In diesem Artikel wird auf die Probleme eingegangen, die bei der Organisation von Netzwerk-Infrastrukturen auf traditionelle Weise auftreten, sowie auf die Lösungsansätze mithilfe von Cloud-Technologien.
Zur Information. Nebula ist eine SaaS-Cloud-Umgebung, die für die Fernverwaltung von Netzwerk-Infrastrukturen vorgesehen ist. Alle Geräte, die Nebula unterstützen, werden über eine sichere Verbindung aus der Cloud verwaltet. So kann eine große, verteilte Netzwerk-Infrastruktur von einem einzigen zentralen Punkt aus verwaltet werden, ohne dass zusätzliche Aufwand für den Aufbau erforderlich ist.
Wozu benötigt man einen weiteren Cloud-Service?
Das Hauptproblem bei der Arbeit mit Netzwerk-Infrastrukturen liegt nicht im Design des Netzwerks oder in der Beschaffung der Hardware, und auch nicht im Rack-Montage, sondern in all dem, was danach mit diesem Netzwerk erledigt werden muss.
Neues Netzwerk — alte Herausforderungen
Bei der Inbetriebnahme eines neuen Netzwerk-Components nach der Installation und dem Anschluss der Geräte beginnt die Erstkonfiguration. Aus Sicht des „obersten Managements“ ist das nicht kompliziert: „Wir nehmen die Betriebsdokumentation des Projekts und fangen an, alles einzurichten...“ Das klingt ganz einfach, solange sich alle Netzwerkkomponenten im selben Rechenzentrum befinden. Wenn sie jedoch über verschiedene Standorte verteilt sind, wird es kompliziert, den Remote-Zugang zu gewährleisten. So entsteht ein Teufelskreis: Um einen Remote-Zugang über das Netzwerk zu erhalten, muss die Netzwerktechnologie konfiguriert werden, dafür ist aber der Netzwerkzugang erforderlich...
Es müssen verschiedene Strategien entwickelt werden, um aus der beschriebenen Sackgasse herauszukommen. Beispielsweise wird ein Laptop, der über ein USB 4G-Modem Zugang zum Internet hat, über ein Patchkabel mit dem konfigurierbaren Netzwerk verbunden. Auf diesem Laptop wird ein VPN-Client eingerichtet, über den der Netzwerkadministrator aus der Zentrale versucht, auf das Netzwerk der Niederlassung zuzugreifen. Das Verfahren ist nicht besonders klar – selbst wenn man den Laptop mit einem im Voraus konfigurierten VPN zur Remote-Standorte bringt und ihn bittet, ihn einzuschalten, ist es keineswegs sicher, dass alles beim ersten Mal funktioniert. Besonders wenn es um eine andere Region mit einem anderen Anbieter geht.
Daher ist die zuverlässigste Methode, einen kompetenten Experten "am anderen Ende der Leitung" zu haben, der in der Lage ist, seinen Teil gemäß dem Projekt einzurichten. Wenn so jemand nicht in der Niederlassung vorhanden ist, bleibt nur die Möglichkeit: Outsourcing oder Dienstreise.
Ein Überwachungssystem ist weiterhin erforderlich. Es muss installiert, konfiguriert und gewartet werden (mindestens sollte der Speicherplatz überwacht und regelmäßige Backups erstellt werden). Das System sollte nichts über unsere Geräte wissen, bis wir es ihm mitteilen. Dazu müssen die Einstellungen für alle Geräte eingegeben und regelmäßig auf den aktuellen Stand gehalten werden.
Es ist großartig, wenn es einen "Alleskönner" im Team gibt, der neben den spezifischen Kenntnissen eines Netzwerkadministrators auch weiß, wie man mit Zabbix oder einem ähnlichen System arbeitet. Andernfalls müssen wir entweder eine weitere Person einstellen oder den Service outsourcen.
Hinweis. Die traurigsten Missgeschicke beginnen mit den Worten: "Was soll daran so schwer sein, Zabbix (Nagios, OpenView usw.) zu konfigurieren? Ich werde es schnell einrichten und fertig!"
Von der Implementierung zur Nutzung
Lassen Sie uns ein konkretes Beispiel betrachten.
Wir haben eine Warnmeldung erhalten, dass ein WiFi-Zugangspunkt nicht antwortet.
Wo befindet er sich?
Natürlich hat ein guter Netzwerkadministrator sein eigenes Nachschlagewerk, in dem alles vermerkt ist. Die Probleme beginnen, wenn diese Informationen geteilt werden müssen. Zum Beispiel muss man schnell einen Boten schicken, um vor Ort zu klären, und dafür braucht man etwas wie: „Zugangspunkt im Geschäftsgebäude, Straße der Bauarbeiter, Haus 1, 3. Etage, Büro N 301 neben der Eingangstür unter der Decke.“
Angenommen, wir haben Glück und der Zugangspunkt wird über PoE mit Strom versorgt, und der Switch ermöglicht einen Remote-Neustart. Es ist nicht nötig zu fahren, aber man benötigt Remote-Zugriff auf den Switch. Jetzt bleibt nur noch die Portweiterleitung über PAT im Router einzurichten, sich mit VLANs für den externen Anschluss auseinanderzusetzen und so weiter. Es ist von Vorteil, wenn alles im Voraus konfiguriert ist. Die Aufgabe ist vielleicht nicht kompliziert, aber sie muss erledigt werden.
Also, der Zugangspunkt wurde neu gestartet. Hat es geholfen?
Angenommen, es liegt ein Hardwareproblem vor. Jetzt suchen wir Informationen über die Garantie, den Beginn der Nutzung und andere wichtige Details.
Was WiFi betrifft: Die Verwendung einer häuslichen WPA2-PSK-Variante, bei der ein Schlüssel für alle Geräte genutzt wird, ist in einem Unternehmensumfeld nicht empfohlen. Erstens ist ein gemeinsamer Schlüssel für alle einfach unsicher; zweitens muss, wenn ein Mitarbeiter das Unternehmen verlässt, dieser gemeinsame Schlüssel geändert und auf allen Geräten bei allen Benutzern neu eingerichtet werden. Um solche Unannehmlichkeiten zu vermeiden, gibt es WPA2-Enterprise mit individueller Authentifizierung für jeden Benutzer. Dazu wird jedoch ein RADIUS-Server benötigt – eine weitere infrastrukturelle Komponente, die überwacht und regelmäßig gesichert werden muss.
Bitte beachten Sie, dass wir in jeder Phase, sei es bei der Implementierung oder im Betrieb, Unterstützungs Systeme verwendet haben. Dazu gehören ein Laptop mit externem Internetzugang, ein Monitoring-System, eine Wissensdatenbank zu Hardware und RADIUS als Authentifizierungssystem. Neben den Netzwerkinfrastrukturen müssen auch externe Dienste gewartet werden.
In solchen Fällen hört man oft den Rat: „Lass es in die Cloud und hab keinen Stress“. Sicherlich gibt es eine Cloud-Lösung für Zabbix, vielleicht sogar eine Cloud für RADIUS und eine Cloud-Datenbank, um die Geräte aufzulisten. Das Problem ist, dass man das nicht separat, sondern „in einer Lösung“ braucht. Außerdem gibt es Fragen zur Zugangsorganisation, zur Erstkonfiguration der Geräte, zur Sicherheit und vieles mehr.
Wie sieht das bei der Nutzung von Nebula aus?
Natürlich weiß die „Cloud“ zunächst nichts über unsere Pläne oder die angeschaffte Hardware.
Zuerst wird ein Organisationsprofil erstellt. Das bedeutet, dass die gesamte Infrastruktur: Hauptsitz und Niederlassungen zunächst in der Cloud angelegt werden. Die Daten werden eingegeben, und es werden Konten zur Delegation von Berechtigungen erstellt.
Die verwendeten Geräte können auf zwei Arten in der Cloud registriert werden: auf altmodische Weise — indem die Seriennummer beim Ausfüllen des Webformulars eingegeben wird, oder indem ein QR-Code mit einem Mobiltelefon gescannt wird. Für die zweite Methode benötigt man lediglich ein Smartphone mit Kamera und Internetzugang, auch über einen Mobilfunkanbieter.
Natürlich stellt Zyxel Nebula die erforderliche Infrastruktur für die Speicherung von Informationen, sowohl für Konten als auch für Einstellungen, bereit.
Abbildung 1. Sicherheitsbericht des Nebula Control Centers.
Und was ist mit der Einrichtung des Zugriffs? Mit dem Öffnen von Ports, dem Durchleiten von Datenverkehr über das eingehende Gateway, all dem, was Sicherheitsadministratoren liebevoll 'Löcher bohren' nennen? Glücklicherweise muss das alles nicht gemacht werden. Geräte unter der Verwaltung von Nebula stellen eine ausgehende Verbindung her. Der Administrator verbindet sich nicht mit einem einzelnen Gerät, sondern mit der Cloud. Nebula fungiert als Mittelsmann zwischen zwei Verbindungen: zum Gerät und zum Computer des Netzwerkadministrators. Das bedeutet, dass die Notwendigkeit, einen einwärtigen Administrator zu rufen, auf ein Minimum reduziert oder sogar ganz vermieden werden kann. Und keine zusätzlichen 'Löcher' in der Firewall.
Und wie steht es mit dem RADIUS-Server? Es ist doch eine zentrale Authentifizierung erforderlich!
Diese Funktion übernimmt auch Nebula. Die Authentifizierung der Benutzerkonten für den Zugriff auf die Hardware erfolgt über eine sichere Datenbank. Dies erleichtert die Delegierung oder Entziehung von Verwaltungsrechten erheblich. Möchten Sie Rechte übertragen? Dann legen Sie den Benutzer an und weisen ihm eine Rolle zu. Möchten Sie Rechte entziehen? Dann führen Sie die umgekehrten Schritte aus.
Besonders erwähnenswert ist WPA2-Enterprise, für das ein separater Authentifizierungsdienst erforderlich ist. Zyxel Nebula bietet eine eigene Lösung — DPPSK, die es ermöglicht, WPA2-PSK mit einem individuellen Schlüssel für jeden Benutzer zu verwenden.
„Unbequeme“ Fragen
Im Folgenden versuchen wir, Antworten auf die häufigsten kniffligen Fragen zu geben, die oft beim Einstieg in einen Cloud-Dienst gestellt werden.
Ist das wirklich sicher?
Bei jeder Delegierung von Kontrolle und Verwaltung spielen zwei Faktoren eine entscheidende Rolle für die Sicherheit: Anonymisierung und Verschlüsselung.
Die Nutzung von Verschlüsselung zum Schutz des Datenverkehrs vor unbefugtem Zugriff ist den Lesern mehr oder weniger bekannt.
Die Anonymisierung verbirgt gegenüber dem Personal des Cloud-Anbieters Informationen über den Eigentümer und die Quelle. Persönliche Daten werden entfernt und den Aufzeichnungen wird eine „anonyme“ Identifikation zugewiesen. Weder der Entwickler der Cloud-Software noch der Administrator, der das Cloud-System betreut, kann den Eigentümer der Anfragen kennen. „Woher kommt das? Wen könnte das interessieren?“, solche Fragen bleiben unbeantwortet. Das Fehlen von Daten über den Eigentümer und die Quelle macht Insider-Wissen zu einer sinnlosen Zeitverschwendung.
Im Vergleich zu traditionellen Ansätzen wie Outsourcing oder der Beauftragung eines externen Administrators wird schnell klar, dass Cloud-Technologien sicherer sind. Ein externer IT-Spezialist kennt seine betreuende Organisation ausreichend gut und kann, ob absichtlich oder unbeabsichtigt, erhebliche Sicherheitsrisiken verursachen. Zudem muss die Frage nach der Kündigung oder dem Vertragsende geklärt werden. Manchmal bedeutet dies, neben der Sperrung oder Löschung des Kontos, auch eine umfassende Änderung der Passwörter für den Zugriff auf Dienste sowie eine Überprüfung aller Ressourcen auf „vergessene“ Zugangspunkte und mögliche „Hintertüren“.
Wie viel teurer oder günstiger ist Nebula im Vergleich zu einem Administrator, den Sie einstellen?
Alles wird im Vergleich klar. Die grundlegenden Funktionen von Nebula sind kostenlos verfügbar. Was könnte da also noch günstiger sein?
Natürlich ist es nicht möglich, vollständig ohne Netzwerkadministrator oder jemanden, der ihn ersetzt, auszukommen. Die Frage betrifft die Anzahl der Personen, ihre Spezialisierung und die Verteilung auf die Standorte.
Wenn es um die kostenpflichtige erweiterte Dienstleistung geht, ist es nicht richtig, einfach zu fragen: teurer oder günstiger? Ein solcher Ansatz wird immer ungenau und einseitig sein. Es ist sinnvoller, viele Faktoren zu vergleichen, angefangen bei den Kosten für die Bezahlung bestimmter Fachkräfte bis hin zu den Ausgaben für die Sicherstellung ihrer Interaktion mit einem Auftragnehmer oder einer Privatperson: Qualitätssicherung, Erstellung von Dokumentationen, Aufrechterhaltung des Sicherheitsstands und so weiter.
Wenn wir darüber sprechen, ob es vorteilhaft ist, ein kostenpflichtiges Dienstleistungspaket (Pro-Pack) zu erwerben, könnte die grobe Antwort folgendermaßen lauten: Wenn die Organisation klein ist, kann die Basisversion ausreichend sein. Wenn die Organisation wächst, macht es Sinn, über das Pro-Pack nachzudenken. Die Unterschiede zwischen den Versionen von Zyxel Nebula können in Tabelle 1 eingesehen werden.
Tabelle 1. Unterschiede zwischen den Funktionen der Basisversion und der Pro-Pack-Version für Nebula.
Dazu gehören erweiterte Berichte, Benutzer-Audits, Konfigurationsklonen und vieles mehr.
Wie sieht es mit dem Schutz des Datenverkehrs aus?
Nebula verwendet das Protokoll um die Sicherheit der Kommunikation mit Netzwerkgeräten zu gewährleisten.
NETCONF kann über mehrere Transportprotokolle arbeiten:
- ();
- ();
- ();
- ().
Im Vergleich zu anderen Methoden, wie z.B. der Verwaltung über SNMP, ist zu beachten, dass NETCONF eine ausgehende TCP-Verbindung unterstützt, um NAT-Probleme zu überwinden, und als zuverlässiger angesehen wird.
Wie steht es um die Unterstützung von Hardware?
Natürlich sollte man das Rechenzentrum nicht in einen Zoo mit Vertretern seltener und bedrohter Hardware verwandeln. Es ist äußerst wünschenswert, dass die Geräte, die durch die Verwaltungstechnologie verbunden sind, alle Bereiche abdecken: vom zentralen Switch bis zu den Zugangspunkten. Die Ingenieure von Zyxel haben dafür gesorgt, dass dies möglich ist. Unter Nebula sind zahlreiche Geräte im Einsatz:
- 10G-Zentral-Switches;
- Zugangs-Switches;
- PoE-Switches;
- Zugangspunkte;
- Netzwerk-Gateways.
Mit einer Vielzahl unterstützter Geräte lassen sich Netzwerke für verschiedene Aufgaben aufbauen. Dies ist besonders relevant für Unternehmen, die nicht nur wachsen, sondern auch neue Standorte für ihre Geschäftsaktivitäten erschließen.
Ständige Weiterentwicklung
Netzwerkgeräte mit herkömmlichem Managementmethoden haben nur einen Weg zur Verbesserung — die Modifikation des Geräts selbst, sei es durch neue Firmware oder zusätzliche Module. Bei Zyxel Nebula gibt es einen zusätzlichen Weg zur Optimierung — durch die Weiterentwicklung der Cloud-Infrastruktur. Nach dem Update des Nebula Control Centers (NCC) auf Version 10.1. (21. September 2020) stehen den Nutzern neue Möglichkeiten zur Verfügung, darunter:
- der Eigentümer der Organisation kann nun alle Eigentumsrechte an einen anderen Administrator derselben Organisation übertragen;
- eine neue Rolle mit der Bezeichnung „Vertreter des Eigentümers“, die dieselben Rechte wie der Eigentümer der Organisation hat;
- eine neue Funktion zur Firmware-Aktualisierung auf organisatorischer Ebene (Pro-Pack-Funktion);
- zwei neue Optionen wurden zur Topologie hinzugefügt: Gerät neu starten und Ein- und Ausschalten der PoE-Port-Stromversorgung (Pro-Pack-Funktion);
- Unterstützung neuer Modelle von Zugangspunkten: WAC500, WAC500H, WAC5302D-Sv2 und NWA1123ACv3;
- Unterstützung von Authentifizierung über Gutscheine mit QR-Code-Druck (Pro-Pack-Funktion).
Nützliche Links
Quelle: habr.com
