🥇Nebula põhine võrgu infrastruktuuri rajamine. Osa 1 — ülesanded ja lahendused

Artiklis arutatakse traditsioonilise lähenemisega seotud probleemide korraldamist võrgu infrastruktuuri ja nende samaaegseid lahendusi pilvetehnoloogiate abil.

Teabe jaoks. Nebula on pilvepõhine SaaS keskkond, mis võimaldab kaugjuhtimist võrgu infrastruktuuri. Kõik Nebula toetavad seadmed hallatakse pilvest turvalise ühenduse kaudu. Suurt jaotatud võrgu infrastruktuuri saab hallata ühest keskpunktist, ilma et peaks selle loomiseks vaeva nägema.

Mis on järgmine pilveteenus?

Võrgu infrastruktuuriga töötamisel on peamine probleem mitte võrgu projekteerimine, seadmete ostmine ega isegi seadmete montaaž, vaid kõik muu, mida sellise võrgu hooldamiseks hiljem teha tuleb.

Uus võrk — vanad mured

Uue võrgu sõlme kasutusele võtmise korral, pärast seadmete paigaldamist ja ühendamist, algab esialgne seadistamine. 'Suure juhi' vaatenurgast on see lihtne: 'Võtame tööprojekti dokumentatsiooni ja hakkame seadistama...' See kõlab suurepäraselt, kui kõik võrguelemendid asuvad ühes andmekeskuses. Kui need on aga hajutatud erinevatesse filiaalidesse, algab peavalu kaugühenduse tagamisega. Nii moodustubki suletud ring: et saada kaugühendus võrgu kaudu, tuleb seadistada võrguhäired, kuid selleks on vajalik juurdepääs võrgule...

Kuna tuleb välja mõelda erinevaid skeeme, et sellest eespool kirjeldatud kinnistusest välja pääseda. Näiteks, sülearvuti, millel on Interneti-ühendus USB 4G modemiga, on ühendatud konfigureeritava võrgu kaudu. Sellel sülearvutil käivitatakse VPN klient, ja läbi selle proovib võrguadministraator peakorterist pääseda filiaali võrku. Skeem ei ole kõige läbipaistvam — isegi kui tuua sülearvuti eelhäälestatud VPN-iga kaugusele ja paluda selle sisse lülitada, pole sugugi kindel, et kõik töötab esimesel korral. Eriti kui on tegu teise piirkonna ja teise teenusepakkujaga.

Tuleb välja, et kõige usaldusväärsem viis on hoida „teisel pool juhet“ head spetsialisti, kes suudab oma osa vastavalt projektile seadistada. Kui sellist filiaalist ei leita, jäävad võimalused: kas allhange või ärireis.

Veel on vajalik jälgimissüsteem. See tuleb installida, seadistada, hooldada (vähemalt jälgida kettaruumi ja regulaarselt varunda). Ja see, kes ei tea meie seadmetest midagi, kuni me seda ei ütle. Selleks tuleb seadistada kõikide seadmete sätted ja regulaarselt jälgida, kas andmed on ajakohased.

Imeline on, kui meeskonnas on oma "orkester-inimesed", kes peale võrguadministraatori spetsiifilistest teadmistest oskavad töötada Zabbixi või mõne muu sarnase süsteemiga. Vastasel juhul võtame veel ühe inimese või anname lepingu välja.

Märkus. Karmimad vead algavad sõnadest: "Kuidas see Zabbix (Nagios, OpenView jne) seadistamine on? Ma tõstan selle kiiresti üles ja ongi valmis!"

Juhtimisest kasutusele võtmiseni

Vaatame konkreetset näidet.

Saadi häireteade, et kuskil ei vasta WiFi-punk.

Kus see asub?

Muidugi on hea võrguadministraatoril oma isiklik raamat, kuhu kõik on kirja pandud. Küsimused algavad siis, kui seda teavet tuleb jagada. Näiteks tuleb kiiresti saata saadik, et olukorda kohapeal selgitada, ja selleks on vaja anda midagi sellist nagu: „Juhtmevaba juurdepääs ärihoones aadressil Ehitajate tänav 1, 3. korrusel, kabinet N 301 sissepääsu ukse kõrval lae all.”

Oletame, et meil vedas ja juurdepääs on toidetud PoE kaudu ning lüliti võimaldab selle kaugtäiendamist. Ei pea kohale minema, aga on vajalik kaugjuurdepääs lülitile. Jääb alles portide suunamine PAT kaudu ruuteri peal, VLAN-i seadistamine välispoolse ühenduse jaoks ja nii edasi. Soodne on, kui kõik on eelnevalt seadistatud. Töö võib-olla ei ole keeruline, kuid seda tuleb teha.

Nii et toitejuhtme oleme taaskäivitamiseks seadistanud. Ei aidanud?

Oletame, et riistvara osas on midagi vale. Nüüd otsime teavet garantii, töö alustamise ja muude huvitavate detailide kohta.

Muide WiFi-st. Koduversiooni WPA2-PSK kasutamine, kus kõik seadmed jagavad ühte parooli, ei ole ettevõtte keskkonnas soovitatav. Esiteks, ühe parooli kasutamine kõigil seadmetel on lihtsalt ebausaldusväärne, ja teiseks, kui üks töötaja lahkub, tuleb muuta seda jagatud parooli ja seadistada kõik seadmed uuesti kõikidele kasutajatele. Selliste probleemide vältimiseks on olemas WPA2-Enterprise koos iga kasutaja individuaalse autentimisega. Kuid selleks on vajalik RADIUS-server — veel üks infrastruktuuriüksus, mille üle tuleb hoolitseda, teha varukoopiaid jne.

Pange tähele, et igal etapil, olgu see siis juurutamine või kasutamine, kasutasime abisüsteeme. Need hõlmavad sülearvutit, millel on 'kolmanda osapoole' internetiühendus, monitorimissüsteemi, seadmeinfobaas ja RADIUS autentimissüsteem. Lisaks võrguseadmete haldamisele tuleb hallata ka kolmandate osapoolte teenuseid.

Sellise olukorra korral võib kuulda nõu: "Anna pilve ja ära vaeva end." Kindlasti on olemas pilve Zabbix, võib-olla on kuskil pilve RADIUS ja isegi pilve andmebaas seadmete loendamiseks. Häda on aga selles, et neid pole vaja üksikult, vaid „ühes pakis“. Ja ikkagi tekivad ligipääsu organiseerimise, seadmete esialgse seadistamise, turvalisuse ja palju muu küsimused.

Kuidas see välja näeb Nebula kasutamisel?

Loomulikult ei tea „pilv“ alguses meie plaanidest ega ostetud seadmetest midagi.

Esiteks luuakse organisatsiooni profiil. Kõik infrastruktuur, peakorter ja filiaalid tehakse algselt pilves korda. Täpsustatakse andmed, luuakse kontod volituste delegeerimiseks.

Pilve registreerimise seadmeid saab teha kahes erinevas mooduses: vanamoodsalt — lihtsalt sisestades seerianumri veebivormi täitmisel või skaneerides QR-koodi mobiiltelefoni abil. Teise meetodi jaoks on vajalik lihtsalt nutitelefon koos kaameraga ja Interneti-ühendus, sealhulgas mobiilioperaatori kaudu.

Muidugi pakub vajalikku infrastruktuuri andmete, sealhulgas seadistuste, salvestamiseks Zyxel Nebula.

Kujutis 1. Nebula Control Centeri turvaaruande.

Aga kuidas on juurdepääsu seadistamisega? Portide avamise, liikluse suunamise kaudu sisenemise värava, kõigi nende asjadega, mida turvaadministraatorid armastavalt nimetavad "aukude tegemiseks"? Õnneks ei pea seda tegema. Nebula juhtimise all olevad seadmed loovad välisseose. Ja administraator ühendub seadme asemel mitte eraldi seadmega, vaid pilvega. Nebula toimib vahendajana kahe ühenduse vahel: seadme ja võrguadministraatori arvuti vahel. See tähendab, et siseneva administraatori kaasamise etappi saab minimaalseks viia või isegi täielikult vahele jätta. Ja ei mingit täiendavat "auku" tulemüüris.

Aga kuidas on RADUIS serveriga? Kas pole vajalik mingisugune tsentraalne autentimine!

Ja need funktsioonid on samuti Nеbula hoolduses. Hoonete juurde pääsemiseks toimub kontode autentimine kaudu kaitstud andmebaasi. See lihtsustab oluliselt õiguste delegatsiooni või tagasivõtmist süsteemi haldamisel. Kui õigusi tuleb edasi anda — loome kasutaja, määrame rolli. Kui õigusi tuleb tagasi võtta — teeme vastupidiseid toiminguid.

Erinevalt tasub märkida WPA2-Enterprise'i, mille jaoks on vajalik eraldi autentimisteenus. Zyxel Nebula omab oma analooge — DPPSK, mis võimaldab kasutada WPA2-PSK-d iga kasutaja jaoks individuaalse võtmega.

"Ebamugavad" küsimused

Allpool püüame anda vastuseid kõige keerulisematele küsimustele, mida sageli küsitakse pilveteenusesse sisenemisel.

Kas see on tõesti ohutu?

Iga kontrolli ja haldamise delegatsiooni puhul mängivad turvalisuse tagamisel olulist rolli kaks tegurit: anonüümsus ja krüpteerimine.

Krüpteerimise kasutamine, et kaitsta liiklust tundmatute silmade eest — see on lugejatele enam-vähem tuttav.

Anonüümsus varjab pilveteenuse pakkuja töötajatelt omanikku ja allikat. Isiklik teave kustutatakse ning salvestustele antakse "ilma näota" identifikaator. Ei pilve tarkvara arendaja ega administratiivpersonal, kes hooldab pilvesüsteemi, saa teada päringute omaniku identiteeti. "Kust see tuli? Keda see võiks huvitada?" — sellised küsimused jäävad vastuseta. Omaniku ja allika andmete puudumine muudab insider’i tegevuse mõttetuks ajakulu.

Võrreldes traditsioonilise lähenemisega, kus tehakse outsoursing või palgatakse väljakutsutud administraator, on selgelt näha, et pilvetehnoloogiad on turvalisemad. Väljakutsutud IT-spetsialist teab oma kliendiorganisatsioonist liiga palju ning võib tahtmatult või tahtlikult julgeoleku osas kahju tekitada. Samuti tuleb lahendada küsimus koondamise või lepingu lõpetamise osas. Mõnikord tähendab see, peale konto blokeerimise või kustutamise, globaalset paroolide vahetust teenustele juurdepääsemiseks ja kõigi ressursside auditeerimist „hämarate“ sisenemisvõimaluste ja võimalike „tagasihoidlike“ osas.

Kui palju on Nebula kallim või odavam kui sisse tulev administraator?

Kõike saab teada võrreldes. Nebula põhiomadused on tasuta kättesaadavad. Mis võiks olla veel odavam?

Muidugi ei saa mingil moel ilma võrguadministraatori või tema asendaja abita hakkama. Küsimus on inimesi arvus, nende spetsialiseerumises ja jaotumises erinevatesse kohtadesse.

Mis puutub tasulisse täiustatud teenusesse, siis otse küsimine: kas see on kallim või odavam — selline lähenemine on alati ebatäpne ja üksiküritus. Õigem on võrrelda mitmeid tegureid, alates rahast, mida kulutatakse konkreetsete spetsialistide tööle, kuni nende suhtlemiskuludeni alltöövõtjaga või füüsilisest isikust: tööde kvaliteedi kontroll, dokumentatsiooni koostamine, julgeoleku taseme hoidmine ja nii edasi.

Kui rääkida sellest, kas tasulise teenuste paketi (Pro-Pack) ostmine on kasulik või mitte, siis umbkaudne vastus võiks olla selline: kui organisatsioon on väike, piisab põhiversioonist; kui organisatsioon kasvab, tasub kaaluda Pro-Pack'i. Zyxel Nebula versioonide erinevusi saab vaadata tabelist 1.

Tabel 1. Funktsioonide komplektide erinevused Nebula põhiversiooni ja Pro-Pack versiooni vahel.

See hõlmab nii ulatuslikku aruandlust, kasutaja auditeerimist, konfiguratsiooni kloonimist kui ka palju muud.

Kuidas on lood liikluskaitsega?

Nebula kasutab protokolli NETCONF võrguseadmestikuga turvaliseks toimimiseks.

NETCONF saab töötada mitme transpordiprotokolli peal:

Kui võrrelda NETCONF-i teiste meetoditega, näiteks SNMP kaudu haldamisega — tuleb märkida, et NETCONF toetab väljuvat TCP-ühendust, et ületada NAT-takistusi ja on usaldusväärsem.

Mis on seadmete toe osas?

Muidugi, serverit ei tohi muuta loomaaiaks haruldaste ja väljasurevate seadmete esindajatega. Samuti on soovitav, et haldustehnolooge ühendav seadmed kataksid kõik suunad: keskne lüliti kuni juurdepääsupunktideni. Zyxeli insenerid on sellise võimaluse tagamise eest hoolitsenud. Nebula all töötab palju seadmeid:

10G keskse lülitid;
juurdepääsulülitid;
PoE lülitid;
juurdepääsupunktid;
võrgugate.

Laia laia seadmete toega on võimalik luua võrke erinevate ülesannete jaoks. See on eriti oluline ettevõtetele, kes ei kasva üles, vaid välja, pidevalt uusi ärikohti avades.

Pidev areng

Traditsioonilise haldustehnika võrgu seadmed saavad edasi areneda vaid seadme muutmise kaudu, olgu selleks uus tarkvara või täiendavad moodulid. Zyxel Nebula puhul on olemas lisavõimalus täiustamiseks — pilve infrastruktuuri täiustamine. Näiteks pärast Nebula Control Centeri (NCC) versiooni 10.1. uuendust (21. september 2020) on kasutajatele saadaval uued võimalused, siit nende seas:

organisatsiooni omanik saab nüüd kõik omandiõigused edastada teisele administraatorile samas organisatsioonis;
uus roll nimega „Omaniku esindaja”, millel on samad õigused nagu organisatsiooni omanikul;
uus funktsioon, mis võimaldab firmware’i ajakohastamist kogu organisatsiooni tasandil (Pro-Pack funktsioon);
topoloogiasse lisati kaks uut võimalust: seadme taaskäivitamine ja PoE sadama toiteseadmise sisse- ja väljalülitamine (Pro-Pack funktsioon);
toetust uutele juurdepääsupunktide mudelitele: WAC500, WAC500H, WAC5302D-Sv2 ja NWA1123ACv3;
kinkekaardi autentimise tugi QR-koodide printimisega (Pro-Pack funktsioon).