11.02.15 Инфокоммуникационные сети и системы связи — пошаговая подготовка к демонстрационному экзамену

Типовое задание сочетает сетевую часть (VLAN, маршрутизация, адресация) и систему связи (IP-телефония), а также работу с кабельными линиями и измерения. Ниже — модель стенда. Любой подсвеченный VLAN, адрес или номер можно нажать и заменить под свой вариант.

Разделяем трафик данных и телефонии по VLAN. На Linux-узле создаём тегированные подынтерфейсы на trunk-порту (eth0) и назначаем им адреса шлюзов сегментов.

sudo hostnamectl set-hostname core-01
sudo modprobe 8021q

# VLAN данных 10
sudo ip link add link eth0 name eth0.10 type vlan id 10
sudo ip addr add 192.168.10.1/24 dev eth0.10
sudo ip link set eth0.10 up

# VLAN телефонии 20
sudo ip link add link eth0 name eth0.20 type vlan id 20
sudo ip addr add 192.168.20.1/24 dev eth0.20
sudo ip link set eth0.20 up

ip -brief addr show

Чтобы сегменты общались (например, рабочая станция дозванивалась до АТС), включаем маршрутизацию между VLAN и при необходимости ограничиваем доступ межсетевым экраном.

echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/99-forward.conf
sudo sysctl -p /etc/sysctl.d/99-forward.conf

sudo tee /etc/nftables.conf >/dev/null <<EOF
#!/usr/sbin/nft -f
flush ruleset
table inet filter {
  chain forward {
    type filter hook forward priority 0; policy drop;
    ct state established,related accept
    # из данных в телефонию разрешаем только SIP/RTP до АТС
    ip saddr 192.168.10.0/24 ip daddr 192.168.20.2 udp dport 5060 accept
    ip saddr 192.168.10.0/24 ip daddr 192.168.20.2 udp dport 10000-20000 accept
    # телефония внутри своего сегмента
    ip saddr 192.168.20.0/24 ip daddr 192.168.20.0/24 accept
  }
}
EOF
sudo systemctl enable --now nftables
sudo nft -f /etc/nftables.conf

Рабочим станциям и телефонам удобно раздавать адреса автоматически. Пример на dnsmasq — лёгкий DHCP/DNS-сервер.

sudo apt install -y dnsmasq 2>/dev/null || sudo apt-get install -y dnsmasq
sudo tee /etc/dnsmasq.d/stand.conf >/dev/null <<EOF
# сеть данных
interface=eth0.10
dhcp-range=set:data,192.168.10.100,192.168.10.200,255.255.255.0,12h
dhcp-option=tag:data,3,192.168.10.1
# сеть телефонии
interface=eth0.20
dhcp-range=set:voice,192.168.20.100,192.168.20.200,255.255.255.0,12h
dhcp-option=tag:voice,3,192.168.20.1
EOF
sudo systemctl restart dnsmasq
sudo systemctl enable dnsmasq

Поднимаем АТС на Asterisk: регистрируем двух SIP-абонентов и настраиваем план набора, чтобы они могли звонить друг другу. Используем современный стек PJSIP.

sudo apt install -y asterisk 2>/dev/null || sudo apt-get install -y asterisk
sudo systemctl enable --now asterisk

sudo tee /etc/asterisk/pjsip.conf >/dev/null <<EOF
[transport-udp]
type=transport
protocol=udp
bind=0.0.0.0:5060

[101]
type=endpoint
context=internal
disallow=all
allow=ulaw,alaw
auth=101-auth
aors=101
[101-auth]
type=auth
auth_type=userpass
username=101
password=Sip2026!
[101]
type=aor
max_contacts=1

[102]
type=endpoint
context=internal
disallow=all
allow=ulaw,alaw
auth=102-auth
aors=102
[102-auth]
type=auth
auth_type=userpass
username=102
password=Sip2026!
[102]
type=aor
max_contacts=1
EOF

sudo tee /etc/asterisk/extensions.conf >/dev/null <<EOF
[internal]
exten => 101,1,Dial(PJSIP/101,20)
exten => 102,1,Dial(PJSIP/102,20)
EOF
sudo asterisk -rx "core reload"

# абоненты должны быть Avail/Not in use
sudo asterisk -rx "pjsip show endpoints"
sudo asterisk -rx "pjsip show aors"
# после набора 102 с телефона 101 — звонок проходит

Монтаж и измерения линий — отдельная часть экзамена. Для витой пары важно правильно разделать по стандарту, для оптики — выполнить соединение и измерить параметры.

1. Медь: снять оболочку, расплести и разложить пары по T568B, обрезать ровно, завести в коннектор/кросс, обжать или заделать в плинт, проверить кабельным тестером (все 8 жил, отсутствие пар крест-накрест).
2. Оптика: подготовить и сколоть волокно, выполнить сварку (или механическое соединение), уложить в кассету, проверить.
3. Измерения оптики: оптическим рефлектометром (OTDR) снять рефлектограмму, оценить затухание, длину и места соединений; измерителем мощности проверить оптический бюджет линии.
4. Промаркировать линии и оформить результаты измерений, если это требуется заданием.

Оборудование и сервисы нужно защитить: сменить пароли по умолчанию, ограничить управление, закрыть лишнее.

• Сменить стандартные учётные данные на оборудовании и в Asterisk; задать стойкие пароли.
• Ограничить доступ к управлению (SSH/веб) только из сегмента управления.
• Разделить трафик по VLAN и ограничить связь между сегментами межсетевым экраном (см. шаг 2).
• Отключить неиспользуемые порты и сервисы.
• Включить журналирование событий на узле и АТС.

sudo tee /etc/ssh/sshd_config.d/10-secure.conf >/dev/null <<EOF
Port 2222
PermitRootLogin no
MaxAuthTries 3
EOF
sudo systemctl restart ssh 2>/dev/null || sudo systemctl restart sshd

1. VLAN созданы, trunk/access-порты настроены, адреса шлюзов на месте (ip -brief addr).
2. Маршрутизация между VLAN работает, фильтрация ограничивает лишнее.
3. DHCP раздаёт адреса в обоих сегментах.
4. Абоненты 101 и 102 зарегистрированы на 192.168.20.2, вызов проходит в обе стороны.
5. Кабельные линии собраны по стандарту и проверены тестером/измерителем.
6. Оборудование защищено: пароли сменены, управление ограничено, лишнее закрыто.

• Перепутали access/trunk или не разрешили VLAN на trunk — сегменты не работают.
• Забыли ip_forward — маршрутизация между VLAN не идёт.
• Закрыли RTP-порты (10000-20000) — звонок устанавливается, но нет звука.
• Ошибка в раскладке витой пары (пары крест-накрест) — линия не проходит тест.
• Нарушение ТБ при работе с оптикой и инструментом.

Задавай вопросы ИИ-помощнику на странице — он отвечает по теме демонстрационного экзамена 11.02.15: VLAN и маршрутизация, DHCP, настройка Asterisk и IP-телефонии, кабельные линии и измерения, защита сети. Значения в примерах (VLAN, адреса, номера) меняй под свой вариант — они подставятся во всю документацию.