🥇Nebula baasil võrgu infrastruktuuri loomine. Osa 1 — ülesanded ja lahendused

Artiklis käsitletakse võrguinfrastruktuuri korraldamise probleeme traditsioonilisel viisil ja nende lahendamise meetodeid pilvetehnoloogiate abil.

Viidatud. Nebula on pilvepõhine SaaS keskkond, mis toetab võrguinfrastruktuuri kaugjuhtimist. Kõik Nebulat toetavad seadmed juhitakse pilve kaudu turvalise ühenduse kaudu. Suurt hajutatud võrguinfrastruktuuri saab hallata ühest keskusest, ilma et peaksid pingutama selle loomise nimel.

Milleks on vajadus uue pilveteenuse järele?

Peamine probleem võrguinfrastruktuuri haldamisel ei ole võrgu projekteerimine ja seadmete soetamine, isegi mitte rack'i paigaldamine, vaid kõik see, mis pärast võrgu loomist veel teha tuleb.

Uus võrk – vanad mured

Uue võrgu sõlme kasutuselevõtt algab seadmete paigaldamisest ja ühendamisest, millega kaasneb esialgne seadistamine. Suure juhtkonna vaatenurgast on see lihtne: "Võtame töödokumentatsiooni projektist ja hakkame seadistama…" See kõlab nii hästi, kui kõik võrgu elemendid asuvad ühes andmekeskuses. Kui need on aga hajutatud filiaalidesse, algab mure kaugtuve tagamisega. Selline ring: et saada võrgu kaudu kaugjuurdepääs, tuleb seadistada võrgu seadmed, kuid selleks on vajalik juurdepääs võrgule…

Pead välja mõtlema erinevaid skeeme, et pääseda kirjeldatud ummikust. Näiteks, sülearvuti, millel on Interneti-ühendus USB 4G modemi kaudu, ühendatakse paigaldatava võrgu kaudu. Sellel sülearvutil seadistatakse VPN klient ja selle kaudu proovib võrguadministraator peakorterist pääseda filiaali võrku. See skeem ei ole kõige läbipaistvam – isegi kui viia sülearvuti eelnevalt seadistatud VPN-iga kaugplatsile ja paluda, et see käivitaks, ei ole sugugi kindel, et kõik töötab esimesel katsel. Eriti kui teema hõlmab teist piirkonda teise teenusepakkuja juures.

Seega on kõige usaldusväärsem viis hoida "teisel pool liini" head spetsialisti, kes suudab oma osa seadistada vastavalt projektile. Kui sellist spetsialisti filiaalis ei ole, jäävad alles valikud: kas allhanget kasutada või lähetada.

Veel on vaja jälgimissüsteemi. See tuleb paigaldada, seadistada ja hooldada (näiteks jälgida ketta ruumi ja regulaarselt varukoopiaid teha). Ja see ei tea meie seadmetest midagi, kuni me talle seda ei ütle. Selleks tuleb seadistada kõikide seadmete seaded ja regulaarselt jälgida kirjeid.

Tore on, kui ettevõttes on oma „orkester”, kes lisaks võrguhalduri spetsiifilistele teadmistele oskab töötada Zabbixi või mõne muu sarnase süsteemiga. Muul juhul tuleb võtta veel üks inimene või anda ülesanne alltöövõtjale.

Märkus. Kõige kurvemad eksimused algavad sõnadest: „Kuidas Zabbixi (Nagios, OpenView jne) seadistamine hullu keeruline saab olla? Ma teen selle kiiresti üles ja ongi valmis!”

Sisseviimisest kasutusele võtmisse

Vaadakem konkreetset näidet.

On saadud häires sõnum, et kuskil ei vasta WiFi juurdepääsupunkt.

Kus ta asub?

Loomulikult on heade võrguadministraatorite jaoks olemas isiklik käsiraamat, kuhu kõik on üles kirjutatud. Probleemid algavad siis, kui seda teavet tuleb jagada. Näiteks tuleb kiiresti saata sõnumitooja, et asja kohapeal selgitada, ja selleks on vaja anda midagi sellist: „Juurdepääsupunkt ärikeskuses, aadressil Ehitusmeeste tn 1, 3. korrusel, ruum N 301, ukse kohal lae all.”

Oletame, et meil on vedanud ja juurdepääsupunkt on PoE kaudu toidetud, ja lüliti võimaldab seda kaugelt taaskäivitada. Pole tarvis minna, kuid lülitile on vajalik kaugjuurdepääs. Jätkub portide edasiviimise seadistamine PAT kaudu ruuteri peal, VLAN-i seadistamine välisest ühendamisest ja nii edasi. Hea, kui kõik on eelnevalt seadistatud. Töö pole võib-olla keeruline, kuid see tuleb ära teha.

Nii et juurdepääsupunkti toide taaskäideti. Ei aidanud?

Oletame, et riistvaras on midagi valesti. Nüüd otsime garantiiteavet, kasutusele võtmise algust ja teisi huvitavaid üksikasju.

Tõsi, WiFi kohta. Kodus kasutatava WPA2-PSK variandi, kus üks võti on kõikidele seadmetele, kasutamine ei ole ettevõtte keskkonnas soovitatav. Esiteks, üks võti kõigile on lihtsalt ebaturvaline, ja teiseks, kui üks töötaja lahkub, tuleb üldine võti muuta ning seadistused tuleb kõigil seadmetel kõigil kasutajatel uuesti teha. Selliste ebameeldivuste vältimiseks on olemas WPA2-Enterprise, mis pakub individuaalset autentimist iga kasutaja jaoks. Ent selleks on vajalik RADIUS-server — veel üks infrastruktuuri element, mida tuleb hallata, varundada jne.

Pange tähele, et igal sammul, olgu see siis rakendamine või käitamine, kasutasime abisüsteeme. Need on nii sülearvuti „kolmandale osapoolele” suunatud internetiühendusega, jälgimissüsteem, seadmete teabebaas kui ka RADIUS autentimissüsteem. Lisaks võrguseadmetele tuleb hooldada ka kolmandate osapoolte teenuseid.

Sellistes olukordades võib kuulda soovitust: „Anna see pilve ja ära vaeva end.” Kindlasti on olemas pilvepõhine Zabbix, võib-olla on kuskil pilve RADIUS ja isegi pilveandmebaas seadmete nimekirja pidamiseks. Probleem on aga selles, et neid ei tohi olla eraldi, vaid „ühes paketis”. Ja ikkagi kerkivad esile juurdepääsu korraldamise, seadmete algse seadistamise, turvalisuse ja paljude teiste küsimuste teemad.

Kuidas see välja näeb Nebula kasutamisel?

Muidugi, alguses ei tea „pilv” meie plaanidest ega ostetud seadmetest midagi.

Esialgu luuakse organisatsiooni profiil. See tähendab, et kogu infrastruktuur: peakorter ja filiaalid tuleb kõigepealt pilve registreerida. Täpsustatakse andmed, luuakse kontod volituste delegeerimiseks.

Registreerige kasutatavad seadmed pilves kahes erinevas vormis: vanamoodsalt — lihtsalt seerianumbri sisestamisega veebivormis või skaneerides QR-koodi mobiiltelefoni abil. Kõik, mis on vajalik teise meetodi jaoks, on nutitelefon, millel on kaamera ja ligipääs internetile, sealhulgas läbi mobiilioperaatori.

Muidugi, vajalik infrastruktuur teabe hoidmiseks, nii arvestuse kui ka seadistuste osas, pakub Zyxel Nebula.

Joonis 1. Nebula Control Center'i turvalisuse aruanne.

Aga mis juhtub juurdepääsu seadistamisega? Portide avamine, liikluse edastamine sisemise värava kaudu, kõik see, mida turbe administraatorid hellitavalt nimetavad: „aukude nikerdamine”? Õnneks ei pea seda kõike tegema. Nebula haldus all olevad seadmed seadistavad väljamineva ühenduse. Ja administraator ühendub seadme asemel mitte eraldi seadmega, vaid pilvega. Nebula toimib vahendajana kahe ühenduse vahel: seadme ja võrguhalduri arvuti vahel. See tähendab, et saabumisadministratori kaasamise etappi saab vähendada või isegi vahele jätta. Ja mingeid täiendavaid „auke” tulemüüri ei ole.

Aga kuidas on RADUIS serveriga? Kas ei ole vaja mingit tsentraliseeritud autentimist!

Need funktsioonid täidab ka Nebula. Seadmete juurdepääsu autentimine käib kaitstud andmebaasi kaudu. See lihtsustab oluliselt õiguste delegeerimist või eemaldamist süsteemi haldamiseks. Kui on vaja õigusi anda - loome kasutaja, määrame rolli. Kui on vaja õigusi tagasi võtta - teeme vastupidised toimingud.

Eraldi tasub mainida WPA2-Enterprise'i, mille jaoks on vaja eraldi autentimisteenust. Zyxel Nebulal on selle jaoks oma analoog - DPPSK, mis võimaldab kasutada WPA2-PSK-d iga kasutaja jaoks eraldi võtmega.

„Ebamugavad” küsimused

Allpool proovime anda vastuseid kõige keerulisematele küsimustele, mida sageli esitatakse pilveteenusesse sisenemisel

Kas see on tõeliselt ohutu?

Kontrolli ja halduse delegeerimisel mängivad turvalisuse tagamisel olulist rolli kaks tegurit: anonüümsus ja krüpteerimine.

Krüpteerimise kasutamine liikluse kaitsmiseks võõraste silmade eest on lugejatele enam-vähem tuttav.

Anonüümsus varjab pilvepakkuja töötajatelt teavet omanikust ja allikast. Isiklik teave eemaldatakse ja kannab „ilma identifikaatorit”. Ei pilvesofti arendaja ega pilvesüsteemi haldav administraator ei tea päringute omaniku kohta. „Kust see tuli? Keda see võiks huvitada?” - need küsimused jäävad vastuseta. Omaniku ja allika andmete puudumine muudab siseinfo hankimise mõttetuks ajaraiskamiseks.

Kui võrrelda seda lähenemist traditsioonilise praktikaga, kus väljastatakse IT-teenuseid või palkatakse ajutine administraator, siis on selge, et pilvetehnoloogiad on turvalisemad. Ajutine IT-spetsialist teab oma kliendi organisatsioonist piisavalt palju, et suudaks tahtmatult või tahtlikult põhjustada märkimisväärset kahju turvalisuses. Samuti on vajalik lahendada küsimus tema vallandamisest või lepingu lõpetamisest. Mõnikord, peale konto blokeerimist või kustutamist, toob see kaasa globaalsete paroolide muutmise teenustele juurdepääsu jaoks ning kõigi ressursside auditi „unustatud” sissepääsude ja võimalike „tagavarade” kontrollimiseks.

Kuidas võrreldakse Nebula hinda ajutiste administraatoritega?

Kõike tuntakse võrdluse kaudu. Nebula põhiomadused on tasuta. Mis võiks olla veel odavam?

Muidugi, täielikult ilma võrguadministratorita või tema asendajata ei saa hakkama. Küsimus on inimeste arvus, nende spetsialiseerumises ja jaotuses paikadesse.

Mis puudutab tasulist laienenud teenust, siis küsimuse esitamine, kas see on kallim või odavam - see lähenemine on alati ebatäpne ja ühekülgne. Õigem oleks võrrelda mitmeid tegureid, alates raha, mis kulub konkreetsete spetsialistide palkamiseks ning lõpetades kuludega, mis on vajalikud nende suhtlemiseks alltöövõtja või füüsilise isikuga: kvaliteedikontroll, dokumentatsiooni koostamine, turvalisuse taseme hoidmine jne.

Kui rääkida sellest, kas tasuliste teenuste paketi (Pro-Pack) ostmine on kasulik või mitte, siis ligikaudne vastus võiks olla järgmine: kui organisatsioon on väike, saab hakkama põhilise versiooniga, kui organisatsioon kasvab, siis on mõtet mõelda Pro-Packile. Zyxel Nebula versioonide erinevust saab vaadata tabelis 1.

Tabel 1. Funktsioonide komplektide erinevused Nebula põhilise versiooni ja Pro-Pack versiooni vahel.

See sisaldab nii laienenud raporteerimist, kasutajate auditi, konfiguratsiooni kloonimist ja palju muud.

Aga kuidas on asjadega liikluse kaitsega?

Nebula kasutab protokolli NETCONF võrgu seadmete turvalise kasutamise tagamiseks.

NETCONF saab töötada mitmete transportprotokollide üle:

Kui võrrelda NETCONF-i teiste meetoditega, näiteks juhtimisega läbi SNMP, tuleks märkida, et NETCONF toetab toetuseks TCP-ühendust NAT-i takistuse ületamiseks ja on usaldusväärsem.

Kuidas on varustuse toega?

Muidugi ei tasu serveriruumi muundada loomaaedaks haruldaste ja väljasurevate varustuse esindajatega. Eelistatavalt peaks varustus, mida haldab juhtimistehnoloogia, katma kõiki suundi: keskse lülitist kuni juurdepääsupunktideni. Zyxel'i insenerid on selle võimaluse eest hoolitsenud. Nebula juhtimisel töötab palju seadmeid:

keskse lülitised 10G;
juurdepääsulülitid;
PoE lülitid;
juurdepääsupunktid;
võrgugatewayd.

Kasutatavate seadmete laia valiku tõttu saab ehitada võrgud erinevate ülesannete jaoks. See on eriti oluline ettevõtetele, mis ei kasva ülespoole, vaid laienevad pidevalt uutele ärikohtadele.

Pidev areng

Traditsioonilise haldusmeetodi kasutavatel võrguseadmetel on ainult üks täiustamise tee — seadme muutmine, olgu see siis uus püsivara või lisamoodulid. Zyxel Nebula puhul on lisa tee täiustamiseks — läbi pilveinfrastruktuuri arendamise. Näiteks, pärast Nebula Control Centeri (NCC) värskendamist versioonile 10.1 (21. september 2020) on kasutajatele saadaval uued võimalused, millest mõned on:

organisatsiooni omanik saab nüüd kõik omandi õigused teisele administraatorile üle anda samas organisatsioonis;
uus roll nimega "Omaniku esindaja", millel on samad õigused kui organisatsiooni omanikul;
uus funktsioon seadme püsivara uuendamiseks kogu organisatsiooni ulatuses (Pro-Pack funktsioon);
topoloogiasse on lisatud kaks uut valikut: seadme taaskäivitamine ja PoE porta toite sisse- ja väljalülitamine (Pro-Pack funktsioon);
uute juurdepääsupunktide mudelite tugi: WAC500, WAC500H, WAC5302D-Sv2 ja NWA1123ACv3;
kuponge QR-koodidega autentimise tugi (Pro-Pack funktsioon).