{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"Aufbau der Netzwerk-Infrastruktur mit Nebula. Teil 1 \u2014 Herausforderungen und L\u00f6sungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Aufbau
\nIn diesem Artikel wird auf die Probleme eingegangen, die bei der Organisation von Netzwerk-Infrastrukturen auf traditionelle Weise auftreten, sowie auf die L\u00f6sungsans\u00e4tze mithilfe von Cloud-Technologien.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

Zur Information.<\/strong> Nebula ist eine SaaS-Cloud-Umgebung, die f\u00fcr die Fernverwaltung von Netzwerk-Infrastrukturen vorgesehen ist. Alle Ger\u00e4te, die Nebula unterst\u00fctzen, werden \u00fcber eine sichere Verbindung aus der Cloud verwaltet. So kann eine gro\u00dfe, verteilte Netzwerk-Infrastruktur von einem einzigen zentralen Punkt aus verwaltet werden, ohne dass zus\u00e4tzliche Aufwand f\u00fcr den Aufbau erforderlich ist.<\/p>\n

<\/p>\n

Wozu ben\u00f6tigt man einen weiteren Cloud-Service?<\/h2>\n

<\/p>\n

Das Hauptproblem bei der Arbeit mit Netzwerk-Infrastrukturen liegt nicht im Design des Netzwerks oder in der Beschaffung der Hardware, und auch nicht im Rack-Montage, sondern in all dem, was danach mit diesem Netzwerk erledigt werden muss.<\/p>\n

<\/p>\n

Neues Netzwerk \u2014 alte Herausforderungen<\/h3>\n

<\/p>\n

Bei der Inbetriebnahme eines neuen Netzwerkknotens nach der Montage und dem Anschluss der Ger\u00e4te beginnt die erste Einrichtung. Aus der Sicht des \"gro\u00dfen Chefs\" ist das nichts Aufwendiges: \"Wir nehmen die Arbeitsdokumentation zum Projekt und fangen an mit der Konfiguration\u2026\" Das klingt so toll, wenn alle Netzwerkelemente in einem Rechenzentrum stehen. Wenn sie jedoch \u00fcber verschiedene Standorte verteilt sind, beginnt der Kopfzerbrechen mit der Gew\u00e4hrleistung des Remote-Zugriffs. Ein Teufelskreis: Um einen Remote-Zugriff \u00fcber das Netzwerk zu erhalten, muss die Netzwerkausr\u00fcstung konfiguriert werden, wof\u00fcr jedoch der Netzwerkzugang erforderlich ist\u2026<\/p>\n

<\/p>\n

Es m\u00fcssen verschiedene Strategien entwickelt werden, um aus der beschriebenen Sackgasse herauszukommen. Beispielsweise wird ein Laptop, der \u00fcber ein USB 4G-Modem Zugang zum Internet hat, \u00fcber ein Patchkabel mit dem konfigurierbaren Netzwerk verbunden. Auf diesem Laptop wird ein VPN-Client eingerichtet, \u00fcber den der Netzwerkadministrator aus der Zentrale versucht, auf das Netzwerk der Niederlassung zuzugreifen. Das Verfahren ist nicht besonders klar \u2013 selbst wenn man den Laptop mit einem im Voraus konfigurierten VPN zur Remote-Standorte bringt und ihn bittet, ihn einzuschalten, ist es keineswegs sicher, dass alles beim ersten Mal funktioniert. Besonders wenn es um eine andere Region mit einem anderen Anbieter geht.<\/p>\n

<\/p>\n

Daher ist die zuverl\u00e4ssigste Methode, einen kompetenten Experten \"am anderen Ende der Leitung\" zu haben, der in der Lage ist, seinen Teil gem\u00e4\u00df dem Projekt einzurichten. Wenn so jemand nicht in der Niederlassung vorhanden ist, bleibt nur die M\u00f6glichkeit: Outsourcing oder Dienstreise.<\/p>\n

<\/p>\n

Ein \u00dcberwachungssystem ist weiterhin erforderlich. Es muss installiert, konfiguriert und gewartet werden (mindestens sollte der Speicherplatz \u00fcberwacht und regelm\u00e4\u00dfige Backups erstellt werden). Das System sollte nichts \u00fcber unsere Ger\u00e4te wissen, bis wir es ihm mitteilen. Dazu m\u00fcssen die Einstellungen f\u00fcr alle Ger\u00e4te eingegeben und regelm\u00e4\u00dfig auf den aktuellen Stand gehalten werden.<\/p>\n

<\/p>\n

Es ist gro\u00dfartig, wenn es einen \"Allesk\u00f6nner\" im Team gibt, der neben den spezifischen Kenntnissen eines Netzwerkadministrators auch wei\u00df, wie man mit Zabbix oder einem \u00e4hnlichen System arbeitet. Andernfalls m\u00fcssen wir entweder eine weitere Person einstellen oder den Service outsourcen.<\/p>\n

<\/p>\n

Hinweis.<\/strong> Die traurigsten Missgeschicke beginnen mit den Worten: \"Was soll daran so schwer sein, Zabbix (Nagios, OpenView usw.) zu konfigurieren? Ich werde es schnell einrichten und fertig!\"<\/em><\/p>\n

<\/p>\n

Von der Implementierung zur Nutzung<\/h3>\n

<\/p>\n

Lassen Sie uns ein konkretes Beispiel betrachten.<\/p>\n

<\/p>\n

Wir haben eine Warnmeldung erhalten, dass ein WiFi-Zugangspunkt nicht antwortet.<\/p>\n

<\/p>\n

Wo befindet er sich?<\/p>\n

<\/p>\n

Nat\u00fcrlich hat ein guter Netzwerkadministrator sein eigenes Nachschlagewerk, in dem alles vermerkt ist. Die Probleme beginnen, wenn diese Informationen geteilt werden m\u00fcssen. Zum Beispiel muss man schnell einen Boten schicken, um vor Ort zu kl\u00e4ren, und daf\u00fcr braucht man etwas wie: \u201eZugangspunkt im Gesch\u00e4ftsgeb\u00e4ude, Stra\u00dfe der Bauarbeiter, Haus 1, 3. Etage, B\u00fcro N 301 neben der Eingangst\u00fcr unter der Decke.\u201c<\/p>\n

<\/p>\n

Angenommen, wir haben Gl\u00fcck und der Zugangspunkt wird \u00fcber PoE mit Strom versorgt, und der Switch erm\u00f6glicht einen Remote-Neustart. Es ist nicht n\u00f6tig zu fahren, aber man ben\u00f6tigt Remote-Zugriff auf den Switch. Jetzt bleibt nur noch die Portweiterleitung \u00fcber PAT im Router einzurichten, sich mit VLANs f\u00fcr den externen Anschluss auseinanderzusetzen und so weiter. Es ist von Vorteil, wenn alles im Voraus konfiguriert ist. Die Aufgabe ist vielleicht nicht kompliziert, aber sie muss erledigt werden.<\/p>\n

<\/p>\n

Also, der Zugangspunkt wurde neu gestartet. Hat es geholfen?<\/p>\n

<\/p>\n

Angenommen, es liegt ein Hardwareproblem vor. Jetzt suchen wir Informationen \u00fcber die Garantie, den Beginn der Nutzung und andere wichtige Details.<\/p>\n

<\/p>\n

Was WiFi betrifft: Die Verwendung einer h\u00e4uslichen WPA2-PSK-Variante, bei der ein Schl\u00fcssel f\u00fcr alle Ger\u00e4te genutzt wird, ist in einem Unternehmensumfeld nicht empfohlen. Erstens ist ein gemeinsamer Schl\u00fcssel f\u00fcr alle einfach unsicher; zweitens muss, wenn ein Mitarbeiter das Unternehmen verl\u00e4sst, dieser gemeinsame Schl\u00fcssel ge\u00e4ndert und auf allen Ger\u00e4ten bei allen Benutzern neu eingerichtet werden. Um solche Unannehmlichkeiten zu vermeiden, gibt es WPA2-Enterprise mit individueller Authentifizierung f\u00fcr jeden Benutzer. Dazu wird jedoch ein RADIUS-Server ben\u00f6tigt \u2013 eine weitere infrastrukturelle Komponente, die \u00fcberwacht und regelm\u00e4\u00dfig gesichert werden muss.<\/p>\n

<\/p>\n

Bitte beachten Sie, dass wir in jeder Phase, sei es bei der Implementierung oder im Betrieb, Unterst\u00fctzungs Systeme verwendet haben. Dazu geh\u00f6ren ein Laptop mit externem Internetzugang, ein Monitoring-System, eine Wissensdatenbank zu Hardware und RADIUS als Authentifizierungssystem. Neben den Netzwerkinfrastrukturen m\u00fcssen auch externe Dienste gewartet werden.<\/p>\n

<\/p>\n

In solchen F\u00e4llen h\u00f6rt man oft den Rat: \u201eLass es in die Cloud und hab keinen Stress\u201c. Sicherlich gibt es eine Cloud-L\u00f6sung f\u00fcr Zabbix, vielleicht sogar eine Cloud f\u00fcr RADIUS und eine Cloud-Datenbank, um die Ger\u00e4te aufzulisten. Das Problem ist, dass man das nicht separat, sondern \u201ein einer L\u00f6sung\u201c braucht. Au\u00dferdem gibt es Fragen zur Zugangsorganisation, zur Erstkonfiguration der Ger\u00e4te, zur Sicherheit und vieles mehr.<\/p>\n

<\/p>\n

Wie sieht das bei der Nutzung von Nebula aus?<\/h2>\n

<\/p>\n

Nat\u00fcrlich wei\u00df die \u201eCloud\u201c zun\u00e4chst nichts \u00fcber unsere Pl\u00e4ne oder die angeschaffte Hardware.<\/p>\n

<\/p>\n

Zuerst wird ein Organisationsprofil erstellt. Das bedeutet, dass die gesamte Infrastruktur: Hauptsitz und Niederlassungen zun\u00e4chst in der Cloud angelegt werden. Die Daten werden eingegeben, und es werden Konten zur Delegation von Berechtigungen erstellt.<\/p>\n

<\/p>\n

Die verwendeten Ger\u00e4te k\u00f6nnen auf zwei Arten in der Cloud registriert werden: auf altmodische Weise \u2014 indem die Seriennummer beim Ausf\u00fcllen des Webformulars eingegeben wird, oder indem ein QR-Code mit einem Mobiltelefon gescannt wird. F\u00fcr die zweite Methode ben\u00f6tigt man lediglich ein Smartphone mit Kamera und Internetzugang, auch \u00fcber einen Mobilfunkanbieter.<\/p>\n

<\/p>\n

Nat\u00fcrlich stellt Zyxel Nebula die erforderliche Infrastruktur f\u00fcr die Speicherung von Informationen, sowohl f\u00fcr Konten als auch f\u00fcr Einstellungen, bereit.<\/p>\n

<\/p>\n

\"Aufbau
\nAbbildung 1. Sicherheitsbericht des Nebula Control Centers.<\/em><\/p>\n

<\/p>\n

Und was ist mit der Einrichtung des Zugriffs? Mit dem \u00d6ffnen von Ports, dem Durchleiten von Datenverkehr \u00fcber das eingehende Gateway, all dem, was Sicherheitsadministratoren liebevoll 'L\u00f6cher bohren' nennen? Gl\u00fccklicherweise muss das alles nicht gemacht werden. Ger\u00e4te unter der Verwaltung von Nebula stellen eine ausgehende Verbindung her. Der Administrator verbindet sich nicht mit einem einzelnen Ger\u00e4t, sondern mit der Cloud. Nebula fungiert als Mittelsmann zwischen zwei Verbindungen: zum Ger\u00e4t und zum Computer des Netzwerkadministrators. Das bedeutet, dass die Notwendigkeit, einen einw\u00e4rtigen Administrator zu rufen, auf ein Minimum reduziert oder sogar ganz vermieden werden kann. Und keine zus\u00e4tzlichen 'L\u00f6cher' in der Firewall.<\/p>\n

<\/p>\n

Und wie steht es mit dem RADIUS-Server? Es ist doch eine zentrale Authentifizierung erforderlich!<\/p>\n

<\/p>\n

Diese Funktion \u00fcbernimmt auch Nebula. Die Authentifizierung der Benutzerkonten f\u00fcr den Zugriff auf die Hardware erfolgt \u00fcber eine sichere Datenbank. Dies erleichtert die Delegierung oder Entziehung von Verwaltungsrechten erheblich. M\u00f6chten Sie Rechte \u00fcbertragen? Dann legen Sie den Benutzer an und weisen ihm eine Rolle zu. M\u00f6chten Sie Rechte entziehen? Dann f\u00fchren Sie die umgekehrten Schritte aus.<\/p>\n

<\/p>\n

Besonders erw\u00e4hnenswert ist WPA2-Enterprise, f\u00fcr das ein separater Authentifizierungsdienst erforderlich ist. Zyxel Nebula bietet eine eigene L\u00f6sung \u2014 DPPSK, die es erm\u00f6glicht, WPA2-PSK mit einem individuellen Schl\u00fcssel f\u00fcr jeden Benutzer zu verwenden.<\/p>\n

<\/p>\n

\u201eUnbequeme\u201c Fragen<\/h2>\n

<\/p>\n

Im Folgenden versuchen wir, Antworten auf die h\u00e4ufigsten kniffligen Fragen zu geben, die oft beim Einstieg in einen Cloud-Dienst gestellt werden.<\/p>\n

<\/p>\n

Ist das wirklich sicher?<\/h3>\n

<\/p>\n

Bei jeder Delegierung von Kontrolle und Verwaltung spielen zwei Faktoren eine entscheidende Rolle f\u00fcr die Sicherheit: Anonymisierung und Verschl\u00fcsselung.<\/p>\n

<\/p>\n

Die Nutzung von Verschl\u00fcsselung zum Schutz des Datenverkehrs vor unbefugtem Zugriff ist den Lesern mehr oder weniger bekannt.<\/p>\n

<\/p>\n

Die Anonymisierung verbirgt gegen\u00fcber dem Personal des Cloud-Anbieters Informationen \u00fcber den Eigent\u00fcmer und die Quelle. Pers\u00f6nliche Daten werden entfernt und den Aufzeichnungen wird eine \u201eanonyme\u201c Identifikation zugewiesen. Weder der Entwickler der Cloud-Software noch der Administrator, der das Cloud-System betreut, kann den Eigent\u00fcmer der Anfragen kennen. \u201eWoher kommt das? Wen k\u00f6nnte das interessieren?\u201c, solche Fragen bleiben unbeantwortet. Das Fehlen von Daten \u00fcber den Eigent\u00fcmer und die Quelle macht Insider-Wissen zu einer sinnlosen Zeitverschwendung.<\/p>\n

<\/p>\n

Im Vergleich zu traditionellen Ans\u00e4tzen wie Outsourcing oder der Beauftragung eines externen Administrators wird schnell klar, dass Cloud-Technologien sicherer sind. Ein externer IT-Spezialist kennt seine betreuende Organisation ausreichend gut und kann, ob absichtlich oder unbeabsichtigt, erhebliche Sicherheitsrisiken verursachen. Zudem muss die Frage nach der K\u00fcndigung oder dem Vertragsende gekl\u00e4rt werden. Manchmal bedeutet dies, neben der Sperrung oder L\u00f6schung des Kontos, auch eine umfassende \u00c4nderung der Passw\u00f6rter f\u00fcr den Zugriff auf Dienste sowie eine \u00dcberpr\u00fcfung aller Ressourcen auf \u201evergessene\u201c Zugangspunkte und m\u00f6gliche \u201eHintert\u00fcren\u201c.<\/p>\n

<\/p>\n

Wie viel teurer oder g\u00fcnstiger ist Nebula im Vergleich zu einem Administrator, den Sie einstellen?<\/h3>\n

<\/p>\n

Alles wird im Vergleich klar. Die grundlegenden Funktionen von Nebula sind kostenlos verf\u00fcgbar. Was k\u00f6nnte da also noch g\u00fcnstiger sein?<\/p>\n

<\/p>\n

Nat\u00fcrlich ist es nicht m\u00f6glich, vollst\u00e4ndig ohne Netzwerkadministrator oder jemanden, der ihn ersetzt, auszukommen. Die Frage betrifft die Anzahl der Personen, ihre Spezialisierung und die Verteilung auf die Standorte.<\/p>\n

<\/p>\n

Wenn es um die kostenpflichtige erweiterte Dienstleistung geht, ist es nicht richtig, einfach zu fragen: teurer oder g\u00fcnstiger? Ein solcher Ansatz wird immer ungenau und einseitig sein. Es ist sinnvoller, viele Faktoren zu vergleichen, angefangen bei den Kosten f\u00fcr die Bezahlung bestimmter Fachkr\u00e4fte bis hin zu den Ausgaben f\u00fcr die Sicherstellung ihrer Interaktion mit einem Auftragnehmer oder einer Privatperson: Qualit\u00e4tssicherung, Erstellung von Dokumentationen, Aufrechterhaltung des Sicherheitsstands und so weiter.<\/p>\n

<\/p>\n

Wenn wir dar\u00fcber sprechen, ob es vorteilhaft ist, ein kostenpflichtiges Dienstleistungspaket (Pro-Pack) zu erwerben, k\u00f6nnte die grobe Antwort folgenderma\u00dfen lauten: Wenn die Organisation klein ist, kann die Basisversion ausreichend sein. Wenn die Organisation w\u00e4chst, macht es Sinn, \u00fcber das Pro-Pack nachzudenken. Die Unterschiede zwischen den Versionen von Zyxel Nebula k\u00f6nnen in Tabelle 1 eingesehen werden.<\/p>\n

<\/p>\n

Tabelle 1. Unterschiede zwischen den Funktionen der Basisversion und der Pro-Pack-Version f\u00fcr Nebula.<\/em><\/p>\n

<\/p>\n

\"Aufbau<\/p>\n

<\/p>\n

Dazu geh\u00f6ren erweiterte Berichte, Benutzer-Audits, Konfigurationsklonen und vieles mehr.<\/p>\n

<\/p>\n

Wie sieht es mit dem Schutz des Datenverkehrs aus?<\/h3>\n

<\/p>\n

Nebula verwendet das Protokoll NETCONF<\/a><\/noindex> um die Sicherheit der Kommunikation mit Netzwerkger\u00e4ten zu gew\u00e4hrleisten.<\/p>\n

<\/p>\n

NETCONF kann \u00fcber mehrere Transportprotokolle arbeiten:<\/p>\n

<\/p>\n