{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"V\u00f5rgustruktuuri ehitamine Nebula baasil. Osa 1 \u2014 \u00fclesanded ja lahendused","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"V\u00f5rgustruktuuri
\nArtiklis arutatakse traditsioonilise l\u00e4henemisega seotud probleemide korraldamist v\u00f5rgu infrastruktuuri ja nende samaaegseid lahendusi pilvetehnoloogiate abil.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

Teabe jaoks.<\/strong> Nebula on pilvep\u00f5hine SaaS keskkond, mis v\u00f5imaldab kaugjuhtimist v\u00f5rgu infrastruktuuri. K\u00f5ik Nebula toetavad seadmed hallatakse pilvest turvalise \u00fchenduse kaudu. Suurt jaotatud v\u00f5rgu infrastruktuuri saab hallata \u00fchest keskpunktist, ilma et peaks selle loomiseks vaeva n\u00e4gema.<\/p>\n

<\/p>\n

Mis on j\u00e4rgmine pilveteenus?<\/h2>\n

<\/p>\n

V\u00f5rgu infrastruktuuriga t\u00f6\u00f6tamisel on peamine probleem mitte v\u00f5rgu projekteerimine, seadmete ostmine ega isegi seadmete montaa\u017e, vaid k\u00f5ik muu, mida sellise v\u00f5rgu hooldamiseks hiljem teha tuleb.<\/p>\n

<\/p>\n

Uus v\u00f5rk \u2014 vanad mured<\/h3>\n

<\/p>\n

Uue v\u00f5rgus\u00f5lme kasutusele v\u00f5tmisel p\u00e4rast seadmete paigaldamist ja \u00fchendamist algab esialgne seadistamine. Suurelt jaolt vaadatuna pole see midagi keerulist: \"V\u00f5tame t\u00f6\u00f6projekti dokumentatsiooni ja hakkame seadistama...\" See k\u00f5lab t\u00f5eliselt h\u00e4sti, kui k\u00f5ik v\u00f5rguelemendid paiknevad \u00fches andmekeskuses. Kui need on aga hajutatud filiaalidesse, algab peavalu kaugjuurdep\u00e4\u00e4su tagamiseks. Selline suletud ring: et saada kaugjuurdep\u00e4\u00e4s v\u00f5rgu kaudu, tuleb seadistada v\u00f5rgutooted, aga selleks on vajalik juurdep\u00e4\u00e4s v\u00f5rku...<\/p>\n

<\/p>\n

Kuna tuleb v\u00e4lja m\u00f5elda erinevaid skeeme, et sellest eespool kirjeldatud kinnistusest v\u00e4lja p\u00e4\u00e4seda. N\u00e4iteks, s\u00fclearvuti, millel on Interneti-\u00fchendus USB 4G modemiga, on \u00fchendatud konfigureeritava v\u00f5rgu kaudu. Sellel s\u00fclearvutil k\u00e4ivitatakse VPN klient, ja l\u00e4bi selle proovib v\u00f5rguadministraator peakorterist p\u00e4\u00e4seda filiaali v\u00f5rku. Skeem ei ole k\u00f5ige l\u00e4bipaistvam \u2014 isegi kui tuua s\u00fclearvuti eelh\u00e4\u00e4lestatud VPN-iga kaugusele ja paluda selle sisse l\u00fclitada, pole sugugi kindel, et k\u00f5ik t\u00f6\u00f6tab esimesel korral. Eriti kui on tegu teise piirkonna ja teise teenusepakkujaga.<\/p>\n

<\/p>\n

Tuleb v\u00e4lja, et k\u00f5ige usaldusv\u00e4\u00e4rsem viis on hoida \u201eteisel pool juhet\u201c head spetsialisti, kes suudab oma osa vastavalt projektile seadistada. Kui sellist filiaalist ei leita, j\u00e4\u00e4vad v\u00f5imalused: kas allhange v\u00f5i \u00e4rireis.<\/p>\n

<\/p>\n

Veel on vajalik j\u00e4lgimiss\u00fcsteem. See tuleb installida, seadistada, hooldada (v\u00e4hemalt j\u00e4lgida kettaruumi ja regulaarselt varunda). Ja see, kes ei tea meie seadmetest midagi, kuni me seda ei \u00fctle. Selleks tuleb seadistada k\u00f5ikide seadmete s\u00e4tted ja regulaarselt j\u00e4lgida, kas andmed on ajakohased.<\/p>\n

<\/p>\n

Imeline on, kui meeskonnas on oma \"orkester-inimesed\", kes peale v\u00f5rguadministraatori spetsiifilistest teadmistest oskavad t\u00f6\u00f6tada Zabbixi v\u00f5i m\u00f5ne muu sarnase s\u00fcsteemiga. Vastasel juhul v\u00f5tame veel \u00fche inimese v\u00f5i anname lepingu v\u00e4lja.<\/p>\n

<\/p>\n

M\u00e4rkus.<\/strong> Karmimad vead algavad s\u00f5nadest: \"Kuidas see Zabbix (Nagios, OpenView jne) seadistamine on? Ma t\u00f5stan selle kiiresti \u00fcles ja ongi valmis!\"<\/em><\/p>\n

<\/p>\n

Juhtimisest kasutusele v\u00f5tmiseni<\/h3>\n

<\/p>\n

Vaatame konkreetset n\u00e4idet.<\/p>\n

<\/p>\n

Saadi h\u00e4ireteade, et kuskil ei vasta WiFi-punk.<\/p>\n

<\/p>\n

Kus see asub?<\/p>\n

<\/p>\n

Muidugi on hea v\u00f5rguadministraatoril oma isiklik raamat, kuhu k\u00f5ik on kirja pandud. K\u00fcsimused algavad siis, kui seda teavet tuleb jagada. N\u00e4iteks tuleb kiiresti saata saadik, et olukorda kohapeal selgitada, ja selleks on vaja anda midagi sellist nagu: \u201eJuhtmevaba juurdep\u00e4\u00e4s \u00e4rihoones aadressil Ehitajate t\u00e4nav 1, 3. korrusel, kabinet N 301 sissep\u00e4\u00e4su ukse k\u00f5rval lae all.\u201d<\/p>\n

<\/p>\n

Oletame, et meil vedas ja juurdep\u00e4\u00e4s on toidetud PoE kaudu ning l\u00fcliti v\u00f5imaldab selle kaugt\u00e4iendamist. Ei pea kohale minema, aga on vajalik kaugjuurdep\u00e4\u00e4s l\u00fclitile. J\u00e4\u00e4b alles portide suunamine PAT kaudu ruuteri peal, VLAN-i seadistamine v\u00e4lispoolse \u00fchenduse jaoks ja nii edasi. Soodne on, kui k\u00f5ik on eelnevalt seadistatud. T\u00f6\u00f6 v\u00f5ib-olla ei ole keeruline, kuid seda tuleb teha.<\/p>\n

<\/p>\n

Nii et toitejuhtme oleme taask\u00e4ivitamiseks seadistanud. Ei aidanud?<\/p>\n

<\/p>\n

Oletame, et riistvara osas on midagi vale. N\u00fc\u00fcd otsime teavet garantii, t\u00f6\u00f6 alustamise ja muude huvitavate detailide kohta.<\/p>\n

<\/p>\n

Muide WiFi-st. Koduversiooni WPA2-PSK kasutamine, kus k\u00f5ik seadmed jagavad \u00fchte parooli, ei ole ettev\u00f5tte keskkonnas soovitatav. Esiteks, \u00fche parooli kasutamine k\u00f5igil seadmetel on lihtsalt ebausaldusv\u00e4\u00e4rne, ja teiseks, kui \u00fcks t\u00f6\u00f6taja lahkub, tuleb muuta seda jagatud parooli ja seadistada k\u00f5ik seadmed uuesti k\u00f5ikidele kasutajatele. Selliste probleemide v\u00e4ltimiseks on olemas WPA2-Enterprise koos iga kasutaja individuaalse autentimisega. Kuid selleks on vajalik RADIUS-server \u2014 veel \u00fcks infrastruktuuri\u00fcksus, mille \u00fcle tuleb hoolitseda, teha varukoopiaid jne.<\/p>\n

<\/p>\n

Pange t\u00e4hele, et igal etapil, olgu see siis juurutamine v\u00f5i kasutamine, kasutasime abis\u00fcsteeme. Need h\u00f5lmavad s\u00fclearvutit, millel on 'kolmanda osapoole' interneti\u00fchendus, monitorimiss\u00fcsteemi, seadmeinfobaas ja RADIUS autentimiss\u00fcsteem. Lisaks v\u00f5rguseadmete haldamisele tuleb hallata ka kolmandate osapoolte teenuseid.<\/p>\n

<\/p>\n

Sellise olukorra korral v\u00f5ib kuulda n\u00f5u: \"Anna pilve ja \u00e4ra vaeva end.\" Kindlasti on olemas pilve Zabbix, v\u00f5ib-olla on kuskil pilve RADIUS ja isegi pilve andmebaas seadmete loendamiseks. H\u00e4da on aga selles, et neid pole vaja \u00fcksikult, vaid \u201e\u00fches pakis\u201c. Ja ikkagi tekivad ligip\u00e4\u00e4su organiseerimise, seadmete esialgse seadistamise, turvalisuse ja palju muu k\u00fcsimused.<\/p>\n

<\/p>\n

Kuidas see v\u00e4lja n\u00e4eb Nebula kasutamisel?<\/h2>\n

<\/p>\n

Loomulikult ei tea \u201epilv\u201c alguses meie plaanidest ega ostetud seadmetest midagi.<\/p>\n

<\/p>\n

Esiteks luuakse organisatsiooni profiil. K\u00f5ik infrastruktuur, peakorter ja filiaalid tehakse algselt pilves korda. T\u00e4psustatakse andmed, luuakse kontod volituste delegeerimiseks.<\/p>\n

<\/p>\n

Pilve registreerimise seadmeid saab teha kahes erinevas mooduses: vanamoodsalt \u2014 lihtsalt sisestades seerianumri veebivormi t\u00e4itmisel v\u00f5i skaneerides QR-koodi mobiiltelefoni abil. Teise meetodi jaoks on vajalik lihtsalt nutitelefon koos kaameraga ja Interneti-\u00fchendus, sealhulgas mobiilioperaatori kaudu.<\/p>\n

<\/p>\n

Muidugi pakub vajalikku infrastruktuuri andmete, sealhulgas seadistuste, salvestamiseks Zyxel Nebula.<\/p>\n

<\/p>\n

\"V\u00f5rgustruktuuri
\nKujutis 1. Nebula Control Centeri turvaaruande.<\/em><\/p>\n

<\/p>\n

Aga kuidas on juurdep\u00e4\u00e4su seadistamisega? Portide avamise, liikluse suunamise kaudu sisenemise v\u00e4rava, k\u00f5igi nende asjadega, mida turvaadministraatorid armastavalt nimetavad \"aukude tegemiseks\"? \u00d5nneks ei pea seda tegema. Nebula juhtimise all olevad seadmed loovad v\u00e4lisseose. Ja administraator \u00fchendub seadme asemel mitte eraldi seadmega, vaid pilvega. Nebula toimib vahendajana kahe \u00fchenduse vahel: seadme ja v\u00f5rguadministraatori arvuti vahel. See t\u00e4hendab, et siseneva administraatori kaasamise etappi saab minimaalseks viia v\u00f5i isegi t\u00e4ielikult vahele j\u00e4tta. Ja ei mingit t\u00e4iendavat \"auku\" tulem\u00fc\u00fcris.<\/p>\n

<\/p>\n

Aga kuidas on RADUIS serveriga? Kas pole vajalik mingisugune tsentraalne autentimine!<\/p>\n

<\/p>\n

Ja need funktsioonid on samuti N\u0435bula hoolduses. Hoonete juurde p\u00e4\u00e4semiseks toimub kontode autentimine kaudu kaitstud andmebaasi. See lihtsustab oluliselt \u00f5iguste delegatsiooni v\u00f5i tagasiv\u00f5tmist s\u00fcsteemi haldamisel. Kui \u00f5igusi tuleb edasi anda \u2014 loome kasutaja, m\u00e4\u00e4rame rolli. Kui \u00f5igusi tuleb tagasi v\u00f5tta \u2014 teeme vastupidiseid toiminguid.<\/p>\n

<\/p>\n

Erinevalt tasub m\u00e4rkida WPA2-Enterprise'i, mille jaoks on vajalik eraldi autentimisteenus. Zyxel Nebula omab oma analooge \u2014 DPPSK, mis v\u00f5imaldab kasutada WPA2-PSK-d iga kasutaja jaoks individuaalse v\u00f5tmega.<\/p>\n

<\/p>\n

\"Ebamugavad\" k\u00fcsimused<\/h2>\n

<\/p>\n

Allpool p\u00fc\u00fcame anda vastuseid k\u00f5ige keerulisematele k\u00fcsimustele, mida sageli k\u00fcsitakse pilveteenusesse sisenemisel.<\/p>\n

<\/p>\n

Kas see on t\u00f5esti ohutu?<\/h3>\n

<\/p>\n

Iga kontrolli ja haldamise delegatsiooni puhul m\u00e4ngivad turvalisuse tagamisel olulist rolli kaks tegurit: anon\u00fc\u00fcmsus ja kr\u00fcpteerimine.<\/p>\n

<\/p>\n

Kr\u00fcpteerimise kasutamine, et kaitsta liiklust tundmatute silmade eest \u2014 see on lugejatele enam-v\u00e4hem tuttav.<\/p>\n

<\/p>\n

Anon\u00fc\u00fcmsus varjab pilveteenuse pakkuja t\u00f6\u00f6tajatelt omanikku ja allikat. Isiklik teave kustutatakse ning salvestustele antakse \"ilma n\u00e4ota\" identifikaator. Ei pilve tarkvara arendaja ega administratiivpersonal, kes hooldab pilves\u00fcsteemi, saa teada p\u00e4ringute omaniku identiteeti. \"Kust see tuli? Keda see v\u00f5iks huvitada?\" \u2014 sellised k\u00fcsimused j\u00e4\u00e4vad vastuseta. Omaniku ja allika andmete puudumine muudab insider\u2019i tegevuse m\u00f5ttetuks ajakulu.<\/p>\n

<\/p>\n

V\u00f5rreldes traditsioonilise l\u00e4henemisega, kus tehakse outsoursing v\u00f5i palgatakse v\u00e4ljakutsutud administraator, on selgelt n\u00e4ha, et pilvetehnoloogiad on turvalisemad. V\u00e4ljakutsutud IT-spetsialist teab oma kliendiorganisatsioonist liiga palju ning v\u00f5ib tahtmatult v\u00f5i tahtlikult julgeoleku osas kahju tekitada. Samuti tuleb lahendada k\u00fcsimus koondamise v\u00f5i lepingu l\u00f5petamise osas. M\u00f5nikord t\u00e4hendab see, peale konto blokeerimise v\u00f5i kustutamise, globaalset paroolide vahetust teenustele juurdep\u00e4\u00e4semiseks ja k\u00f5igi ressursside auditeerimist \u201eh\u00e4marate\u201c sisenemisv\u00f5imaluste ja v\u00f5imalike \u201etagasihoidlike\u201c osas.<\/p>\n

<\/p>\n

Kui palju on Nebula kallim v\u00f5i odavam kui sisse tulev administraator?<\/h3>\n

<\/p>\n

K\u00f5ike saab teada v\u00f5rreldes. Nebula p\u00f5hiomadused on tasuta k\u00e4ttesaadavad. Mis v\u00f5iks olla veel odavam?<\/p>\n

<\/p>\n

Muidugi ei saa mingil moel ilma v\u00f5rguadministraatori v\u00f5i tema asendaja abita hakkama. K\u00fcsimus on inimesi arvus, nende spetsialiseerumises ja jaotumises erinevatesse kohtadesse.<\/p>\n

<\/p>\n

Mis puutub tasulisse t\u00e4iustatud teenusesse, siis otse k\u00fcsimine: kas see on kallim v\u00f5i odavam \u2014 selline l\u00e4henemine on alati ebat\u00e4pne ja \u00fcksik\u00fcritus. \u00d5igem on v\u00f5rrelda mitmeid tegureid, alates rahast, mida kulutatakse konkreetsete spetsialistide t\u00f6\u00f6le, kuni nende suhtlemiskuludeni allt\u00f6\u00f6v\u00f5tjaga v\u00f5i f\u00fc\u00fcsilisest isikust: t\u00f6\u00f6de kvaliteedi kontroll, dokumentatsiooni koostamine, julgeoleku taseme hoidmine ja nii edasi.<\/p>\n

<\/p>\n

Kui r\u00e4\u00e4kida sellest, kas tasulise teenuste paketi (Pro-Pack) ostmine on kasulik v\u00f5i mitte, siis umbkaudne vastus v\u00f5iks olla selline: kui organisatsioon on v\u00e4ike, piisab p\u00f5hiversioonist; kui organisatsioon kasvab, tasub kaaluda Pro-Pack'i. Zyxel Nebula versioonide erinevusi saab vaadata tabelist 1.<\/p>\n

<\/p>\n

Tabel 1. Funktsioonide komplektide erinevused Nebula p\u00f5hiversiooni ja Pro-Pack versiooni vahel.<\/em><\/p>\n

<\/p>\n

\"V\u00f5rgustruktuuri<\/p>\n

<\/p>\n

See h\u00f5lmab nii ulatuslikku aruandlust, kasutaja auditeerimist, konfiguratsiooni kloonimist kui ka palju muud.<\/p>\n

<\/p>\n

Kuidas on lood liikluskaitsega?<\/h3>\n

<\/p>\n

Nebula kasutab protokolli NETCONF<\/a><\/noindex> v\u00f5rguseadmestikuga turvaliseks toimimiseks.<\/p>\n

<\/p>\n

NETCONF saab t\u00f6\u00f6tada mitme transpordiprotokolli peal:<\/p>\n

<\/p>\n