Tento článek je druhý v cyklu článků „Jak převzít kontrolu nad síťovou infrastrukturou“. Obsah všech článků cyklu a odkazy naleznete .
Naším cílem v této fázi je uspořádat dokumentaci a konfiguraci.
Na konci tohoto procesu byste měli mít potřebný soubor dokumentů a síť nakonfigurovanou podle nich.
Nyní se nebudeme zabývat auditem zabezpečení – tím se bude zabývat třetí část.
Obtížnost provedení stanoveného úkolu v této fázi se samozřejmě výrazně liší od společnosti ke společnosti.
Ideální situace je, když
- vaše síť byla vytvořena podle projektu a máte kompletní dokumentaci
- ve vaší společnosti byl zaveden pro síť
- podle tohoto procesu máte k dispozici dokumenty (včetně všech potřebných schémat), které poskytují kompletní informace o aktuálním stavu
V tomto případě je váš úkol poměrně jednoduchý. Musíte si prostudovat dokumenty a projít všechny změny, které byly provedeny.
V nejhorším případě máte
- síť vytvořenou bez projektu, bez plánu, bez schválení, inženýry s nedostatečnou kvalifikací,
- s chaotickými, nedokumentovanými změnami, s množstvím „odpadu“ a suboptimálních řešení
Je jasné, že vaše situace bude někde mezi tím, ale bohužel na této škále lepší – horší s velkou pravděpodobností budete blíže k horšímu konci.
V tomto případě od vás bude vyžadováno také umění číst myšlenky, protože se budete muset naučit chápat, co „designéři“ chtěli udělat, obnovit jejich logiku, dokončit to, co nebylo dokončeno a odstranit „odpad“.
A samozřejmě budete muset upravit jejich chyby, měnit (v této fázi co nejméně) design a upravit nebo znovu vytvořit schémata.
Tento článek si rozhodně neklade za cíl být úplný. Zde popíši pouze obecné principy a zastavím se u některých běžných problémů, které je nutné řešit.
Sada dokumentů
Začněme příkladem.
Níže jsou uvedeny některé dokumenty, které se obvykle vyhotovují ve společnosti Cisco Systems při návrhu.
CR – Požadavky zákazníka, technické specifikace.
Je vytvářen společně se zákazníkem a určuje požadavky na síť.HLD – High Level Design, vysoká úroveň designu na základě požadavků na síť (CR). Dokument vysvětluje a odůvodňuje přijatá architektonická rozhodnutí (topologie, protokoly, výběr vybavení,…). HLD neobsahuje detaily designu, například použité rozhraní a IP adresy. Taktéž se zde neprobírá konkrétní konfigurace vybavení. Tento dokument je spíše určen k vysvětlení klíčových designových konceptů technickému managementu zákazníka.
LLD – Low Level Design, nízká úroveň designu na základě vysoké úrovně (HLD).
Musí obsahovat všechny detaily potřebné pro realizaci projektu, jako například informace, jak připojit a nastavit vybavení. Je to kompletní příručka k realizaci designu. Tento dokument by měl poskytovat dostatečné informace pro jeho realizaci i méně kvalifikovaným personálem.Něco jako IP adresy, čísla AS, schéma fyzického propojení (cabling) může být "přesunuto" do samostatných dokumentů, jako jsou NIP (Plán implementace sítě).
Výstavba sítě začíná po vytvoření těchto dokumentů a probíhá v přísné souladu s nimi a poté je zákazníkem (testy) ověřena na shodu s designem.
Samozřejmě, že u různých integrátorů, různých zákazníků, v různých zemích se požadavky na projektovou dokumentaci mohou lišit. Ale rádi bychom se vyhnuli formalitám a posoudili otázku věcně. Tento krok není o projektování, ale o nastolení pořádku a potřebujeme dostatečný soubor dokumentů (schémat, tabulek, popisů…) pro splnění našich úkolů.
A podle mě existuje určitý absolutní minimum, bez kterého není možné efektivně kontrolovat síť.
Jsou to následující dokumenty:
- schéma (deník) fyzického propojení (cabling)
- schéma nebo schémata s podstatnými L2/L3 informacemi
Schéma fyzického propojení
V některých menších společnostech práce spojené s instalací vybavení a fyzickým propojením (cabling) jsou v odpovědnosti síťových inženýrů.
V tomto případě je úkol částečně vyřešen následujícím přístupem.
- použijte popis na rozhraní k označení toho, co je k němu připojeno.
- Administrativně vypněte (shutdown) všechny nepřipojené porty síťového zařízení
To vám umožní, i v případě problémů s linkou (když na tomto rozhraní nefunguje cdp nebo lldp), rychle určit, co je připojeno k tomuto portu.
Také snadno uvidíte, které porty máte obsazené a které volné, což je nezbytné pro plánování připojení nového síťového vybavení, serverů nebo pracovních stanic.
Je jasné, že pokud ztratíte přístup k vybavení, ztratíte také přístup k těmto informacím. Navíc tímto způsobem nebudete schopni zdokumentovat tak důležité informace, jako je to, jaké vybavení, s jakým spotřebovaným výkonem, s kolika porty, v jakém racku se nachází, jaké tam jsou patch panely a kam (do jakého racku/patch panelu) jsou připojeny. Proto je další dokumentace (nejen popisy na vybavení) velmi užitečná.
Ideálním řešením je použití aplikací, které byly vytvořeny pro práci s tímto druhem informací. Můžete se však omezit i na jednoduché tabulky (například v Excelu) nebo zobrazit informace, které považujete za potřebné v L1/L2 schématech.
Důležité!
Síťový inženýr samozřejmě může dobře ovládat nuance a standardy strukturované kabeláže, typy racků, typy záložních zdrojů, co je studený a teplý koridor, správné uzemnění atd., stejně jako v zásadě může znát fyziku elementárních částic nebo C++. Je však důležité si uvědomit, že to všechno není jeho oblastí znalostí.
Proto je dobrou praxí mít nebo vyčleněné oddělení, nebo vyčleněné lidi pro úkoly související s instalací, připojením, udržováním funkčnosti vybavení a fyzickou komutací. Obvykle jsou pro datová centra určení inženýři datového centra, a pro kanceláře — help-desk.
Pokud jsou tato oddělení v vaší společnosti zajištěna, pak otázky vedení protokolu fyzické komutace nejsou vaší úlohou a můžete se omezit pouze na popis na rozhraní a administrativní vypnutí nepoužívaných portů.
Schémata sítě
Neexistuje žádný univerzální přístup k kreslení schémat.
Nejdůležitější je, že schémy by měly poskytovat pochopení, jak bude probíhat provoz přes jaké logické a fyzické prvky vaší sítě.
Pod fyzickými prvky rozumíme
- aktivní zařízení
- rozhraní/porty aktivního zařízení
Pod logickými —
- logická zařízení (N7K VDC, Palo Alto VSYS, …)
- VRF
- VLANy
- subinterface
- tunele
- zóny
- …
Také, pokud vaše síť není zcela elementární, bude se skládat z různých segmentů.
Například
- datové centrum
- internet
- WAN
- remote access
- firemní LAN
- DMZ
- …
Má smysl mít několik schémat, které poskytují jak celkový obraz (jak probíhá provoz mezi všemi těmito segmenty), tak podrobné vysvětlení každého jednotlivého segmentu.
Protože v moderních sítích může být mnoho logických úrovní, může být dobrým (ale nepovinným) přístupem vytvářet různá schémata pro různé úrovně, například v případě přístupového modelu to mohou být následující schémata:
- overlay
- L1/L2 podklad
- L3 podklad
Samozřejmě, nejdůležitější schémou, bez které není možné pochopit myšlenku vašeho návrhu, je schéma routingu.
Schéma routingu
Minimálně na tomto schématu by měly být zobrazeny
- jaké routovací protokoly a kde se používají
- základní informace o nastavení routovacího protokolu (area/AS číslo/router-id/…)
- na jakých zařízeních probíhá redistribuce
- kde probíhá filtrování a agregace tras
- informace o defaultní trase
Také, často je užitečná L2 schéma (OSI).
L2 schéma (OSI)
Na tomto schématu může být zobrazeny následující informace:
- jaké VLAN
- jaké porty jsou trunk porty
- jaké porty jsou agregovány v ether-channel (port channel), virtual port channel
- jaké STP protokoly a na jakých zařízeních se používají
- základní nastavení STP: root/root backup, STP cost, port priority
- další nastavení STP: BPDU guard/filter, root guard…
Typické chyby při návrhu
Příklad špatného přístupu k budování sítě.
Vezměme si jednoduchý příklad budování jednoduché firemní lokální sítě.
S zkušeností z výuky telekomunikací studentům mohu říci, že prakticky každý student ke konci druhého semestru má potřebné znalosti (v rámci kurzu, který jsem vedl), aby mohl nastavit jednoduchou firemní LAN.
Co je na připojení switchů, nastavení VLAN, SVI rozhraní (v případě L3 switchů) a napsání statického routování tak složitého?
Všechno bude fungovat.
Ale otázky týkající se zůstávají stranou,
- bezpečností.
- rezervace
- škálovatelnosti sítě
- výkonu
- kapacity
- spolehlivostí.
- …
Občas slýchám tvrzení, že kancelářská LAN je něco velmi jednoduchého, a obvykle to slyším od inženýrů (a manažerů), kteří dělají cokoliv jiného, než se zabývají sítěmi, a říkají to tak sebevědomě, že se nedivte, pokud bude LAN vytvořena lidmi s nedostatečnou praxí a znalostmi a budou v ní obsaženy přibližně ty chyby, které popíšu níže.
Charakteristické chyby návrhu úrovně L1 (OSI)
- Pokud jste tedy zodpovědní i za strukturovanou kabeláž, jedním z nejnepříjemnějších dědictví, které můžete zdědit – je to nedbalé a nepromyšlené přepínání.
Také k typu L1 bych přiřadil chyby spojené se zdroji používaného vybavení, například,
- nedostatečná šířka pásma
- nedostatečný TCAM v zařízení (nebo neefektivní využití)
- nedostatečný výkon (často se vztahuje na firewally)
Charakteristické chyby návrhu úrovně L2 (OSI)
Často, když není dobré porozumění tomu, jak funguje STP, jaké potenciální problémy přináší, jsou switche připojeny chaoticky, s výchozími nastaveními, bez dalšího ladění STP.
V důsledku toho často máme následující
- velký STP průměr sítě, což může vést k broadcastingovým bouřím
- STP root bude určen náhodně (na základě MAC adresy) a cesta provozu bude neoptimální
- porty připojované k hostům nebudou nastaveny jako edge (portfast), což povede k přepočtu STP při zapnutí/vypnutí koncových stanic
- síť nebude segmentována na úrovni L1/L2, což znamená, že problém s jakýmkoli switchem (např. přetížením napájení) povede k přepočtu STP topologie a zastavení provozu ve všech VLAN na všech switchech (včetně kritického segmentu z pohledu kontinuity služby)
Příklady chyb v návrhu L3 (OSI)
Několik charakteristických chyb začínajících síťařů:
- časté používání (nebo použití pouze) statického routování
- používání nepřiměřených směrovacích protokolů pro daný design
- neoptimální logická segmentace sítě
- neoptimální využití adresního prostoru, což brání agregaci cest
- absence záložních cest
- absence zálohy pro výchozí bránu
- asymetrické směrování během přestavby cest (může být kritické v případě NAT/PAT, stavových firewallů)
- problémy s MTU
- při přestavbě cest prochází provoz jinými bezpečnostními zónami nebo dokonce jinými firewally, což může vést k poklesu tohoto provozu
- špatná škálovatelnost topologie
Kritéria hodnocení kvality designu
Když hovoříme o optimálnosti/neoptimálnosti, musíme chápat z pohledu jakých kritérií to můžeme hodnotit. Z mého pohledu jsou nejdůležitější (ale ne všechny) kritéria (a jejich výklad týkající se směrovacích protokolů):
- škálovatelnost (scalability)
Například, rozhodli jste se přidat další datové centrum. Jak snadné to pro vás je? - snadnost správy (manageability)
Jak snadné a bezpečné jsou operační změny, jako je vyhlášení nové sítě nebo filtrování cest - dostupnost (availability)
Jaké procento času vaše systém poskytuje požadovanou úroveň služeb - bezpečnost (security)
Jak je chráněn přenášaný obsah - cena
Změny
Základní princip v této fázi lze vyjádřit formulí „neškodit“.
Proto i když zcela nesouhlasíte s designem a vybranou realizací (konfigurací), není vždy rozumné provádět změny. Rozumným přístupem je seřazení všech identifikovaných problémů podle dvou parametrů:
- jak snadno lze tento problém opravit
- jak velké riziko nese
Především je třeba odstranit to, co v současné době snižuje úroveň poskytované služby pod tolerovatelnou míru, například problémy vedoucí k ztrátám paketů. Poté odstraňte to, co je nejsnadnější a nejbezpečnější opravit, v pořadí podle snižování závažnosti rizika (od problémů v designu nebo konfiguraci nesoucích větší rizika k menším).
Perfekcionismus v této fázi může být škodlivý. Upravte design do uspokojivého stavu a synchronizujte konfiguraci sítě podle něj.
Zdroj: habr.com
