{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"Opbygning af netv\u00e6rksinfrastruktur baseret p\u00e5 Nebula. Del 1 - opgaver og l\u00f8sninger","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Opbygning
\nArtiklen vil omhandle problemerne ved at organisere netv\u00e6rksinfrastruktur p\u00e5 traditionel vis og metoder til at l\u00f8se de samme sp\u00f8rgsm\u00e5l ved hj\u00e6lp af cloud-teknologier.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

Til reference.<\/strong> Nebula er en SaaS-cloudmilj\u00f8 til fjernsupport af netv\u00e6rksinfrastruktur. Alle enheder, der underst\u00f8tter Nebula, styres fra skyen via en sikker forbindelse. Det er muligt at h\u00e5ndtere en stor distribueret netv\u00e6rksinfrastruktur fra et enkelt centrum uden at skulle opbygge det.<\/p>\n

<\/p>\n

Hvad er form\u00e5let med endnu en cloud-service?<\/h2>\n

<\/p>\n

Hovedproblemet med netv\u00e6rksinfrastruktur er ikke designet af netv\u00e6rket eller indk\u00f8b af udstyr, og heller ikke installation i rack, men alt det andet, der senere skal g\u00f8res med dette netv\u00e6rk.<\/p>\n

<\/p>\n

Nyt netv\u00e6rk - gamle bekymringer<\/h3>\n

<\/p>\n

N\u00e5r et nyt netv\u00e6rksmodul tages i brug efter installation og tilslutning af udstyret, p\u00e5begyndes den indledende konfiguration. Set fra ledelsens perspektiv er det ikke s\u00e6rligt kompliceret: \u201eVi tager projektets arbejdsdokumentation og begynder at konfigurere ...\u201c Det lyder godt, n\u00e5r alle netv\u00e6rkselementer er placeret i det samme datacenter. Men hvis de er spredt ud over filialer, opst\u00e5r der problemer med at sikre fjernadgang. S\u00e5dan er cirklen lukket: For at f\u00e5 fjernadgang til netv\u00e6rket skal netv\u00e6rksudstyret konfigureres, og for det kr\u00e6ves netv\u00e6rksadgang ...<\/p>\n

<\/p>\n

Man m\u00e5 finde p\u00e5 forskellige l\u00f8sninger for at komme ud af den ovenfor beskrevne blokade. For eksempel kan en b\u00e6rbar computer med internetadgang via USB 4G modem tilsluttes det netv\u00e6rk, der skal konfigureres, via et patchkabel. P\u00e5 denne b\u00e6rbare computer kan en VPN-klient aktiveres, og via den fors\u00f8ger netv\u00e6rksadministratoren fra hovedkvarteret at f\u00e5 adgang til filialens netv\u00e6rk. Diagrammet er ikke det mest gennemsigtige - selvom man tager en b\u00e6rbar computer med en forudindstillet VPN til det fjerntliggende sted og beder nogen om at t\u00e6nde den, er det langt fra sikkert, at det hele fungerer f\u00f8rste gang. Is\u00e6r hvis det drejer sig om en anden region med en anden udbyder.<\/p>\n

<\/p>\n

Det viser sig, at den mest p\u00e5lidelige metode er at have en dygtig specialist p\u00e5 'den anden ende af ledningen', som kan konfigurere sin del i henhold til projektet. Hvis der ikke er nogen s\u00e5dan i filialens personale, er der muligheder: enten outsourcing eller forretningsrejse.<\/p>\n

<\/p>\n

Der er ogs\u00e5 behov for et overv\u00e5gningssystem. Det skal installeres, konfigureres og vedligeholdes (mindst overv\u00e5ge diskpladsen og regelm\u00e6ssigt lave backup). Og som ikke ved noget om vores enheder, indtil vi informerer den. For dette er det n\u00f8dvendigt at skrive indstillinger for alle enheder og regelm\u00e6ssigt sikre, at oplysningerne er opdaterede.<\/p>\n

<\/p>\n

Det er fantastisk, n\u00e5r der i teamet er en \"one-man band\", der udover de specifikke f\u00e6rdigheder hos en netv\u00e6rksadministrator ogs\u00e5 kan arbejde med Zabbix eller et lignende system. Ellers m\u00e5 vi ans\u00e6tte endnu en person eller outsource.<\/p>\n

<\/p>\n

Bem\u00e6rkning.<\/strong> De mest triste fejltagelser begynder med ordene: \"Hvad er der ved at konfigurere dette Zabbix (Nagios, OpenView osv.)? Jeg kan hurtigt f\u00e5 det op at k\u00f8re!\"<\/em><\/p>\n

<\/p>\n

Fra implementering til drift<\/h3>\n

<\/p>\n

Lad os overveje et konkret eksempel.<\/p>\n

<\/p>\n

Der er modtaget en alarmmelding om, at et WiFi-adgangspunkt ikke svarer et sted.<\/p>\n

<\/p>\n

Hvor er det hen?<\/p>\n

<\/p>\n

Selvf\u00f8lgelig har en god netv\u00e6rksadministrator sin egen personlige opslagsbog, hvor alt er noteret. Problemet opst\u00e5r, n\u00e5r disse oplysninger skal deles. For eksempel, hvis det er n\u00f8dvendigt hurtigt at sende en bud for at unders\u00f8ge situationen, skal der gives noget i retning af: \"Adgangspunktet i forretningcentret p\u00e5 Byggevejen 1, 3. etage, rum N 301 n\u00e6r indgangsd\u00f8ren under loftet.\"<\/p>\n

<\/p>\n

Lad os sige, at vi har held, og adgangspunktet f\u00e5r str\u00f8m via PoE, og switchen tillader, at det genstartes eksternt. Det er ikke n\u00f8dvendigt at tage af sted, men der er behov for ekstern adgang til switchen. Det er n\u00f8dvendigt at konfigurere port forwarding via PAT p\u00e5 routeren, finde ud af VLAN til forbindelse udefra osv. Det er godt, hvis alt er konfigureret p\u00e5 forh\u00e5nd. Arbejdet m\u00e5 ikke v\u00e6re vanskeligt, men det skal g\u00f8res.<\/p>\n

<\/p>\n

S\u00e5, vi har genstartet adgangspunktet. Hjalp det ikke?<\/p>\n

<\/p>\n

Lad os antage, at der er noget galt med hardwaredelen. Nu leder vi efter oplysninger om garantien, begyndelsen af driften og andre interessante detaljer.<\/p>\n

<\/p>\n

For WiFi, using a home version of WPA2-PSK, where one key is used for all devices, is not recommended in a corporate environment. First, having one key for everyone is simply insecure, and second, when an employee leaves, you have to change that common key and reconfigure all devices for all users. To avoid these inconveniences, there is WPA2-Enterprise with individual authentication for each user. However, this requires a RADIUS server \u2014 yet another infrastructure element that needs to be managed, backed up, and so on.<\/p>\n

<\/p>\n

Note that at every stage, whether it's implementation or operation, we used supporting systems. This includes a laptop with an 'external' Internet connection, a monitoring system, an equipment reference database, and RADIUS as the authentication system. In addition to network devices, we also have to service external services.<\/p>\n

<\/p>\n

In such cases, you might hear the advice: 'Move to the cloud and avoid the hassle.' Surely, there is a cloud version of Zabbix, possibly a cloud RADIUS, and even a cloud database to keep track of devices. The problem is that these need to be integrated, not separate. And still, questions arise regarding access organization, initial device setup, security, and much more.<\/p>\n

<\/p>\n

How does it look when using Nebula?<\/h2>\n

<\/p>\n

Of course, initially the 'cloud' knows nothing about our plans or the equipment we have purchased.<\/p>\n

<\/p>\n

First, an organization profile is created. That is, the entire infrastructure: headquarters and branches are initially entered into the cloud. The details are specified, and accounts are created for delegating permissions.<\/p>\n

<\/p>\n

You can register the devices used in the cloud in two ways: old-school \u2014 by simply entering the serial number when filling out the web form or by scanning a QR code with a mobile phone. All you need for the second method is a smartphone with a camera and Internet access, including through a mobile provider.<\/p>\n

<\/p>\n

Of course, the necessary infrastructure for storing information, both accounting and settings, is provided by Zyxel Nebula.<\/p>\n

<\/p>\n

\"Opbygning
\nFigure 1. Security Report of the Nebula Control Center.<\/em><\/p>\n

<\/p>\n

Hvad med adgangsindstillingerne? \u00c5bning af porte, videresendelse af trafik gennem den indg\u00e5ende gateway, alt det, som sikkerhedsadministratorer k\u00e6rkomment kalder: \"at skrabe huller\"? Heldigvis er der ikke behov for alt dette. Enheder, der drives af Nebula, opretter en udg\u00e5ende forbindelse. Og administratoren tilslutter sig ikke en enkelt enhed for at konfigurere, men til skyen. Nebula fungerer som m\u00e6gler mellem de to forbindelser: enheden og netv\u00e6rksadministratorens computer. Dette betyder, at trinnet med at tilkalde en ankommende administrator kan minimeres eller helt springes over. Og ingen ekstra \"huller\" i firewall'en.<\/p>\n

<\/p>\n

Men hvad med RADIUS-serveren? Der er jo brug for en centraliseret godkendelse!<\/p>\n

<\/p>\n

Og denne funktion overtager ogs\u00e5 Nebula. Godkendelse af konti til adgang til udstyret foreg\u00e5r gennem en sikker database. Dette forenkler delegation eller tilbagekaldelse af rettigheder til systemadministration betydeligt. Hvis rettigheder skal overf\u00f8res, opretter vi en bruger og tildeler en rolle. Hvis rettigheder skal tilbagekaldes, udf\u00f8rer vi de modsatte handlinger.<\/p>\n

<\/p>\n

Det er v\u00e6rd at n\u00e6vne WPA2-Enterprise, som kr\u00e6ver en separat godkendelsestjeneste. Zyxel Nebula har sin egen \u00e6kvivalent \u2014 DPPSK, som tillader brug af WPA2-PSK med en individuel n\u00f8gle for hver bruger.<\/p>\n

<\/p>\n

\"Ubehagelige\" sp\u00f8rgsm\u00e5l<\/h2>\n

<\/p>\n

Nedenfor vil vi fors\u00f8ge at besvare de mest vanskelige sp\u00f8rgsm\u00e5l, som ofte stilles, n\u00e5r man g\u00e5r ind i skyservicen.<\/p>\n

<\/p>\n

Er det nu helt sikkert?<\/h3>\n

<\/p>\n

Ved enhver delegation af kontrol og administration spiller to faktorer en vigtig rolle for at sikre sikkerhed: anonymisering og kryptering.<\/p>\n

<\/p>\n

Brugen af kryptering til at beskytte trafik mod fremmede \u00f8jne er mere eller mindre velkendt for l\u00e6serne.<\/p>\n

<\/p>\n

Anonymisering skjuler ejerens og kildens oplysninger for personalet hos cloududbyderen. Personlige oplysninger fjernes, og poster tildeles et \"-anonymt\" ID. Hverken udvikleren af cloud-softwaren eller administratoren, der betjener cloudsystemet, kan kende ejeren af foresp\u00f8rgslerne. \"Hvor kom dette fra? Hvem kunne v\u00e6re interesseret i det?\" \u2014 s\u00e5danne sp\u00f8rgsm\u00e5l forbliver ubesvarede. Mangel p\u00e5 data om ejer og kilde g\u00f8r insiderhandel til en meningsl\u00f8s spild af tid.<\/p>\n

<\/p>\n

Sammenlignet med den traditionelle praksis med at outsource eller ans\u00e6tte en midlertidig IT-administrator er det tydeligt, at cloud-teknologier er sikrere. En midlertidig IT-specialist ved en del om den organisationsstruktur, de arbejder for, og kan ubevidst for\u00e5rsage betydelig skade, n\u00e5r det kommer til sikkerhed. Derudover skal der tr\u00e6ffes beslutning om opsigelse eller afslutning af kontrakten. Nogle gange kr\u00e6ver dette ikke blot blokering eller sletning af kontoen, men ogs\u00e5 en global \u00e6ndring af adgangskoder til tjenesterne samt en gennemgang af alle ressourcer for at se efter 'glemte' indgangspunkter og mulige 'bagd\u00f8re'.<\/p>\n

<\/p>\n

Hvor meget dyrere eller billigere er Nebula i forhold til en midlertidig administrator?<\/h3>\n

<\/p>\n

Alt kendes ved sammenligning. De grundl\u00e6ggende funktioner i Nebula er tilg\u00e6ngelige gratis. Hvad kunne v\u00e6re billigere?<\/p>\n

<\/p>\n

Det er selvf\u00f8lgelig umuligt at undg\u00e5 at have en netv\u00e6rksadministrator eller en person, der udfylder denne rolle. Sp\u00f8rgsm\u00e5let handler om antallet af mennesker, deres specialisering og fordelingen p\u00e5 steder.<\/p>\n

<\/p>\n

N\u00e5r det kommer til den betalte udvidede service, s\u00e5 er det ikke altid pr\u00e6cist at stille sp\u00f8rgsm\u00e5let: dyrere eller billigere. Det ville v\u00e6re mere korrekt at sammenligne mange faktorer, fra penge til betaling for specifikke specialister til udgifterne ved at sikre deres interaktion med en kontrakt\u00f8r eller privatperson: kvalitetskontrol, dokumentation og opretholdelse af sikkerhedsniveauer og s\u00e5 videre.<\/p>\n

<\/p>\n

Hvis vi taler om, hvorvidt det er fordelagtigt at erhverve en betalt servicepakke (Pro-Pack), kan et nogenlunde svar v\u00e6re f\u00f8lgende: hvis organisationen er lille, kan man klare sig med den grundl\u00e6ggende version; hvis organisationen vokser, giver det mening at overveje Pro-Pack. Forskellene mellem versionerne af Zyxel Nebula kan ses i tabel 1.<\/p>\n

<\/p>\n

Tabel 1. Forskellene mellem funktionss\u00e6ttene i den grundl\u00e6ggende version og Pro-Pack versionen af Nebula.<\/em><\/p>\n

<\/p>\n

\"Opbygning<\/p>\n

<\/p>\n

Dette inkluderer b\u00e5de udvidet rapportering, brugerrevision, kloning af konfigurationer og meget mere.<\/p>\n

<\/p>\n

Hvad med trafikbeskyttelsen?<\/h3>\n

<\/p>\n

Nebula bruger protokollen NETCONF<\/a><\/noindex> til at sikre sikkerheden ved arbejdet med netv\u00e6rksudstyr.<\/p>\n

<\/p>\n

NETCONF kan fungere over flere transportprotokoller:<\/p>\n

<\/p>\n