{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"V\u00f5rgutruktuuri loomine Nebula baasil. Osa 1 \u2014 \u00fclesanded ja lahendused","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"V\u00f5rgutruktuuri
\nArtiklis k\u00e4sitletakse v\u00f5rguinfrastruktuuri korraldamise probleeme traditsioonilisel viisil ja nende lahendamise meetodeid pilvetehnoloogiate abil.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

Viidatud.<\/strong> Nebula on pilvep\u00f5hine SaaS keskkond, mis toetab v\u00f5rguinfrastruktuuri kaugjuhtimist. K\u00f5ik Nebulat toetavad seadmed juhitakse pilve kaudu turvalise \u00fchenduse kaudu. Suurt hajutatud v\u00f5rguinfrastruktuuri saab hallata \u00fchest keskusest, ilma et peaksid pingutama selle loomise nimel.<\/p>\n

<\/p>\n

Milleks on vajadus uue pilveteenuse j\u00e4rele?<\/h2>\n

<\/p>\n

Peamine probleem v\u00f5rguinfrastruktuuri haldamisel ei ole v\u00f5rgu projekteerimine ja seadmete soetamine, isegi mitte rack'i paigaldamine, vaid k\u00f5ik see, mis p\u00e4rast v\u00f5rgu loomist veel teha tuleb.<\/p>\n

<\/p>\n

Uus v\u00f5rk \u2013 vanad mured<\/h3>\n

<\/p>\n

Uue v\u00f5rgus\u00f5lme k\u00e4iku lastes, p\u00e4rast seadmete paigaldamist ja \u00fchendamist, algab esialgne seadistamine. Suure \u00fclemuse vaatepunktist - midagi keerulist: \"V\u00f5tame t\u00f6\u00f6projekti dokumentatsiooni ja hakkame seadistama...\" Seda on nii tore \u00f6elda, kui k\u00f5ik v\u00f5rguelemendid asuvad \u00fches andmekeskuses. Kui need on aga jaotatud filiaalidesse, algab peavalu kaug\u00fclevaate tagamiseks. Selline suletud ring: et saada v\u00f5rgu kaudu kaug\u00fclevaade, tuleb seadistada v\u00f5rguseadmed, kuid selleks on vajalik juurdep\u00e4\u00e4s v\u00f5rku...<\/p>\n

<\/p>\n

Pead v\u00e4lja m\u00f5tlema erinevaid skeeme, et p\u00e4\u00e4seda kirjeldatud ummikust. N\u00e4iteks, s\u00fclearvuti, millel on Interneti-\u00fchendus USB 4G modemi kaudu, \u00fchendatakse paigaldatava v\u00f5rgu kaudu. Sellel s\u00fclearvutil seadistatakse VPN klient ja selle kaudu proovib v\u00f5rguadministraator peakorterist p\u00e4\u00e4seda filiaali v\u00f5rku. See skeem ei ole k\u00f5ige l\u00e4bipaistvam \u2013 isegi kui viia s\u00fclearvuti eelnevalt seadistatud VPN-iga kaugplatsile ja paluda, et see k\u00e4ivitaks, ei ole sugugi kindel, et k\u00f5ik t\u00f6\u00f6tab esimesel katsel. Eriti kui teema h\u00f5lmab teist piirkonda teise teenusepakkuja juures.<\/p>\n

<\/p>\n

Seega on k\u00f5ige usaldusv\u00e4\u00e4rsem viis hoida \"teisel pool liini\" head spetsialisti, kes suudab oma osa seadistada vastavalt projektile. Kui sellist spetsialisti filiaalis ei ole, j\u00e4\u00e4vad alles valikud: kas allhanget kasutada v\u00f5i l\u00e4hetada.<\/p>\n

<\/p>\n

Veel on vaja j\u00e4lgimiss\u00fcsteemi. See tuleb paigaldada, seadistada ja hooldada (n\u00e4iteks j\u00e4lgida ketta ruumi ja regulaarselt varukoopiaid teha). Ja see ei tea meie seadmetest midagi, kuni me talle seda ei \u00fctle. Selleks tuleb seadistada k\u00f5ikide seadmete seaded ja regulaarselt j\u00e4lgida kirjeid.<\/p>\n

<\/p>\n

Tore on, kui ettev\u00f5ttes on oma \u201eorkester\u201d, kes lisaks v\u00f5rguhalduri spetsiifilistele teadmistele oskab t\u00f6\u00f6tada Zabbixi v\u00f5i m\u00f5ne muu sarnase s\u00fcsteemiga. Muul juhul tuleb v\u00f5tta veel \u00fcks inimene v\u00f5i anda \u00fclesanne allt\u00f6\u00f6v\u00f5tjale.<\/p>\n

<\/p>\n

M\u00e4rkus.<\/strong> K\u00f5ige kurvemad eksimused algavad s\u00f5nadest: \u201eKuidas Zabbixi (Nagios, OpenView jne) seadistamine hullu keeruline saab olla? Ma teen selle kiiresti \u00fcles ja ongi valmis!\u201d<\/em><\/p>\n

<\/p>\n

Sisseviimisest kasutusele v\u00f5tmisse<\/h3>\n

<\/p>\n

Vaadakem konkreetset n\u00e4idet.<\/p>\n

<\/p>\n

On saadud h\u00e4ires s\u00f5num, et kuskil ei vasta WiFi juurdep\u00e4\u00e4supunkt.<\/p>\n

<\/p>\n

Kus ta asub?<\/p>\n

<\/p>\n

Loomulikult on heade v\u00f5rguadministraatorite jaoks olemas isiklik k\u00e4siraamat, kuhu k\u00f5ik on \u00fcles kirjutatud. Probleemid algavad siis, kui seda teavet tuleb jagada. N\u00e4iteks tuleb kiiresti saata s\u00f5numitooja, et asja kohapeal selgitada, ja selleks on vaja anda midagi sellist: \u201eJuurdep\u00e4\u00e4supunkt \u00e4rikeskuses, aadressil Ehitusmeeste tn 1, 3. korrusel, ruum N 301, ukse kohal lae all.\u201d<\/p>\n

<\/p>\n

Oletame, et meil on vedanud ja juurdep\u00e4\u00e4supunkt on PoE kaudu toidetud, ja l\u00fcliti v\u00f5imaldab seda kaugelt taask\u00e4ivitada. Pole tarvis minna, kuid l\u00fclitile on vajalik kaugjuurdep\u00e4\u00e4s. J\u00e4tkub portide edasiviimise seadistamine PAT kaudu ruuteri peal, VLAN-i seadistamine v\u00e4lisest \u00fchendamisest ja nii edasi. Hea, kui k\u00f5ik on eelnevalt seadistatud. T\u00f6\u00f6 pole v\u00f5ib-olla keeruline, kuid see tuleb \u00e4ra teha.<\/p>\n

<\/p>\n

Nii et juurdep\u00e4\u00e4supunkti toide taask\u00e4ideti. Ei aidanud?<\/p>\n

<\/p>\n

Oletame, et riistvaras on midagi valesti. N\u00fc\u00fcd otsime garantiiteavet, kasutusele v\u00f5tmise algust ja teisi huvitavaid \u00fcksikasju.<\/p>\n

<\/p>\n

T\u00f5si, WiFi kohta. Kodus kasutatava WPA2-PSK variandi, kus \u00fcks v\u00f5ti on k\u00f5ikidele seadmetele, kasutamine ei ole ettev\u00f5tte keskkonnas soovitatav. Esiteks, \u00fcks v\u00f5ti k\u00f5igile on lihtsalt ebaturvaline, ja teiseks, kui \u00fcks t\u00f6\u00f6taja lahkub, tuleb \u00fcldine v\u00f5ti muuta ning seadistused tuleb k\u00f5igil seadmetel k\u00f5igil kasutajatel uuesti teha. Selliste ebameeldivuste v\u00e4ltimiseks on olemas WPA2-Enterprise, mis pakub individuaalset autentimist iga kasutaja jaoks. Ent selleks on vajalik RADIUS-server \u2014 veel \u00fcks infrastruktuuri element, mida tuleb hallata, varundada jne.<\/p>\n

<\/p>\n

Pange t\u00e4hele, et igal sammul, olgu see siis rakendamine v\u00f5i k\u00e4itamine, kasutasime abis\u00fcsteeme. Need on nii s\u00fclearvuti \u201ekolmandale osapoolele\u201d suunatud interneti\u00fchendusega, j\u00e4lgimiss\u00fcsteem, seadmete teabebaas kui ka RADIUS autentimiss\u00fcsteem. Lisaks v\u00f5rguseadmetele tuleb hooldada ka kolmandate osapoolte teenuseid.<\/p>\n

<\/p>\n

Sellistes olukordades v\u00f5ib kuulda soovitust: \u201eAnna see pilve ja \u00e4ra vaeva end.\u201d Kindlasti on olemas pilvep\u00f5hine Zabbix, v\u00f5ib-olla on kuskil pilve RADIUS ja isegi pilveandmebaas seadmete nimekirja pidamiseks. Probleem on aga selles, et neid ei tohi olla eraldi, vaid \u201e\u00fches paketis\u201d. Ja ikkagi kerkivad esile juurdep\u00e4\u00e4su korraldamise, seadmete algse seadistamise, turvalisuse ja paljude teiste k\u00fcsimuste teemad.<\/p>\n

<\/p>\n

Kuidas see v\u00e4lja n\u00e4eb Nebula kasutamisel?<\/h2>\n

<\/p>\n

Muidugi, alguses ei tea \u201epilv\u201d meie plaanidest ega ostetud seadmetest midagi.<\/p>\n

<\/p>\n

Esialgu luuakse organisatsiooni profiil. See t\u00e4hendab, et kogu infrastruktuur: peakorter ja filiaalid tuleb k\u00f5igepealt pilve registreerida. T\u00e4psustatakse andmed, luuakse kontod volituste delegeerimiseks.<\/p>\n

<\/p>\n

Registreerige kasutatavad seadmed pilves kahes erinevas vormis: vanamoodsalt \u2014 lihtsalt seerianumbri sisestamisega veebivormis v\u00f5i skaneerides QR-koodi mobiiltelefoni abil. K\u00f5ik, mis on vajalik teise meetodi jaoks, on nutitelefon, millel on kaamera ja ligip\u00e4\u00e4s internetile, sealhulgas l\u00e4bi mobiilioperaatori.<\/p>\n

<\/p>\n

Muidugi, vajalik infrastruktuur teabe hoidmiseks, nii arvestuse kui ka seadistuste osas, pakub Zyxel Nebula.<\/p>\n

<\/p>\n

\"V\u00f5rgutruktuuri
\nJoonis 1. Nebula Control Center'i turvalisuse aruanne.<\/em><\/p>\n

<\/p>\n

Aga mis juhtub juurdep\u00e4\u00e4su seadistamisega? Portide avamine, liikluse edastamine sisemise v\u00e4rava kaudu, k\u00f5ik see, mida turbe administraatorid hellitavalt nimetavad: \u201eaukude nikerdamine\u201d? \u00d5nneks ei pea seda k\u00f5ike tegema. Nebula haldus all olevad seadmed seadistavad v\u00e4ljamineva \u00fchenduse. Ja administraator \u00fchendub seadme asemel mitte eraldi seadmega, vaid pilvega. Nebula toimib vahendajana kahe \u00fchenduse vahel: seadme ja v\u00f5rguhalduri arvuti vahel. See t\u00e4hendab, et saabumisadministratori kaasamise etappi saab v\u00e4hendada v\u00f5i isegi vahele j\u00e4tta. Ja mingeid t\u00e4iendavaid \u201eauke\u201d tulem\u00fc\u00fcri ei ole.<\/p>\n

<\/p>\n

Aga kuidas on RADUIS serveriga? Kas ei ole vaja mingit tsentraliseeritud autentimist!<\/p>\n

<\/p>\n

Need funktsioonid t\u00e4idab ka Nebula. Seadmete juurdep\u00e4\u00e4su autentimine k\u00e4ib kaitstud andmebaasi kaudu. See lihtsustab oluliselt \u00f5iguste delegeerimist v\u00f5i eemaldamist s\u00fcsteemi haldamiseks. Kui on vaja \u00f5igusi anda - loome kasutaja, m\u00e4\u00e4rame rolli. Kui on vaja \u00f5igusi tagasi v\u00f5tta - teeme vastupidised toimingud.<\/p>\n

<\/p>\n

Eraldi tasub mainida WPA2-Enterprise'i, mille jaoks on vaja eraldi autentimisteenust. Zyxel Nebulal on selle jaoks oma analoog - DPPSK, mis v\u00f5imaldab kasutada WPA2-PSK-d iga kasutaja jaoks eraldi v\u00f5tmega.<\/p>\n

<\/p>\n

\u201eEbamugavad\u201d k\u00fcsimused<\/h2>\n

<\/p>\n

Allpool proovime anda vastuseid k\u00f5ige keerulisematele k\u00fcsimustele, mida sageli esitatakse pilveteenusesse sisenemisel<\/p>\n

<\/p>\n

Kas see on t\u00f5eliselt ohutu?<\/h3>\n

<\/p>\n

Kontrolli ja halduse delegeerimisel m\u00e4ngivad turvalisuse tagamisel olulist rolli kaks tegurit: anon\u00fc\u00fcmsus ja kr\u00fcpteerimine.<\/p>\n

<\/p>\n

Kr\u00fcpteerimise kasutamine liikluse kaitsmiseks v\u00f5\u00f5raste silmade eest on lugejatele enam-v\u00e4hem tuttav.<\/p>\n

<\/p>\n

Anon\u00fc\u00fcmsus varjab pilvepakkuja t\u00f6\u00f6tajatelt teavet omanikust ja allikast. Isiklik teave eemaldatakse ja kannab \u201eilma identifikaatorit\u201d. Ei pilvesofti arendaja ega pilves\u00fcsteemi haldav administraator ei tea p\u00e4ringute omaniku kohta. \u201eKust see tuli? Keda see v\u00f5iks huvitada?\u201d - need k\u00fcsimused j\u00e4\u00e4vad vastuseta. Omaniku ja allika andmete puudumine muudab siseinfo hankimise m\u00f5ttetuks ajaraiskamiseks.<\/p>\n

<\/p>\n

Kui v\u00f5rrelda seda l\u00e4henemist traditsioonilise praktikaga, kus v\u00e4ljastatakse IT-teenuseid v\u00f5i palkatakse ajutine administraator, siis on selge, et pilvetehnoloogiad on turvalisemad. Ajutine IT-spetsialist teab oma kliendi organisatsioonist piisavalt palju, et suudaks tahtmatult v\u00f5i tahtlikult p\u00f5hjustada m\u00e4rkimisv\u00e4\u00e4rset kahju turvalisuses. Samuti on vajalik lahendada k\u00fcsimus tema vallandamisest v\u00f5i lepingu l\u00f5petamisest. M\u00f5nikord, peale konto blokeerimist v\u00f5i kustutamist, toob see kaasa globaalsete paroolide muutmise teenustele juurdep\u00e4\u00e4su jaoks ning k\u00f5igi ressursside auditi \u201eunustatud\u201d sissep\u00e4\u00e4sude ja v\u00f5imalike \u201etagavarade\u201d kontrollimiseks.<\/p>\n

<\/p>\n

Kuidas v\u00f5rreldakse Nebula hinda ajutiste administraatoritega?<\/h3>\n

<\/p>\n

K\u00f5ike tuntakse v\u00f5rdluse kaudu. Nebula p\u00f5hiomadused on tasuta. Mis v\u00f5iks olla veel odavam?<\/p>\n

<\/p>\n

Muidugi, t\u00e4ielikult ilma v\u00f5rguadministratorita v\u00f5i tema asendajata ei saa hakkama. K\u00fcsimus on inimeste arvus, nende spetsialiseerumises ja jaotuses paikadesse.<\/p>\n

<\/p>\n

Mis puudutab tasulist laienenud teenust, siis k\u00fcsimuse esitamine, kas see on kallim v\u00f5i odavam - see l\u00e4henemine on alati ebat\u00e4pne ja \u00fchek\u00fclgne. \u00d5igem oleks v\u00f5rrelda mitmeid tegureid, alates raha, mis kulub konkreetsete spetsialistide palkamiseks ning l\u00f5petades kuludega, mis on vajalikud nende suhtlemiseks allt\u00f6\u00f6v\u00f5tja v\u00f5i f\u00fc\u00fcsilise isikuga: kvaliteedikontroll, dokumentatsiooni koostamine, turvalisuse taseme hoidmine jne.<\/p>\n

<\/p>\n

Kui r\u00e4\u00e4kida sellest, kas tasuliste teenuste paketi (Pro-Pack) ostmine on kasulik v\u00f5i mitte, siis ligikaudne vastus v\u00f5iks olla j\u00e4rgmine: kui organisatsioon on v\u00e4ike, saab hakkama p\u00f5hilise versiooniga, kui organisatsioon kasvab, siis on m\u00f5tet m\u00f5elda Pro-Packile. Zyxel Nebula versioonide erinevust saab vaadata tabelis 1.<\/p>\n

<\/p>\n

Tabel 1. Funktsioonide komplektide erinevused Nebula p\u00f5hilise versiooni ja Pro-Pack versiooni vahel.<\/em><\/p>\n

<\/p>\n

\"V\u00f5rgutruktuuri<\/p>\n

<\/p>\n

See sisaldab nii laienenud raporteerimist, kasutajate auditi, konfiguratsiooni kloonimist ja palju muud.<\/p>\n

<\/p>\n

Aga kuidas on asjadega liikluse kaitsega?<\/h3>\n

<\/p>\n

Nebula kasutab protokolli NETCONF<\/a><\/noindex> v\u00f5rgu seadmete turvalise kasutamise tagamiseks.<\/p>\n

<\/p>\n

NETCONF saab t\u00f6\u00f6tada mitmete transportprotokollide \u00fcle:<\/p>\n

<\/p>\n