{"id":97373,"date":"2020-10-17T14:42:32","date_gmt":"2020-10-17T12:42:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/seteviki-ne-nuzhny"},"modified":"2020-10-17T14:42:32","modified_gmt":"2020-10-17T12:42:32","slug":"seteviki-ne-nuzhny","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/seteviki-ne-nuzhny","title":{"rendered":"S\u00ed\u0165ov\u00ed specialist\u00e9 (ne)jsou pot\u0159ebn\u00ed","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

V dob\u011b psan\u00ed tohoto \u010dl\u00e1nku hled\u00e1n\u00ed na popul\u00e1rn\u00edm pracovn\u00edm port\u00e1lu podle fr\u00e1ze \u201eS\u00ed\u0165ov\u00fd in\u017een\u00fdr\u201c zobrazovalo p\u0159ibli\u017en\u011b t\u0159i sta voln\u00fdch pracovn\u00edch m\u00edst po cel\u00e9 \u010cesk\u00e9 republice. Pro srovn\u00e1n\u00ed, hled\u00e1n\u00ed podle fr\u00e1ze \u201esyst\u00e9mov\u00fd administr\u00e1tor\u201c ukazuje t\u00e9m\u011b\u0159 2,5 tis\u00edce nab\u00eddek, a \u201eDevOps in\u017een\u00fdr\u201c - skoro 800.<\/p>\n

Znamen\u00e1 to, \u017ee s\u00ed\u0165ov\u00ed odborn\u00edci u\u017e nejsou pot\u0159eba v dob\u011b, kdy dominuje cloud, Docker, Kubernetes a v\u0161udyp\u0159\u00edtomn\u00fd ve\u0159ejn\u00fd Wi-Fi?
\nPoj\u010fme tomu p\u0159ij\u00edt na kloub (c)<\/p>\n

\"S\u00ed\u0165ov\u00ed
\n<\/a><\/noindex>
\nPoj\u010fme se sezn\u00e1mit. Jmenuji se Alexej a jsem s\u00ed\u0165ov\u00fd in\u017een\u00fdr. <\/p>\n

V\u00edce ne\u017e 10 let se v\u011bnuji s\u00edt\u00edm a v\u00edce ne\u017e 15 let pracuji s r\u016fzn\u00fdmi *nix syst\u00e9my (m\u011bl jsem mo\u017enost zab\u00fdvat se jak Linuxem, tak FreeBSD). Pracoval jsem u telekomunika\u010dn\u00edch oper\u00e1tor\u016f, ve velk\u00fdch firm\u00e1ch pova\u017eovan\u00fdch za \u201eenterprise\u201c, a v posledn\u00ed dob\u011b pracuji ve \u201emlad\u00e9m a drsn\u00e9m\u201c fintechu, kde se objevuj\u00ed cloudu, DevOps, Kubernetes a dal\u0161\u00ed stra\u0161liv\u00e1 slova, kter\u00e1 m\u011b a m\u00e9 kolegy jist\u011b u\u010din\u00ed zbyte\u010dn\u00fdmi. N\u011bkdy. Mo\u017en\u00e1.<\/p>\n

disclaimer: \u201eV na\u0161em \u017eivot\u011b nen\u00ed v\u0161e, v\u017edy a v\u0161ude, a n\u011bkter\u00e9 v\u011bci, n\u011bkdy a na r\u016fzn\u00fdch m\u00edstech\u201c (c) Maxim Dorofejeff.<\/p>\n

V\u0161e, co je naps\u00e1no n\u00ed\u017ee, lze a je t\u0159eba pova\u017eovat za osobn\u00ed n\u00e1zor autora, kter\u00fd si neansikuje pravdu v posledn\u00ed instanci, ani za plnohodnotn\u00fd v\u00fdzkum. V\u0161echny postavy jsou smy\u0161len\u00e9, v\u0161echna shodnut\u00ed jsou n\u00e1hodn\u00e1.<\/p><\/blockquote>\n

V\u00edtejte v m\u00e9m sv\u011bt\u011b.<\/p>\n

Kde lze v\u016fbec potkat s\u00ed\u0165ov\u00e9 odborn\u00edky?<\/h3>\n

\n1. Telekomunika\u010dn\u00ed oper\u00e1to\u0159i, servisn\u00ed spole\u010dnosti a dal\u0161\u00ed integr\u00e1to\u0159i<\/b>. Tady je to jednoduch\u00e9: s\u00ed\u0165 je pro n\u011b byznys. Bu\u010f p\u0159\u00edmo prod\u00e1vaj\u00ed konektivitu (oper\u00e1to\u0159i), nebo poskytuj\u00ed slu\u017eby pro spu\u0161t\u011bn\u00ed\/\u00fadr\u017ebu s\u00edt\u00ed sv\u00fdch z\u00e1kazn\u00edk\u016f. <\/p>\n

Zku\u0161enost\u00ed je zde mnoho, pen\u011bz \u2014 ne moc (pokud nejste \u0159editel nebo \u00fasp\u011b\u0161n\u00fd obchodn\u00ed mana\u017eer). P\u0159esto, pokud v\u00e1s zaj\u00edmaj\u00ed s\u00edt\u011b a teprve za\u010d\u00edn\u00e1te, kari\u00e9ra v podpo\u0159e n\u011bjak\u00e9ho m\u00e9n\u011b zn\u00e1m\u00e9ho oper\u00e1tora bude, i dnes, ide\u00e1ln\u00edm v\u00fdchoz\u00edm bodem (ve feder\u00e1ln\u00edch spole\u010dnostech je v\u0161e velmi rigidn\u00ed a prostoru pro kreativitu je m\u00e1lo). A p\u0159\u00edb\u011bhy o tom, \u017ee m\u016f\u017eete z pozice pohotovostn\u00edho in\u017een\u00fdra za n\u011bkolik let pov\u00fd\u0161it na mana\u017eera na \u00farovni C-level, jsou tak\u00e9 velmi re\u00e1ln\u00e9, i kdy\u017e vz\u00e1cn\u00e9, z pochopiteln\u00fdch d\u016fvod\u016f. Pot\u0159eba pracovn\u00edch sil je v\u017edy, proto\u017ee fluktuace je skute\u010dn\u00e1. To je z\u00e1rove\u0148 dobr\u00e9 i \u0161patn\u00e9 \u2014 v\u017edy jsou voln\u00e1 m\u00edsta, na druhou stranu \u2014 \u010dasto ti nejaktivn\u011bj\u0161\u00ed \/ nejchyt\u0159ej\u0161\u00ed odch\u00e1zej\u00ed dost rychle bu\u010f na pov\u00fd\u0161en\u00ed, nebo na jin\u00e1, \u201eteplej\u0161\u00ed\u201c m\u00edsta.<\/p>\n

2. Podm\u00edn\u011bn\u00fd \u201eenterprise\u201c<\/b>. Je jedno, zda je jeho hlavn\u00ed \u010dinnost spojen\u00e1 s IT \u010di nikoli. Hlavn\u00ed je, \u017ee m\u00e1 vlastn\u00ed IT odd\u011blen\u00ed, kter\u00e9 se star\u00e1 o fungov\u00e1n\u00ed vnit\u0159n\u00edch syst\u00e9m\u016f spole\u010dnosti, v\u010detn\u011b s\u00edt\u011b v kancel\u00e1\u0159\u00edch, komunika\u010dn\u00edch kan\u00e1l\u016f do pobo\u010dek atd. Funkce s\u00ed\u0165ov\u00e9ho in\u017een\u00fdra v takov\u00fdch firm\u00e1ch m\u016f\u017ee \u201ekrom\u011b toho\u201c vykon\u00e1vat syst\u00e9mov\u00fd administr\u00e1tor (pokud je s\u00ed\u0165ov\u00e1 infrastruktura mal\u00e1 nebo se o ni star\u00e1 extern\u00ed dodavatel), a s\u00ed\u0165a\u0159, pokud p\u0159ece jen existuje, m\u016f\u017ee tak\u00e9 dohl\u00ed\u017eet na telefonii a SAN (nen\u00ed to nic zvl\u00e1\u0161tn\u00edho). Plat\u00ed se r\u016fzn\u011b \u2014 hodn\u011b z\u00e1le\u017e\u00ed na mar\u017eovosti podnik\u00e1n\u00ed, velikosti firmy a struktu\u0159e. Pracoval jsem s firmami, kde se cisco pravideln\u011b \u201ezat\u011b\u017eovalo sudy\u201c, a s firmami, kde se s\u00ed\u0165 stav\u011bla z exkrement\u016f, klack\u016f a modr\u00e9 izola\u010dn\u00ed p\u00e1sky, a servery se v\u016fbec neaktualizovaly (ani net\u0159eba \u0159\u00edkat, \u017ee \u017e\u00e1dn\u00e9 z\u00e1lohy tak\u00e9 nebyly). Zku\u0161enost\u00ed zde je mnohem m\u00e9n\u011b, a t\u00e9m\u011b\u0159 ur\u010dit\u011b bude v oblasti tvrd\u00e9ho vendor-locku, nebo \u201ejak z ni\u010deho ud\u011blat n\u011bco\u201c. Mn\u011b se tam zd\u00e1lo neskute\u010dn\u011b nudn\u00e9, i kdy\u017e mnoh\u00fdm to vyhovuje \u2014 v\u0161echno je dost klidn\u00e9 a p\u0159edv\u00eddateln\u00e9 (pokud hovo\u0159\u00edme o velk\u00fdch spole\u010dnostech), \u201edo p\u00e1du a hodn\u011b\u201c atd. Nejm\u00e9n\u011b jednou za rok n\u011bjak\u00fd velk\u00fd dodavatel ozn\u00e1m\u00ed, \u017ee vymyslel dal\u0161\u00ed mega-super-duper syst\u00e9m, kter\u00fd te\u010f v\u0161echno automatizuje a v\u0161echny administr\u00e1tory a s\u00ed\u0165a\u0159e bude moct poslat na ulici, p\u0159i\u010dem\u017e p\u00e1r jich nech\u00e1 jen na ma\u010dk\u00e1n\u00ed tla\u010d\u00edtek v hezk\u00e9m rozhran\u00ed. Realita je v\u0161ak takov\u00e1, \u017ee i kdy\u017e se odhl\u00e9dne od n\u00e1klad\u016f na \u0159e\u0161en\u00ed, s\u00ed\u0165a\u0159i se odtud nikam nedostanou. Ano, mo\u017en\u00e1, \u017ee m\u00edsto konzole bude op\u011bt webov\u00e9 rozhran\u00ed (ale u\u017e ne konkr\u00e9tn\u00edho za\u0159\u00edzen\u00ed, ale velk\u00e9ho syst\u00e9mu, kter\u00fd \u0159\u00edd\u00ed des\u00edtky a stovky takov\u00fdch za\u0159\u00edzen\u00ed), ale znalosti \u201ejak to v\u0161echno uvnit\u0159 funguje\u201c budou st\u00e1le pot\u0159eba.<\/p>\n

3. Produktov\u00e9 spole\u010dnosti<\/b>, jejich\u017e zisk poch\u00e1z\u00ed z v\u00fdvoje (a \u010dasto, provozu) n\u011bjak\u00e9ho softwaru nebo platformy \u2014 toho prav\u00e9ho produktu. Obvykle jsou mal\u00e9 a hbit\u00e9, maj\u00ed daleko k rozm\u011br\u016fm enterprise a jejich byrokratizaci. Pr\u00e1v\u011b zde se masov\u011b vyskytuj\u00ed ti prav\u00ed devops\u00e1ci, kubernetes\u00e1ci, docker\u00e1ci a dal\u0161\u00ed d\u011bsiv\u00e1 slova, kter\u00e1 bezpodm\u00edne\u010dn\u011b u\u010din\u00ed s\u00ed\u0165 a s\u00ed\u0165ov\u00e9 in\u017een\u00fdry zbyte\u010dn\u00fdmi relikty. <\/p>\n

Jak\u00fd je rozd\u00edl mezi s\u00ed\u0165a\u0159em a administr\u00e1torem?<\/h3>\n

\nPro lidi, kte\u0159\u00ed nejsou v IT, to nic neznamen\u00e1. Oba se d\u00edvaj\u00ed na \u010dernou obrazovku a p\u00ed\u0161\u00ed n\u011bjak\u00e9 zakl\u00edn\u00e1n\u00ed, n\u011bkdy ti\u0161e prokl\u00ednaj\u00ed. <\/p>\n

V o\u010d\u00edch program\u00e1tor\u016f je to sp\u00ed\u0161e obor zdan\u011bn\u00ed. Administr\u00e1to\u0159i spravuj\u00ed servery, s\u00ed\u0165ov\u00ed specialist\u00e9 spravuj\u00ed switche a routery. N\u011bkdy to d\u011blaj\u00ed \u0161patn\u011b a v\u0161echno spadne. No, v p\u0159\u00edpad\u011b n\u011b\u010deho zvl\u00e1\u0161tn\u00edho jsou tak\u00e9 vinen\u011bj\u0161\u00ed s\u00ed\u0165ov\u00ed specialist\u00e9. Jen proto, \u017ee v\u00e1s to \u0161tve, to je d\u016fvod.<\/p>\n

Ve skute\u010dnosti je hlavn\u00edm rozd\u00edlem p\u0159\u00edstup k pr\u00e1ci. Pr\u00e1v\u011b mezi s\u00ed\u0165ov\u00fdmi administr\u00e1tory se nej\u010dast\u011bji setk\u00e1te s p\u0159\u00edznivci p\u0159\u00edstupu \"Funguje \u2014 nesah\u00e1m na to!\". Ud\u011blat ur\u010ditou v\u011bc (v r\u00e1mci jednoho dodavatele) je obvykle mo\u017en\u00e9 jen jedn\u00edm zp\u016fsobem, cel\u00e1 konfigurace za\u0159\u00edzen\u00ed je p\u0159ehledn\u00e1 a viditeln\u00e1. Cena chyby je vysok\u00e1, a n\u011bkdy velmi vysok\u00e1 (nap\u0159\u00edklad budete muset jet stovky kilometr\u016f, abyste restartovali sm\u011brova\u010d, zat\u00edmco bez spojen\u00ed z\u016fstanou tis\u00edce lid\u00ed \u2014 co\u017e je pro oper\u00e1tory b\u011b\u017en\u00e1 situace).<\/p>\n

Podle m\u00e9ho n\u00e1zoru pr\u00e1v\u011b proto jsou s\u00ed\u0165ov\u00ed in\u017een\u00fd\u0159i na jedn\u00e9 stran\u011b siln\u011b motivovan\u00ed k stabilit\u011b s\u00edt\u011b (a zm\u011bny jsou hlavn\u00edm nep\u0159\u00edtelem stability), a na druh\u00e9 stran\u011b jejich znalosti jdou sp\u00ed\u0161e do hloubky ne\u017e do \u0161\u00ed\u0159ky (nen\u00ed nutn\u00e9 um\u011bt konfigurovat des\u00edtky r\u016fzn\u00fdch d\u00e9mon\u016f, je t\u0159eba zn\u00e1t technologie a jejich realizaci u konkr\u00e9tn\u00edho v\u00fdrobce za\u0159\u00edzen\u00ed). Proto spr\u00e1vce syst\u00e9mu, kter\u00fd na Googlu na\u0161el, jak nastavit VLAN na Cisco, je\u0161t\u011b nen\u00ed s\u00ed\u0165ov\u00fd administr\u00e1tor. A pravd\u011bpodobn\u011b nebude schopen efektivn\u011b udr\u017eovat (a tak\u00e9 \u0159e\u0161it probl\u00e9my) relativn\u011b slo\u017eitou s\u00ed\u0165. <\/p>\n

Ale pro\u010d pot\u0159ebujete s\u00ed\u0165ov\u00e9ho administr\u00e1tora, kdy\u017e m\u00e1te hoster<\/a>?<\/b><\/p>\n

Za dodate\u010dn\u00e9 pen\u00edze (a pokud jste opravdu velk\u00fd a obl\u00edben\u00fd klient \u2014 mo\u017en\u00e1 dokonce i zdarma, \"z p\u0159\u00e1telstv\u00ed\") in\u017een\u00fd\u0159i datov\u00e9ho centra nastav\u00ed va\u0161e p\u0159ep\u00edna\u010de podle va\u0161ich pot\u0159eb a mo\u017en\u00e1 v\u00e1m dokonce pomohou nastavit BGP-hranic se poskytovateli (pokud m\u00e1te svou pods\u00ed\u0165 IP adres<\/a> pro vyhl\u00e1\u0161en\u00ed).<\/p>\n

Hlavn\u00edm probl\u00e9mem je, \u017ee datacentrum nen\u00ed va\u0161e IT odd\u011blen\u00ed, je to samostatn\u00e1 spole\u010dnost, jej\u00edm\u017e c\u00edlem je dos\u00e1hnout zisku. A to i t\u00edm, \u017ee se star\u00e1 o v\u00e1s jako klienta. Datacentrum poskytuje stojany, zaji\u0161\u0165uje je elektrickou energi\u00ed a chlazen\u00edm a tak\u00e9 poskytuje ur\u010dit\u00e9 \"standardn\u00ed\" p\u0159ipojen\u00ed k internetu. Na z\u00e1klad\u011b t\u00e9to infrastruktury m\u016f\u017ee datacentrum um\u00edstit va\u0161e za\u0159\u00edzen\u00ed (colocation), pronajmout v\u00e1m server (dedicated server) nebo poskytnout spravovanou slu\u017ebu (nap\u0159\u00edklad OpenStack nebo K8s). Ale podnik\u00e1n\u00edm datacentra (obvykle) nen\u00ed spr\u00e1va infrastruktury klient\u016f, proto\u017ee tento proces je pom\u011brn\u011b pracn\u00fd, t\u011b\u017eko automatizovateln\u00fd (a v norm\u00e1ln\u00edm datacentru je automatizov\u00e1no v\u0161e, co je mo\u017en\u00e9), je\u0161t\u011b mnohem h\u016f\u0159e unifikovateln\u00fd (ka\u017ed\u00fd klient je individu\u00e1ln\u00ed) a obecn\u011b m\u016f\u017ee vyvolat st\u00ed\u017enosti (\"nastavili jste mi server a te\u010f spadl, za v\u0161echno m\u016f\u017eete vy!!!111\"). Proto pokud v\u00e1m hostitel v n\u011b\u010dem pom\u016f\u017ee, pokus\u00ed se to ud\u011blat co nejjednodu\u0161eji a \u201eodep\u0159en\u00fdm\u201c zp\u016fsobem. Je toti\u017e nev\u00fdhodn\u00e9 d\u011blat v\u011bci slo\u017eit\u011b, alespo\u0148 z pohledu pracovn\u00edch n\u00e1klad\u016f in\u017een\u00fdr\u016f onoho hostitele (ale situace b\u00fdvaj\u00ed r\u016fzn\u00e9, viz disklamer). To neznamen\u00e1, \u017ee hostitel v\u0161echno ud\u011bl\u00e1 \u0161patn\u011b. Ale v\u016fbec nen\u00ed zaru\u010deno, \u017ee ud\u011bl\u00e1 p\u0159esn\u011b to, co jste ve skute\u010dnosti pot\u0159ebovali.<\/p>\n

Na prvn\u00ed pohled se to zd\u00e1 b\u00fdt docela z\u0159ejm\u00e9, ale j\u00e1 jsem se ve sv\u00e9 praxi n\u011bkolikr\u00e1t setkal s t\u00edm, \u017ee spole\u010dnosti za\u010daly spol\u00e9hat na sv\u00e9ho poskytovatele hostingu o n\u011bco v\u00edce, ne\u017e by m\u011bly, a to nep\u0159ineslo nic dobr\u00e9ho. Bylo t\u0159eba dlouho a podrobn\u011b vysv\u011btlovat, \u017ee \u017e\u00e1dn\u00fd SLA nepokryje ztr\u00e1ty zp\u016fsoben\u00e9 v\u00fdpadkem (existuj\u00ed v\u00fdjimky, ale obvykle to vyjde klienta velmi, OPRAVDU draho) a \u017ee hostitel v\u016fbec nen\u00ed informov\u00e1n o tom, co se d\u011bje v infrastruktu\u0159e z\u00e1kazn\u00edk\u016f (krom\u011b velmi obecn\u00fdch ukazatel\u016f). A z\u00e1lohy za v\u00e1s hostitel tak\u00e9 ned\u011bl\u00e1. Je\u0161t\u011b hor\u0161\u00ed je situace, pokud m\u00e1te v\u00edce ne\u017e jednoho hostitele. V p\u0159\u00edpad\u011b jak\u00fdchkoli probl\u00e9m\u016f mezi nimi, ur\u010dit\u011b nebudou zji\u0161\u0165ovat za v\u00e1s, co se vlastn\u011b pokazilo.<\/p>\n

Motivy jsou v tomto p\u0159\u00edpad\u011b \u00fapln\u011b stejn\u00e9 jako p\u0159i v\u00fdb\u011bru \"vlastn\u00ed t\u00fdm administr\u00e1tor\u016f vs outsourcing\". Pokud jsou rizika vyhodnocena, kvalita vyhovuje a podnik s t\u00edm souhlas\u00ed \u2014 pro\u010d to nezkusit. Na druhou stranu, s\u00ed\u0165 je jednou z nejz\u00e1kladn\u011bj\u0161\u00edch vrstev infrastruktury a t\u011b\u017eko by se m\u011blo sv\u011b\u0159ovat extern\u00edm lidem, pokud v\u0161echno ostatn\u00ed u\u017e sami udr\u017eujete.<\/p>\n

Kdy je pot\u0159eba s\u00ed\u0165a\u0159?<\/b><\/p>\n

D\u00e1le se budeme bavit p\u0159edev\u0161\u00edm o modern\u00edch produktov\u00fdch spole\u010dnostech. U oper\u00e1tor\u016f a podnikov\u00fdch \u0159e\u0161en\u00ed je to v\u00edcem\u00e9n\u011b jasn\u00e9 \u2014 tam se za posledn\u00ed roky p\u0159\u00edli\u0161 nezm\u011bnilo a s\u00ed\u0165a\u0159i byli pot\u0159ebn\u00ed d\u0159\u00edve, jsou pot\u0159ebn\u00ed i nyn\u00ed. Ale u t\u011bch \"mlad\u00fdch a neboj\u00e1cn\u00fdch\" je situace nejednozna\u010dn\u00e1. \u010casto um\u00eds\u0165uj\u00ed celou svou infrastrukturu do cloud\u016f, tak\u017ee ani administr\u00e1to\u0159i moc nejsou pot\u0159eba \u2014 krom\u011b administr\u00e1tor\u016f t\u011bchto cloud\u016f, samoz\u0159ejm\u011b. Infrastruktura je na jedn\u00e9 stran\u011b pom\u011brn\u011b jednoduch\u00e1, na druh\u00e9 stran\u011b dob\u0159e automatizovan\u00e1 (ansible\/puppet, terraform, ci\/cd\u2026 no, v\u00edte, jak to je). Ale i p\u0159esto existuj\u00ed situace, kdy se bez s\u00ed\u0165ov\u00e9ho in\u017een\u00fdra neobejdete.<\/p>\n

P\u0159\u00edklad 1, klasick\u00fd<\/b><\/p>\n

P\u0159edstavme si, \u017ee spole\u010dnost za\u010d\u00edn\u00e1 s jedn\u00edm serverem s ve\u0159ejnou ip adresou um\u00edst\u011bn\u00fdm v datov\u00e9m centru. Pot\u00e9 se servery st\u00e1vaj\u00ed dv\u011bmi. A pak v\u00edce... D\u0159\u00edve \u010di pozd\u011bji vznik\u00e1 pot\u0159eba soukrom\u00e9 s\u00edt\u011b mezi servery. Proto\u017ee \"vn\u011bj\u0161\u00ed\" provoz je omezen jak \u0161\u00ed\u0159kou p\u00e1sma (ne v\u00edce ne\u017e 100 Mbit\/s, nap\u0159\u00edklad), tak objemem st\u00e1hnut\u00e9ho\/odeslan\u00e9ho dat za m\u011bs\u00edc (r\u016fzn\u00ed hostitel\u00e9 maj\u00ed r\u016fzn\u00e9 tarify, ale \u0161\u00ed\u0159ka p\u00e1sma do extern\u00edho sv\u011bta je obvykle v\u00fdrazn\u011b dra\u017e\u0161\u00ed ne\u017e soukrom\u00e1 s\u00ed\u0165).<\/p>\n

Hostingov\u00e1 spole\u010dnost p\u0159id\u00e1v\u00e1 do server\u016f dal\u0161\u00ed s\u00ed\u0165ov\u00e9 karty a zapojuje je do sv\u00fdch p\u0159ep\u00edna\u010d\u016f v samostatn\u00e9m vLanu. Mezi servery vznik\u00e1 \"ploch\u00e1\" lok\u00e1ln\u00ed s\u00ed\u0165. Pohodln\u00e9!<\/p>\n

Po\u010det server\u016f roste, tak\u00e9 provoz v priv\u00e1tn\u00ed s\u00edti \u2014 z\u00e1lohy, replikace atd. Hostingov\u00e1 spole\u010dnost nab\u00edz\u00ed mo\u017enost um\u00edstit v\u00e1s do samostatn\u00fdch p\u0159ep\u00edna\u010d\u016f, abyste neru\u0161ili ostatn\u00ed klienty a oni neru\u0161ili v\u00e1s. Hostingov\u00e1 spole\u010dnost instaluje ur\u010dit\u00e9 p\u0159ep\u00edna\u010de a n\u011bjak je nastavuje \u2014 pravd\u011bpodobn\u011b tak, \u017ee mezi va\u0161imi servery zanech\u00e1 jednu plochou s\u00ed\u0165. V\u0161e funguje dob\u0159e, ale v ur\u010dit\u00e9m okam\u017eiku za\u010d\u00ednaj\u00ed probl\u00e9my: ob\u010das se zvy\u0161uj\u00ed zpo\u017ed\u011bn\u00ed mezi hostiteli, v log\u00e1ch se objevuj\u00ed chyby na p\u0159\u00edli\u0161 vysok\u00fd po\u010det arp paket\u016f za sekundu a pentester p\u0159i auditu m\u011bl celou va\u0161i lok\u00e1ln\u00ed s\u00ed\u0165, kdy\u017e rozbil jen jeden server.<\/p>\n

Co je pot\u0159eba ud\u011blat?<\/i><\/p>\n

Rozd\u011blit s\u00ed\u0165 na segmenty \u2014 VLANy. Nastavit v ka\u017ed\u00e9 VLAN\u011b vlastn\u00ed adresaci, vyhradit br\u00e1nu, kter\u00e1 bude p\u0159epos\u00edlat provoz mezi s\u00edt\u011bmi. Na br\u00e1n\u011b nastavit ACL pro omezen\u00ed p\u0159\u00edstupu mezi segmenty, nebo v\u016fbec postavit vedle samostatn\u00fd firewall.<\/p>\n

P\u0159\u00edklad 1, pokra\u010dov\u00e1n\u00ed<\/b><\/p>\n

Servery jsou p\u0159ipojeny k lok\u00e1ln\u00ed s\u00edti jedn\u00edm kabelem. P\u0159ep\u00edna\u010de ve sk\u0159\u00edn\u00edch jsou n\u011bjak propojeny, ale p\u0159i hav\u00e1rii v jedn\u00e9 sk\u0159\u00edni odpadnou i t\u0159i sousedn\u00ed. Sch\u00e9mata existuj\u00ed, ale o jejich aktu\u00e1lnosti jsou pochybnosti. Ka\u017ed\u00fd server m\u00e1 svoji ve\u0159ejnou adresu, kterou poskytuje hostingov\u00e1 spole\u010dnost a je p\u0159id\u011blena ke sk\u0159\u00edni. Tedy p\u0159i p\u0159esunu serveru je pot\u0159eba adresu m\u011bnit.<\/p>\n

Co je pot\u0159eba ud\u011blat?<\/i><\/p>\n

P\u0159ipojit servery pomoc\u00ed LAG (Link Aggregation Group) dv\u011bma kabely k p\u0159ep\u00edna\u010d\u016fm ve sk\u0159\u00edni (ty tak\u00e9 mus\u00ed b\u00fdt z\u00e1lohov\u00e1ny). Spojen\u00ed mezi sk\u0159\u00edn\u011bmi rezervovat, p\u0159epracovat na \"hv\u011bzdu\" (nebo obl\u00edben\u00fd CLOS), aby v\u00fdpadek jedn\u00e9 sk\u0159\u00edn\u011b neovlivnil ostatn\u00ed. Vy\u010dlenit \"centr\u00e1ln\u00ed\" sk\u0159\u00edn\u011b, ve kter\u00fdch bude s\u00ed\u0165ov\u00e9 j\u00e1dro, a kam budou p\u0159ipojeny ostatn\u00ed sk\u0159\u00edn\u011b. Z\u00e1rove\u0148 uspo\u0159\u00e1dat ve\u0159ejnou adresaci, vz\u00edt od hostitele (nebo od RIR, pokud je to mo\u017en\u00e9) pods\u00ed\u0165, kterou samostatn\u011b (nebo prost\u0159ednictv\u00edm hostitele) ozn\u00e1mit sv\u011btu.<\/p>\n

M\u016f\u017ee to v\u0161echno ud\u011blat \"b\u011b\u017en\u00fd\" administr\u00e1tor, kter\u00fd nem\u00e1 hlubok\u00e9 znalosti v s\u00edt\u00edch? Nejsem si jist\u00fd. Bude to d\u011blat hostingov\u00e1 spole\u010dnost? Mo\u017en\u00e1 ano, ale budete pot\u0159ebovat pom\u011brn\u011b podrobnou specifikaci, kterou tak\u00e9 bude nutn\u00e9 n\u011bkomu p\u0159ipravit. A pak zkontrolovat, \u017ee v\u0161e bylo ud\u011bl\u00e1no spr\u00e1vn\u011b.<\/p>\n

P\u0159\u00edklad 2. Cloudov\u00fd<\/b><\/p>\n

P\u0159edstavme si, \u017ee m\u00e1te VPC v n\u011bjak\u00e9m ve\u0159ejn\u00e9m cloudu. Abyste z\u00edskali p\u0159\u00edstup z kancel\u00e1\u0159e nebo z on-prem \u010d\u00e1sti infrastruktury do lok\u00e1ln\u00ed s\u00edt\u011b uvnit\u0159 VPC, mus\u00edte nastavit p\u0159ipojen\u00ed p\u0159es IPSec nebo dedikovanou linku. Na jedn\u00e9 stran\u011b je IPSec levn\u011bj\u0161\u00ed, proto\u017ee nemus\u00edte kupovat dal\u0161\u00ed hardware, m\u016f\u017eete nastavit tunel mezi va\u0161\u00edm serverem s ve\u0159ejnou adresou a cloudem. Nicm\u00e9n\u011b, latence, omezen\u00fd v\u00fdkon (proto\u017ee kan\u00e1l je t\u0159eba \u0161ifrovat) a nav\u00edc negarantovan\u00e1 konektivita (proto\u017ee p\u0159\u00edstup prob\u00edh\u00e1 p\u0159es b\u011b\u017en\u00fd internet) mohou b\u00fdt nev\u00fdhodou. <\/p>\n

Co je pot\u0159eba ud\u011blat?<\/i><\/p>\n

Z\u0159\u00eddit p\u0159ipojen\u00ed p\u0159es dedikovanou linku (nap\u0159\u00edklad u AWS se tomu \u0159\u00edk\u00e1 Direct Connect). K tomu je pot\u0159eba naj\u00edt partnera-operatora, kter\u00fd v\u00e1s p\u0159ipoj\u00ed, ur\u010dit se s nejbli\u017e\u0161\u00edm bodem zapojen\u00ed (jak v\u00e1s k operatorovi, tak operatora do cloudu) a nakonec v\u0161echno nastavit. Je mo\u017en\u00e9 toto v\u0161e ud\u011blat bez s\u00ed\u0165ov\u00e9ho in\u017een\u00fdra? Ur\u010dit\u011b, ano. Jak to v\u0161ak probl\u00e9m \u0159e\u0161it bez n\u011bj, kdy\u017e nastanou pot\u00ed\u017ee \u2014 to u\u017e tak jasn\u00e9 nen\u00ed. <\/p>\n

Tak\u00e9 mohou nastat probl\u00e9my s dostupnost\u00ed mezi cloudu (pokud m\u00e1te multi-cloud) nebo probl\u00e9my s latenc\u00ed mezi r\u016fzn\u00fdmi regiony atd. Samoz\u0159ejm\u011b, nyn\u00ed existuje mnoho n\u00e1stroj\u016f, kter\u00e9 zvy\u0161uj\u00ed transparentnost toho, co se v cloudu d\u011bje (nap\u0159\u00edklad Thousand Eyes), ale to jsou v\u0161echno n\u00e1stroje s\u00ed\u0165ov\u00e9ho in\u017een\u00fdra, a ne jeho n\u00e1hrada.<\/p>\n

Mohl bych napsat je\u0161t\u011b des\u00edtky takov\u00fdch p\u0159\u00edklad\u016f ze sv\u00e9 praxe, ale mysl\u00edm, \u017ee je jasn\u00e9, \u017ee v t\u00fdmu, po\u010d\u00ednaje ur\u010dit\u00fdm stupn\u011bm rozvoje infrastruktury, by m\u011bl b\u00fdt \u010dlov\u011bk (a l\u00e9pe v\u00edce ne\u017e jeden), kter\u00fd v\u00ed, jak funguje s\u00ed\u0165, bude schopen nastavit s\u00ed\u0165ov\u00e9 za\u0159\u00edzen\u00ed a vy\u0159e\u0161it probl\u00e9my, pokud nastanou. V\u011b\u0159te mi, bude m\u00edt co na pr\u00e1ci. <\/p>\n

Co by m\u011bl s\u00ed\u0165ov\u00fd in\u017een\u00fdr v\u011bd\u011bt?<\/b><\/p>\n

Nen\u00ed v\u016fbec nezbytn\u00e9 (a n\u011bkdy dokonce \u0161kodliv\u00e9), aby se s\u00ed\u0165ov\u00fd in\u017een\u00fdr zab\u00fdval pouze s\u00edt\u00ed a ni\u010d\u00edm jin\u00fdm. I kdy\u017e nezohledn\u00edme variantu s infrastrukturou, kter\u00e1 t\u00e9m\u011b\u0159 cel\u00e1 \u017eije v ve\u0159ejn\u00e9m cloudu (a ta se, a\u0165 se v\u00e1m to l\u00edb\u00ed nebo ne, st\u00e1v\u00e1 \u010d\u00edm d\u00e1l popul\u00e1rn\u011bj\u0161\u00ed), vezmeme nap\u0159. on-premise nebo soukrom\u00e9 cloudy, kde se s jedin\u00fdmi \"znalostmi na \u00farovni CCNP\" daleko nedostanete. <\/p>\n

Krom\u011b vlastn\u00edch s\u00edt\u00ed \u2014 i kdy\u017e tady je to prost\u011b nekone\u010dn\u00e9 pole pro studium, i kdy\u017e se zam\u011b\u0159\u00edte pouze na jedno konkr\u00e9tn\u00ed odv\u011btv\u00ed (poskytovatelsk\u00e9 s\u00edt\u011b, podniky, datov\u00e1 centra, Wi-Fi\u2026)<\/p>\n

Samoz\u0159ejm\u011b, mnoz\u00ed z v\u00e1s si nyn\u00ed vzpomenou na Python a dal\u0161\u00ed \u201eautomaci s\u00edt\u011b\u201c, ale to je pouze nezbytn\u00fd, nikoli v\u0161ak posta\u010duj\u00edc\u00ed p\u0159edpoklad. Aby se s\u00ed\u0165ov\u00fd in\u017een\u00fdr \u201e\u00fasp\u011b\u0161n\u011b zapojil do t\u00fdmu\u201c, mus\u00ed um\u011bt mluvit jedn\u00edm jazykem jak s v\u00fdvoj\u00e1\u0159i, tak s kolegy administr\u00e1tory\/devopsy. Co to znamen\u00e1?<\/p>\n