In diesem Artikel geht es um die Probleme, die bei der Organisation der Netzwerkinfrastruktur auf traditionelle Weise auftreten, und um die Lösungen für die gleichen Fragen mithilfe von Cloud-Technologien.
Zur Kenntnisnahme. Nebula ist eine Cloud-basierte SaaS-Umgebung für die Fernwartung von Netzwerkinfrastrukturen. Alle Geräte, die Nebula unterstützen, werden über eine sichere Verbindung aus der Cloud verwaltet. Es ist möglich, eine große verteilte Netzwerkinfrastruktur von einem einzigen Zentrum aus zu steuern, ohne große Anstrengungen für deren Aufbau aufwenden zu müssen.
Wozu benötigt man einen weiteren Cloud-Service?
Das Hauptproblem bei der Arbeit mit Netzwerkinfrastrukturen ist nicht das Design des Netzwerks und der Kauf von Ausrüstung und auch nicht die Montage im Rack, sondern alles, was danach mit diesem Netzwerk getan werden muss.
Neues Netzwerk — alte Sorgen
Beim Inbetriebnehmen eines neuen Netzwerkknotens nach Montage und Anschluss der Ausrüstung beginnt die Erstausstattung. Aus der Sicht des 'großen Chefs' — nichts Kompliziertes: 'Wir nehmen die Arbeitsdokumentation des Projekts und beginnen mit der Einrichtung…' Das klingt so einfach, wenn alle Netzwerkkomponenten in einem Rechenzentrum stehen. Wenn sie jedoch auf Niederlassungen verteilt sind, beginnt das Kopfzerbrechen mit der Bereitstellung des Remote-Zugangs. Ein Teufelskreis: Um einen Remote-Zugang über das Netzwerk zu erhalten, muss die Netzwerktechnologie konfiguriert werden, und dafür benötigt man Zugang zum Netzwerk...
Es werden verschiedene Lösungen erarbeitet, um aus dieser beschriebenen Sackgasse herauszukommen. Zum Beispiel wird ein Laptop mit Internetzugang über einen USB 4G-Modem mit einem Patchkabel an das konfigurierte Netzwerk angeschlossen. Auf diesem Laptop wird ein VPN-Client installiert, und darüber versucht der Netzwerkadministrator aus der Zentrale, auf das Netzwerk der Niederlassung zuzugreifen. Das Schema ist nicht ganz transparent — selbst wenn der Laptop mit vorab konfiguriertem VPN zur Remote-Location gebracht und gebeten wird, ihn einzuschalten, ist es längst nicht sicher, dass alles beim ersten Versuch funktioniert. Besonders wenn es sich um eine andere Region mit einem anderen Anbieter handelt.
Daher ist der zuverlässigste Weg, einen guten Experten 'am anderen Ende der Leitung' zu haben, der seinen Teil gemäß dem Projekt konfigurieren kann. Wenn es in der Niederlassung nicht solche Fachkräfte gibt, bleiben zwei Optionen: entweder Outsourcing oder Dienstreise.
Ein Monitoring-System wird ebenfalls benötigt. Es muss installiert, konfiguriert und gewartet werden (zumindest der Speicherplatz überwacht und regelmäßig Sicherungskopien erstellt werden). Und es sollte nichts über unsere Geräte wissen, bis wir es ihm mitteilen. Dafür müssen die Einstellungen für alle Geräte festgelegt werden, und die Aktualität der Einträge muss regelmäßig überprüft werden.
Es ist großartig, wenn im Team jemand ist, der neben den spezifischen Kenntnissen eines Netzwerkadministrators auch mit Zabbix oder einem ähnlichen System umgehen kann. Andernfalls müssen wir entweder eine weitere Person einstellen oder es auslagern.
Hinweis. Die traurigsten Fehlschläge beginnen mit den Worten: „Was soll das Zabbix (Nagios, OpenView usw.) einstellen? Ich werde das kurz hochfahren und fertig!“
Von der Implementierung zur Nutzung
Schauen wir uns ein konkretes Beispiel an.
Eine Alarmmeldung wurde erhalten, dass irgendwo ein WiFi-Zugangspunkt nicht antwortet.
Wo befindet er sich?
Natürlich hat ein guter Netzwerkadministrator sein eigenes Nachschlagewerk, in dem alles festgehalten ist. Die Probleme beginnen, wenn diese Informationen geteilt werden müssen. Zum Beispiel muss schnell ein Bote geschickt werden, um vor Ort zu klären, und dafür muss man etwas wie Folgendes angeben: „Zugangspunkt im Business-Center, Straße der Bauträger, Haus 1, im 3. Stock, Raum N 301 neben der Eingangstür unter der Decke.“
Angenommen, wir haben Glück und der Zugangspunkt wird über PoE mit Strom versorgt und der Switch erlaubt es, ihn remote neu zu starten. Es ist kein Fahrten notwendig, aber wir benötigen Remote-Zugriff auf den Switch. Es bleibt, die Portweiterleitung über PAT am Router zu konfigurieren, sich mit VLANs für externe Verbindungen auseinanderzusetzen usw. Es ist gut, wenn alles im Voraus konfiguriert ist. Die Aufgabe ist vielleicht nicht schwierig, aber sie muss erledigt werden.
Also, den Zugangspunkt über die Stromversorgung neu gestartet. Hat es nicht geholfen?
Angenommen, es gibt ein Problem mit der Hardware. Jetzt suchen wir Informationen über die Garantie, den Beginn der Nutzung und andere interessante Details.
Übrigens, was WiFi angeht. Die Verwendung einer Heimversion von WPA2-PSK, bei der ein Schlüssel für alle Geräte verwendet wird, wird in Unternehmensumgebungen nicht empfohlen. Erstens ist ein gemeinsamer Schlüssel für alle einfach unsicher, zweitens, wenn ein Mitarbeiter ausscheidet, muss dieser gemeinsame Schlüssel geändert und die Einstellungen auf allen Geräten für alle Benutzer neu durchgeführt werden. Um solche Unannehmlichkeiten zu vermeiden, gibt es WPA2-Enterprise mit individueller Authentifizierung für jeden Benutzer. Dafür ist jedoch ein RADIUS-Server erforderlich – eine weitere Infrastrukturkomponente, die kontrolliert, gesichert und so weiter werden muss.
Bitte beachten Sie, dass wir in jeder Phase, sei es bei der Implementierung oder im Betrieb, auf unterstützende Systeme zurückgegriffen haben. Dazu gehören ein Laptop mit „externer“ Internetverbindung, ein Überwachungssystem, eine Referenzdatenbank zu der Hardware und RADIUS als Authentifizierungssystem. Neben den Netzgeräten müssen auch externe Dienste gewartet werden.
In solchen Fällen kann der Rat gehört werden: „Gib es in die Cloud und mach dir keine Sorgen“. Sicher gibt es einen Cloud-Zabbix, möglicherweise gibt es irgendwo einen Cloud-RADIUS und sogar eine Cloud-Datenbank, um die Liste der Geräte zu führen. Das Problem ist, dass dies nicht getrennt, sondern „in einem Paket“ benötigt wird. Und es stellen sich dennoch Fragen zur Zugangsorganisation, zur Erstkonfiguration der Geräte, zur Sicherheit und vieles mehr.
Wie sieht das bei der Verwendung von Nebula aus?
Natürlich weiß die „Cloud“ zunächst nichts über unsere Pläne oder die angeschaffte Hardware.
Zuerst wird ein Organisationsprofil erstellt. Das heißt, die gesamte Infrastruktur: Hauptsitz und Niederlassungen werden zunächst in der Cloud erfasst. Die Daten werden angegeben, und Benutzerkonten zur Delegierung von Befugnissen werden erstellt.
Die Registrierung der verwendeten Geräte in der Cloud kann auf zwei Arten erfolgen: auf die altmodische Weise, indem die Seriennummer beim Ausfüllen des Webformulars eingetragen wird, oder indem ein QR-Code mit einem Mobiltelefon gescannt wird. Für die zweite Methode benötigt man lediglich ein Smartphone mit Kamera und Internetzugang, auch über einen Mobilfunkanbieter.
Selbstverständlich stellt Zyxel Nebula die erforderliche Infrastruktur zur Speicherung von Informationen, sowohl von Kontoinformationen als auch von Einstellungen, bereit.
Abb. 1. Sicherheitsbericht des Nebula Control Centers.
Und was ist mit der Zugriffskonfiguration? Mit dem Öffnen von Ports, dem Durchleiten von Traffic durch das eingehende Gateway, all dem, was Sicherheitsadministratoren liebevoll „Löcher bohren“ nennen? Glücklicherweise ist das alles nicht notwendig. Geräte, die von Nebula verwaltet werden, stellen eine ausgehende Verbindung her. Der Administrator verbindet sich zur Konfiguration nicht mit einem einzelnen Gerät, sondern mit der Cloud. Nebula agiert als Vermittler zwischen zwei Verbindungen: zur Peripherie und zum Computer des Netzwerkadministrators. Das bedeutet, dass der Schritt mit dem Anruf des administrativen Badges minimiert oder ganz weggelassen werden kann. Und es sind keine zusätzlichen „Löcher“ in der Firewall erforderlich.
Und was ist mit dem RADUIS-Server? Schließlich benötigt man eine zentrale Authentifizierung!
Diese Funktion übernimmt auch Nebula. Die Authentifizierung von Benutzerkonten für den Zugriff auf die Geräte erfolgt über eine geschützte Datenbank. Das vereinfacht die Delegation oder den Entzug von Zugriffsrechten erheblich. Möchten Sie Rechte übertragen — erstellen Sie einen Benutzer und weisen Sie eine Rolle zu. Möchten Sie Rechte entziehen — führen Sie die umgekehrten Schritte aus.
Separat erwähnenswert ist WPA2-Enterprise, für das ein eigener Authentifizierungsdienst erforderlich ist. Zyxel Nebula hat ein eigenes Pendant — DPPSK, das die Verwendung von WPA2-PSK mit einem individuellen Schlüssel für jeden Benutzer ermöglicht.
„Unbequeme“ Fragen
Im Folgenden versuchen wir, Antworten auf die kniffligsten Fragen zu geben, die oft beim Einstieg in den Cloud-Service gestellt werden.
Ist das wirklich sicher?
Bei jeder Delegierung von Kontrolle und Management spielen zwei Faktoren eine wichtige Rolle für die Sicherheit: Anonymisierung und Verschlüsselung.
Der Einsatz von Verschlüsselung zum Schutz des Traffics vor unbefugten Blicken ist den meisten Lesern mehr oder weniger bekannt.
Anonymisierung verbirgt vor dem Personal des Cloud-Anbieters Informationen über den Eigentümer und die Quelle. Persönliche Daten werden entfernt und den Aufzeichnungen wird ein „anonymer“ Identifikator zugewiesen. Weder der Entwickler der Cloud-Software noch der Administrator, der das Cloud-System betreut, können den Eigentümer der Anfragen kennen. „Woher kommt das? Wen könnte das interessieren?“, solche Fragen bleiben unbeantwortet. Das Fehlen von Daten über den Eigentümer und die Quelle macht Insiderwissen zu einer sinnlosen Zeitverschwendung.
Im Vergleich zu der traditionellen Praxis der Auslagerung oder der Anstellung eines externen Administrators ist offensichtlich, dass Cloud-Technologien sicherer sind. Ein externer IT-Spezialist kennt seine betreute Organisation recht gut und könnte unbeabsichtigt erheblichen Schaden im Hinblick auf die Sicherheit anrichten. Es muss auch die Frage der Kündigung oder der Vertragsbeendigung geklärt werden. Manchmal zieht dies, neben der Sperrung oder Löschung des Kontos, eine globale Passwortänderung für den Zugriff auf die Dienste nach sich sowie eine Überprüfung aller Ressourcen auf vergessene Einstiegspunkte und mögliche Hintertüren.
Ist Nebula teurer oder günstiger als ein externer Administrator?
Alles erkennt man im Vergleich. Die grundlegenden Funktionen von Nebula sind kostenlos verfügbar. Was könnte also noch günstiger sein?
Natürlich wird man nicht vollständig auf einen Netzwerkadministrator oder eine ihn ersetzende Person verzichten können. Es geht um die Anzahl der Personen, deren Spezialisierung und ihre Verteilung auf verschiedene Standorte.
Was den kostenpflichtigen erweiterten Service angeht, so ist es nicht ganz korrekt, direkt zu fragen: teurer oder günstiger — dieser Ansatz wird immer ungenau und einseitig sein. Es ist besser, viele Faktoren zu vergleichen, angefangen bei den Kosten für die Bezahlung bestimmter Fachkräfte bis hin zu den Ausgaben für die Gewährleistung ihrer Zusammenarbeit mit dem Auftragnehmer oder der Privatperson: Qualitätskontrolle, Erstellung von Dokumentationen, Aufrechterhaltung des Sicherheitsniveaus und so weiter.
Wenn es um die Frage geht, ob es sinnvoll ist, ein kostenpflichtiges Dienstleistungspaket (Pro-Pack) zu erwerben, könnte die grobe Antwort so lauten: Wenn die Organisation klein ist, kann man mit der Basisversion auskommen; wenn die Organisation wächst, sollte man über das Pro-Pack nachdenken. Die Unterschiede zwischen den Versionen von Zyxel Nebula sind in Tabelle 1 zu finden.
Tabelle 1. Unterschiede zwischen den Funktionssätzen der Basisversion und der Pro-Pack-Version für Nebula.
Das beinhaltet erweiterte Berichterstattung, Benutzerüberwachung, Konfigurationsklonung und vieles mehr.
Und wie steht es mit dem Schutz des Datenverkehrs?
Nebula verwendet das Protokoll um die Sicherheit im Umgang mit Netzwerkgeräten zu gewährleisten.
NETCONF kann über mehrere Transportprotokolle hinweg arbeiten:
- ();
- ();
- ();
- ().
Im Vergleich von NETCONF zu anderen Methoden, wie der Verwaltung über SNMP, ist zu beachten, dass NETCONF unterstützt ausgehende TCP-Verbindungen, um NAT-Barrieren zu überwinden, und gilt als zuverlässiger.
Wie sieht es mit der Unterstützung von Hardware aus?
Natürlich sollte man das Rechenzentrum nicht in einen Zoo mit Vertretern seltener und bedrohter Hardwarearten verwandeln. Es ist äußerst wünschenswert, dass die Geräte, die durch das Management-System verbunden sind, alle Richtungen abdecken: vom zentralen Switch zu den Zugangspunkten. Die Ingenieure von Zyxel haben sich um diese Möglichkeit gekümmert. Unter der Verwaltung von Nebula arbeiten viele Geräte:
- 10G zentrale Switches;
- Zugangsswitches;
- Switches mit PoE;
- Zugangspunkte;
- Netzwerkschnittstellen.
Durch die Verwendung einer breiten Palette unterstützter Geräte können Netzwerke für verschiedene Aufgaben erstellt werden. Dies ist besonders relevant für Unternehmen, die nicht in die Höhe, sondern in die Breite wachsen und ständig neue Standorte für ihre Geschäfte erschließen.
Ständige Entwicklung
Netzwerkgeräte mit der traditionellen Verwaltungsart haben nur einen Weg zur Verbesserung – die Änderung des Geräts selbst, sei es durch neue Firmware oder zusätzliche Module. Im Fall von Zyxel Nebula gibt es einen weiteren Weg zur Verbesserung – durch die Optimierung der Cloud-Infrastruktur. Zum Beispiel stehen nach dem Update des Nebula Control Centers (NCC) auf Version 10.1 (21. September 2020) den Nutzern neue Möglichkeiten zur Verfügung, hier einige davon:
- Der Eigentümer der Organisation kann nun alle Eigentumsrechte an einen anderen Administrator in derselben Organisation übertragen;
- eine neue Rolle namens „Vertreter des Eigentümers“, die die gleichen Rechte wie der Eigentümer der Organisation hat;
- eine neue Funktion zur Firmware-Aktualisierung auf Organisationsebene (Pro-Pack-Funktion);
- zwei neue Optionen wurden zur Topologie hinzugefügt: Neustart des Geräts und Ein- und Ausschalten der PoE-Port-Stromversorgung (Pro-Pack-Funktion);
- Unterstützung neuer Modelle von Zugangspunkten: WAC500, WAC500H, WAC5302D-Sv2 und NWA1123ACv3;
- Unterstützung der Authentifizierung über Gutscheine mit QR-Code-Druck (Pro-Pack-Funktion).
Nützliche Links
Quelle: habr.com
