Viele Unternehmen nutzen Cloud-Dienste oder verlagern ihre Hardware in
Rechenzentren. Was macht Sinn, um in der Serverumgebung zu belassen, und wie kann man den Schutz des peripheren Büros in einer solchen Situation besser organisieren?
Früher war alles auf einem Server
Zu Beginn der Entwicklung des Runet lösten die meisten Unternehmen das Thema IT-Infrastruktur nach einem ähnlichen Schema: Es wurde ein Raum bereitgestellt, in dem eine Klimaanlage installiert wurde und fast gesamte Netzwerk- und Serverhardware konzentriert war.
Der Systemadministrator konfigurierte einen oder mehrere Server mit FreeBSD, Linux oder OpenSolaris usw. und startete dann die erforderlichen Dienste auf dieser "Infrastruktur": vom Webserver, über die Unternehmens-E-Mail bis hin zum Datei-Transfer.
Wenn ein Unternehmen wächst und sich entwickelt, sieht es sich unweigerlich mit der Situation konfrontiert, dass das Serverzimmer nicht mehr den Anforderungen entspricht. Wenn Geld vorhanden ist, kann ein eigenes Rechenzentrum gebaut werden. Es kann auch vorteilhafter sein, Stellplätze in kommerziellen Rechenzentren zu mieten. Zuverlässige Stromversorgung auf DRUPS-Basis, industrielle Klimaanlagen und ein vollständiges Team von spezialisierten Fachleuten — diese Dinge sind in einem Büroserverraum kaum verfügbar.
Nachdem große Unternehmen diesen Schritt vollzogen haben, vollzieht sich im Denken der Führungskräfte von kleinen und mittleren Unternehmen allmählich ein Wandel von der Mentalität des „alles selber machen“ und „mein Zuhause ist meine Festung“ hin zu „auslagern und keinen Stress haben“.
Für kleine Unternehmen sind Cloud-Anbieter die perfekte Lösung für das „Auslagern“. Während es früher für ein Unternehmen mit 40 Mitarbeitern selbstverständlich war, einen eigenen Mailserver zu betreiben, zieht heute der Dienst von Google alle an, die zuvor nicht ohne ihren eigenen Sendmail oder Postfix auskamen.
Virtuelle Systeme haben dieses „Umsiedeln“ erheblich erleichtert. Musste man vorher einen physischen Server komplett transportieren oder alles auf neuer Hardware einrichten, genügt es jetzt, das Abbild einer virtuellen Maschine zu übertragen.
Was wird also in diesem kleinen klimatisierten Raum übrig bleiben?
Zunächst einmal handelt es sich um Netzwerkhardware, sowohl aktive als auch passive. Oftmals wird unter dem laut klingenden Begriff „Serverraum“ ein Cross-Connect mit Restbeständen an Netzwerkgeräten verstanden. Für solche Fälle ist kein spezieller Raum mit einem leistungsstarken Klimasystem, Stromversorgung und ähnlichem erforderlich.
Die zweite Gruppe von Hardware, die bislang schwer aus dem Serverraum zu entfernen ist, sind die Gateways.
— ist ein Protokoll und Standard für die Authentifizierung, es gewährt keinen Zugriff auf Ressourcen (Web-API), aber da es auf dem Autorisierungsprotokoll basiert
Aber welche Gateways sind das? Wie bereits erwähnt, hatte der Systemadministrator in der nahen Vergangenheit einen oder mehrere Server zur Verfügung, auf denen er alles Mögliche einrichten konnte. Diese Art von Luxus könnte heutzutage nicht mehr gegeben sein.
Aber der Bedarf an Schutz vor externen Bedrohungen ist nach wie vor vorhanden. Man könnte natürlich alle Dienste und die notwendige Hardware vollständig in ein Rechenzentrum verlagern und den Verkehr von einem solchen Gateway über einen gesicherten Kanal, beispielsweise über VPN, zur Bürokreuzung leiten.
Auf den ersten Blick scheint dieses Schema attraktiv, wenn da nicht die Erhöhung der Belastung auf den bestehenden Kanälen wäre. Wenn man nicht bereit ist, für einen „dickeren“ Kanal zu zahlen, ist das nicht ganz das, was man benötigt.
Eine andere Möglichkeit besteht darin, ein spezialisiertes Gerät zum Schutz des Datenverkehrs zu erwerben, dessen Architektur aufgrund der engen Ausrichtung ohne leistungsstarke, energieintensive und wärmeerzeugende Komponenten auskommt.
Ein „Zoo“ ist nicht nötig.
In Abwesenheit eines klassischen Servers ist es deutlich besser, gleich mehrere Dienste „in einer Box“ zu erhalten, als einen „Zoo“ in einem kleinen Raum zu betreiben, vielleicht sogar in einem kleinen Rack. Dabei sollte die Lösung nicht teuer, bewährt und mit guter Unterstützung in deutscher Sprache versehen sein.
Hinweis: Wir sprechen hier über sehr kleine, mittlere und größere Büros. Große Unternehmen, die ihre eigenen Rechenzentren bauen, betrachten wir derzeit nicht — in einem Artikel ist es „unmöglich, das Unfassbare zu umfassen“.
Und für jeden Fall hat Zyxel bereits eine Lösung, und das innerhalb einer Produktreihe. Mit anderen Worten, ein „Zoo“ ist nicht nötig.
ZyWALL ATP-Sicherheitsgateways
Früher haben wir bereits über die Funktionsweise solcher Geräte am Beispiel von , Ihre Hauptmerkmale bestehen in der Kombination einer Firewall mit dem Cloud-Sicherheitsdienst Zyxel Cloud. Durch diese Aufgabenverteilung löst ZyWALL ATP ein breites Spektrum an Herausforderungen im Bereich des Perimeterschutzes, ohne zusätzliche Hardware-Ressourcen zu erfordern.
Die Liste der Schutzfunktionen ist recht umfangreich (siehe Tabelle 1) und umfasst SecuReporter-Analysetools sowie Sandboxing – eine „Sandbox“ zur vorläufigen Analyse heruntergeladener Inhalte.
Es ist wichtig zu betonen, dass wir in diesem Fall einfach die Dienste aus dem lokalen Büro in die Cloud verlagern. Alles andere erledigt Zyxel Cloud im anonymen Modus. Neben dem Komfort sorgt dieser Ansatz auch für einen effektiven Schutz vor Zero-Day-Bedrohungen dank maschinellem Lernen und dem Austausch von Informationen zwischen den ATP-Gateways weltweit. Hierfür wurde ein ganzes neuronales Netzwerk aufgebaut.
: «При обнаружении неизвестного файла Cloud Query быстро (в течение пары секунд) проверяет его хеш-код по облачной базе данных и определяет, является он опасным или нет. Для работы данного сервиса требуется минимум сетевых ресурсов, и поэтому он не снижает производительность устройства. Эффективность защиты от угроз обеспечивает использование постоянно обновляемой облачной базы данных, в которой содержатся данные о миллиардах угроз. Облачный запрос также ускоряет работу интеллектуальных функций обнаружения новых угроз Zyxel Security Cloud, что усиливает защиту от вредоносного кода каждого межсетевого экрана ATP.»
Tabelle 1. Technische Spezifikationen der ZyWALL ATP-Serie.
Hinweise:
(1) Die tatsächliche Leistung hängt stark vom Zustand des Netzwerks und von aktiven Anwendungen ab.
(2) Die maximale Durchsatzrate basiert auf RFC 2544 (1.518-Byte UDP-Paketen).
(3) Die gemessene VPN-Durchsatzrate basiert auf RFC 2544 (1.424-Byte UDP-Paketen).
(4) AV- und IDP-Durchsatzmetriken verwenden den branchenüblichen HTTP-Leistungstest (1.460-Byte HTTP-Pakete). Die Tests wurden im Multithread-Modus durchgeführt.
(5) Bei der Messung der maximal möglichen Anzahl von Sitzungen wurde ein Industriestandard-Werkzeug — das IXIA IxLoad-Testtool — verwendet.
(6) Die Geschwindigkeit der Verbindung zu 1Gbps WAN wurde unter realen Bedingungen getestet und kann je nach Qualität der Verbindung geringfügige Abweichungen aufweisen.
(7): Nach Ablauf der Gold Pack-Laufzeit werden nur 2 AP unterstützt.
(8): Die Funktionalitäten können durch den Erwerb zusätzlicher Lizenzen für Zyxel-Dienste aktiviert oder erweitert werden.
Bitte beachten Sie die unterstützten VPN-Dienste. Fast alles, was für die Verbindung zum Hauptsitz oder zum Homeoffice benötigt wird, ist bereits „in einem Paket“ enthalten, weshalb das Gerät sowohl als Endpunkt für das Filialnetz als auch zur Unterstützung des Homeoffice Ihrer Mitarbeiter empfohlen werden kann.
Lösungen für kleine Büros
Kleine Büros können grob in zwei Gruppen unterteilt werden: eigenständige Unternehmen und Niederlassungen großer Firmen.
Selbständige sind neu gegründete Unternehmen und solche, die es voraussichtlich bleiben werden. Dazu gehören beispielsweise Designbüros, Architekturbüros und Redaktionen kleinerer Medien. Diese Geschäftsbereiche nutzen häufig Cloud-Dienste, mindestens für E-Mail und Dateifreigabe.
Niederlassungen größerer Organisationen benötigen vor allem eine stabile Verbindung zur Zentrale. Alles andere befindet sich im „Zentrum“.
Oft benötigen solche „kleinen“ Unternehmen eine einfache Benutzeroberfläche zur Verwaltung. Der Netzwerkadministrator aus der Zentrale hat häufig nicht die Möglichkeit, schnell in entfernte Regionen zu reisen, um ein Problem in einer neuen Niederlassung zu lösen. Bei lokalen kleinen Unternehmen gibt es diese Möglichkeit überhaupt nicht. Daher bleibt oft nur die Inanspruchnahme eines „Vor-Ort-Administrators“. In solchen Fällen ist ein Management nach dem Prinzip „je einfacher, desto zuverlässiger“ erforderlich.
Für kleine Büros macht es Sinn, die Modelle ZyWALL ATP100 und ZyWALL ATP200 zu verwenden.
Netzwerkgateway
ATP100 Das Hauptunterscheidungsmerkmal gegenüber dem größeren Modell ( .
ATP200) — es ist darauf ausgelegt, eine geringere Belastung zu tragen und hat keine Halterung für 19-Zoll-Racks. Empfohlen für Home Offices, kleine Unternehmen, Filialen usw.
Abbildung 1. ZyWALL ATP100.
Zu den Konstruktionsmerkmalen: ATP100 und ATP200 sind lüfterlose Modelle. Das hat mehrere Vorteile: Erstens, es gibt keinen Lärm; zweitens, es ist kein Austausch des Lüfters erforderlich. Bei einem 'kommenden Admin' ist das ein wichtiger Punkt.
Abbildung 2. ZyWALL ATP200.
Das Modell ATP200 unterstützt zwei WAN-Ports und kann mit zwei unabhängigen Leitungen verbunden werden, z. B. von verschiedenen Anbietern.
Wie bereits erwähnt, ist für ein kleines Büro nach einer stabilen Stromversorgung die zuverlässige Verbindung das Wichtigste. Leider können lokale Anbieter nicht immer eine Störungsgarantie geben. Man muss nach alternativen Optionen suchen.
WICHTIG! Neben den speziellen WAN-Ports verfügen die ATP-Modelle auch über USB-Ports, an die USB-Modems angeschlossen werden können, um sie als WAN zu nutzen. Diese Möglichkeit besteht bei allen ATP-Modellen.
Wenn das Gerät einen SFP-Port hat, kann dieser ebenfalls als WAN genutzt werden. Diese Funktion steht bei allen ATP-Modellen zur Verfügung.
Ein solcher Tipp von Zyxel.
Mittelständische Unternehmen
Für mittelgroße Unternehmen hat Zyxel ein solides Gerät —
Dies ist ein Gateway der nächsten Generation mit erweiterten Schutzmöglichkeiten gegen sich weiterentwickelnde Bedrohungen.
Einige interessante Funktionen:
Sieben konfigurierbare Ports ermöglichen eine flexible Einrichtung, beispielsweise 2 WAN-, 2 DMZ- und 3 LAN-Ports bei der Verbindung von 3 separaten VLANs für die interne Nutzung. Zudem gibt es 1 SFP-Port.
Abbildung 3. ZyWALL ATP500.
Es besteht die Möglichkeit, im Hochverfügbarkeitsmodus Device HA Pro mit zwei ZyWALL ATP500 zu arbeiten. Wenn einer ausfällt, sorgt der andere weiterhin für die Verbindung.
Nutzen Sie die Funktionen des ATP500 in vollem Umfang, um eine flexible,
hoch zuverlässige und sichere Verbindung zur Außenwelt oder zu einem einzelnen Knoten, wie etwa der
Zentrale.
Für größere Büros
empfiehlt sich das leistungsstärkste Modell dieser Reihe — ATP800.
Dieses Modell verfügt über eine anständige Anzahl von Ports: 12 RJ-45 und 2 SFP, die alle im WAN-, LAN- oder DNZ-Modus konfiguriert werden können. Dies ermöglicht die Nutzung mehrerer WLANs, die Einrichtung mehrerer DMZs und bietet zusätzlich die Möglichkeit, einen Zugang zum externen Netzwerk für komplexe interne Infrastrukturen zu schaffen. Ideal für größere Büros mit einem entwickelten Netzwerk sowie hohen Sicherheits- und Zugangsanforderungen.
Abbildung 4. ZyWALL ATP800.
Es ist auch erwähnenswert, dass dieses Modell mit Blick auf zukünftiges Wachstum empfohlen wird. Wenn ein Wachstum des Unternehmens, wie die Entwicklung eines lokalen Filialnetzwerks, geplant ist, macht es Sinn, sofort ein leistungsstärkeres Modell zu kaufen, um nicht doppelt Geld auszugeben.
Selbst unter den einfachsten Bedingungen lässt sich ein gutes Niveau an Schutz, Ausfallsicherheit und Flexibilität im Betrieb gewährleisten.
Technischer Support, Beratung, Diskussionen, Nachrichten, Aktionen und Ankündigungen — in unserem Telegram!
Nützliche Links
Quelle: habr.com
