Was bleibt im Serverraum?

Viele Organisationen nutzen Cloud-Dienste oder verlagern Hardware in
Rechenzentren. Was macht es sinnvoll, im Serverraum zu belassen, und wie sollte der Schutz des Büro-Netzwerkperimeters in einer solchen Situation organisiert werden?

Früher war alles auf einem Server.

Zu Beginn der Entwicklung des Runet lösten die meisten Unternehmen das IT-Infrastrukturproblem nach einem ähnlichen Schema: Es wurde ein Raum bereitgestellt, in den eine Klimaanlage installiert wurde und wo fast alle Netzwerk- und Servergeräte konzentriert waren.

Der Systemadministrator konfigurierte einen oder mehrere Server auf FreeBSD, Linux oder OpenSolaris u.ä. Anschließend wurden auf diesem "Besitz" die erforderlichen Dienste gestartet: vom Webserver, über die Unternehmenspost bis hin zu Dateiaustauschdiensten.

Wenn ein Unternehmen wächst und sich entwickelt, sieht es zwangsläufig mit der Situation konfrontiert, dass der Serverraum den Anforderungen nicht mehr entspricht. Wenn Geld vorhanden ist, kann ein eigenes Rechenzentrum gebaut werden. Es kann jedoch wirtschaftlicher sein, Racks in kommerziellen Rechenzentren zu mieten. Eine qualitativ hochwertige Stromversorgung basierend auf DRUPS, ein industrielles Klimatisierungssystem und ein voll besetztes Team von spezialisierten Fachkräften sind Dinge, die im Fall eines Büro-Serverraums kaum verfügbar sind.

Nach dem großen Geschäft vollzieht sich im Bewusstsein der Führung mittelständischer und kleinerer Unternehmen nach und nach der Wandel von der Psychologie "Alles, was ich habe, trage ich selbst" und "Mein Zuhause ist meine Festung" zu "es nach außen zu geben und keinen Stress zu haben".

Für kleine Unternehmen ist eine solche "nach außen gegebene" Option die Cloud-Anbieter geworden. Wenn früher für ein Unternehmen mit 40 Mitarbeitern der Besitz eines eigenen Mailservers selbstverständlich war, zieht heute ein Dienst von Google all jene an, die zuvor nicht ohne eigenen Sendmail oder Postfix arbeiten konnten.

Virtuelle Systeme haben bei dieser "Umsetzung" große Hilfe geleistet. Musste man vor deren Erscheinen einen physischen Server vollständig transportieren oder alles auf neuer "Hardware" einrichten, genügt es jetzt, das Abbild einer virtuellen Maschine zu übertragen.

Was bleibt also in jenem kleinen klimatisierten Raum?

Zunächst einmal handelt es sich um Netzwerkgeräte. Sowohl aktive als auch passive. Oft wird unter dem auffälligen Namen „Serverraum“ ein Kreuzungspunkt mit Resten von Netzwerkgeräten verstanden. Und für solche Fälle ist kein spezieller Raum mit einer leistungsstarken Klimaanlage, Stromversorgung und so weiter erforderlich.

Die zweite Gerätegruppe, die derzeit schwer aus dem Serverraum zu entfernen ist — das sind die Gateways
der Sicherheit.

Aber welche Gateways sind das? Wie bereits erwähnt, wenn der Systemadministrator in der nicht allzu fernen Vergangenheit ein oder mehrere Server zur Verfügung hatte, auf denen man alles entfalten konnte, was das Herz begehrt, könnte es heutzutage an einem solchen Luxus fehlen.

Die Notwendigkeit, sich gegen externe Bedrohungen zu schützen, ist jedoch nicht verschwunden. Man kann alle Dienste und notwendigen Geräte natürlich komplett in ein Rechenzentrum verlagern und den Datenverkehr von einem solchen Gateway über einen geschützten Kanal, zum Beispiel über VPN, zur Bürokreuzung leiten.
Solch ein Schema sieht auf den ersten Blick attraktiv aus, wäre da nicht die erhöhte Last auf den bestehenden Kanälen. Wenn man nicht bereit ist, für einen „breiteren“ Kanal zu bezahlen, ist das nicht ganz das, was man braucht.

Eine andere Möglichkeit wäre der Erwerb eines spezialisierten Geräts zum Schutz des Datenverkehrs, dessen Architektur aufgrund der engen Ausrichtung ohne leistungsstarke, energiehungrige und hitzeproduzierende Komponenten auskommt.

Ein „Zoo“ ist nicht nötig

In Abwesenheit eines klassischen Serverraums ist es viel besser, gleich mehrere Dienste „in-einer-Box“ zu bekommen, als einen „Zoo“ in einem kleinen Raum oder sogar in einem kleinen Kreuzungsschrank zu etablieren. Gleichzeitig sollte die Lösung kostengünstig, erprobt und eine ordentliche Unterstützung in russischer Sprache haben.

Hinweis. Wir sprechen hier von ganz kleinen, mittleren und größeren Büros. Große Unternehmen, die ihre eigenen Rechenzentren bauen, betrachten wir vorerst nicht — in einem Artikel ist es „unmöglich, das Unfassbare zu fassen“.

Und für jeden Fall hat Zyxel bereits eine Lösung, und zwar in einem Produktsortiment. Mit anderen Worten, ein „Zoo“ ist nicht nötig.

ZyWALL ATP Sicherheitsgateways

Früher haben wir schon über die Funktionsweise solcher Geräte am Beispiel von ZyWALL ATP200, Ihr Hauptmerkmal besteht in der Kombination einer Firewall mit dem Sicherheitsdienst Zyxel Cloud. Durch diese Aufgabenverteilung löst ZyWALL ATP eine ziemlich breite Palette von Fragen zum Perimeterschutz, ohne zusätzliche Hardware-Ressourcen zu benötigen.

Die Liste der Schutzfunktionen ist ziemlich umfangreich (siehe Tabelle 1) und umfasst die SecuReporter-Analysetools und Sandbox — eine „Sandbox“ zur Voranalyse heruntergeladener Inhalte.

Es ist erneut hervorzuheben — in diesem Fall übertragen wir die Dienste einfach von dem lokalen Büro in die Cloud. Alles andere erledigt Zyxel Cloud im anonymen Modus. Neben der Bequemlichkeit sorgt dieser Ansatz für einen effektiven Schutz vor Zero-Day-Bedrohungen durch maschinelles Lernen und den Informationsaustausch zwischen ATP-Gateways weltweit. Für den Schutz wurde ein ganzes neuronales Netzwerk aufgebaut.

Zitat: „Wenn eine unbekannte Datei erkannt wird, überprüft Cloud Query schnell (innerhalb von wenigen Sekunden) deren Hash-Code in der Cloud-Datenbank und bestimmt, ob sie gefährlich ist oder nicht. Für den Betrieb dieses Dienstes sind minimale Netzwerkressourcen erforderlich, weshalb die Leistung des Geräts nicht beeinträchtigt wird. Die Wirksamkeit des Schutzes vor Bedrohungen wird durch den Einsatz einer ständig aktualisierten Cloud-Datenbank gewährleistet, die Daten über Milliarden von Bedrohungen enthält. Der Cloud-Abfrage beschleunigt zudem die Arbeit der intelligenten Funktionen zur Erkennung neuer Bedrohungen von Zyxel Security Cloud, was den Schutz vor Malware für jede ATP-Firewall verstärkt.“

Tabelle 1. Technische Spezifikationen der ZyWALL ATP-Serie.

Hinweise:

(1) Die tatsächliche Leistung hängt stark vom Zustand des Netzwerks und von aktiven Anwendungen ab.

(2) Die maximale Durchsatzrate basiert auf RFC 2544 (1.518-Byte-UDP-Pakete).

(3) Der gemessene Durchsatz der VPN basiert auf RFC 2544 (1.424-Byte-UDP-Pakete).

(4) AV- und IDP-Metriken des Durchsatzes verwenden den industriellen Standard-HTTP-Leistungstest (1.460-Byte-HTTP-Pakete). Die Tests wurden im Mehrthreading-Modus durchgeführt.

(5) Bei der Messung der maximal möglichen Anzahl von Sitzungen wurde ein industrieller Standard-Test - IXIA IxLoad-Testtool - verwendet.

(6) Die Testergebnisse für die Verbindungsgeschwindigkeit mit 1 Gbps WAN wurden unter realen Bedingungen durchgeführt und können je nach Qualität des Kanals geringfügige Abweichungen aufweisen.

(7): Nach Ablauf der Gültigkeit des Gold Packs werden nur noch 2 AP unterstützt.

(8): Die Funktionalitäten können durch den Erwerb zusätzlicher Lizenzen für Zyxel-Dienste aktiviert oder erweitert werden.

Beachten Sie das unterstützte Set an VPN-Diensten. Praktisch alles Nötige für die Verbindung mit der Zentrale oder dem Home Office gibt es bereits „in einem Paket“. Daher kann dieses Gerät sowohl als Endpunkt für Filialen als auch zur Unterstützung der Fernarbeit von Mitarbeitern empfohlen werden.

Lösungen für kleine Büros

Kleine Büros lassen sich grob in zwei Gruppen unterteilen: eigenständige Unternehmen und Filialen großer Firmen.

Eigenständige sind neu gegründete Unternehmen und solche, die voraussichtlich klein bleiben werden. Zum Beispiel Designbüros, Architekturstudios, Redaktionen kleiner Medien und so weiter. Solche Unternehmen nutzen oft Cloud-Dienste, mindestens E-Mail und File-Sharing.

Filialen größerer Organisationen — für sie ist es wichtig, eine stabile Verbindung zum Hauptbüro zu haben. Alles andere befindet sich im „Zentrum“.

Oft benötigen solche „Kleinen“ eine einfache Benutzeroberfläche zur Verwaltung. Der Netzwerkadministrator aus der Zentrale hat häufig nicht die Möglichkeit, schnell in die Ferne zu reisen, um die Probleme einer neuen Filiale zu lösen. Lokalen kleinen Unternehmen fehlt diese Möglichkeit ganz. Daher greifen sie auf die Dienste eines „zuvor kommenden
Administrators“ zurück. Für solche Fälle ist eine Verwaltung nach dem Prinzip „je einfacher — desto zuverlässiger“ erforderlich.

Für kleine Büros lohnt es sich, die Modelle ZyWALL ATP100 und ZyWALL ATP200 zu verwenden.

Netzwerkschalter ATP100 wurde relativ neu eingeführt, ist aber bereits auf dem Markt. den Verkauf.

Der Hauptunterschied zu seinem älteren Bruder (ATP200) besteht darin, dass er für eine geringere Last ausgelegt ist und keine 19-Zoll-Rack-Befestigung hat. Eignet sich für Home Offices, kleine Unternehmen, Filialen und so weiter.

Abbildung 1. ZyWALL ATP100.

Zu den konstruktiven Merkmalen: ATP100 und ATP200 sind lüfterlose Modelle. Was daran gut ist: Erstens, es gibt keinen Lärm, und zweitens ist es nicht notwendig, den Lüfter auszutauschen. In einer Situation mit einem „zuvor kommenden Administrator“ ist dies ein wichtiger Aspekt.

Abbildung 2. ZyWALL ATP200.

Das Modell ATP200 unterstützt zwei WAN-Ports und kann an zwei unabhängige Leitungen angeschlossen werden, beispielsweise von verschiedenen Anbietern.

Wie bereits erwähnt, ist für ein kleines Büro das Wichtigste nach einer stabilen Stromversorgung eine zuverlässige Verbindung. Leider können lokale Anbieter nicht immer eine unterbrechungsfreie Versorgung garantieren. Man muss nach Alternativen suchen.

WICHTIG! Neben speziellen WAN-Ports verfügen die Modelle ATP über USB-Ports, an die USB-Modems angeschlossen werden können, um sie als WAN zu nutzen. Diese Möglichkeit steht allen ATP-Modellen zur Verfügung.

Wenn das Gerät einen SFP-Port hat, kann dies ebenfalls als WAN verwendet werden. Diese Funktion steht allen ATP-Modellen zur Verfügung.

Hier ist ein Lifehack von Zyxel.

Mittlere Unternehmen

Für mittlere Unternehmen hat Zyxel ein gutes Gerät — ZyWALL ATP500

Dies ist ein Gateway der neuen Generation mit erweiterten Schutzmaßnahmen gegen sich entwickelnde Bedrohungen.

Einige interessante Merkmale:

7 konfigurierbare Ports ermöglichen eine flexible Konfiguration, z. B. 2 WAN, 2 DMZ und 3 LAN-Ports beim Anschluss von 3 separaten VLANs für die interne Nutzung. Es gibt auch 1 SFP-Port.

Abbildung 3. ZyWALL ATP500.

Es besteht die Möglichkeit, im Hochverfügbarkeitsmodus Device HA Pro aus zwei ZyWALL ATP500 zu arbeiten. Wenn einer nicht funktionsfähig ist, sorgt der andere weiterhin für die Verbindung.

Mit den Funktionen des ATP500 optimal genutzt, kann man eine flexible,
hochzuverlässige, sichere Verbindung zur Außenwelt oder zu einem bestimmten Knotenpunkt, wie
dem Hauptsitz, erhalten.

Größere Büros

Für diese wird die leistungsstärkste Variante dieser Reihe empfohlen — ATP800.

Dieses Modell hat eine respektable Anzahl von Ports: 12 RJ-45 und 2 SFP, die alle im WAN-, LAN- oder DNZ-Modus konfiguriert werden können, was die Nutzung mehrerer WLANs ermöglicht, mehrere DMZs einzurichten und darüber hinaus die Möglichkeit bietet, auf ein externes Netzwerk für eine komplexe interne Infrastruktur zuzugreifen. Es eignet sich für relativ große Büros mit einem entwickelten Netzwerk und hohen Sicherheits- sowie Zugangsanforderungen.

Abbildung 4. ZyWALL ATP800.

Es ist auch erwähnenswert, dass dieses Modell mit einer „Wachstumstendenz“ empfohlen wird. Wenn ein Unternehmenswachstum vorgesehen ist, z. B. die Entwicklung eines lokalen Filialnetzes, macht es Sinn, gleich ein leistungsstärkeres Modell zu erworben, um kein Geld zweimal auszugeben.

Wie wir sehen, kann auch unter den einfachsten Bedingungen ein hohes Maß an Schutz, Ausfallsicherheit und Flexibilität gewährleistet werden.

Technischer Support, Tipps, Diskussionen, Nachrichten, Aktionen und Ankündigungen — Treten Sie bei uns auf Telegram bei!

Nützliche Links

1. Kolokation: wie, warum und weshalb

2. Frühstück essen Sie selbst, teilen Sie die Arbeit mit der „Cloud“

3. Seite der Sicherheitsfirewall ZyWALL ATP100

4. Seite der Sicherheitsfirewall ZyWALL ATP200

5. Seite der Sicherheitsfirewall ZyWALL ATP500

6. Seite der Sicherheitsfirewall ZyWALL ATP800

7. Unser Dienst ist sowohl gefährlich als auch herausfordernd, oder Zyxel ATP500

Quelle: habr.com