Матричная коммутация KVM-сигналов: командные пункты и защита гостайны

Расскажите о технологии коммутации сигналов. Что такое удаленное рабочее место? Какие задачи позволяет решить установка коммутационного оборудования?

В аспекте KVM-технологий под удаленным рабочим местом понимается локализация пользовательских устройств ввода/вывода (монитор, клавиатура, мышь и пр.) на расстоянии от вычислительных машин, которые могут быть расположены в другой комнате, на другом этаже, в другом здании или даже районе.


Таким образом, в первую очередь, KVM-технологии – это технологии именно физического "удлинения", передачи на расстояния (до десятков километров) различных сигналов: видео, аудио, USB, PS/2, RS232 и других. Второе направление развития KVM-технологий – это переключение сигналов, позволяющее одному пользователю с одним комплектом устройств ввода/вывода управлять множеством вычислительных машин, одновременно или поочередно.

Какие конкретно задачи решает современное KVM оборудование?

Если изначально цели развития KVM-технологий были исключительно утилитарными (убрать всю вычислительную технику подальше от "человеческого фактора" и неблагоприятных климатических условий в закрытые машинные залы), то современные решения KVM-коммутации – это больше, чем просто удлинение и переключение сигналов. Сегодня KVM-оборудование решает следующие задачи:

- повышение уровня информационной безопасности (исключение вероятности несанкционированного доступа к компьютерам, в том числе копирования информации на дисковые накопители);
- исключение нецелевого использования компьютеров;
- командный доступ к приложениям и критически важным данным;
- возможность одновременной работы пользователя с несколькими системами за мультимониторным рабочим местом всего с одним комплектом устройств ввода.


Разработки последних лет сосредоточены в большей степени на обеспечении большей пропускной способности систем коммутации и поддержке передачи видео "тяжёлых" форматов и разрешений. Последним же достижением KVM-технологий являются системы матричной коммутации сигналов, позволяющие организовать централизованно управляемый командный и распределённый удаленный доступ множества пользователей ко множеству систем.

Обычно для удалённого доступа к ПК используются решения на "тонких клиентах". Какие есть преимущества и недостатки у "тонких клиентов" и KVM? Почему вы делаете ставку именно на KVM-оборудование?

Основное отличие KVM-технологий от прочих решений удаленного доступа ("тонкие клиенты", программная виртуализация, приложения удалённого доступа и пр.) состоит в абсолютной независимости качества коммутации от программного обеспечения и вычислительных ресурсов оборудования. Но самое практичное преимущество KVM-технологий в том, что коммутация сигналов осуществляется на аппаратном уровне, и любой системой можно управлять на уровне BIOS, то есть выполнять перезагрузку компьютера и установку ОС тоже можно удалённо. Из этого следует следующее преимущество: если "тонкие клиенты" требуют постоянной поддержки администратором (именно в связи с чувствительностью к ПО), то KVM-оборудование можно один раз настроить и забыть.

Между тем, мы не противопоставляем KVM-оборудование "тонким клиентам". Несмотря на схожесть сфер применения, "тонкие клиенты" и KVM-устройства все же решают различные задачи. К сожалению, часто "тонкие клиенты" используются в качестве именно KVM-удлинителей. И это понятно: и те, и другие позволяют разместить вычислительную технику вдали от пользователей. Однако на этом сходство KVM-удлинителей и "тонких клиентов" заканчивается.

Использовать "тонкие клиенты" целесообразно, если требуется разделить вычислительные мощности сервера между несколькими пользователями, каждый из которых будет работать под своей учетной записью, автономно от других пользователей. Если же требуется предоставить единовременный многопользовательский доступ к приложению для совместной работы с одной и той же информацией или обеспечить пользователю возможность одновременного управления несколькими системами, - это дело KVM.

"Тонкий клиент" - это оптимальное решение для офиса, когда нужно сэкономить на вычислительных ресурсах, но не для таких проектов, как, например, авиадиспетчерская или командный центр ПВО.

На объектах и предприятиях Минобороны может быть установлено специализированное программное обеспечение. Зависят ли скорость и стабильность подключения от ПО при KVM-коммутации?

Нет, не зависят. KVM – это коммутация на аппаратном уровне. Более того, качество и производительность коммутации не зависят даже от производительности самих серверов.

Может ли пользователь получить доступ к нестандартному оборудованию при использовании систем KVM-коммутации?

Можно управлять любым оборудованием, либо подключив его к серверу, либо напрямую, если это оборудование имеет порты для подключения устройств ввода/вывода (видео, USB, RS232, RS422 и др.). При подключении устройств ввода/вывода через нестандартные порты (например, разработанные специально для конкретного оборудования) также возможно использование KVM, но подобные проекты требуют индивидуального подхода.

По каким сценариям может осуществляться коммутация между пользователями и сервером?

Существует несколько базовых схем KVM-коммутации:

"Точка – точка": один пользователь подключается к одному серверу напрямую через оптоволоконный или медный кабель.


"Точка – многоточка", или "один со многими": пользователь может подключиться к нескольким системам одновременно, или переключаться между ними с одной консоли. В этом случае коммутация может осуществляться через KVM-переключатель, матричный KVM-коммутатор в медной или оптической среде, или по IP-сети. Разумеется, обратный вариант этой схемы ("Многоточка – точка"), когда к одному серверу подключается множество пользователей для совместной работы в приложении, также возможен.


"Мультикастинг", или "многие со многими": множество пользователей подключаются ко множеству компьютеров в любых управляемых динамических комбинациях. Такая схема осуществима только с использованием матричного KVM-коммутатора или по IP-сети.


Таким образом, помимо схем коммутации, существуют различные среды передачи сигнала. Так, коммутация может осуществляться по витой паре или оптическому кабелю напрямую (традиционное решение), либо по IP-сети.

В случае прямой коммутации от каждой точки к коммутатору (в случае если мы рассматриваем схему с использованием KVM-коммутатора) тянется отдельный кабель, медный или оптический, соответственно.

Передача сигналов по IP-сети – наиболее перспективное решение. В этом случае нет необходимости в развёртывании масштабной кабельной системы, достаточно лишь обеспечить достойную пропускную способность, а разводку по "точкам" можно сделать уже непосредственно вблизи этих "точек". Кроме того, решения IP KVM можно начинать строить от простейшей схемы "точка – точка" и в дальнейшем масштабировать сеть без дополнительных капитальных вложений в кабельную инфраструктуру.

Сколько пользователей можно подключить к одному серверу?

К одному серверу можно подключить любое количество пользователей. Количество возможных одновременных подключений зависит от количества портов в матричном коммутаторе, если речь идёт о традиционных решениях, и ни от чего не зависит в случае, если речь идёт об IP KVM.

Например, самым масштабным матричным KVM-коммутатором на сегодняшний день является IHSE Draco tera Enterprise на 576 динамических портов I/O. Кроме того, можно объединить до 4 таких коммутаторов в единую матричную сеть (с помощью специальных плат Matrix Grid Board). Таким образом, к одному компьютеру можно подключить до 576 * 4 – 1 = 2303 пользователя (минус 1 порт для подключения самого компьютера). А с IP KVM системой AdderLink INFINITY к одному серверу можно подключить любое количество пользователей.


Единственная тонкость: в случае подключения множества пользователей к одному компьютеру управлять им сможет в один момент времени только один пользователь (точно так же, как при работе за обычным компьютером им нельзя управлять двумя мышками одновременно), остальные пользователи в это время смогут лишь смотреть за происходящим на экране. Эта возможность используется в диспетчерских центрах, например, когда разные операторы время от времени должны вводить данные в одно и то же приложение: они делают это поочередно, по мере необходимости ввода. Также современные средства управления KVM коммутациями позволяют настроить права подключения так, чтобы один пользователь имел преимущество управления компьютером. В тот момент, когда он подключается к системе, все другие пользователи автоматически переходят в режим доступа "Только просмотр".

Какие есть особенности перемещения вычислительной техники на расстояние от пользователя? Что стоит учитывать при установке оборудования?

В первую очередь, необходимо учитывать требуемое расстояние и типы передаваемых сигналов, максимальное необходимое разрешение видео. На всех ли рабочих местах будут использоваться одни и те же сигналы? Нужна ли передача аудио, сигналов RS232, RS432, или используются нестандартные устройства ввода и вывода, с нестандартными интерфейсами? Необходимо ли будет пользователям, работающим с разными компьютерами, подключаться к общим периферийным устройствам, и для каких именно устройств необходимо организовать совместную работу? На многих крупных промышленных предприятиях часто бывает, что часть серверов - с VGA-портами, а часть – с DVI-D. Для создания единой матричной сети в таком случае желательно остановиться на решении одного производителя, поддерживающем коммутацию всех необходимых типов сигналов и устройств.

Также желательно выяснить, есть ли возможность прокладки новой кабельной системы под традиционную систему коммутации, либо предпочтительнее использовать коммутацию over IP, не требующую инвестиций в кабельную инфраструктуру. К слову, для многих проектов использование систем IP KVM предпочтительнее только потому, что на предприятии уже имеется IP-сеть. В этом случае остаётся только настроить приемники и передатчики KVM-сигналов.

Какую из конкретных технологий передачи KVM-сигналов можно считать самой надежной и почему? Какие из них эффективнее использовать на военных объектах, какие - на крупных предприятиях ВПК?

В стационарных инфраструктурах основным критерием выбора решения должна быть не технология передачи сигналов, а поддержка системой KVM-коммутации определенных – требуемых в конкретном проекте – сигналов и функциональные возможности решения.

Если же говорить абстрактно, то при прочих равных, системы коммутации IP KVM более надежны, по сравнению с традиционными, "проводными" решениями. Ведь если при проводном подключении провод повредится, приемник или передатчик останутся без сигнала. Придется вести кабель заново - от машинного зала до пользователя. В случае же IP KVM достаточно просто вытащить провод из одного сетевого порта, переставить его в любой другой сетевой порт и продолжить работать как ни в чем не бывало: устройство в сети определяется по уникальному идентификатору и не требует перенастройки при смене порта. С другой стороны, и традиционные, и IP KVM решения предусматривают при необходимости организацию резервных каналов передачи данных, активизирующихся в случае повреждения основных.

Если сравнивать решения по простоте интеграции, то, как правило, все объекты уже оснащены IP-сетями, и намного проще внедрить в существующую сеть систему KVM over IP, чем организовывать новую кабельную инфраструктуру для традиционной системы матричной коммутации.

Что касается применения в конкретных военных проектах, то решения IP KVM, будучи нетребовательными к инфраструктуре и, соответственно, более мобильными, могут быть более эффективными в построении систем коммутации передвижных командных пунктов, когда вся вычислительная техника может быть локализована в фургоне, а мобильные рабочие места могут быть разбросаны по всему полигону. Для передвижных командных пунктов системы IP KVM не только удобны в плане организации командной работы, но и значительно сокращают время развертывания рабочих мест, ведь настроить все можно заранее, а на месте останется только раздать людям приемники сигнала, мониторы, клавиатуры и мыши.

В случае коммутации через IP данные не станут более уязвимы? Как строится защита в данном варианте и что злоумышленнику нужно сделать, чтобы перехватить сигнал?

Нет, не станут. На самом деле, действительно, в проектах, требовательных к безопасности, избегают использовать решения IP KVM. Виной этому, скорее всего, предубежденность относительно распространённого (а потому и довольно-таки уязвимого) протокола передачи данных TCP/IP.

Между тем, системы IP-коммутации KVM-сигналов не используют пакетную передачу данных в привычном нам понимании. Разработчики профессиональных IP KVM решений использует собственные протоколы и алгоритмы шифрования для передачи сигналов по сети (именно сигналов - на физическом уровне, а не пакетов данных).

Рассмотрим на примере решения ADDERLink INFINITY (ALIF). Чтобы расшифровать сигналы компьютера, злоумышленнику необходимо использовать специальное устройство – KVM-приёмник, причем именно серии ALIF. Но это еще не все. Допустим, злоумышленник раздобыл необходимое устройство и ухитрился подключить его к целевой IP-сети. У него все равно ничего не получится: ресивер не идентифицируется системой, пока администратором сети в панели сервера управления A.I.M. не будет разрешен доступ к конкретному серверу с конкретного ресивера для конкретного пользователя. То есть даже если приемник будет прописан в панели управления A.I.M. и идентифицирован системой коммутации (допустим, был украден с другого рабочего места), злоумышленнику необходимо будет вводить логины и пароли для запуска приемника, для подключения к конкретному серверу, и наконец, войти под определённой учетной записью в саму систему. А в случае использования модулей доверенной загрузки АПМДЗ, необходимо еще и иметь при себе ключ доступа.


Можно рассмотреть и другие риски. Например, вероятность копирования информации на дисковый накопитель. Действительно: приемники сигналов ALIF имеют, помимо USB HID портов для клавиатуры и мыши, дополнительные порты USB 2.0 для подключения периферии. Между тем администратор может заранее предопределить, можно ли будет через эти порты подключать иные устройства, кроме HID, или нет.

Ко всей вышеизложенной информации можно также добавить, что сеть IP KVM коммутации может быть открытой и закрытой.

Открытая применяется, например, для сотрудников, деятельность которых требует выхода в интернет; а закрытая - полностью автономная, где расположены компьютеры с секретной информацией. Причем пользователь может одновременно работать с двумя компьютерами, расположенными в разных сетях. Но при этом он не сможет никаким образом скопировать данные с одного компьютера на другой. И если предположить, что злоумышленник может получить доступ к компьютеру открытой сети, используя стандартные средства взлома, то к компьютеру, расположенному в закрытой IP-сети, он никак извне подступиться не сможет.

Таким образом, "перехватить" сигнал или несанкционированно получить доступ к серверу через систему IP KVM невозможно в принципе, то есть вообще никаким образом.

Возможно ли получить доступ к данным, проникнув в серверную, где расположено KVM-оборудование?

Что касается оборудования, расположенного в серверной, то получить доступ к данным можно, только вскрыв сервер и вытащив жесткий диск, но незаметно отключить передатчик от сервера нельзя (особенно, если сервер работает в режиме 24/7), "параллельно" к нему подключиться также невозможно. Обо всех манипуляциях тут же узнает администратор, которому доступны инструменты мониторинга сети в режиме реального времени. Если отключается один из передатчиков/приёмников, приложение администратора немедленно сигнализирует об отключении устройства.

Удаленно стереть данные с сервера также невозможно.

Насколько надежно поставляемое вами коммутационное оборудование? Какая гарантия на него предоставляется?

Мы специализируемся исключительно на профессиональном KVM-оборудовании, разработанном специально для работы в режиме 24/7.

Каждая деталь каждого устройства собирается вручную непосредственно изготовителем и проходит несколько стадий проверки, в числе которых AOI (Automated optical inspection – автоматический бесконтактный оптический контроль безупречности сборки, в рамках которого проверяются размеры и ровность установки, положение и целостность каждого транзистора), AXI (Automated X-ray inspection — который подразумевает то же, что и AOI, но с рентгеновским контролем; помогает обнаружить дефекты, скрытые от глаз).

Перед отгрузкой изготовитель вручную проверяет работоспособность каждого устройства. Разумеется, по требованию мы можем запросить заверенные результаты испытаний у производителя.

Все KVM-оборудование, которые мы имеем честь предложить сегодня, имеет сертификаты качества, полученные от различных структур, и успешно прошло "апробацию" в крупнейших европейских и мировых проектах, в том числе военных и государственных. К слову, эта информация не является тайной, и при желании можно найти не только перечень проектов, но и подробные схемы коммутации (этот факт только подтверждает надежность защиты данных с подобными системами).

Однако не громкие имена заказчиков и яркие сертификаты способствуют отказоустойчивости профессионального KVM-оборудования. Производители предусмотрели все возможные варианты развития событий и предлагают множество вариантов обеспечения гарантированной отказоустойчивости 24/7: резервное питание, резервные каналы передачи данных, резервирование настроек матрицы, сценарии аварийной работы, резервирование любых коммутационных устройств.


Какие факторы могут повлиять на скорость и надежность работы оборудования?

Вес передаваемых данных (разрешение видео), среда коммутации, использование кабелей, рекомендуемых изготовителем. А также расстояние передачи сигнала, разрешение и глубина цвета видео, среда передачи и скорость передачи сигналов – все это очень взаимосвязано. Для достижения результатов, обещанных производителем, достаточно соблюдать рекомендации, указанные в руководстве пользователя.

Повысить надежность работы KVM-оборудования возможно, если:
- соблюдать рекомендации производителя о совместимости конкретного KVM-оборудования с коммутационным оборудованием других производителей;
- использовать различные варианты резервирования систем коммутации.

Как и откуда может осуществляется управление оборудованием и клиентами? Сколько человек необходимо для обеспечения работы оборудования, например, на 1000 клиентов?

Если речь идет о системе матричной коммутации, то требуется настроить ее всего один раз, чтобы затем пользователи могли работать с настроенными правами доступа, самостоятельно переключаясь между необходимыми системами.

Кроме того, для удобства администрирования пользователей можно делить на группы и прописывать права для всей группы сразу. В среднем, настройка прав доступа одного пользователя (или одной группы пользователей) занимает 1 – 3 минуты.

Если нет задач, связанных с регулярной индивидуальной сменой пользовательских прав доступа к системам, то в штатном режиме даже с 1000 клиентами может справиться один администратор, управляя всеми подключениями централизованно и удаленно.

Администратор может управлять системой коммутации либо только с определенного (выделенного под задачи администрирования) рабочего места, либо с любого рабочего места, входящего в матричную сеть (после прохождения процедуры авторизации). Это также можно настроить.

Какие еще есть особенности установки KVM-оборудования на военных объектах и предприятиях ВПК?

Во-первых, много внимания уделяется безопасности информации. Для этого организуется многоступенчатая процедура авторизации, которая, помимо введения логинов/паролей, может подразумевать также использование модулей АПМДЗ. Как правило, все периферийные порты приёмника блокируются на уровне администратора (в случае использования АПМДЗ может быть оставлен один порт для ключа).

Во-вторых, используются все возможности резервирования: резервирование каналов передачи данных, блоков питания устройств, резервирование матричного KVM коммутатора и всех настроек матрицы. При необходимости можно резервировать и сами передатчики и приёмники, и USB переключатели (если речь идёт об организации многомониторных мультисистемных рабочих мест).

В-третьих, на объектах могут использоваться нестандартные средства ввода (специализированные клавиатуры, панели управления и пр.). Тогда может потребоваться дополнительная настройка работы устройств ввода, подключаемых в этом случае через интерфейсы RS232.

Кроме того, как правило, проекты коммутации на военных объектах проходят процедуру защиты и требуют обязательной сертификации оборудования в различных органах. Разумеется, мы можем обеспечить все эти мероприятия.

Подобное оборудование может широко использоваться в сфере управления воздушным пространством, в том числе и на военных аэродромах. В чем особенность использования оборудования на таких объектах?

При организации работы авиадиспетчера может потребоваться возможность обеспечить его работу с двумя (тремя, четырьмя и пр.) системами одновременно, и, соответственно, обеспечить высокую скорость переключения между этими системами. Эта задача может быть решена посредством организации мультисистемного многомониторного рабочего места, когда каждой системе соответствует собственный монитор. В этом случае проще всего организовать быстрое переключение между системами с помощью функции Free-Flow - посредством перевода курсора мыши с экрана одной системы на экран другой, как при расширенном рабочем столе.


Здесь же следует отметить, что современные системы коммутации позволяют организовать возможность перехвата управления компьютером для старших сотрудников или возможность удаленного просмотра компьютера подчиненного начальником в режиме реального времени. Эти функции весьма полезны и своевременны именно в системах управления воздушным движением, когда управление полетами передается от диспетчера к диспетчеру посменно, или в критических ситуациях может потребоваться ввод данных другими диспетчерами или старшими сотрудниками. Поскольку в основе организации воздушного движения лежит разделение обязанностей диспетчеров, как правило, внимание отдельного специалиста сфокусировано на довольно узком потоке информации. Между тем, важное значение имеет возможность при необходимости получить быстрый обзор всей ситуации. Матричная коммутация и мультивещание предоставляют избыточность оперативного управления, например, возможность диспетчеров вышки мгновенно подключаться непосредственно к компьютерам радиолокационных диспетчеров, расположенным зачастую в отдельном помещении.

При использовании систем коммутации на военных аэродромах особое внимание следует уделять мероприятиям защиты вычислительной техники от физических вторжений извне. Но, поскольку все компьютеры могут быть сосредоточены в одном машинном зале или трейлере (если речь идет о передвижных командных пунктах), безопасность оборудования обеспечить намного проще, чем без использования систем KVM-коммутации.

Какие риски переход от стандартной системы к использованию технологий коммутации на таких объектах?

При переходе на системы удаленной коммутации мы не видим никаких рисков. Разве что сотрудникам нужно будет привыкнуть к интерфейсу приемника для ввода пароля доступа. Что касается прочего, то с переходом на систему матричной KV- коммутации на выходе остаются одни только преимущества: появляется возможность сосредоточить всю вычислительную технику в едином защищённом контуре, следовательно, легче обеспечить мероприятия по защите оборудования от доступа посторонних лиц. На рабочих местах диспетчеров останутся только устройства ввода/вывода данных, которые могут быть заблокированы непосредственно самим диспетчером или удаленным администратором при необходимости в любой момент (допустим, при проникновении в диспетчерскую злоумышленника). Возможно, было бы разумно создать два помещения диспетчерских, "дублирующих" функции друг друга, где диспетчеры имеют доступ к одним и тем же системам: одна диспетчерская – для штатной работы, другая – находящаяся в другом здании или даже на другом конце аэродрома – для обеспечения работы аэродрома в случае нарушения режима работы первой диспетчерской. При этом сам машинный зал с вычислительной техникой может быть расположен на любом расстоянии от обеих диспетчерских (в случае с IP KVM AdderLink INFINITY это могут быть сотни километров). В самих же диспетчерских можно на каждое рабочее место поставить по 2 комплекта приемников для резервирования каждого рабочего места диспетчеров.


Иными словами, системы матричной KVM-коммутации предоставляют массу возможностей для создания более надёжной, более защищенной и более функциональной системы управления.

От чего зависит стоимость систем коммутации?

Стоимость системы матричной коммутации зависит от количества точек (компьютеров и пользователей); от набора сигналов, которые необходимо передавать; от способа коммутации (оптоволокно, IP или "витая пара"); от схемы коммутации (матричная или "точка – точка"); от используемых схем резервирования. Наконец, в определении конечной стоимости KVM-оборудования не последнюю роль играет масштабность проекта.

Реализацией каких проектов вы сейчас занимаетесь?

В данный момент мы разработали и приступили к реализации тренировочного комплекса для академии ВА ВКО (г. Тверь). Помимо этого, мы приступили к выполнению трехлетнего контракта в рамках Минобороны для зарубежного заказчика по оснащению распределенных центров управления.

Чему уделяется максимальное внимание при работе над крупными объектами?

Во всех крупных проектах, и текущие не исключение, особое внимание уделяется возможным схемам резервирования систем коммутации для обеспечения бесперебойной работы оборудования в режиме 24/7. Также встречаются нестандартные задачи, не связанные напрямую с коммутацией сигналов. Например, в ВА ВКО необходимо было подобрать KVM-оборудование, не только подходящее по функциональным возможностям, но и минимальное по габаритам (по причине ограниченного пространства в серверных стойках).

Работа над любым крупным объектом всегда начинается с планирования. В России технологии коммутации появились сравнительно недавно и их возможности пока еще известны далеко не каждому специалисту. Именно поэтому мы приглашаем руководителей проектов, где востребованы технологии удаленной коммутации, на технические тренинги. По заявкам клиентов проводим выездные семинары с демонстрацией возможности KVM-технологий на практике для решения конкретных задач.