{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"Construcci\u00f3n de infraestructura de red basada en Nebula. Parte 1 \u2014 problemas y soluciones","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Construcci\u00f3n
\nEl art\u00edculo abordar\u00e1 los problemas de organizaci\u00f3n de la infraestructura de red de manera tradicional y los m\u00e9todos para resolver las mismas cuestiones mediante tecnolog\u00edas en la nube.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

Para su informaci\u00f3n.<\/strong> Nebula es un entorno SaaS para el mantenimiento remoto de la infraestructura de red. Todos los dispositivos que soportan Nebula se gestionan desde la nube a trav\u00e9s de una conexi\u00f3n segura. Es posible gestionar una gran infraestructura de red distribuida desde un \u00fanico centro, sin necesidad de hacer el esfuerzo de crear uno.<\/p>\n

<\/p>\n

\u00bfPara qu\u00e9 sirve otro servicio en la nube?<\/h2>\n

<\/p>\n

El principal problema al trabajar con infraestructura de red no es el dise\u00f1o de la red, la adquisici\u00f3n de equipos o incluso la instalaci\u00f3n en el rack, sino todo lo dem\u00e1s que se debe hacer con esta red posteriormente.<\/p>\n

<\/p>\n

La red es nueva, pero las preocupaciones son viejas.<\/h3>\n

<\/p>\n

Al poner en funcionamiento un nuevo nodo de red despu\u00e9s de la instalaci\u00f3n y conexi\u00f3n del equipo, comienza la configuraci\u00f3n inicial. Desde el punto de vista de la \"alta direcci\u00f3n\" \u2014 no hay nada complicado: \"Tomamos la documentaci\u00f3n de trabajo del proyecto y comenzamos a configurar...\" Se dice de una manera tan genial cuando todos los elementos de la red est\u00e1n en un solo centro de datos. Pero si est\u00e1n dispersos en diferentes filiales, comienza el dolor de cabeza con la provisi\u00f3n de acceso remoto. As\u00ed es como funciona este c\u00edrculo vicioso: para obtener acceso remoto por la red, es necesario configurar el equipo de red, y para eso se necesita acceso a la red...<\/p>\n

<\/p>\n

Es necesario idear varios esquemas para salir de este callej\u00f3n sin salida descrito anteriormente. Por ejemplo, un port\u00e1til con acceso a Internet a trav\u00e9s de un m\u00f3dem USB 4G se conecta mediante un cable patch a la red que se est\u00e1 configurando. En este port\u00e1til se levanta un cliente VPN, y a trav\u00e9s de \u00e9l, el administrador de red de la sede intenta acceder a la red de la sucursal. El esquema no es del todo transparente: incluso si se lleva un port\u00e1til con VPN previamente configurado al sitio remoto y se le pide que lo encienda, no es seguro que todo funcione a la primera. Especialmente si hablamos de otra regi\u00f3n con otro proveedor.<\/p>\n

<\/p>\n

Por lo tanto, el medio m\u00e1s confiable es tener al \u00abotro lado del cable\u00bb un buen especialista que pueda configurar su parte de acuerdo con el proyecto. Si no hay uno en el personal de la sucursal, las opciones son: o outsourcing, o un viaje de negocios.<\/p>\n

<\/p>\n

Tambi\u00e9n se necesita un sistema de monitoreo. Debe ser instalado, configurado y mantenido (por lo menos, supervisar el espacio en disco y realizar copias de seguridad regularmente). Y que no sepa nada sobre nuestros dispositivos hasta que le digamos. Para eso, es necesario especificar configuraciones para todas las unidades de hardware y monitorear regularmente la vigencia de los registros.<\/p>\n

<\/p>\n

Es maravilloso tener a una persona en el personal que, adem\u00e1s de los conocimientos espec\u00edficos de un administrador de red, sepa trabajar con Zabbix o con otro sistema similar. De lo contrario, necesitamos contratar a otra persona o subcontratar.<\/p>\n

<\/p>\n

Nota.<\/strong> Los desastres m\u00e1s tristes comienzan con las palabras: \"\u00bfQu\u00e9 tan dif\u00edcil puede ser configurar este Zabbix (Nagios, OpenView, etc.)? \u00a1Lo puedo levantar r\u00e1pidamente y listo!\"<\/em><\/p>\n

<\/p>\n

De la implementaci\u00f3n a la explotaci\u00f3n<\/h3>\n

<\/p>\n

Veamos un ejemplo concreto.<\/p>\n

<\/p>\n

Se ha recibido un mensaje de alerta informando que un punto de acceso WiFi no est\u00e1 respondiendo.<\/p>\n

<\/p>\n

\u00bfD\u00f3nde se encuentra?<\/p>\n

<\/p>\n

Por supuesto, un buen administrador de red tiene su propio directorio personal donde est\u00e1 todo anotado. Los problemas comienzan cuando hay que compartir esa informaci\u00f3n. Por ejemplo, si es urgente enviar a alguien a investigar en el lugar, es necesario proporcionar algo como: \"El punto de acceso en el centro de negocios en la calle Constructores, n\u00famero 1, en el tercer piso, oficina N 301, junto a la puerta de entrada bajo el techo\".<\/p>\n

<\/p>\n

Supongamos que tenemos suerte y el punto de acceso se alimenta a trav\u00e9s de PoE, y el switch permite reiniciarlo de forma remota. No es necesario ir, pero se necesita acceso remoto al switch. Queda configurar el reenv\u00edo de puertos a trav\u00e9s de PAT en el enrutador, resolver el VLAN para la conexi\u00f3n externa, y as\u00ed sucesivamente. Es bueno si todo est\u00e1 configurado de antemano. El trabajo puede no ser complicado, pero hay que hacerlo.<\/p>\n

<\/p>\n

As\u00ed que, se reinici\u00f3 el punto de acceso por alimentaci\u00f3n. \u00bfNo funcion\u00f3?<\/p>\n

<\/p>\n

Supongamos que hay algo mal en el hardware. Ahora estamos buscando informaci\u00f3n sobre la garant\u00eda, el inicio de la explotaci\u00f3n y otros detalles interesantes.<\/p>\n

<\/p>\n

Hablando de WiFi. El uso de una variante dom\u00e9stica WPA2-PSK, en la que hay una \u00fanica clave para todos los dispositivos, no es recomendable en un entorno corporativo. En primer lugar, tener una sola clave para todos es simplemente inseguro; en segundo lugar, cuando un empleado se despide, hay que cambiar esa clave com\u00fan y reconfigurar todos los dispositivos de todos los usuarios. Para evitar tales problemas, existe WPA2-Enterprise con autenticaci\u00f3n individual para cada usuario. Pero para esto se necesita un servidor RADIUS, otra unidad de infraestructura que debe ser controlada, respaldada, etc.<\/p>\n

<\/p>\n

Tenga en cuenta que, en cada etapa, ya sea en la implementaci\u00f3n o en la operaci\u00f3n, utilizamos sistemas auxiliares. Esto incluye un port\u00e1til con salida a Internet \u00abexterna\u00bb, un sistema de monitoreo, una base de datos de referencia sobre el equipo y RADIUS como sistema de autenticaci\u00f3n. Adem\u00e1s de los dispositivos de red, tambi\u00e9n tenemos que mantener servicios externos.<\/p>\n

<\/p>\n

En tales casos, se puede escuchar el consejo: \u00abP\u00e1salo a la nube y no te preocupes\u00bb. Seguramente existe un Zabbix en la nube, tal vez haya un RADIUS en la nube, e incluso una base de datos en la nube para llevar un registro de los dispositivos. El problema es que no se necesita por separado, sino \u00abtodo en uno\u00bb. Y aun as\u00ed surgen preguntas sobre la organizaci\u00f3n del acceso, la configuraci\u00f3n inicial de los dispositivos, la seguridad y mucho m\u00e1s.<\/p>\n

<\/p>\n

\u00bfC\u00f3mo se ve esto al usar Nebula?<\/h2>\n

<\/p>\n

Por supuesto, inicialmente la \u00abnube\u00bb no sabe nada de nuestros planes ni del equipo adquirido.<\/p>\n

<\/p>\n

Primero se crea el perfil de la organizaci\u00f3n. Es decir, toda la infraestructura: la sede y filiales se registran primero en la nube. Se indican los detalles y se crean cuentas para delegar permisos.<\/p>\n

<\/p>\n

Se pueden registrar los dispositivos utilizados en la nube de dos maneras: a la antigua, simplemente escribiendo el n\u00famero de serie al completar el formulario web, o escaneando un c\u00f3digo QR con un tel\u00e9fono m\u00f3vil. Todo lo que se necesita para la segunda opci\u00f3n es un smartphone con c\u00e1mara y acceso a Internet, incluso a trav\u00e9s de un proveedor m\u00f3vil.<\/p>\n

<\/p>\n

Por supuesto, la infraestructura necesaria para almacenar informaci\u00f3n, tanto de cuentas como de configuraciones, la proporciona Zyxel Nebula.<\/p>\n

<\/p>\n

\"Construcci\u00f3n
\nFigura 1. Informe de seguridad del Nebula Control Center.<\/em><\/p>\n

<\/p>\n

\u00bfY qu\u00e9 pasa con la configuraci\u00f3n de acceso? \u00bfCon la apertura de puertos, el reenv\u00edo de tr\u00e1fico a trav\u00e9s de la puerta de enlace entrante, todo lo que los administradores de seguridad cari\u00f1osamente llaman: \"hacer agujeros\"? Afortunadamente, no es necesario hacer nada de eso. Los dispositivos que funcionan con Nebula establecen una conexi\u00f3n saliente. Y el administrador se conecta no a un dispositivo espec\u00edfico, sino a la nube. Nebula act\u00faa como intermediario entre las dos conexiones: con el dispositivo y con la computadora del administrador de red. Esto significa que se puede reducir al m\u00ednimo la etapa de llamada al administrador que llega, o incluso omitirla por completo. Y no hay necesidad de \"agujeros\" adicionales en el firewall.<\/p>\n

<\/p>\n

\u00bfY qu\u00e9 hay del servidor RADIUS? \u00a1Se necesita alguna forma de autenticaci\u00f3n centralizada!<\/p>\n

<\/p>\n

Y estas funciones tambi\u00e9n las asume Nebula. La autenticaci\u00f3n de cuentas para acceder al equipo se realiza a trav\u00e9s de una base de datos segura. Esto simplifica mucho la delegaci\u00f3n o la revocaci\u00f3n de derechos para gestionar el sistema. Si necesitas transferir derechos, creas un usuario y le asignas un rol. Si necesitas revocar derechos, realizas la acci\u00f3n inversa.<\/p>\n

<\/p>\n

Vale la pena mencionar por separado WPA2-Enterprise, para el cual se requiere un servicio de autenticaci\u00f3n separado. Zyxel Nebula tiene su propio an\u00e1logo: DPPSK, que permite utilizar WPA2-PSK con una clave individual para cada usuario.<\/p>\n

<\/p>\n

Preguntas \"inc\u00f3modas\"<\/h2>\n

<\/p>\n

A continuaci\u00f3n, intentaremos responder a las preguntas m\u00e1s complicadas que a menudo se hacen al ingresar en el servicio en la nube.<\/p>\n

<\/p>\n

\u00bfEs esto realmente seguro?<\/h3>\n

<\/p>\n

En cualquier delegaci\u00f3n de control y gesti\u00f3n, dos factores juegan un papel crucial en la seguridad: la anonimizaci\u00f3n y el cifrado.<\/p>\n

<\/p>\n

El uso de cifrado para proteger el tr\u00e1fico de miradas indiscretas es algo que los lectores conocen m\u00e1s o menos.<\/p>\n

<\/p>\n

La anonimizaci\u00f3n oculta del personal del proveedor de nube la informaci\u00f3n sobre el propietario y la fuente. La informaci\u00f3n personal se elimina y a los registros se les asigna un identificador \"sin rostro\". Ni el desarrollador del software en la nube ni el administrador que mantiene el sistema en la nube pueden conocer al propietario de las solicitudes. \"\u00bfDe d\u00f3nde vino esto? \u00bfA qui\u00e9n podr\u00eda interesar?\", tales preguntas quedar\u00e1n sin respuesta. La falta de datos sobre el propietario y la fuente hace que la infiltraci\u00f3n sea una p\u00e9rdida de tiempo in\u00fatil.<\/p>\n

<\/p>\n

Si se compara este enfoque con la pr\u00e1ctica tradicional de subcontrataci\u00f3n o la contrataci\u00f3n de un administrador temporal, es evidente que las tecnolog\u00edas en la nube son m\u00e1s seguras. Un especialista en TI temporal sabe lo suficiente sobre la organizaci\u00f3n a la que asiste y, de manera inadvertida o no, puede causar un da\u00f1o significativo en t\u00e9rminos de seguridad. Adem\u00e1s, hay que resolver el tema del despido o la finalizaci\u00f3n del contrato. A veces, adem\u00e1s de bloquear o eliminar la cuenta, esto conlleva un cambio global de contrase\u00f1as para acceder a los servicios, as\u00ed como una auditor\u00eda de todos los recursos en busca de puntos de entrada<\/p>\n

<\/p>\n

\u00bfCu\u00e1nto m\u00e1s caro o m\u00e1s barato es Nebula en comparaci\u00f3n con un administrador temporal?<\/h3>\n

<\/p>\n

Todo se conoce en comparaci\u00f3n. Las funciones b\u00e1sicas de Nebula est\u00e1n disponibles de forma gratuita. Es decir, \u00bfqu\u00e9 podr\u00eda ser m\u00e1s barato?<\/p>\n

<\/p>\n

Por supuesto, no se puede prescindir completamente de un administrador de red o de una persona que lo sustituya. La cuesti\u00f3n radica en la cantidad de personas, su especializaci\u00f3n y su distribuci\u00f3n en los lugares.<\/p>\n

<\/p>\n

En cuanto al servicio extendido de pago, plantear directamente la pregunta: \u00bfm\u00e1s caro o m\u00e1s barato? \u2014 este enfoque siempre ser\u00e1 inexacto y unilateral. Ser\u00eda m\u00e1s correcto comparar m\u00faltiples factores, desde el dinero destinado a pagar el trabajo de especialistas espec\u00edficos hasta los costos asociados con su cooperaci\u00f3n con una organizaci\u00f3n contratista o un individuo: control de calidad de la ejecuci\u00f3n, elaboraci\u00f3n de documentaci\u00f3n, mantenimiento del nivel de seguridad, etc.<\/p>\n

<\/p>\n

Si hablamos de si es rentable o no adquirir un paquete de servicios de pago (Pro-Pack), la respuesta aproximada podr\u00eda ser: si la organizaci\u00f3n es peque\u00f1a, puede bastar con la versi\u00f3n b\u00e1sica; si la organizaci\u00f3n est\u00e1 en crecimiento, entonces tiene sentido considerar el Pro-Pack. Las diferencias entre las versiones de Zyxel Nebula se pueden ver en la tabla 1.<\/p>\n

<\/p>\n

Tabla 1. Diferencias entre el conjunto de funciones de la versi\u00f3n b\u00e1sica y la versi\u00f3n Pro-Pack para Nebula.<\/em><\/p>\n

<\/p>\n

\"Construcci\u00f3n<\/p>\n

<\/p>\n

Eso incluye informes avanzados, auditor\u00edas de usuarios, clonaci\u00f3n de configuraciones y mucho m\u00e1s.<\/p>\n

<\/p>\n

\u00bfY qu\u00e9 pasa con la seguridad del tr\u00e1fico?<\/h3>\n

<\/p>\n

Nebula utiliza el protocolo NETCONF<\/a><\/noindex> para garantizar la seguridad en el trabajo con el equipo de red.<\/p>\n

<\/p>\n

NETCONF puede funcionar sobre varios protocolos de transporte:<\/p>\n

<\/p>\n