Cualquier empresario busca reducir costos. Lo mismo se aplica a la infraestructura de TI.
Al abrir una nueva oficina, a algunos se les erizan los pelos. Porque hay que organizar:
- una red local;
- acceso a Internet. Mejor aún, con respaldo a través de un segundo proveedor;
- VPN hasta la oficina central (o hasta todas las sucursales);
- HotSpot para clientes con autorización por SMS;
- filtración de tráfico para que los empleados no estén en redes sociales ni chateando por Skype;
- protección de la red contra virus y ataques. Asegurarse de la protección contra intrusiones (IDS/IPS);
- su propio servidor de correo (si no confían en pdd.yandex.ru) con antivirus y antispam;
- un contenedor de archivos;
- Probablemente necesiten telefonía, es decir, organizar una PBX, conectarse a un proveedor SIP y otros extras...
Pero configurar la red de la empresa con tales requisitos no podrá hacerlo un técnico de soporte... ¿Contratar a un caro administrador de sistemas?
Se perfila una cifra muy grande en rublos por los futuros gastos.
Pero estos gastos pueden reducirse considerablemente si prestan atención a soluciones UTM, de las cuales hay una gran cantidad actualmente. Y como sigo la estrategia de 'cuanto más simple, mejor' en la resolución de mis tareas, mi mirada se centró en UTM (IKS).
Cómo este sistema puede ayudar a mantener el presupuesto de la empresa y por qué no se necesita un administrador de sistemas caro para su mantenimiento, lo contaré a continuación.
Pero anticipándome, diré que es un producto específico y tiene sus limitaciones. Para evaluar más detalladamente las capacidades de la pasarela, se puede .
Yo configuré para el artículo 'en ruso', es decir, sin consultar las guías, para entender cuán intuitivo es todo.
La instalación inicial
IKS se puede instalar tanto en hardware real como en un hipervisor. Se puede utilizar alguna PC sin ventiladores.Por ejemplo, una así.
El sistema se basa en y debería funcionar en la mayoría del hardware sin problemas.
La instalación se realiza en un disco limpio. Es más, si había algo ahí, pueden despedirse de ello.Desafortunadamente, el instalador solo admite el inglés. Pero después de la instalación, la interfaz principal puede estar en ruso.
No olvidaron la redundancia.Si hay varios discos en el sistema, pueden ser combinados en un RAID mediante ZFS.
Elegimos la interfaz de red y asignamos una IP de la red seleccionada.
Indique un nombre de dominio real si planea, por ejemplo, levantar un servidor de correo. Si no hay tal necesidad en este momento, puede escribir algo al azar. Más adelante en la interfaz se podrá corregir.
¡Listo! Puede acceder a la interfaz web a través de la IP que ha especificado en la configuración, y en el puerto 81. DHCP aún no está habilitado en esta etapa, por lo que tendrá que asignar manualmente una IP de esta misma red en su PC.
Conectamos a Internet y unimos las oficinas.
Al ingresar por primera vez, se inicia un asistente que le obliga a establecer una contraseña segura.
El asistente
Luego accedemos a la configuración de red
y configuramos la conexión con nuestro proveedor y los roles de todas las interfaces de red.
Se pueden configurar varios proveedores y organizar una carga equilibrada.
Por cierto, si le resulta incómodo el inglés de la interfaz, puede cambiarlo fácilmente aquí.
Si es necesario conectar una oficina, por ejemplo, a la oficina central. Entonces creamos una nueva conexión
y configuramos las rutas hacia los recursos en la red remota.
Simplemente olvídese de la enrutamiento dinámico; aquí no está.
Puede que esté siendo demasiado exigente, pero en mi opinión, esto es una gran desventaja...
Acceso a Internet de los empleados
A menudo, la tarea principal de la puerta de enlace es controlar el acceso de los empleados a Internet.
Se pueden identificar a los empleados por IP/MAC o por nombre de usuario/contraseña a través del agente o del portal cautivo.
Además, si su organización utiliza Active Directory, también se puede integrar con él.
Las configuraciones de filtrado (a dónde puede ir el empleado y a dónde no) son muy amplias.
Hay una gran cantidad de plantillas de reglas listas:
Se puede permitir YouTube, pero prohibir subir videos allí.
Pero no es necesario restringir y aún así el sistema de control mostrará a dónde ha ido cada uno con sus extensos informes:
¿Y qué hay del Wi-Fi para invitados?
El Wi-Fi para invitados también se puede organizar cumpliendo con los requisitos de la ley rusa sobre la identificación obligatoria de los usuarios.
El sistema soporta el envío de SMS a través del protocolo SMPP a través de cualquier proveedor de SMS.
Telefonía.
¡Sí, sí! No es necesario instalar un servidor separado con Asterisk. Ya está incluido en el sistema.
He conectado con éxito SIP de MegaFon (emotion, multifon).
Puede leer un artículo sobre cómo obtener SIP de MegaFon con tarifas móviles para personas físicas .
Seguridad.
En IKS hay muchas herramientas que permiten ajustar el nivel de seguridad según sus requerimientos: desde antivirus gratuitos ClamAV y hasta productos , configurando todo a través de una interfaz web intuitiva.
Incluso el indispensable fail2Ban se configura en unos pocos clics.
Además, IKS puede monitorear el tráfico mediante el protocolo netflow desde el equipo de red, sin redirigir el tráfico a través de sí mismo.
Beneficios de comunicación
La comunicación entre los empleados se puede organizar no solo a través de telefonía y correo
sino también a través de jabber. Aunque ya poca gente recuerda ese protocolo.
Servidor web:
En IKS incluso hay un servidor web con soporte para PHP. Se puede instalar su propio certificado HTTPS, si ya se ha adquirido uno, o indicar que IKS obtenga uno gratuito de Let’s Encrypt.
Esto es suficiente para alojar un sitio web de presentación o una landing page publicitaria. Pero no podrá implementar un portal pesado con módulos personalizados. Para mí, eso sería un error. Después de todo, un gateway debe seguir siendo un gateway.
Configuración flexible de monitoreo y notificaciones.
Se pueden enviar alertas incluso a Telegram. Y en el contexto de Rusia, existe incluso la posibilidad de enviar mensajes a través de un proxy.
En conclusión
El gateway de Internet «IKS» contiene prácticamente todos los componentes necesarios para el funcionamiento de una pequeña oficina.
Además, todo esto puede ser configurado por un administrador de sistemas principiante.
A pesar de que el sistema está basado en FreeBSD, no hay acceso por ssh. Es decir, sin trucos no podrá instalar módulos de PHP. Tendrá que conformarse con lo que hay... O pedir soporte para que lo modifique.
En cualquier caso, al principio y verifique cuán adecuado es para usted este gateway.
La licencia no tiene fecha de caducidad, pero a pesar de eso, el costo es bastante
En la prueba en un banco de pruebas, el sistema se mostró adecuadamente.
Si el cliente aprueba y le interesa saber cómo se comportará este sistema en "combate", entonces en unos 3-6 meses escribiré una reseña con todas las tareas y dificultades que han surgido. Si es posible, probaremos la calidad del soporte técnico.
Espero sus preguntas en los comentarios, sobre las que habrá que hacer énfasis detallado en la aplicación práctica.
Fuente: habr.com
