{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"Netzwerkinfrastruktur auf Basis von Nebula. Teil 1 \u2014 Aufgaben und L\u00f6sungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Netzwerkinfrastruktur
\nIn diesem Artikel geht es um die Probleme, die bei der Organisation der Netzwerkinfrastruktur auf traditionelle Weise auftreten, und um die L\u00f6sungen f\u00fcr die gleichen Fragen mithilfe von Cloud-Technologien.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

Zur Kenntnisnahme.<\/strong> Nebula ist eine Cloud-basierte SaaS-Umgebung f\u00fcr die Fernwartung von Netzwerkinfrastrukturen. Alle Ger\u00e4te, die Nebula unterst\u00fctzen, werden \u00fcber eine sichere Verbindung aus der Cloud verwaltet. Es ist m\u00f6glich, eine gro\u00dfe verteilte Netzwerkinfrastruktur von einem einzigen Zentrum aus zu steuern, ohne gro\u00dfe Anstrengungen f\u00fcr deren Aufbau aufwenden zu m\u00fcssen.<\/p>\n

<\/p>\n

Wozu ben\u00f6tigt man einen weiteren Cloud-Service?<\/h2>\n

<\/p>\n

Das Hauptproblem bei der Arbeit mit Netzwerkinfrastrukturen ist nicht das Design des Netzwerks und der Kauf von Ausr\u00fcstung und auch nicht die Montage im Rack, sondern alles, was danach mit diesem Netzwerk getan werden muss.<\/p>\n

<\/p>\n

Neues Netzwerk \u2014 alte Sorgen<\/h3>\n

<\/p>\n

Bei der Inbetriebnahme eines neuen Netzwerkknotens beginnt nach der Montage und dem Anschluss der Ger\u00e4te die erste Konfiguration. Aus Sicht der \u201egro\u00dfen Chefs\u201c - nichts Schwieriges: \u201eWir nehmen die Arbeitsdokumentation des Projekts und beginnen mit der Konfiguration\u2026\u201c So sch\u00f6n klingt das, wenn alle Netzwerkelemente in einem Rechenzentrum stehen. Wenn sie jedoch \u00fcber verschiedene Standorte verteilt sind, beginnt der Kopfweh mit der Gew\u00e4hrleistung des Remote-Zugangs. So ein Teufelskreis: Um \u00fcber das Netzwerk Remote-Zugriff zu erhalten, muss die Netzwerkausr\u00fcstung konfiguriert werden, und daf\u00fcr ist der Netzwerkzugang erforderlich\u2026<\/p>\n

<\/p>\n

Es werden verschiedene L\u00f6sungen erarbeitet, um aus dieser beschriebenen Sackgasse herauszukommen. Zum Beispiel wird ein Laptop mit Internetzugang \u00fcber einen USB 4G-Modem mit einem Patchkabel an das konfigurierte Netzwerk angeschlossen. Auf diesem Laptop wird ein VPN-Client installiert, und dar\u00fcber versucht der Netzwerkadministrator aus der Zentrale, auf das Netzwerk der Niederlassung zuzugreifen. Das Schema ist nicht ganz transparent \u2014 selbst wenn der Laptop mit vorab konfiguriertem VPN zur Remote-Location gebracht und gebeten wird, ihn einzuschalten, ist es l\u00e4ngst nicht sicher, dass alles beim ersten Versuch funktioniert. Besonders wenn es sich um eine andere Region mit einem anderen Anbieter handelt.<\/p>\n

<\/p>\n

Daher ist der zuverl\u00e4ssigste Weg, einen guten Experten 'am anderen Ende der Leitung' zu haben, der seinen Teil gem\u00e4\u00df dem Projekt konfigurieren kann. Wenn es in der Niederlassung nicht solche Fachkr\u00e4fte gibt, bleiben zwei Optionen: entweder Outsourcing oder Dienstreise.<\/p>\n

<\/p>\n

Ein Monitoring-System wird ebenfalls ben\u00f6tigt. Es muss installiert, konfiguriert und gewartet werden (zumindest der Speicherplatz \u00fcberwacht und regelm\u00e4\u00dfig Sicherungskopien erstellt werden). Und es sollte nichts \u00fcber unsere Ger\u00e4te wissen, bis wir es ihm mitteilen. Daf\u00fcr m\u00fcssen die Einstellungen f\u00fcr alle Ger\u00e4te festgelegt werden, und die Aktualit\u00e4t der Eintr\u00e4ge muss regelm\u00e4\u00dfig \u00fcberpr\u00fcft werden.<\/p>\n

<\/p>\n

Es ist gro\u00dfartig, wenn im Team jemand ist, der neben den spezifischen Kenntnissen eines Netzwerkadministrators auch mit Zabbix oder einem \u00e4hnlichen System umgehen kann. Andernfalls m\u00fcssen wir entweder eine weitere Person einstellen oder es auslagern.<\/p>\n

<\/p>\n

Hinweis.<\/strong> Die traurigsten Fehlschl\u00e4ge beginnen mit den Worten: \u201eWas soll das Zabbix (Nagios, OpenView usw.) einstellen? Ich werde das kurz hochfahren und fertig!\u201c<\/em><\/p>\n

<\/p>\n

Von der Implementierung zur Nutzung<\/h3>\n

<\/p>\n

Schauen wir uns ein konkretes Beispiel an.<\/p>\n

<\/p>\n

Eine Alarmmeldung wurde erhalten, dass irgendwo ein WiFi-Zugangspunkt nicht antwortet.<\/p>\n

<\/p>\n

Wo befindet er sich?<\/p>\n

<\/p>\n

Nat\u00fcrlich hat ein guter Netzwerkadministrator sein eigenes Nachschlagewerk, in dem alles festgehalten ist. Die Probleme beginnen, wenn diese Informationen geteilt werden m\u00fcssen. Zum Beispiel muss schnell ein Bote geschickt werden, um vor Ort zu kl\u00e4ren, und daf\u00fcr muss man etwas wie Folgendes angeben: \u201eZugangspunkt im Business-Center, Stra\u00dfe der Bautr\u00e4ger, Haus 1, im 3. Stock, Raum N 301 neben der Eingangst\u00fcr unter der Decke.\u201c<\/p>\n

<\/p>\n

Angenommen, wir haben Gl\u00fcck und der Zugangspunkt wird \u00fcber PoE mit Strom versorgt und der Switch erlaubt es, ihn remote neu zu starten. Es ist kein Fahrten notwendig, aber wir ben\u00f6tigen Remote-Zugriff auf den Switch. Es bleibt, die Portweiterleitung \u00fcber PAT am Router zu konfigurieren, sich mit VLANs f\u00fcr externe Verbindungen auseinanderzusetzen usw. Es ist gut, wenn alles im Voraus konfiguriert ist. Die Aufgabe ist vielleicht nicht schwierig, aber sie muss erledigt werden.<\/p>\n

<\/p>\n

Also, den Zugangspunkt \u00fcber die Stromversorgung neu gestartet. Hat es nicht geholfen?<\/p>\n

<\/p>\n

Angenommen, es gibt ein Problem mit der Hardware. Jetzt suchen wir Informationen \u00fcber die Garantie, den Beginn der Nutzung und andere interessante Details.<\/p>\n

<\/p>\n

\u00dcbrigens, was WiFi angeht. Die Verwendung einer Heimversion von WPA2-PSK, bei der ein Schl\u00fcssel f\u00fcr alle Ger\u00e4te verwendet wird, wird in Unternehmensumgebungen nicht empfohlen. Erstens ist ein gemeinsamer Schl\u00fcssel f\u00fcr alle einfach unsicher, zweitens, wenn ein Mitarbeiter ausscheidet, muss dieser gemeinsame Schl\u00fcssel ge\u00e4ndert und die Einstellungen auf allen Ger\u00e4ten f\u00fcr alle Benutzer neu durchgef\u00fchrt werden. Um solche Unannehmlichkeiten zu vermeiden, gibt es WPA2-Enterprise mit individueller Authentifizierung f\u00fcr jeden Benutzer. Daf\u00fcr ist jedoch ein RADIUS-Server erforderlich \u2013 eine weitere Infrastrukturkomponente, die kontrolliert, gesichert und so weiter werden muss.<\/p>\n

<\/p>\n

Bitte beachten Sie, dass wir in jeder Phase, sei es bei der Implementierung oder im Betrieb, auf unterst\u00fctzende Systeme zur\u00fcckgegriffen haben. Dazu geh\u00f6ren ein Laptop mit \u201eexterner\u201c Internetverbindung, ein \u00dcberwachungssystem, eine Referenzdatenbank zu der Hardware und RADIUS als Authentifizierungssystem. Neben den Netzger\u00e4ten m\u00fcssen auch externe Dienste gewartet werden.<\/p>\n

<\/p>\n

In solchen F\u00e4llen kann der Rat geh\u00f6rt werden: \u201eGib es in die Cloud und mach dir keine Sorgen\u201c. Sicher gibt es einen Cloud-Zabbix, m\u00f6glicherweise gibt es irgendwo einen Cloud-RADIUS und sogar eine Cloud-Datenbank, um die Liste der Ger\u00e4te zu f\u00fchren. Das Problem ist, dass dies nicht getrennt, sondern \u201ein einem Paket\u201c ben\u00f6tigt wird. Und es stellen sich dennoch Fragen zur Zugangsorganisation, zur Erstkonfiguration der Ger\u00e4te, zur Sicherheit und vieles mehr.<\/p>\n

<\/p>\n

Wie sieht das bei der Verwendung von Nebula aus?<\/h2>\n

<\/p>\n

Nat\u00fcrlich wei\u00df die \u201eCloud\u201c zun\u00e4chst nichts \u00fcber unsere Pl\u00e4ne oder die angeschaffte Hardware.<\/p>\n

<\/p>\n

Zuerst wird ein Organisationsprofil erstellt. Das hei\u00dft, die gesamte Infrastruktur: Hauptsitz und Niederlassungen werden zun\u00e4chst in der Cloud erfasst. Die Daten werden angegeben, und Benutzerkonten zur Delegierung von Befugnissen werden erstellt.<\/p>\n

<\/p>\n

Die Registrierung der verwendeten Ger\u00e4te in der Cloud kann auf zwei Arten erfolgen: auf die altmodische Weise, indem die Seriennummer beim Ausf\u00fcllen des Webformulars eingetragen wird, oder indem ein QR-Code mit einem Mobiltelefon gescannt wird. F\u00fcr die zweite Methode ben\u00f6tigt man lediglich ein Smartphone mit Kamera und Internetzugang, auch \u00fcber einen Mobilfunkanbieter.<\/p>\n

<\/p>\n

Selbstverst\u00e4ndlich stellt Zyxel Nebula die erforderliche Infrastruktur zur Speicherung von Informationen, sowohl von Kontoinformationen als auch von Einstellungen, bereit.<\/p>\n

<\/p>\n

\"Netzwerkinfrastruktur
\nAbb. 1. Sicherheitsbericht des Nebula Control Centers.<\/em><\/p>\n

<\/p>\n

Und was ist mit der Zugriffskonfiguration? Mit dem \u00d6ffnen von Ports, dem Durchleiten von Traffic durch das eingehende Gateway, all dem, was Sicherheitsadministratoren liebevoll \u201eL\u00f6cher bohren\u201c nennen? Gl\u00fccklicherweise ist das alles nicht notwendig. Ger\u00e4te, die von Nebula verwaltet werden, stellen eine ausgehende Verbindung her. Der Administrator verbindet sich zur Konfiguration nicht mit einem einzelnen Ger\u00e4t, sondern mit der Cloud. Nebula agiert als Vermittler zwischen zwei Verbindungen: zur Peripherie und zum Computer des Netzwerkadministrators. Das bedeutet, dass der Schritt mit dem Anruf des administrativen Badges minimiert oder ganz weggelassen werden kann. Und es sind keine zus\u00e4tzlichen \u201eL\u00f6cher\u201c in der Firewall erforderlich.<\/p>\n

<\/p>\n

Und was ist mit dem RADUIS-Server? Schlie\u00dflich ben\u00f6tigt man eine zentrale Authentifizierung!<\/p>\n

<\/p>\n

Diese Funktion \u00fcbernimmt auch Nebula. Die Authentifizierung von Benutzerkonten f\u00fcr den Zugriff auf die Ger\u00e4te erfolgt \u00fcber eine gesch\u00fctzte Datenbank. Das vereinfacht die Delegation oder den Entzug von Zugriffsrechten erheblich. M\u00f6chten Sie Rechte \u00fcbertragen \u2014 erstellen Sie einen Benutzer und weisen Sie eine Rolle zu. M\u00f6chten Sie Rechte entziehen \u2014 f\u00fchren Sie die umgekehrten Schritte aus.<\/p>\n

<\/p>\n

Separat erw\u00e4hnenswert ist WPA2-Enterprise, f\u00fcr das ein eigener Authentifizierungsdienst erforderlich ist. Zyxel Nebula hat ein eigenes Pendant \u2014 DPPSK, das die Verwendung von WPA2-PSK mit einem individuellen Schl\u00fcssel f\u00fcr jeden Benutzer erm\u00f6glicht.<\/p>\n

<\/p>\n

\u201eUnbequeme\u201c Fragen<\/h2>\n

<\/p>\n

Im Folgenden versuchen wir, Antworten auf die kniffligsten Fragen zu geben, die oft beim Einstieg in den Cloud-Service gestellt werden.<\/p>\n

<\/p>\n

Ist das wirklich sicher?<\/h3>\n

<\/p>\n

Bei jeder Delegierung von Kontrolle und Management spielen zwei Faktoren eine wichtige Rolle f\u00fcr die Sicherheit: Anonymisierung und Verschl\u00fcsselung.<\/p>\n

<\/p>\n

Der Einsatz von Verschl\u00fcsselung zum Schutz des Traffics vor unbefugten Blicken ist den meisten Lesern mehr oder weniger bekannt.<\/p>\n

<\/p>\n

Anonymisierung verbirgt vor dem Personal des Cloud-Anbieters Informationen \u00fcber den Eigent\u00fcmer und die Quelle. Pers\u00f6nliche Daten werden entfernt und den Aufzeichnungen wird ein \u201eanonymer\u201c Identifikator zugewiesen. Weder der Entwickler der Cloud-Software noch der Administrator, der das Cloud-System betreut, k\u00f6nnen den Eigent\u00fcmer der Anfragen kennen. \u201eWoher kommt das? Wen k\u00f6nnte das interessieren?\u201c, solche Fragen bleiben unbeantwortet. Das Fehlen von Daten \u00fcber den Eigent\u00fcmer und die Quelle macht Insiderwissen zu einer sinnlosen Zeitverschwendung.<\/p>\n

<\/p>\n

Im Vergleich zu der traditionellen Praxis der Auslagerung oder der Anstellung eines externen Administrators ist offensichtlich, dass Cloud-Technologien sicherer sind. Ein externer IT-Spezialist kennt seine betreute Organisation recht gut und k\u00f6nnte unbeabsichtigt erheblichen Schaden im Hinblick auf die Sicherheit anrichten. Es muss auch die Frage der K\u00fcndigung oder der Vertragsbeendigung gekl\u00e4rt werden. Manchmal zieht dies, neben der Sperrung oder L\u00f6schung des Kontos, eine globale Passwort\u00e4nderung f\u00fcr den Zugriff auf die Dienste nach sich sowie eine \u00dcberpr\u00fcfung aller Ressourcen auf vergessene Einstiegspunkte und m\u00f6gliche Hintert\u00fcren.<\/p>\n

<\/p>\n

Ist Nebula teurer oder g\u00fcnstiger als ein externer Administrator?<\/h3>\n

<\/p>\n

Alles erkennt man im Vergleich. Die grundlegenden Funktionen von Nebula sind kostenlos verf\u00fcgbar. Was k\u00f6nnte also noch g\u00fcnstiger sein?<\/p>\n

<\/p>\n

Nat\u00fcrlich wird man nicht vollst\u00e4ndig auf einen Netzwerkadministrator oder eine ihn ersetzende Person verzichten k\u00f6nnen. Es geht um die Anzahl der Personen, deren Spezialisierung und ihre Verteilung auf verschiedene Standorte.<\/p>\n

<\/p>\n

Was den kostenpflichtigen erweiterten Service angeht, so ist es nicht ganz korrekt, direkt zu fragen: teurer oder g\u00fcnstiger \u2014 dieser Ansatz wird immer ungenau und einseitig sein. Es ist besser, viele Faktoren zu vergleichen, angefangen bei den Kosten f\u00fcr die Bezahlung bestimmter Fachkr\u00e4fte bis hin zu den Ausgaben f\u00fcr die Gew\u00e4hrleistung ihrer Zusammenarbeit mit dem Auftragnehmer oder der Privatperson: Qualit\u00e4tskontrolle, Erstellung von Dokumentationen, Aufrechterhaltung des Sicherheitsniveaus und so weiter.<\/p>\n

<\/p>\n

Wenn es um die Frage geht, ob es sinnvoll ist, ein kostenpflichtiges Dienstleistungspaket (Pro-Pack) zu erwerben, k\u00f6nnte die grobe Antwort so lauten: Wenn die Organisation klein ist, kann man mit der Basisversion auskommen; wenn die Organisation w\u00e4chst, sollte man \u00fcber das Pro-Pack nachdenken. Die Unterschiede zwischen den Versionen von Zyxel Nebula sind in Tabelle 1 zu finden.<\/p>\n

<\/p>\n

Tabelle 1. Unterschiede zwischen den Funktionss\u00e4tzen der Basisversion und der Pro-Pack-Version f\u00fcr Nebula.<\/em><\/p>\n

<\/p>\n

\"Netzwerkinfrastruktur<\/p>\n

<\/p>\n

Das beinhaltet erweiterte Berichterstattung, Benutzer\u00fcberwachung, Konfigurationsklonung und vieles mehr.<\/p>\n

<\/p>\n

Und wie steht es mit dem Schutz des Datenverkehrs?<\/h3>\n

<\/p>\n

Nebula verwendet das Protokoll NETCONF<\/a><\/noindex> um die Sicherheit im Umgang mit Netzwerkger\u00e4ten zu gew\u00e4hrleisten.<\/p>\n

<\/p>\n

NETCONF kann \u00fcber mehrere Transportprotokolle hinweg arbeiten:<\/p>\n

<\/p>\n