Jeder Unternehmer strebt danach, die Kosten zu senken. Das gilt auch für die IT-Infrastruktur.
Beim Eröffnen eines neuen Büros bekommt man es mit aufgeregten Mitarbeitern zu tun. Man muss organisieren:
- ein lokales Netzwerk;
- Zugang zum Internet. Am besten mit Redundanz über einen zweiten Anbieter;
- VPN zum Hauptsitz (oder zu allen Filialen);
- HotSpot für Kunden mit SMS-Authentifizierung;
- Verkehrsfilterung, damit Mitarbeiter nicht in sozialen Netzwerken surfen und in Skype chatten;
- Netzwerkschutz vor Viren und Angriffen. Intrusion Detection/Prevention Systems (IDS/IPS) müssen sichergestellt werden;
- einen eigenen Mailserver (wenn man nicht irgendwelchen pdd.yandex.ru vertraut) mit Antivirus und Antispam;
- einen Dateiserver;
- Wahrscheinlich benötigen Sie Telefonie, d. h. eine Telefonanlage organisieren, an einen SIP-Anbieter anschließen und andere Annehmlichkeiten …
Aber so ein Unternehmensnetzwerk kann kein einfacher IT-Techniker aufbauen… Teuren Systemadministrator einstellen?
Es zeichnet sich eine sehr hohe Zahl in Rubel aufgrund der zukünftigen Ausgaben ab.
Aber diese Ausgaben können erheblich gesenkt werden, wenn man auf UTM-Lösungen, von denen es heutzutage eine große Anzahl gibt. Da ich die Strategie „je einfacher, desto besser“ für die Lösung meiner Aufgaben befolge, fiel mein Blick auf UTM (IKS).
Wie dieses System helfen kann, das Budget des Unternehmens zu sparen und warum für seine Wartung kein teurer Systemadministrator notwendig ist, erläutere ich unten.
Aber um es vorwegzunehmen: Es handelt sich um ein spezifisches Produkt mit seinen eigenen Einschränkungen. Um die Möglichkeiten des Gateways detaillierter zu bewerten, kann man .
Ich habe es für diesen Artikel „auf Russisch“ konfiguriert, also ohne in die Handbücher zu schauen, um zu verstehen, wie intuitiv alles ist.
Die erste Installation
IKS kann sowohl auf echter Hardware als auch in einem Hypervisor installiert werden. Man kann einen lüfterlosen PC verwenden.Zum Beispiel so einen.
Das System basiert auf und sollte auf den meisten Geräten problemlos laufen.
Die Installation erfolgt auf einer leeren Festplatte. Genauer gesagt, wenn etwas darauf war, können Sie sich von diesem verabschieden.Leider unterstützt der Installer nur die englische Sprache. Aber nach der Installation kann die Hauptoberfläche auf Russisch sein.
Auch die Hochverfügbarkeit wurde nicht vergessen.Wenn im System mehrere Festplatten vorhanden sind, können sie mit ZFS in einem RAID zusammengeschlossen werden.
Wir wählen die Netzwerkschnittstelle und weisen eine IP aus dem gewählten Netzwerk zu.
Geben Sie einen echten Domainnamen an, wenn Sie beispielsweise einen Mailserver einrichten möchten. Wenn dies momentan nicht notwendig ist, können Sie auch einen beliebigen Namen wählen. Im weiteren Verlauf können Sie dies im Interface anpassen.
Fertig! Sie können sich über das Webinterface unter der in den Einstellungen angegebenen IP-Adresse und Port 81 anmelden. DHCP ist zu diesem Zeitpunkt noch nicht aktiviert, daher müssen Sie eine IP-Adresse manuell aus demselben Netzwerk auf Ihrem PC zuweisen.
Verbinden Sie mit dem Internet und verknüpfen Sie die Büros.
Beim ersten Login startet der Assistent, der Sie dazu zwingt, ein sicheres Passwort festzulegen.
Assistent
Danach gehen wir in die Netzwerkeinstellungen
und konfigurieren die Verbindung zu unserem Provider und die Rollen aller Netzwerkinterfaces.
Sie können mehrere Provider konfigurieren und eine Lastverteilung einrichten.
Übrigens, wenn Ihnen die englische Benutzeroberfläche nicht gefällt, können Sie diese hier leicht ändern.
Wenn es erforderlich ist, das Büro beispielsweise mit der Zentrale zu verbinden. Erstellen wir eine neue Verbindung
und richten die Routen zu den Ressourcen im entfernten Netzwerk ein.
Sie können die dynamische Routenübertragung jedoch vergessen — die ist hier nicht vorhanden.
Vielleicht bin ich etwas zu kritisch, aber ich finde das einen großen Nachteil…
Zugang zum Internet für Mitarbeiter
Die Hauptaufgabe des Gateways besteht meist darin, den Internetzugang der Mitarbeiter zu kontrollieren.
Mitarbeiter können sowohl per IP/MAC als auch per Benutzername/Passwort über einen Agenten oder ein Captive Portal identifiziert werden.
Wenn in Ihrer Organisation Active Directory verwendet wird, kann IKSP auch mit diesem integriert werden.
Die Filterungseinstellungen (wo Mitarbeiter hin und wo nicht) sind sehr umfangreich.
Eine riesige Anzahl von vordefinierten Regelvorlagen:
Es kann erlaubt werden, YouTube zu nutzen, aber das Hochladen von Videos dorthin kann verboten werden.
Aber es kann auch nicht eingeschränkt werden, und IKSP wird trotzdem umfassende Berichte bereitstellen, wo jeder hin und wo er war:
Und wie steht es mit dem Gäste-Wi-Fi?
Das Gäste-Wi-Fi kann ebenfalls unter Berücksichtigung der Anforderungen des russischen Gesetzes zur verpflichtenden Identifikation der Nutzer eingerichtet werden.
IKSP unterstützt den SMS-Versand über das SMPP-Protokoll mit jedem SMS-Anbieter.
Telefonie.
Ja, ja! Es ist nicht notwendig, einen separaten Server mit Asterisk zu installieren. Es ist bereits in IKSP enthalten.
Ich habe erfolgreich SIP von Megafon (Emotion, Multiphon) angeschlossen.
Wie man SIP von Megafon zu Mobilfunktarifen für Privatpersonen erhält, kann im Artikel nachgelesen werden .
Sicherheit.
Im IKS gibt es viele Werkzeuge, mit denen Sie das Sicherheitsniveau nach Ihren Anforderungen einstellen können: von kostenlosen Antivirenprogrammen wie ClamAV und bis zu den Produkten , wobei alles über eine verständliche Web-Oberfläche konfiguriert werden kann.
Sogar dasselbe unverzichtbare fail2Ban kann in wenigen Klicks konfiguriert werden.
Das IKS kann auch den Datenverkehr über das Netflow-Protokoll von Netzwerkgeräten überwachen, ohne dass der Datenverkehr durch sich selbst geleitet wird.
Kommunikations-Extras
Die Kommunikation der Mitarbeiter kann nicht nur über Telefon und E-Mail organisiert werden,
sondern auch über Jabber. Allerdings erinnert sich kaum noch jemand an ein solches Protokoll.
Web-Server:
Das IKS verfügt sogar über einen Web-Server mit PHP-Unterstützung. Ein HTTPS-Zertifikat kann installiert werden, wenn es bereits erworben wurde, oder es kann angegeben werden, dass IKS ein kostenloses Let’s Encrypt erhält.
Das ist genug für die Bereitstellung einer Visitenkarten-Website oder einer Werbe-Landingpage. Aber es wird Ihnen nicht gelingen, ein schweres Portal mit benutzerdefinierten Modulen zu integrieren. Und meiner Meinung nach ist das auch dumm. Schließlich sollte ein Gateway ein Gateway bleiben.
Flexible Konfiguration von Überwachung und Benachrichtigungen.
Alarme können sogar per Telegram gesendet werden. Und in den Realitäten der RF gibt es sogar die Möglichkeit, Nachrichten über Proxy zu senden.
Zusammenfassend
enthält das Internet-Gateway „IKS“ praktisch alle Komponenten, die für den Betrieb eines kleinen Büros erforderlich sind.
Trotzdem kann das alles von einem unerfahrenen Systemadministrator eingerichtet werden.
Obwohl das System auf FreeBSD basiert, gibt es keinen SSH-Zugang zu ihm. Das bedeutet, dass Sie ohne Umwege keine PHP-Module installieren können. Sie müssen sich mit dem begnügen, was vorhanden ist... oder den Support um Verbesserung bitten.
In jedem Fall zu Beginn und prüfen Sie, wie gut dieses Gateway zu Ihnen passt.
Die Lizenz hat kein Ablaufdatum, aber dennoch ist der Preis durchaus
Im Testbetrieb hat das System in synthetischen Tests ordentlich abgeschnitten.
Wenn der Kunde zustimmt und Sie daran interessiert sind, wie sich dieses System im „Einsatz“ verhalten wird, werde ich in 3 bis 6 Monaten eine Rückmeldung mit allen aufgetretenen Aufgaben und Schwierigkeiten schreiben. Wenn es klappt, prüfen wir die Qualität des technischen Supports.
Ich warte in den Kommentaren auf Ihre Fragen, auf die wir im praktischen Einsatz genauer eingehen müssen.
Quelle: habr.com
