, Group Speaker (в случае SSM) или Group
   Приемник. Одноранговый узел может иметь несколько ролей. PAD может также содержать
   корневые сертификаты для PKI, используемые группой.

4.1.3.1 Взаимодействие GKM / IPsec с PAD

   В разделе 4.4.3 RFC 4301 представлен PAD. Таким образом, PAD
   управляет механизмом (ами) аутентификации объекта IPsec и
   авторизация каждого такого однорангового идентификатора для согласования модификаций
   в ГСПД / САД. В контексте подсистемы GKM / IPsec,
   PAD определяет для каждой группы:

   .Для тех групп, которые аутентифицируют личность с помощью открытого ключа
     Инфраструктура, PAD содержит набор группы из одного или нескольких
     доверенные корневые сертификаты открытого ключа. PAD может также включать
     Данные конфигурации PKI, необходимые для получения подтверждающих сертификатов
     необходим для проверки пути сертификата конечного объекта.

Weis и др. Срок действия истекает апрель 2007 г. [Страница 9] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


   .Набор из одного или нескольких правил авторизации членства в группе.  GCKS
     исследует эти правила, чтобы определить кандидатуру члена группы
     приемлемый механизм аутентификации и решить,
     кандидат имеет право присоединиться к группе.

   . Набор из одного или нескольких правил авторизации ролей GCKS. Член группы
     использует эти правила, чтобы решить, какие системы уполномочены действовать в качестве
     GCKS для данной группы. Эти правила также декларируют разрешенные GCKS.
     механизм (ы) аутентификации.. Набор из одного или нескольких правил авторизации роли Group Speaker. В
     некоторые группы, которым членам группы разрешено отправлять защищенные пакеты,
     ограниченный.

   Некоторые протоколы GKM (например, GSAKMP [RFC4535]) распространяют
   Конфигурация PAD в токене политики безопасности [RFC4534], подписанном
   орган политики группы, также известный как владелец группы (GO). Каждый
   член группы получает токен политики (используя не описанный метод
   в этом документе) и проверяет подпись владельца группы на политике
   токен.Если эта подпись GO принята, то член группы
   динамически обновляет свой PAD содержимым токена политики.

   PAD ДОЛЖЕН обеспечивать возможность интерфейса управления, которая позволяет
   администратор, чтобы обеспечить выполнение этой политики группы GKM
   указанные модификации GSPD / SAD ограничены только этим трафиком
   потоки данных, принадлежащие этой группе. Это разрешение ДОЛЖНО быть
   настраивается на уровне детализации группы GKM. В обратном направлении
   Интерфейс управления PAD ДОЛЖЕН обеспечивать механизм (ы) для обеспечения этого
   Сопоставления безопасности IKEv2 не согласовывают селекторы трафика, которые
   конфликтуют или переопределяют групповые политики GKM.Реализация ДОЛЖНА
   предлагать возможности конфигурации PAD, которые разрешают политику GKM
   механизм конфигурации для установки политики безопасности для других аспектов
   конфигурация GSPD / SAD конечной точки, не ограниченная ее группой
   ассоциации безопасности. Эта возможность позволяет групповой политике
   препятствовать созданию обратных каналов, которые в противном случае могли бы протекать
   конфиденциальные данные группового заявления. 

   В этом документе механизмы смены ключей называются многоадресными, поскольку
   присущей масштабируемости многоадресного распределения IP.Тем не мение,
   нет особой причины, по которой механизмы смены ключей должны быть
   многоадресная рассылка. Например, [ZLLY03] описывает метод смены ключа
   использование как одноадресных, так и многоадресных сообщений.

4.2 Ассоциация групповой безопасности (GSA)

   Реализация IPsec, поддерживающая эти расширения, имеет ряд
   сопоставления безопасности: одна или несколько сопоставлений безопасности IPsec и одна или несколько сопоставлений безопасности GKM.
   используется для загрузки IPsec SA [RFC3740, раздел 4]. Эти SA являются
   вместе именуемые Ассоциацией групповой безопасности (GSA).Weis и др. Срок действия истекает апрель 2007 г. [Страница 10] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


4.2.4.1 Одновременный срок службы IPsec SA и повторное нажатие клавиш

   В течение срока службы криптографической группы несколько групп IPsec
   ассоциации безопасности могут существовать одновременно. Это происходит в основном
   по двум причинам:

  - В группе разрешено несколько выступающих, каждый
     со своим собственным IPsec SA, который поддерживает состояние защиты от повторного воспроизведения.Группа
     который не полагается на службы защиты от повторного воспроизведения IP Security, может делиться
     один IPsec SA для всех выступающих в группе.

  - Срок службы двух (или более) сопоставлений безопасности IPsec Group Speaker составляет
     допускается перекрытие во времени, так что существует непрерывность в
     многоадресный поток данных по групповым событиям смены ключей. Эта возможность
     упоминается как «непрерывность смены ключей».

   Каждое групповое многоадресное сообщение смены ключей, отправленное GCKS, сигнализирует о начале
   новой временной эпохи групповых спикеров, причем каждая такая эпоха имеет
   связанный IPsec SA.Членство в группе взаимодействует с этими IPsec
   Следующие SA:

  - Как предвестник того, что спикер группы начал замену ключей
     непрерывность обработки, GCKS периодически рассылает повторный ключ
     Сообщение о событии (RKE) группе.  Многоадресная рассылка RKE содержит группу
     директивы политики, а также новая политика IPsec SA и материал для ключей. В
     отсутствие надежного многоадресного транспортного протокола, GCKS
     может повторно передать RKE определенное политикой количество раз для улучшения
     наличие повторной ключевой информации.- Многоадресная передача RKE настраивает GSPD / SAD группы с новым
     IPsec SA. Каждая SA IPsec, заменяющая существующую SA, называется
     "передний край" IPsec SA. Передовая IPsec SA имеет новый
     Индекс параметров безопасности (SPI) и связанный с ним ключевой материал
     ключи это. В течение короткого периода после того, как GCKS выполняет многоадресную передачу RKE,
     Group Speaker еще не передает данные по переднему фронту
     IPsec SA. Тем временем другие участники группы готовятся использовать этот IPsec.
     SA, установив новые сопоставления безопасности IPsec в соответствующие GSPD / SAD.- После достаточно длительного ожидания, чтобы все
     Члены группы обработали многоадресную рассылку RKE, Группа
     Громкоговоритель начинает передачу с использованием передового IPsec SA с его
     данные, зашифрованные с помощью нового ключевого материала. Только авторизованная группа
     Члены могут расшифровать эти многоадресные передачи IPsec SA. В
     задержка времени, которую ожидает выступающий в группе перед тем, как начать свой первый
     Передовая передача SA является параметром политики GKM / IPsec. Этот
     значение ДОЛЖНО быть настраиваемым на уровне управления владельцем группы.
     интерфейс для каждой группы.- "Задняя кромка" SA Group Speaker - самая старая ценная бумага.
     ассоциация, используемая группой для этого говорящего. Все авторизованные

Weis и др. Срок действия истекает апрель 2007 г. [Страница 11] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


     Члены группы могут получать и расшифровывать данные для этой SA, но
     Group Speaker не передает новые данные, используя "задний фронт"
     SA после того, как она перешла в "SA переднего края". В конце
     край SA удаляется конечными точками группы в соответствии с группой
     политика (например, по истечении определенного периода) "

   Эта стратегия смены ключей позволяет группе истощить
   передавать дейтаграммы из сети при переходе к ведущим
   край SA. Распределение ролей каждой соответствующей IPsec SA как
   описанное выше улучшает синхронизацию группы даже при наличии
   большие задержки распространения в сети. Обратите внимание, что из-за группы
   членство присоединяется и уходит, каждая временная эпоха выступающего в группе может иметь
   другой набор членства в группе.Это решение групповой политики о том, будет ли переход события смены ключа
   между эпохами обеспечивает прямую и обратную секретность. Группа пере-
   ключевой протокол ключевого материала и алгоритм (например, логический ключ
   Иерархия) обеспечивает соблюдение этой политики. Реализации МОГУТ предложить Группу
   Опция интерфейса управления владельцем для включения / выключения повторной смены клавиш
   преемственность для определенной группы. Эта спецификация требует, чтобы
   Реализация GKM / IPsec ДОЛЖНА поддерживать как минимум два параллельных IPsec.
   SA для каждого громкоговорителя группы и этот алгоритм непрерывности смены ключей.4.3 Аутентификация источника данных

   Как определено в [RFC4301], аутентификация источника данных является защитой
   сервис, который проверяет подлинность заявленного источника данных. А
   Код аутентификации сообщения (MAC) часто используется для получения данных.
   аутентификация происхождения для соединений, совместно используемых двумя сторонами. Но
   Методы аутентификации MAC недостаточны для определения источника данных
   аутентификация для групп с более чем двумя сторонами. С MAC
   алгоритм, каждый член группы может использовать ключ MAC для создания действительного
   MAC-тег, независимо от того, являются ли они подлинным источником
   группировать данные приложения.Когда свойство аутентификации источника данных требуется для
   IPsec SA, распространяемый из GKCS, преобразование аутентификации, где
   следует использовать создатель в секрете.  Два возможных алгоритма
   представляют собой цифровую подпись TESLA [RFC4082] или RSA [RFC4359].

   В некоторых случаях (например, при аутентификации с помощью цифровой подписи)
   стоимость обработки алгоритма значительно больше, чем
   Метод аутентификации HMAC. Для защиты от отказа в обслуживании
   атаки с устройства, не авторизованного для присоединения к группе,
   IPsec SA, использующий этот алгоритм, может быть инкапсулирован с IPsec SA.
   с использованием алгоритма аутентификации MAC.Однако для этого требуется
   пакет, который будет отправлен через границу IPsec для дополнительного входящего
   обработка [RFC4301, раздел 5.2]. Это использование инкапсулированного ESP
   внутри ESP учитывает ограничение, которое прицеп ESP определяет
   Значение проверки целостности (ICV) только для одного аутентификатора

Weis и др. Срок действия истекает апрель 2007 г. [Страница 12] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


   преобразовать. Ослабление этого ограничения на использование поля ICV является
   область для будущей стандартизации.4.4 Group SA и управление ключами

4.4.1 Сосуществование нескольких протоколов управления ключами

   Часто подсистема GKM будет добавлена ​​к существующему IPsec.
   подсистема в качестве сопутствующего протокола управления ключами IKEv2 [RFC4306].
   Основным требованием к подсистеме IP-безопасности протокола GKM является то, что
   протокол GKM и IKEv2 могут одновременно использовать общий доступ к
   общая база данных групповой политики безопасности и ассоциация безопасности
   База данных. Механизмы, обеспечивающие взаимоисключающий доступ к
   общие структуры данных GSPD / SAD - это вопрос местного значения.Это включает в себя
   исходящий кэш GSPD и входящий кэш GSPD. Тем не мение,
   разработчикам следует отметить, что выделение SPI IKEv2 полностью
   не зависит от выделения SPI GKM, потому что безопасность группы
   ассоциации определяются IP-адресом многоадресной рассылки и
   может дополнительно иметь квалификатор IP-адреса источника.  См. [RFC4303,
   Раздел 2.1] для дальнейшего объяснения.

   База данных авторизации одноранговых узлов требует явной координации
   между протоколом GKM и IKEv2. Раздел 4.1.3 описывает эти
   взаимодействия.

4.4.2 Новые атрибуты ассоциации безопасности

   В этом документе определен ряд новых атрибутов ассоциации безопасности.
   документ. Каждый протокол GKM, поддерживающий эту архитектуру, ДОЛЖЕН поддерживать
   следующий список атрибутов, описанных в другом месте в этом
   документ.

   - Сохранение адресов (раздел 3.1). Этот атрибут описывает
   должно ли сохранение адреса применяться к SA на источнике
   адрес, адрес назначения или и источник, и место назначения
   адреса.- Атрибут направления (раздел 4.1.1). Этот атрибут описывает
   должно ли направление GSPD быть "симметричным", "только приемником" или
   "только отправитель".

   - Любой из параметров и ключей, связанных с криптографическим преобразованием.
   которые отправляются из GCKS членам группы (например, источник данных
   параметры аутентификации, как описано в разделе 4.3).

   - Перенастройка временных интервалов процедуры смены ключей (раздел 4.2.4.1). В
   время ожидания подсистемами IPsec группового приемника после
   создание передовой IPsec SA до того, как они откажутся от
   задний край IPsec SA.Кроме того, время, в течение которого спикер группы будет
   задержка перед началом передачи по передним фронтам IPsec SA.


Weis и др. Срок действия истекает апрель 2007 г. [Страница 13] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


5. Обработка IP-трафика

   Обработка трафика соответствует [RFC4301, раздел 5] с
   описанные ниже дополнения, когда эти расширения многоадресной рассылки IP
   поддерживается.

5.1 Обработка исходящего многоадресного IP-трафика

   Если IPsec SA отмечен как поддерживающий туннельный режим с адресом
   сохранение (как описано в разделе 3.1), один или оба
   адреса источника или назначения внешнего заголовка помечены как
   сохранились.  Если исходный адрес помечен как сохраняемый, во время
   конструкция заголовка поле заголовка "src address" ДОЛЖНО быть скопировано
   из внутреннего hdr ", а не" сконструирован ", как описано в [RFC4301].
   Точно так же, если адрес назначения помечен как сохраняемый,
   во время создания заголовка поле заголовка "адрес назначения" ДОЛЖНО быть
   "скопировано из внутреннего hdr", а не "сконструировано".5.2 Обработка входящего многоадресного IP-трафика

   Если IPsec SA отмечен как поддерживающий туннельный режим с адресом
   сохранение (как описано в разделе 3.1), отмеченный адрес (т. е.
   адрес источника и / или назначения) во внешнем IP-заголовке ДОЛЖЕН быть
   проверяется на то же значение, что и внутренний IP-заголовок. Если
   адреса не согласованы, система IPsec ДОЛЖНА обработать ошибку
   таким же образом, как и другие недопустимые селекторы, как описано в
   [RFC4301, раздел 5.2]. В частности, система IPsec ДОЛЖНА отказаться от
   пакета, а также рассматривать несоответствие как событие, подлежащее аудиту.6. Соображения безопасности

   Расширения многоадресной передачи IP-безопасности, определенные в данной спецификации
   построены на одноадресно-ориентированной архитектуре безопасности IP [RFC4301].
   Следовательно, эта спецификация наследует многие из RFC4301.
   соображения безопасности, и читателю рекомендуется просмотреть его как
   сопутствующее руководство.

6.1 Проблемы безопасности, решаемые с помощью расширений многоадресной рассылки IPsec

   Услуга расширения многоадресной рассылки IP-безопасности обеспечивает следующее:
   механизмы сетевого уровня для безопасной групповой связи:

  - Конфиденциальность с использованием группового общего ключа шифрования.- Групповая аутентификация источника и защита целостности с помощью группы
     общий ключ аутентификации.

  - Аутентификация происхождения данных Group Speaker с использованием цифровой подписи,
     ТЕСЛА, или другой механизм.


Weis и др. Срок действия истекает апрель 2007 г. [Страница 14] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г. 


  - Защита от повторного воспроизведения для ограниченного числа групповых динамиков, использующих
     средство порядкового номера ESP (или AH).

  - Фильтрация многоадресных передач по тем членам группы, которые
     не уполномочены групповой политикой выступать в качестве выступающих в группе.Эта особенность
     использует службу межсетевого экрана без учета состояния IPsec.

   В поддержку вышеперечисленных услуг данная спецификация расширяет
   определение баз данных SPD, PAD и SAD для облегчения
   автоматизированное групповое управление ключами крупномасштабных криптографических групп.

6.2 Проблемы безопасности, не решаемые расширениями многоадресной рассылки IPsec

   Как указано в разделе 2.2 RFC4301, это выходит за рамки данного
   архитектура для защиты ключей группы или данных ее приложения
   против атак, исходящих не из сети.Тем не мение,
   Следует отметить, что риск этих атак увеличивается до
   степень, что ключи группы используются в большом количестве
   системы.

   Проблемы безопасности, которые не решает многоадресная рассылка IPsec
   службы расширения делятся на две большие категории: атаки извне,
   и инсайдерские атаки.

6.2.1 Атаки посторонних

   Служба расширения многоадресной рассылки IPsec не защищает от
   Противник вне группы, у которого есть:

  - Возможность запуска отказа в обслуживании с помощью многоадресной лавинной рассылки
     атака на группу, исходящая из системы, чей IPsec
     подсистема не фильтрует неавторизованные многоадресные передачи.- Взломан многоадресный маршрутизатор, что позволило Злоумышленнику повредить
     или удалите все многоадресные пакеты, предназначенные для конечных точек группы
     ниже по течению от этого маршрутизатора.

  - Захвачена копия более ранней передачи многоадресного пакета и
     затем воспроизводит его для группы, у которой нет антиповтора
     служба включена. Обратите внимание, что для крупномасштабной многоадресной рассылки от любого источника
     группы, получателям группы нецелесообразно поддерживать
     состояние запрета повтора для каждого потенциального выступающего в группе. Групповые политики
     которые требуют защиты от повторного воспроизведения для крупномасштабного любого источника -
     группа многоадресной рассылки должна учитывать общий порядок уровня приложения
     протокол многоадресной рассылки.

6.2.2 Внутренние атаки

   Для крупномасштабных групп многоадресные расширения IP-безопасности
   зависит от автоматизированного протокола управления групповыми ключами, чтобы правильно
   аутентифицировать и авторизовать надежных участников в соответствии с

Weis и др. Срок действия истекает апрель 2007 г. [Страница 15] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


   политики группы.В основе концепции криптографической группы лежит
   набор из одного или нескольких общих секретов, доверенных всем членам группы
   члены. Следовательно, гарантии безопасности сервиса отсутствуют.
   сильнее самого слабого члена, допущенного к группе GKM
   система. Система GKM отвечает за реагирование на взломанные
   обнаружение члена группы путем выполнения процедуры восстановления ключа группы.
   Протокол смены ключей GKM удалит скомпрометированных членов группы.
   и распространять новый групповой ключевой материал среди доверенных участников.В качестве альтернативы групповая политика может потребовать от системы GKM
   прекратить группу.

   В случае, если Противник был принят в группу
   системы GKM возможны следующие атаки и они не могут
   решаются службой расширения многоадресной рассылки IPsec:

  - Противник может раскрыть секретный ключ группы или данные группы
     неавторизованная сторона вне группы. После группового ключа или данных
     компрометация, криптографические методы, такие как отслеживание предателей или
     водяные знаки могут помочь в процессе криминалистической экспертизы.Однако эти
     методы выходят за рамки данной спецификации.

  - Внутренний злоумышленник может подделать передачи пакетов, которые, как представляется,
     быть от члена группы сверстников. Чтобы защититься от этой атаки для
     те передачи групповых спикеров, которые требуют накладных расходов,
     групповая политика может потребовать от Group Speaker многоадресной рассылки пакетов
     с помощью службы аутентификации источника данных.

  - Если служба аутентификации источника данных группы использует цифровой
     подписи, то инсайдер Противник может запустить вычислительную
     атака отказа в обслуживании с помощью многоадресной рассылки поддельной подписи
     пакеты.6.3 Проблемы внедрения или развертывания, влияющие на безопасность

6.3.1 Возможности однородных групповых криптографических алгоритмов

   Служба расширений многоадресной рассылки IP-безопасности не может защититься от
   плохо продуманная групповая политика безопасности, позволяющая более слабую
   криптографический алгоритм просто потому, что все конечные точки группы
   как известно, поддерживают это. К сожалению, большие группы могут быть
   сложно обновить до лучших в своем классе криптографических
   алгоритмы. Один из возможных подходов - развертывание составных
   группы, которые могут объединять гетерогенные группы [COMPGRP].Стандарт
   решение для разнородных групп - это деятельность на будущее
   стандартизация. Между тем, синхронизация группы
   криптографические возможности могут быть достигнуты с помощью безопасного и
   масштабируемый инструмент управления распространением программного обеспечения.

6.3.2 Группы, охватывающие два или более доменов политики безопасности



Weis и др. Срок действия истекает апрель 2007 г. [Страница 16] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


   Крупномасштабные группы могут охватывать несколько юридических юрисдикций (например,грамм
   страны), которые вводят ограничения на криптографические алгоритмы или ключи
   сильные стороны. Как определено в настоящее время, расширение многоадресной рассылки IPsec
   сервис требует единой групповой политики для каждой группы. Как указано выше,
   эта проблема остается областью для стандартизации в будущем.

6.3.3 Трансляция сетевых адресов

   С появлением NAT и мобильных узлов приложения многоадресной рассылки IPsec
   должны преодолеть несколько архитектурных барьеров для их успешного
   развертывание. В этом разделе рассматриваются эти проблемы и определяются
   Информация о состоянии GSPD / SAD, которую протокол GKM должен синхронизировать
   по членству в группе.6.3.3.1 Синхронизация потерь GSPD с состоянием Интернет-уровня

   Самая серьезная проблема, с которой сталкиваются протоколы GKM, поддерживающие IPsec, - это
   что механизм групповой политики безопасности протокола GKM может
   случайно настроить селекторы трафика GSPD группы с
   ненадежные временные IP-адреса. IP-адреса временные
   из-за мобильности узла или трансляции сетевых адресов (NAT),
   оба из которых могут в одностороннем порядке изменить IP-адрес источника группового докладчика.
   адрес без сигнализации протокола GKM.Отсутствие ГСПД
   механизм синхронизации может привести к тому, что трафик данных группы будет
   выброшены, а не обработаны правильно.

6.3.3.2 Оптимизация маршрута мобильного многоадресного адреса для обслуживания

   И мобильный IPv4 [RFC3344], и мобильный IPv6 обеспечивают прозрачность
   одноадресная связь с мобильным узлом. Однако сопоставимая поддержка
   для безопасного многоадресного управления мобильностью эти
   стандарты. Целью является возможность поддерживать непрерывную
   SA группы транспортного режима между мобильным узлом Group Speaker, имеющим
   изменчивый адрес для передачи и членство в групповом приемнике, которое также
   могут иметь мобильные конечные точки.В частности, нет безопасных
   механизм оптимизации маршрута треугольного многоадресного пути
   между соответствующими узлами групповых приемников, домашним агентом и
   мобильный узел. Любое предлагаемое решение должно быть защищено от враждебных
   перенаправить атаки и наводнения.

6.3.3.3 Сопоставления трансляции NAT непредсказуемы

   Следующие спонтанные действия NAT отрицательно влияют на источник:
   определенные безопасные группы многоадресной рассылки. Когда шлюз NAT находится на пути
   между групповым спикером, находящимся за NAT, и общедоступным IPv4
   Multicast Group Receiver, шлюз NAT изменяет частный источник
   адрес на общедоступный IPv4-адрес.Этот перевод должен быть
   координируется с входящей многоадресной рассылкой GSPD каждого получателя группы
   записи, которые зависят от адреса источника как от селектора трафика. Один
   может ошибочно предположить, что GCKS может создавать участников группы

Weis и др. Срок действия истекает апрель 2007 г. [Страница 17] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


   с записью GSPD, которая ожидает значения, которые NAT
   переводит адрес источника пакета.Однако известны
   случаи, когда эта трансляция адресов может самопроизвольно изменяться без
   предупреждение:

  - Шлюзы NAT могут перезагрузиться и потерять состояние трансляции адресов.
     Информация.

  - Шлюз NAT может освободить свое состояние трансляции адресов после
     таймер бездействия истекает. Преобразование адресов, используемое
     Шлюз NAT после возобновления потока данных может отличаться от указанного
     известно селекторам GSPD на конечных точках группы.

  - GCKS может не иметь глобальных согласованных знаний о группе
     текущие общедоступные и частные сопоставления адресов конечной точки из-за
     сетевые ошибки или состояния гонки.Например, член группы
     адрес может измениться из-за истечения срока аренды адреса, назначенного DHCP.

  - Между данной парой Членов группы могут существовать альтернативные пути. Если
     на этих путях есть параллельные шлюзы NAT, тогда адрес
     информация о состоянии трансляции на каждом шлюзе NAT может производить
     различные переводы для каждого пакета.

   Следствием этой проблемы является то, что GCKS не может быть предварительно
   настроен с сопоставлением NAT, поскольку GSPD на членах группы будет
   потерять синхронизацию, как только преобразование NAT изменится из-за любого из
   вышеуказанные события.В худшем случае участники группы в разных
   секции сети будут видеть разные сопоставления NAT, потому что
   многоадресный пакет прошел через несколько шлюзов NAT.

6.3.3.4 Зависимость маршрутизации SSM от IP-адреса источника

   Маршрутизация многоадресной рассылки (SSM) зависит от многоадресной рассылки.
   IP-адрес источника пакета и IP-адрес назначения многоадресной рассылки на
   принять правильное решение о пересылке. Однако шлюз NAT меняет
   IP-адрес источника этого пакета, когда он проходит из частной сети
   в публичную сеть.Мобильность меняет точку зрения члена группы
   подключение к Интернету, и это изменит источник пакета
   Айпи адрес. Независимо от того, почему это произошло, это изменение в
   исходный IP-адрес делает невозможным использование транзитных многоадресных маршрутизаторов.
   в общедоступном Интернете, чтобы узнать, какой из спикеров SSM создал
   многоадресный пакет, который, в свою очередь, выбирает правильный многоадресный
   политика пересылки.

6.3.3.5 ESP скрывает свою полезную нагрузку от шлюза NAT

   При прохождении NAT протоколы прикладного уровня, содержащие IPv4
   адреса в их полезной нагрузке требуют вмешательства приложения
   Layer Gateway (ALG), который понимает этот протокол прикладного уровня
   [RFC3027] [RFC3235].ALG обрабатывает частный IPv4 полезной нагрузки

Weis и др. Срок действия истекает апрель 2007 г. [Страница 18] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


   адреса в эквивалентные общедоступные адреса IPv4. Однако когда
   зашифрованные сквозным ESP, такие полезные данные непрозрачны для приложения
   шлюзы уровня.

   Когда несколько групповых выступающих находятся за NAT с одним общедоступным
   Адрес IPv4, шлюз NAT не может использовать порт протокола UDP или TCP
   перевод (т.е. NAPT), потому что шифрование ESP скрывает
   Заголовки протокола транспортного уровня. Использование ESP, инкапсулированного в UDP
   [RFC3948] позволяет избежать этой проблемы. Однако эта возможность должна быть
   настроен в GCKS как групповая политика, и он должен поддерживаться в
   унисон всех конечных точек группы внутри группы, даже тех
   которые находятся в общедоступном Интернете.

6.3.3.6 Зависимость контрольной суммы UDP от IP-адреса источника

   Подсистема IPsec, использующая UDP в полезной нагрузке ESP, столкнется с NAT.
   вызванные проблемы.Исходный адрес источника IPv4 является входом
   в проверку контрольной суммы псевдозаголовка UDP получателя,
   но это значение теряется после преобразования адреса IP-заголовка с помощью
   транзитный шлюз NAT. Контрольная сумма заголовка UDP непрозрачна в пределах
   зашифрованная полезная нагрузка ESP. Следовательно, контрольная сумма не может быть
   управляются транзитными шлюзами NAT. Проверка контрольной суммы UDP
   нужен механизм, который восстанавливает исходный IPv4-адрес источника в
   конечные точки группового получателя.

   В транспортном режиме многоадресного приложения GSA контрольная сумма UDP
   операция требует IP-адреса исходной конечной точки для завершения
   успешно.В IKEv2 эта информация обменивается между
   конечные точки с помощью полезной нагрузки NAT-OA (исходный адрес NAT). Смотрите также
   ссылка [RFC3947]. Аналогичный объект должен существовать в GKM.
   полезная нагрузка протокола, определяющая приложение многоадресной рассылки GSA
   атрибуты для каждого динамика группы.

6.3.3.7 Невозможно использовать AH со шлюзом NAT

   Наличие шлюза NAT делает невозможным использование
   Заголовок аутентификации с ключом для всей группы для защиты
   целостность IP-заголовка для передач между участниками
   криптографическая группа.7. Соображения IANA

   В этом документе нет действий для IANA.

8. Благодарности

   [TBD]

9. Ссылки


Weis и др. Срок действия истекает апрель 2007 г. [Страница 19] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


9.1 Нормативные ссылки

   [RFC1112] Диринг, С., «Расширения хоста для многоадресной передачи IP», RFC.
             1112, август 1989 г.

   [RFC2119] Брэднер, С., «Ключевые слова для использования в RFC для обозначения
             Уровень требований ", BCP 14, RFC 2119, март 1997 г.[RFC3552] Rescorla, E., et. др., "Рекомендации по написанию текста RFC на
             Вопросы безопасности », RFC 3552, июль 2003 г.

   [RFC4301] Кент, С. и К. Сео, "Архитектура безопасности для
             Интернет-протокол », RFC 4301, декабрь 2005 г.

   [RFC4302] Кент, С., «Заголовок аутентификации IP», RFC 4302, декабрь
             2005 г.

   [RFC4303] Кент, С., "Инкапсуляция данных безопасности IP (ESP)", RFC
             4303, декабрь 2004 г.

9.2 Информационные ссылки

   [COMPGRP] Общий G.и Х. Круикшэнк, "Безопасность многоадресной IP-рассылки
             Составные криптографические группы ", draft -ross-msec-ipsec-
             композит-группа-01.txt, в разработке, сентябрь 2006 г.

   [RFC2362] Estrin, D., et. др., "Независимая от протокола многоадресная рассылка-разреженная"
             Mode (PIM-SM): Protocol Specification », RFC 2362, июнь
             1998 г.

   [RFC2526] Джонсон, Д., и С. Диринг., «Зарезервированная IPv6-подсеть Anycast.
             Адреса », RFC 2526, март 1999 г.

   [RFC2914] Флойд, С., «Принципы контроля перегрузки», RFC 2914,
             Сентябрь 2000 г.[RFC3027] Холдрег, М., и П. Срисуреш, «Осложнения протокола.
             с транслятором сетевых IP-адресов », RFC 3027, январь
             2001 г.

   [RFC3171] Albanni, Z., et. др., "Рекомендации IANA для IPv4
             Назначение многоадресных адресов », RFC 3171, август 2001 г.

   [RFC3235] Сени, Д., "Дружественный преобразователь сетевых адресов (NAT)
             Рекомендации по разработке приложений », RFC 3235, январь 2002 г.

   [RFC3306] Хаберман Б. и Д. Талер, «IPv6 на основе одноадресных префиксов.
             Multicast Addresses », RFC3306, август 2002 г.[RFC3307] Хаберман Б., «Рекомендации по распределению многоадресной рассылки IPv6.
             Адреса », RFC3307, август 2002 г.

Weis и др. Срок действия истекает апрель 2007 г. [Страница 20] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.



   [RFC3344] Перкинс, К., «Поддержка IP-мобильности для IPv4», RFC 3344,
             Август 2002 г.

   [RFC3376] Cain, B., et. др., "Протокол управления интернет-группами",
             Версия 3 ", RFC 3376, октябрь 2002 г.

   [RFC3547] Баугер М., Вейс, Б., Харджоно, Т., и Х. Харни, "The
             Group Domain of Interpretation », RFC 3547, декабрь 2002 г.

   [RFC3569] Бхаттачарья, С., "Обзор источников
             Multicast (SSM) », RFC 3569, июль 2003 г.

   [RFC3810] Вида Р. и Л. Коста, "Обнаружение многоадресного прослушивателя.
             Версия 2 (MLDv2) для IPv6 ", RFC 3810, июнь 2004 г.

   [RFC3940] Adamson, B., et. др., "Отрицательное подтверждение (NACK) -
             Протокол ориентированной надежной многоадресной передачи (NORM) », RFC 3940,
             Ноябрь 2004 г.[RFC3947] Kivinen, T., et. др., "Согласование прохождения NAT в
             IKE », RFC 3947, январь 2005 г.

   [RFC3948] Huttunen, A., et. др., "UDP-инкапсуляция IPsec ESP"
             Пакеты », RFC 3948, январь 2005 г.

   [RFC4046] Баугер, М., Дондети, Л., Канетти, Р., и Ф. Линдхольм,
             «Управление ключами группы Multicast Security (MSEC)
             Архитектура », RFC4046, апрель 2005 г.

   [RFC4082] Perrig, A., et. др., "Устойчивый к синхронным потерям, эффективный поток
             Аутентификация (TESLA): аутентификация источника многоадресной рассылки
             Введение в преобразование », RFC 4082, июнь 2005 г.[RFC4306] Кауфман, К., "Протокол обмена ключами в Интернете (IKEv2)", RFC
             4306, декабрь 2005 г.

   [RFC4359] Вайс Б., «Использование подписей RSA / SHA-1 в
             Инкапсуляция данных безопасности (ESP) и аутентификация
             Заголовок (AH) ", RFC 4359, январь 2006 г.

   [RFC4534] Колегроув, А. и Х. Харни, «Токен групповой политики безопасности.
             v1 ", RFC 4534, июнь 2006 г.

   [RFC4535] Харни, Х., Мет, У., Колегроув, А., и Дж. Гросс, "GSAKMP:
             Протокол управления ключами Group Secure Association », RFC
             4535, июнь 2006 г.[ZLLY03] Zhang, X., et. др., «Разработка протокола для масштабируемых и
             Надежная смена ключей для группы ", Транзакции IEEE / ACM на


Weis и др. Срок действия истекает апрель 2007 г. [Страница 21] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


             Сеть (TON), том 11, выпуск 6, декабрь 2003 г. См.
             http://www.cs.utexas.edu/users/lam/Vita/Cpapers/ZLLY01.pdf.


















































Weis и др.Срок действия истекает апрель 2007 г. [Страница 22] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


Приложение A. Модели служб многоадресных приложений

   Подавляющее большинство приложений безопасной многоадресной рассылки можно каталогизировать.
   по модели обслуживания и сопутствующему внутригрупповому общению
   узоры. Подсистема управления ключами группы (GKM) и IPsec
   подсистема ДОЛЖНА иметь возможность настраивать политики безопасности GSPD / SAD для
   соответствовать этим доминирующим сценариям использования.Политики GSPD / SAD ДОЛЖНЫ
   включать возможность настройки групп Any-Source-Multicast и
   Группы многоадресной рассылки, зависящие от источника для каждой из этих моделей обслуживания.
   Интерфейс управления подсистемой GKM МОЖЕТ включать механизмы для
   настроить политики безопасности для моделей обслуживания, не идентифицированных
   этот стандарт.

A.1 Однонаправленные многоадресные приложения

   Многоадресные приложения для доставки мультимедийного контента, не имеющие
   уведомления о перегрузке или механизмы восстановления после ошибок повторной передачи
   по своей сути однонаправлены.RFC 4301 определяет только двунаправленную
   одноадресные ассоциации безопасности (согласно разделам 4.4.1 и 5.1 с
   относительно направленности ассоциации безопасности). Подсистема GKM
   требует, чтобы подсистема IPsec ДОЛЖНА поддерживать однонаправленную группу
   Ассоциации безопасности (GSA). Многоадресные приложения, у которых есть только
   один член группы, авторизованный на передачу, может использовать этот тип группы
   сопоставление безопасности для принудительного применения этой групповой политики. В обратном
   направлении, GSA не имеет записи SAD, а GSPD
   конфигурация дополнительно настраивается для предотвращения несанкционированных попыток
   передавать группе одноадресные или многоадресные пакеты.Интерфейс управления подсистемы GKM ДОЛЖЕН иметь возможность
   настроить группу подсистемы GKM с однонаправленной безопасностью GSA
   политика.

A.2 Двунаправленные надежные многоадресные приложения

   Некоторые защищенные многоадресные приложения объединены в одну группу.
   громкоговоритель ко многим приемникам, но с обратными потоками данных, требуемыми
   надежный транспортный протокол многоадресной рассылки (например, NORM). В таком
   приложений, поток данных от динамика является многоадресным, а
   обратный поток от получателей группы одноадресен к говорящему.Обычно обратные потоки данных переносят запросы на исправление ошибок и
   статус контроля перегрузки.

   Для таких приложений GSA СЛЕДУЕТ использовать защиту от повторного воспроизведения IPsec.
   служба защиты многоадресного потока данных говорящего на
   приемники группы. Из-за проблемы масштабируемости, описанной в
   в следующем разделе нецелесообразно использовать антиповтор IPsec
   сервис для одноадресных обратных потоков. Следовательно, в обратном
   Направление защиты IPsec от повторного воспроизведения ДОЛЖНО быть отключено.Тем не мение,
   обратные потоки одноадресной рассылки могут использовать группу IPsec группы
   механизм аутентификации. Запись GSPD получателя группы для этого


Weis и др. Срок действия истекает апрель 2007 г. [Страница 23] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


   GSA ДОЛЖЕН быть настроен так, чтобы разрешать только одноадресную передачу
   Узел динамика, а не многоадресная передача для всей группы.

   Если доступна аутентификация с цифровой подписью ESP (E.г., RFC
   4359), аутентификация источника МОЖЕТ использоваться для аутентификации получателя.
   Передача узла на спикер. Протокол GKM ДОЛЖЕН определять
   механизм управления ключами для спикера группы для проверки
   подтвержденный открытый ключ подписи любого узла-получателя без необходимости
   что говорящий поддерживает состояние о каждом приемнике группы.

   РЕКОМЕНДУЕТСЯ использовать эту модель службы многоадресного приложения, поскольку она
   включает в себя возможности обратной связи по управлению перегрузкой. См. [RFC2914]
   для получения дополнительной справочной информации.Интерфейс управления владельцем группы подсистемы GKM ДОЛЖЕН иметь
   возможность установки GSA подсистемы GKM с двунаправленным GSA
   политика безопасности и один групповой динамик. Интерфейс управления
   ДОЛЖЕН быть в состоянии настроить группу как минимум на 16 одновременных
   авторизованные спикеры, каждый со своим собственным состоянием защиты от повтора GSA.

A.3 Многоадресные приложения Any-To-Any Multicast

   Другое семейство приложений безопасной многоадресной рассылки демонстрирует принцип «от любого к
   многие "коммуникативные схемы. Типичный пример такого
   приложение представляет собой видеоконференцию в сочетании с электронным
   доска.Для таких приложений все (или большая часть) Члены группы
   авторизованные спикеры многоадресной рассылки. В таких моделях обслуживания создание
   отдельный IPsec SA с антиповторным состоянием для каждого потенциального динамика
   не масштабируется на большие группы. Группа ДОЛЖНА совместно использовать одну IPsec SA.
   для всех его спикеров. IPsec SA НЕ СЛЕДУЕТ использовать защиту IPsec.
   служба защиты от воспроизведения для многоадресного потока данных говорящего на
   Получатели группы.

   Интерфейс управления подсистемы GKM ДОЛЖЕН иметь возможность
   настроить группу, имеющую политику безопасности GSA для многоадресной рассылки Any-To-Many Multicast.Weis и др. Срок действия истекает апрель 2007 г. [Страница 24] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


Адрес автора

   Брайан Вайс
   Cisco Systems
   170 W. Tasman Drive,
   Сан-Хосе, Калифорния 95134-1706
   Соединенные Штаты Америки

   Телефон: + 1-408-526-4796
   Электронная почта: [email protected]

   Джордж Гросс
   Безопасность IdentAware
   82 Old Mountain Road
   Ливан, Нью-Джерси 08833
   Соединенные Штаты Америки

   Телефон: + 1-908-268-1629
   Электронная почта: [email protected]

   Драган Игнятич
   Polycom
   1000 Вт.14-я улица
   Северный Ванкувер, Британская Колумбия V7P 3P3
   Канада

   Телефон: + 1-604-982-3424
   Электронная почта: [email protected]
























Weis и др. Срок действия истекает апрель 2007 г. [Страница 25] 

Internet-Draft Multicast Extensions к RFC 4301 Октябрь 2006 г.


Заявление об интеллектуальной собственности

   IETF не занимает никакой позиции относительно действительности или объема каких-либо
   Права интеллектуальной собственности или другие права, которые могут быть заявлены
   иметь отношение к внедрению или использованию технологии
   описанные в этом документе, или степень, в которой любая лицензия
   в соответствии с такими правами может быть, а может и не быть; и это не
   заявляют, что он предпринял какие-либо независимые усилия для выявления любых
   такие права.Информация о процедурах в отношении прав
   в документах RFC можно найти в BCP 78 и BCP 79.

   Копии раскрытия информации о правах интеллектуальной собственности в секретариат IETF и
   гарантии предоставления лицензий или результат
   предпринята попытка получить генеральную лицензию или разрешение на использование
   таких прав собственности разработчиками или пользователями этого
   спецификацию можно получить из он-лайн репозитория IPR IETF
   на http://www.ietf.org/ipr.

   IETF приглашает любую заинтересованную сторону довести до ее сведения
   любые авторские права, патенты или заявки на патенты или другие
   права собственности, которые могут распространяться на технологии, которые могут потребоваться
   для реализации этого стандарта.Пожалуйста, направьте информацию в
   IETF: [email protected].

Заявление об отказе от ответственности

   Этот документ и содержащаяся в нем информация размещены на
   Принцип "КАК ЕСТЬ" и ПОСТАВЩИК, ОРГАНИЗАЦИЯ, ПРЕДСТАВЛЯЕМЫЕ ОН / ОНА
   ИЛИ СПОНСИРУЕТСЯ (ЕСЛИ ЕСТЬ) ИНТЕРНЕТ-ОБЩЕСТВОМ И ИНТЕРНЕТОМ
   ТЕХНИЧЕСКОЕ ОБСЛУЖИВАНИЕ ОТКАЗЫВАЕТСЯ ОТ ВСЕХ ГАРАНТИЙ, ЯВНЫХ ИЛИ ПОДРАЗУМЕВАЕМЫХ,
   ВКЛЮЧАЯ, НО НЕ ОГРАНИЧИВАЯ ГАРАНТИЮ, ЧТО ИСПОЛЬЗОВАНИЕ
   ПРИСУТСТВУЮЩАЯ ИНФОРМАЦИЯ НЕ НАРУШАЕТ НИКАКИХ ПРАВ ИЛИ ПОДРАЗУМЕВАЕМЫХ
   ГАРАНТИИ КОММЕРЧЕСКОЙ ЦЕННОСТИ ИЛИ ПРИГОДНОСТИ ДЛЯ ОПРЕДЕЛЕННОЙ ЦЕЛИ.Заявление об авторских правах

   Авторские права (C) The Internet Society (2006). Этот документ подлежит
   к правам, лицензиям и ограничениям, содержащимся в BCP 78, и
   за исключением случаев, указанных в настоящем документе, за авторами сохраняются все свои права.

Подтверждение

   Финансирование функции редактора RFC в настоящее время обеспечивается
   Интернет-сообщество.







Weis и др. Срок действия истекает апрель 2007 г. [Страница 26]

 

инженерный колледж минакши сундарараджан

Поразительные особенности интерактивной модели общения, Как долго креатин всасывается, Решения изомерии Химаншу Пандей, Oracal 970 против 651, Видеокомплект для смартфона Movo Pr-2-pm, Как долго готовить замороженные поленья для пиццы во фритюрнице, Чайник из нержавеющей стали с корзиной заварки, Леопардовый принт фон розовый, Авокадо и сыр кето,

03-Layer 2-LAN Switching Configuration Guide — 01-Ethernet interface configuration

Переключатель поддерживает интерфейсы Ethernet, интерфейсы управления Ethernet и консоль интерфейсы.Для типов интерфейсов и количества интерфейсов, поддерживаемых модель коммутатора, см. руководство по установке.

В этом документе описывается, как настроить интерфейсы управления Ethernet и интерфейсы Ethernet.

Интерфейс управления использует RJ-45 разъем. Вы можете подключить интерфейс к ПК для загрузки программного обеспечения и отладка системы.

Для настройки управления Ethernet интерфейс:

Для коммутатора в IRF-матрице его Ethernet Интерфейсы нумеруются в формате интерфейса типа A / B / C / D. Для переключателя не в IRF-фабрике, его интерфейсы Ethernet пронумерованы в формате тип интерфейса B / C / D. Применяются следующие определения:

· A — Номер коммутатора в матрице IRF.

· B — номер слота карты в коммутаторе.

· C — номер дополнительного слота на карте.

· D — номер интерфейса на карте.

Настройка общего интерфейса Ethernet настройки

В этом разделе описаны общие настройки к интерфейсам Ethernet уровня 2 и интерфейсам / субинтерфейсам Ethernet уровня 3. Ты может установить интерфейс Ethernet как интерфейс уровня 3 с помощью команды маршрута port link-mode. Для получения дополнительной информации см. «Настройка ссылки режим интерфейса Ethernet. »Подробнее Информацию о настройках, относящихся к интерфейсам Ethernet уровня 2, см. в разделе «Настройка интерфейса Ethernet уровня 2».«

Разделение интерфейса 40-GE и объединение Коммутационные интерфейсы 10-GE

Разделение 40-GE интерфейс на четыре коммутационных интерфейса 10-GE

Интерфейс 40-GE можно использовать как единый интерфейс. Для повышения плотности портов, снижения затрат и улучшения сети гибкость, вы также можете разделить интерфейс 40-GE на четыре коммутационных интерфейса 10-GE.

Например, вы можете разделить 40-GE интерфейс FortyGigE 1/0/16 на четыре коммутационных интерфейса 10-GE Ten-GigabitEthernet 1/0/16: 1 через Ten-GigabitEthernet 1/0/16: 4.

После того, как вы разделите интерфейс 40-GE на четыре Интерфейсы коммутации 10-GE, перезагрузите устройство. Система удаляет 40-GE интерфейс и создает четыре коммутационных интерфейса 10-GE.

Перед перезагрузкой коммутатор настроен с этим , сохраните конфигурацию разделения, даже если коммутатор является членом IRF выключатель.

Для разделения интерфейса 40-GE на четыре разъема 10-GE интерфейсы:

Объединение четырех Коммутационные интерфейсы 10-GE в интерфейс 40-GE

Если вам нужна более высокая пропускная способность, вы можете объедините четыре коммутационных интерфейса 10-GE в интерфейс 40-GE.

После объединения четырех коммутационных интерфейсов 10-GE в интерфейс 40-GE перезагрузите устройство. Система удаляет четыре прорыва 10-GE. интерфейсов и создает комбинированный интерфейс 40-GE.

Перед перезагрузкой коммутатор настроен с этим команда, сохранить конфигурацию объединения, даже если коммутатор является членом IRF выключатель.

Для объединения четырех коммутационных интерфейсов 10-GE в интерфейс 40-GE:

Настройка базовые настройки интерфейса Ethernet или уровня 3 Субинтерфейс Ethernet

Настройка Интерфейс Ethernet

Вы можете настроить интерфейс Ethernet для работают в одном из следующих дуплексных режимов:

· Полный — интерфейсы могут отправлять и получать пакетов одновременно.

· Half — интерфейсы не могут отправлять и получать пакеты. одновременно.

· Авто — интерфейсы согласовывают дуплексный режим с их ровесники.

Вы можете установить скорость Ethernet интерфейс или разрешите ему автоматически согласовывать скорость со своим партнером.

Для настройки интерфейса Ethernet:

Настройка Субинтерфейс Ethernet уровня 3

Каждый из интерфейсов уровня 3 и субинтерфейсы используют один ресурс интерфейса VLAN. Чтобы успешно создать слой 3 интерфейса и подынтерфейса, используйте резервный-vlan-интерфейс чтобы зарезервировать для них ресурсы интерфейса VLAN перед их созданием. За Например, перед созданием четырех субинтерфейсов уровня 3 в интерфейсе уровня 3 вы должен зарезервировать пять ресурсов интерфейса VLAN с помощью интерфейса backup-vlan команда.

Чтобы зарезервировать глобальные ресурсы интерфейса VLAN, укажите глобальное ключевое слово в команде reserve-vlan-interface. Чтобы зарезервировать локальную VLAN ресурсы интерфейса, не указывайте глобальное ключевое слово. В этой главе зарезервированные ресурсы интерфейса VLAN являются локальными.

Перед созданием Ethernet уровня 3 субинтерфейс, не резервируйте ресурс для интерфейса VLAN, чей интерфейс номер соответствует номеру подинтерфейса. После резервирования интерфейса VLAN ресурс, не создавайте субинтерфейс Ethernet уровня 3, чей субинтерфейс number — номер интерфейса VLAN.Подинтерфейс Ethernet уровня 3 использует Ресурс интерфейса VLAN при обработке помеченных пакетов, идентификатор VLAN которых совпадает с номер субинтерфейса.

Для получения дополнительной информации о резервировании VLAN ресурсы интерфейса, см. «Настройка сетей VLAN».

Для настройки подинтерфейса Ethernet уровня 3:

Настройка режима связи интерфейса Ethernet

Каждый из интерфейсов уровня 3 и субинтерфейсы используют один ресурс интерфейса VLAN.Чтобы успешно настроить Интерфейс Ethernet для работы в режиме маршрутизации, используйте резервный vlan-интерфейс команда, чтобы сначала зарезервировать ресурс интерфейса VLAN для интерфейса. За Например, перед настройкой четырех интерфейсов уровня 2 для работы в режиме маршрутизации, необходимо зарезервировать четыре ресурса интерфейса VLAN с помощью команды reserve-vlan-interface.

Чтобы зарезервировать глобальные ресурсы интерфейса VLAN, укажите глобальное ключевое слово в команде reserve-vlan-interface. Чтобы зарезервировать локальную VLAN ресурсы интерфейса, не указывайте глобальное ключевое слово.В этой главе зарезервированные ресурсы интерфейса VLAN являются локальными.

Для получения дополнительной информации о резервировании VLAN ресурсы интерфейса, см. «Настройка сетей VLAN».

На коммутаторе интерфейсы Ethernet могут работают как интерфейсы Ethernet уровня 2 или уровня 3 (вы можете установить канал связи режим моста или маршрута).

Для изменения режима соединения Ethernet интерфейс:

Настройка поддержки кадров большого размера

Интерфейс Ethernet может получать некоторые кадры больше стандартного размера кадра Ethernet (так называемые jumbo-кадры) при обмене данными с высокой пропускной способностью, например при передаче файлов.Когда Ethernet интерфейс настроен на отклонение jumbo-кадров, интерфейс Ethernet отклоняет jumbo-кадры. кадры без дальнейшей обработки. Когда интерфейс Ethernet настроен с поддержкой jumbo-кадров интерфейс Ethernet обрабатывает jumbo-кадры в пределах указанная длина.

Для настройки поддержки кадров большого размера:

Настройка подавления изменения физического состояния в Ethernet интерфейс

Состояние физического канала Ethernet. интерфейс либо вверх, либо вниз.Каждый раз, когда физическая ссылка интерфейса переходит вверх или вниз, интерфейс немедленно сообщает об изменении ЦП. В Затем ЦП выполняет следующие операции:

· Уведомляет модули протокола верхнего уровня (например, как модули маршрутизации и пересылки) изменения для направления пересылки пакетов.

· Автоматически генерирует ловушки и журналы для информирования пользователю предпринять соответствующие действия.

Для предотвращения частого переключения физического канала от влияния на производительность системы настроить подавление изменения физического состояния для подавления отчетов об изменениях состояния физического канала.Вы можете настроить эта функция позволяет подавлять только события соединения, только события соединения или и то, и другое. Если событие указанного типа все еще существует, когда интервал подавления истекает, система сообщает о событии.

· Чтобы подавить только события обрыва связи, настройте задержку связи [мсек. ] команда времени задержки.

· Чтобы подавить только события соединения, настройте задержку соединения [мсек. ] режим задержки времени вверх команда.

· Чтобы подавить как события соединения, так и соединения, настроить задержку соединения [мсек ] обновление режима задержки команда.

· Не настраивать изменение физического состояния подавление на интерфейсе с включенным MSTP.

· Когда вы отдельно включаете изменение состояния подавление для событий соединения и разрыва связи, обе конфигурации вступают в силу. За Например, если вы сконфигурируете команду link-delay [msec] delay-time mode up, а затем настроите команду link-delay [msec] delay-time, обе команды вступят в силу.

· Если вы настроите эту команду несколько раз для события подключения или отключения на интерфейсе Ethernet, самые последние конфигурация вступает в силу.

Для настройки изменения физического состояния подавление на интерфейсе Ethernet:

Настройка общего управления потоком на Интерфейс Ethernet

Чтобы избежать отбрасывания пакетов на ссылке, вы можете включить общий контроль потока на обоих концах ссылки.Когда заторы на дорогах происходит на принимающей стороне, принимающая сторона отправляет управление потоком (пауза) frame, чтобы попросить отправляющую сторону приостановить отправку пакетов.

· В режиме TxRx общий поток управление включено, интерфейс может как отправлять, так и получать кадры управления потоком. Когда возникает перегрузка, интерфейс отправляет кадр управления потоком к своему партнеру. Когда интерфейс получает кадр управления потоком от однорангового узла, он приостанавливает отправку пакетов.

· С режимом потока Rx включен общий контроль, интерфейс может получать поток контролировать кадры, но он не может отправить кадры управления потоком.Когда интерфейс получает кадр управления потоком от своему партнеру он приостанавливает отправку пакетов партнеру. Когда происходит перегрузка, интерфейс не может отправлять кадры управления потоком к партнеру.

Как показано на рисунке 1, когда и порт A, и порт B пересылают пакеты на при скорости 1000 Мбит / с порт C будет перегружен. Чтобы избежать потери пакетов, включите управление потоком на портах A и B.

Рисунок 1 Управление потоком на портах

Когда общее управление потоком в режиме TxRx включен на порте B, а общий контроль потока в режиме Rx включен на порте A:

· Когда порт C перегружен, коммутатор B буферизует пакет.Когда буферизованные пакеты достигают размера, коммутатор B узнает, что трафик, пересылаемый из порта B в порт C, превышает возможности пересылки Порт C. В этом случае порт B отправляет общие кадры паузы в порт A и сообщает Порт A для приостановки отправки пакетов.

· Когда порт A получает общие кадры паузы, Порт A приостанавливает отправку пакетов на порт B на определенный период, который переносится в общих кадрах паузы. Порт B отправляет общие кадры паузы в порт А пока не будет устранена заложенность.

Для обработки перегрузки однонаправленного трафика на ссылке настройте включение управления потоком команда на одном конце и команда управления потоком на другой конец. Чтобы оба конца канала могли справляться с перегрузкой трафика, настройте команду управления потоком на обоих концах.

Для включения общего управления потоком на Интерфейс Ethernet:

Настройка PFC на интерфейсе Ethernet

PFC выполняет управление потоком на основе 802.1p приоритеты. При включенном PFC интерфейсу требуется, чтобы его партнер приостановил отправку. пакеты с указанными приоритетами 802.1p при возникновении перегрузки. К уменьшая скорость передачи, PFC помогает избежать потери пакетов.

Вы можете включить PFC для указанного 802.1p приоритеты на двух концах ссылки. Когда происходит перегрузка сети, локальный устройство проверяет состояние PFC для приоритета 802.1p, передаваемого в каждом поступающем пакет. Устройство обрабатывает пакет в зависимости от статуса PFC следующим образом:

· Если PFC включен для приоритета 802.1p, локальное устройство принимает пакет и отправляет одноранговому узлу кадр паузы PFC. В одноранговый узел прекращает отправку пакетов с этим приоритетом 802.1p в течение интервала времени, пока указанный в кадре паузы PFC.Этот процесс повторяется до тех пор, пока не возникнет затор. удален.

· Если PFC отключен для приоритета 802.1p, локальный интерфейс отбрасывает пакет.

Для настройки PFC на интерфейсе Ethernet:

При настройке PFC следуйте этим руководящие принципы:

· Чтобы выполнить PFC на сетевом интерфейсе IRF устройство-член, настройте PFC как на сетевом интерфейсе, так и на физическом IRF интерфейсы. Для получения информации о IRF см. Руководство по настройке IRF.

· Лучшая практика для обеспечения правильной работы IRF и других протоколов, не включайте PFC для 802.1p приоритеты 0, 6 и 7.

· Сделайте одинаковую конфигурацию PFC на всех интерфейсах этот трафик проходит через.

· Интерфейс может получать кадры паузы PFC включен ли PFC на интерфейсе. Однако только интерфейс с Включенный PFC может обрабатывать кадры паузы PFC. Чтобы PFC вступил в силу, убедитесь, что PFC включен как на локальном, так и на одноранговом конце.

Связь между функцией PFC а общая функция управления потоком показана в таблице 1.

Таблица 1 Взаимосвязь между PFC функция и общая функция управления потоком

Включение функции энергосбережения на интерфейсе Ethernet

Включение авто отключение питания на интерфейсе Ethernet

Когда интерфейс Ethernet с авто отключение питания было отключено в течение определенного периода времени, оба происходят следующие события:

· Устройство автоматически прекращает подачу питания к интерфейсу Ethernet.

· Интерфейс Ethernet переходит в режим энергосбережения. режим.

Период времени зависит от характеристик микросхемы. и не настраивается.

Когда появляется интерфейс Ethernet, оба из следующих событий происходят:

· Устройство автоматически восстанавливает питание. к интерфейсу Ethernet.

· Интерфейс Ethernet возвращается в нормальное состояние. государственный.

Для включения автоматического отключения питания в сети Ethernet интерфейс:

Включение EEE на Интерфейс Ethernet

с энергоэффективным Ethernet (EEE) включен, интерфейс подключения переходит в состояние низкого энергопотребления, если он не получил никаких пакеты в течение определенного периода времени. Срок зависит от чипа спецификации и не настраивается. Когда пакет приходит позже, устройство автоматически восстанавливает питание интерфейса и интерфейс восстанавливает в нормальное состояние.

Для включения EEE на интерфейсе Ethernet:

Настройка подавление шторма

Вы можете использовать функцию подавления шторма, чтобы ограничить размер определенного типа трафика (широковещательный, многоадресный или неизвестный одноадресный трафик) на интерфейсе. Когда широковещательная, многоадресная или неизвестная одноадресный трафик на интерфейсе превышает этот порог, система отбрасывает пакеты пока трафик не упадет ниже этого порога.

Любой из штормовых ограничений, подавление широковещательной рассылки, подавление многоадресной рассылки, и команды подавления одноадресной рассылки могут подавить шторм на интерфейсе.Подавление широковещательной рассылки, подавление многоадресной рассылки и подавление одноадресной рассылки. команды подавляют трафик на оборудовании и меньше влияют на устройство производительности, чем команда ограничения бури, которая выполняет подавление в программном обеспечении.

Конфигурация руководящие принципы

Для того же типа трафика не настройте команду ограничения шторма вместе с любое из подавления широковещательной рассылки, подавления многоадресной рассылки и подавления одноадресной рассылки команды. В противном случае результат подавления трафика не определяется.Для большего Информацию о команде storm-constrain см. в разделе «Настройка управления штормом в сети Ethernet. интерфейс «

Конфигурация процедура

Установить пороги подавления шторма на одном или несколько интерфейсов Ethernet:

Настройка контроль шторма на интерфейсе Ethernet

О шторме контроль

Storm Control сравнивает трансляцию, многоадресный и неизвестный одноадресный трафик регулярно с соответствующим трафиком пороги на интерфейсе Ethernet. Для каждого типа трафика контроль шторма обеспечивает более низкий порог и более высокий порог.

В целях управления можно настроить интерфейс для вывода ловушек пороговых событий и сообщений журнала при мониторинге трафик соответствует любому из следующих условий:

· Превышает верхний порог.

· Опускается ниже нижнего порога с верхнего порог.

В зависимости от вашей конфигурации, когда конкретный тип трафика превышает его верхний порог, интерфейс выполняет либо из следующих операций:

· Блокирует этот тип трафика и пересылает другие типы трафика — даже хотя интерфейс не пересылает заблокированный трафик, он все равно считает трафик. Когда заблокированный трафик падает ниже нижнего порога, интерфейс начинает пересылать трафик.

· Автоматически отключается — интерфейс автоматически отключается и перестает пересылать трафик. Когда обнаруживается падение заблокированного трафика ниже нижнего порога, интерфейс не пересылает трафик. Чтобы вызвать интерфейс, используйте отмену выключения команду или отключите функцию контроля шторма.

Любой из штормовых ограничений, подавление широковещательной рассылки, подавление многоадресной рассылки, и команды подавления одноадресной рассылки могут подавить шторм на интерфейсе.Подавление широковещательной рассылки, подавление многоадресной рассылки и подавление одноадресной рассылки. команды подавляют трафик на оборудовании и меньше влияют на устройство производительности, чем команда ограничения бури, которая выполняет подавление в программном обеспечении.

Storm Control использует полный цикл опроса для сбора данных о трафике и анализа данных в следующем цикле. Интерфейс требуется от одного до двух интервалов опроса, чтобы принять меры по управлению штормом.

Конфигурация руководящие принципы

Для того же типа трафика не настройте команду ограничения шторма вместе с любое из подавления широковещательной рассылки, подавления многоадресной рассылки и подавления одноадресной рассылки команды.В противном случае результат подавления трафика не определяется. Для большего информация о подавлении широковещательной рассылки, подавлении многоадресной рассылки и подавлении одноадресной рассылки команды, см. «Настройка подавление шторма »

Конфигурация процедура

Для настройки управления штормом в сети Ethernet интерфейс:

Принудительное включение оптоволоконного порта

Как показано на Рисунке 2, оптоволоконный порт использует отдельные оптоволоконные кабели. для передачи и приема пакетов.Физическое состояние оптоволоконного порта только тогда, когда передающее и принимающее волокна физически соединены. Если один волокна отсоединены, оптоволоконный порт не работает.

Включение оптоволоконного порта для пересылки трафика по одному каналу используйте команду режима увеличения порта. Этот команда принудительно вызывает оптоволоконный порт, даже если нет оптоволоконных линий или приемопередатчика модули присутствуют для оптоволоконного порта. Когда присутствует одна волоконно-оптическая линия, оптоволоконный порт может пересылать пакеты по каналу в одном направлении.

Рисунок 2 Принудительное включение оптоволоконного порта

Ограничения конфигурации и руководящие принципы

Когда вы принудительно включаете оптоволоконный порт, следуйте этим ограничениям и рекомендациям:

· Чтобы включить эту функцию на оптоволоконном порту, убедитесь, что порт работает. в режиме моста.

· Режим работы порта и выключение команды исключают друг друга.

· Принудительно включенный оптоволоконный порт GE не может правильно пересылать трафик, если он установлен с преобразователем волокна в медь, 100/1000 Мбит / с. модуль приемопередатчика или модуль приемопередатчика 100 Мбит / с.Решать проблема, используйте порт отмены команда up-mode на оптоволоконном порту.

Для принудительного включения оптоволоконного порта:

Установка режима MDIX для Ethernet интерфейс

Физический интерфейс Ethernet имеет восемь булавки. По умолчанию каждая булавка играет определенную роль. Например, контакты 1 и 2 получают сигналы, а контакты 3 и 6 передают сигналы.Вы можете использовать как кроссовер, так и прямые кабели Ethernet для подключения медных интерфейсов Ethernet. К подходят для этих типов кабелей, медный интерфейс Ethernet может работать в один из следующих режимов Medium Dependent Interface-Crossover (MDIX):

· Режим MDIX — контакты 1 и 2 являются контактами приема и контакты 3 и 6 являются контактами передачи.

· Режим MDI — контакты 1 и 2 являются выводами передачи и контакты 3 и 6 являются контактами приема.

· Режим AutoMDIX — интерфейс согласовывает роли контактов со своим коллегой.

Для медного интерфейса Ethernet к общаться со своим партнером, установите режим MDIX интерфейса, выполнив следующие действия. эти рекомендации:

· Обычно для режима MDIX интерфейса устанавливают значение AutoMDIX. Установите режим MDIX интерфейса на MDI или MDIX, только когда устройство не может определить тип кабеля.

· Если используется прямой кабель, настройте интерфейс для работы в Режим MDIX отличается от его вглядеться.

· Если используется перекрестный кабель, выполните одно из следующие задачи:

¡Настроить интерфейс для работы в тот же режим MDIX, что и его партнер.

¡Настроить любой конец для работы в режиме AutoMDIX.

Для установки режима MDIX в сети Ethernet интерфейс:

Проверка кабельного подключения Интерфейс Ethernet

Эта функция проверяет кабельное соединение интерфейс Ethernet и отображает результат теста кабеля в течение 5 секунд. Тест Результат включает состояние кабеля и некоторые физические параметры. Если ошибка обнаружен, результат теста показывает длину от локального интерфейса до ошибочная точка.

Для проверки кабельного подключения Ethernet интерфейс:

Установка MTU для интерфейса Ethernet или субинтерфейса

Максимальный блок передачи (MTU) Интерфейс Ethernet влияет на фрагментацию и повторную сборку IP-пакетов на интерфейс.Обычно нет необходимости изменять MTU интерфейса.

Чтобы установить MTU для интерфейса Ethernet или подинтерфейс:

Отображение и обслуживание Ethernet интерфейс

Выполнить отображение команды в любом представлении и команды сброса в пользователе Посмотреть.

Политики инвалидности и услуг | Организационное лидерство, политика и развитие

По данным Государственного демографического центра Миннесоты, процент жителей Миннесоты, сообщивших об одной или нескольких инвалидностях в 2015 году, составил 5 человек.0% для населения в возрасте 5-17 лет, 8,9% для населения 18-64 лет и 32,0% для населения 65+. Наше состояние здесь находится обширная сеть поставщиков услуг и организаций, обеспечивающих здоровую и полноценную жизнь наших граждан с ограниченными возможностями.

Изучите инфраструктуру, политику и услуги, которые влияют на жизнь детей, молодежи и взрослых с ограниченными возможностями. Узнайте о том, как эти организации интегрируются и сотрудничают, чтобы снизить частоту вторичных состояний, улучшить доступ к услугам и устранение медицинских, социальных и экономических различий.

Эта программа сертификации является результатом совместных усилий Департамента организационного лидерства, политики и развития и Института общественной интеграции (ICI) Колледжа образования и человеческого развития (CEHD). ICI является федеральным Университетский центр передового опыта в области нарушений развития, стремящийся улучшить общественные услуги и социальную поддержку для людей с ограниченными возможностями и их семей.

Этот сертификат был утвержден Министерством социальных служб Миннесоты DHS для обучения назначенных координаторов.Кандидатам на государственную аттестацию необходимо выполнить дополнительные требования.

Учебная программа

Программа сертификации состоит из трех обязательных компонентов: междисциплинарный основной курс с тремя кредитами; шесть кредитов специализированной курсовой работы; и индивидуальный опыт обучения (ILE) в сопровождении шести междисциплинарных групп размышлений. Студентам рекомендуется работать со своими консультантами и координатором сертификатов ICI для планирования своих программ.Курсовая работа, приложенная к аттестату, должна быть сдана A-F.

Обязательный курс (3 кредита)

• OLPD 5356 — Политика и услуги для людей с ограниченными возможностями (3 cr)

Этот курс предоставляет широкий обзор политики и услуг для людей с ограниченными возможностями и знакомит студентов с философскими подходами к предоставлению услуг, эволюцией политики и услуг, затрагивающих людей с ограниченными возможностями, и современными подходами. для предоставления услуг людям с ограниченными возможностями на протяжении всего жизненного цикла.

Специализированная курсовая работа (6 кредитов с одобрения координатора сертификатов ICI)

Этот компонент расширяет уровень знаний учащихся о политике и услугах в области инвалидности. Студенты должны выбирать из курсов, предлагаемых в университете, с упором на политику в отношении инвалидов, услуги для инвалидов и / или междисциплинарную команду, такие как коммуникативные расстройства, семейные социальные науки, кинезиология, уход, общественные дела или социальная работа.Список из более чем 50 утвержденных курсов можно получить у координатора сертификатов ICI.

Индивидуальный опыт обучения (ИОС) и междисциплинарные группы рефлексии (3 кредита / 200 часов)

Этот компонент позволяет студентам интегрировать и применять полученную информацию в курсовой работе. Студенты работают с координатором сертификатов ICI, чтобы разработать индивидуальный учебный процесс (ИОС), в котором они работают с людьми, которые имеют инвалидность в школах, центрах отдыха, поликлиниках или в агентствах по оказанию социальных услуг.Студенты со значительным непосредственным опытом могут в качестве альтернативы разработать проект, посвященный исследованиям, связанным с инвалидностью, пропаганде политики и т.д. правительственные услуги или другая деятельность агентства. ILE можно пройти за один или два семестра, но в сумме должно быть не менее трех кредитов и не менее 200 часов. 3 балла должны быть приняты с одобрения Координатора сертификатов ICI.

Студенты также участвуют как минимум в шести часовых междисциплинарных группах для обсуждения соответствующих тем и способов интеграции полевого опыта с курсовой работой.Группы рефлексии предлагаются круглый год, в том числе летом. сеанс.

Журнал отладки Cisco

Выдувание трансмиссионной жидкости из измерительного щупа

Что попало в журнал отладки cisco VPN? Соответствующий эффект журнала отладки cisco VPN возникает естественным образом благодаря особому взаимодействию, которое должны выдерживать отдельные ингредиенты. Причина, по которой журнал отладки cisco VPN для большинства покупаемых продуктов, чтобы услышать, заключается в том, что он общается только с биологическими механизмами в организме.Команда глобальной конфигурации service timestamp включает отметки времени в сообщениях отладки и регистрации. Используйте ключевое слово log, чтобы включить отметку времени для сообщений журнала: Router # configure terminal Введите команды конфигурации, по одной в каждой строке. Закончите CNTL / Z. Router (config) # service timestamps log datetime localtime Router (config) # end Router # 19 марта, 2016 · Если вы хотите войти в консоль, вы можете использовать команду консоли logging. В этой таблице показаны доступные уровни ведения журнала: <0-7> Введите уровень системного журнала (0–7) WORD Укажите имя предупреждений списка журналирования Необходимое немедленное действие (серьезность = 1) критические Критические условия (серьезность = 2) Отладка Отладочные сообщения (severity = 7) Emergencies Система непригодна для использования… 29 сентября 2014 г. · Ведение журнала буфера: отладка уровня, зарегистрировано 1693825 сообщений, xml отключен, фильтрация отключена. Ведение журнала Размер исключения (4096 байт) Количество сообщений журнала и отметок времени: отключено Ведение журнала ловушек: отладка уровня, В журнал записано 2103254 строк сообщений.168.10.1, 2103254 строк сообщений зарегистрированы, xml отключен, фильтрация отключена. Буфер журнала (10000000 байт): Cisco Command. Установите пароль консоли cisco. Router (config) # line con 0. Маршрутизатор (config-line) # логин. Маршрутизатор (config-line) # пароль cisco. Установите пароль Telnet. Router (config) # line vty 0 4. Router (config-line) # логин. Маршрутизатор (config-line) # пароль cisco. ведение журнала отладки cisco. Многие сетевые администраторы упускают из виду важность журналов маршрутизатора. Ведение журнала можно использовать для уведомления о сбоях, сетевой экспертизы и аудита безопасности.Сообщения журнала маршрутизаторов Cisco могут обрабатываться пятью различными способами: Ведение журнала консоли: по умолчанию маршрутизатор отправляет все сообщения журнала на свой консольный порт.

CCNP BSCI Exam Certification Guide (CCNP Self-Study, 642-801) (3-е издание)

 RouterB # show running config Конфигурация здания ... Текущая конфигурация:! Версия 12.0 Временные метки служб отладки Время безотказной работы Службы временные метки журнал работоспособности без шифрования пароля службы! имя хоста B! ! ip subnet-zero ip tcp synwait-time 5 no ip domain-lookup clns routing! ! Интерфейс Ethernet0 ip адрес 140.100.104.1 255.255.255.0 нет IP-маршрутизатора с направленной широковещательной рассылкой IP isis! Интерфейс Serial0 нет IP-адреса нет IP-инкапсуляции направленного широковещания frame-relay нет IP mroute-cache нет тактовой частоты 56000! Интерфейс Serial0.2 точка-точка IP-адрес 140.100.32.2 255.255.255.0 нет IP-адреса IP-маршрутизатора с направленной широковещательной передачей isis frame-relay interface-dlci 931! Интерфейс Serial0.3 точка-точка IP-адрес 140.100.16.2 255.255.255.0 нет IP-адреса IP-маршрутизатора с направленной широковещательной передачей isis frame-relay interface-dlci 631! Интерфейс Serial1 без IP-адреса без IP-адресации с направленной трансляцией Выключение! маршрутизатор isis net 49.0002.0000.0000.000b.00! ip бесклассовый! ! псевдоним exec c conf t псевдоним exec s sh run псевдоним exec ii sh ip int brie! line con 0 exec-timeout 30 0 уровень привилегий 15 регистрация входных данных синхронного транспорта none line aux 0 line vty 0 4! Конец 

 B # show clns interface Ethernet0 активен, линейный протокол установлен. Контрольные суммы включены, MTU 1497, инкапсуляция SAP ERPDU включена, мин. интервал 10 мсек. RDPDU включены, мин.интервал 100 мс, маска адреса включена. Перегрузка. Опытный бит установлен на 4 пакета. CLNS быстрое переключение включено. CLNS SSE-переключение отключено. Режим совместимости DEC ВЫКЛ. для этого интерфейса. Следующий ESH / ISH через 15 секунд. Протокол маршрутизации: IS-IS Тип цепи: уровень-1- 2 Номер интерфейса 0x0, идентификатор локальной цепи 0x1 Метрика уровня 1: 10, приоритет: 64, идентификатор цепи: 0000.0000.000B.01 Количество активных смежностей уровня 1: 1 Метрика уровня 2: 10, приоритет: 64, идентификатор цепи : 0000.0000.000B.01 Количество активных смежностей уровня 2: 1 Следующий IS-IS LAN Уровень 1 Hello через 678 миллисекунд Следующий IS-IS LAN Уровень 2 Hello через 1 секунду Serial0 включен, линейный протокол включен Обработка протокола CLNS отключен Serial0.1 работает, линейный протокол работает. Обработка протокола CLNS отключена. Serial0.2 работает, линейный протокол работает. Контрольные суммы включены, MTU 1500, инкапсуляция FRAME-RELAY ERPDU включена, мин. интервал 10 мсек. RDPDU включены, мин. интервал 100 мс, маска адреса включена. Перегрузка. Опытный бит установлен на 4 пакета. CLNS быстрое переключение отключено. CLNS SSE-переключение отключено. Режим совместимости DEC ВЫКЛ. для этого интерфейса. Следующий ESH / ISH через 43 секунды. Протокол маршрутизации: IS-IS. 2 Номер интерфейса 0x2, идентификатор локальной цепи 0x101 Метрика уровня 1: 10, приоритет: 64, идентификатор цепи: 0000.0000.000B.01 Количество активных смежностей уровня 1: 0 Метрика уровня 2: 10, Приоритет: 64, Идентификатор цепи: 0000.0000.000B.01 Количество активных смежностей уровня 2: 1 Следующий IS-IS Hello через 2 секунды Serial0 .3 работает, протокол линии установлен. Контрольные суммы включены, MTU 1500, инкапсуляция FRAME-RELAY ERPDU включена, мин. интервал 10 мсек. RDPDU включены, мин. интервал 100 мс, маска адреса включена. Перегрузка. Опытный бит установлен на 4 пакета. Быстрое переключение CLNS отключено. CLNS. Коммутация SSE отключена.

No related posts.

					
									

Поделится

 Facebook
 Twitter
 Google +
 Stumbleupon
 LinkedIn
 Pinterest