{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"Construction d'une infrastructure r\u00e9seau bas\u00e9e sur Nebula. Partie 1 - probl\u00e8mes et solutions","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Construction
\nL'article portera sur les probl\u00e8mes d'organisation de l'infrastructure r\u00e9seau de mani\u00e8re traditionnelle et sur les m\u00e9thodes de solution de ces m\u00eames questions gr\u00e2ce aux technologies cloud.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

Pour r\u00e9f\u00e9rence.<\/strong> Nebula est un environnement SaaS pour la gestion \u00e0 distance de l'infrastructure r\u00e9seau. Tous les appareils prenant en charge Nebula sont g\u00e9r\u00e9s depuis le cloud via une connexion s\u00e9curis\u00e9e. Il est possible de g\u00e9rer une vaste infrastructure r\u00e9seau distribu\u00e9e \u00e0 partir d'un centre unique, sans avoir \u00e0 fournir d'efforts pour sa cr\u00e9ation.<\/p>\n

<\/p>\n

\u00c0 quoi sert un autre service cloud ?<\/h2>\n

<\/p>\n

Le principal probl\u00e8me lors du travail avec une infrastructure r\u00e9seau n'est pas la conception du r\u00e9seau ou l'achat d'\u00e9quipements, ni m\u00eame le montage dans le rack, mais tout le reste qu'il faudra faire par la suite avec ce r\u00e9seau.<\/p>\n

<\/p>\n

Un r\u00e9seau nouveau \u2014 des pr\u00e9occupations anciennes<\/h3>\n

<\/p>\n

Lors de la mise en service d'un nouveau n\u0153ud de r\u00e9seau apr\u00e8s l'installation et le raccordement de l'\u00e9quipement, la configuration initiale commence. Du point de vue de la \u00ab direction \u00bb, rien de compliqu\u00e9 : \u00ab Prenons la documentation de travail du projet et commen\u00e7ons \u00e0 configurer\u2026 \u00bb C'est une belle d\u00e9claration lorsqu'il s'agit de tous les \u00e9l\u00e9ments du r\u00e9seau dans un m\u00eame centre de donn\u00e9es. En revanche, s'ils sont \u00e9parpill\u00e9s dans diff\u00e9rentes filiales, cela devient un casse-t\u00eate pour assurer un acc\u00e8s \u00e0 distance. Voil\u00e0 un cercle vicieux : pour obtenir un acc\u00e8s distant par le r\u00e9seau, il faut configurer l'\u00e9quipement r\u00e9seau, et pour cela, un acc\u00e8s au r\u00e9seau est n\u00e9cessaire\u2026<\/p>\n

<\/p>\n

Il faut inventer diff\u00e9rents sch\u00e9mas pour sortir du blocage d\u00e9crit ci-dessus. Par exemple, un ordinateur portable avec acc\u00e8s Internet via un modem USB 4G est connect\u00e9 \u00e0 un r\u00e9seau \u00e0 configurer via un c\u00e2ble. Sur cet ordinateur portable, un client VPN est lanc\u00e9, et \u00e0 travers lui, l'administrateur r\u00e9seau du si\u00e8ge essaie d'acc\u00e9der au r\u00e9seau de la filiale. Le sch\u00e9ma n'est pas des plus clairs \u2014 m\u00eame si l'on am\u00e8ne un ordinateur portable avec un VPN pr\u00e9-configur\u00e9 sur le site distant et qu'on lui demande de l'allumer, il n'est pas garanti que tout fonctionne du premier coup. Surtout lorsqu'il s'agit d'une autre r\u00e9gion avec un autre fournisseur.<\/p>\n

<\/p>\n

Ainsi, le moyen le plus fiable est de disposer \"de l'autre c\u00f4t\u00e9 du fil\" d'un bon sp\u00e9cialiste, capable de configurer sa partie conform\u00e9ment au projet. S'il n'y en a pas dans la filiale, il reste alors des options : soit le recours \u00e0 l'externalisation, soit une mission.<\/p>\n

<\/p>\n

Il faut \u00e9galement un syst\u00e8me de surveillance. Il est n\u00e9cessaire de l'installer, de le configurer et de l'entretenir (au moins surveiller l'espace disque et faire r\u00e9guli\u00e8rement des sauvegardes). Et ce syst\u00e8me ne conna\u00eet rien de nos \u00e9quipements tant que nous ne lui fournissons pas d'informations. Pour cela, il faut documenter les param\u00e8tres pour tous les \u00e9quipements et suivre r\u00e9guli\u00e8rement l'actualit\u00e9 des enregistrements.<\/p>\n

<\/p>\n

C'est formidable d'avoir un \u00ab homme-orchestre \u00bb dans l'\u00e9quipe qui, en plus de ses comp\u00e9tences sp\u00e9cifiques de r\u00e9seau, sait travailler avec Zabbix ou un autre syst\u00e8me similaire. Sinon, il faut soit embaucher une autre personne, soit externaliser.<\/p>\n

<\/p>\n

Remarque.<\/strong> Les erreurs les plus d\u00e9sastreuses commencent souvent par les mots : \u00ab Mais qu'est-ce que c'est que de configurer ce Zabbix (Nagios, OpenView, etc.) ? Je vais le configurer rapidement et c'est fait ! \u00bb<\/em><\/p>\n

<\/p>\n

De l'impl\u00e9mentation \u00e0 l'exploitation<\/h3>\n

<\/p>\n

Examinons un exemple concret.<\/p>\n

<\/p>\n

Un message d'alerte a \u00e9t\u00e9 re\u00e7u indiquant qu'il y a un point d'acc\u00e8s WiFi qui ne r\u00e9pond pas quelque part.<\/p>\n

<\/p>\n

O\u00f9 se trouve-t-il ?<\/p>\n

<\/p>\n

Bien s\u00fbr, un bon administrateur r\u00e9seau a son propre r\u00e9pertoire, o\u00f9 tout est not\u00e9. Les probl\u00e8mes commencent quand il faut partager ces informations. Par exemple, il est urgent d'envoyer un messager pour enqu\u00eater sur place, et pour cela, il faut fournir quelque chose comme : \u00ab Point d'acc\u00e8s dans le centre d'affaires rue des Constructeurs, maison 1, au 3\u00e8me \u00e9tage, bureau N 301 pr\u00e8s de la porte d'entr\u00e9e sous le plafond \u00bb.<\/p>\n

<\/p>\n

Supposons que nous avons de la chance et que le point d'acc\u00e8s est aliment\u00e9 par PoE, et que le commutateur permet de le red\u00e9marrer \u00e0 distance. Pas besoin de se d\u00e9placer, mais il faut un acc\u00e8s \u00e0 distance au commutateur. Il reste \u00e0 configurer le transfert de ports via PAT sur le routeur, \u00e0 comprendre les VLAN pour les connexions externes, et ainsi de suite. C'est bien si tout est configur\u00e9 \u00e0 l'avance. Le travail n'est peut-\u00eatre pas difficile, mais il doit \u00eatre r\u00e9alis\u00e9.<\/p>\n

<\/p>\n

Ainsi, le point d'acc\u00e8s a \u00e9t\u00e9 red\u00e9marr\u00e9. Cela n'a pas aid\u00e9 ?<\/p>\n

<\/p>\n

Supposons qu'il y a un probl\u00e8me mat\u00e9riel. Maintenant, nous cherchons des informations sur la garantie, le d\u00e9but de l'exploitation et d'autres d\u00e9tails int\u00e9ressants.<\/p>\n

<\/p>\n

\u00c0 propos de WiFi. L'utilisation de la version domestique WPA2-PSK, o\u00f9 une seule cl\u00e9 est utilis\u00e9e pour tous les appareils, n'est pas recommand\u00e9e dans un environnement professionnel. Premi\u00e8rement, une cl\u00e9 unique pour tous est tout simplement peu s\u00e9curis\u00e9e, et deuxi\u00e8mement, lorsque l'un des employ\u00e9s quitte l'entreprise, il faut alors changer cette cl\u00e9 commune et refaire les configurations sur tous les appareils de tous les utilisateurs. Pour \u00e9viter ce genre de d\u00e9sagr\u00e9ments, il existe WPA2-Enterprise avec une authentification individuelle pour chaque utilisateur. Cependant, un serveur RADIUS est n\u00e9cessaire \u2014 une autre unit\u00e9 d'infrastructure que l'on doit contr\u00f4ler, effectuer des sauvegardes, etc.<\/p>\n

<\/p>\n

Notez qu'\u00e0 chaque \u00e9tape, que ce soit lors de l'impl\u00e9mentation ou de l'exploitation, nous avons utilis\u00e9 des syst\u00e8mes d'assistance. Cela inclut un ordinateur portable avec un acc\u00e8s Internet \u00ab externe \u00bb, un syst\u00e8me de surveillance, une base de donn\u00e9es de r\u00e9f\u00e9rence sur le mat\u00e9riel, et RADIUS comme syst\u00e8me d'authentification. En plus des dispositifs r\u00e9seau, il faut \u00e9galement g\u00e9rer des services tiers.<\/p>\n

<\/p>\n

Dans de tels cas, on peut entendre le conseil suivant : \u00ab Migrer vers le cloud et ne pas se compliquer la vie \u00bb. Il doit certainement exister un Zabbix cloud, peut-\u00eatre un RADIUS cloud quelque part, et m\u00eame une base de donn\u00e9es cloud pour maintenir la liste des appareils. Le probl\u00e8me est que cela ne doit pas \u00eatre dispers\u00e9, mais \u00ab tout en un \u00bb. Et cela soul\u00e8ve toujours des questions sur l'organisation de l'acc\u00e8s, la configuration initiale des appareils, la s\u00e9curit\u00e9, et bien d'autres encore.<\/p>\n

<\/p>\n

Comment cela fonctionne-t-il avec Nebula ?<\/h2>\n

<\/p>\n

Bien s\u00fbr, au d\u00e9part, le \u00ab cloud \u00bb ne sait rien de nos plans ni du mat\u00e9riel acquis.<\/p>\n

<\/p>\n

D'abord, un profil organisationnel est cr\u00e9\u00e9. C'est-\u00e0-dire que toute l'infrastructure : le si\u00e8ge et les filiales sont d'abord inscrits dans le cloud. Les r\u00e9f\u00e9rences sont sp\u00e9cifi\u00e9es, et des comptes sont cr\u00e9\u00e9s pour d\u00e9l\u00e9guer des autorisations.<\/p>\n

<\/p>\n

Il y a deux fa\u00e7ons d'enregistrer les appareils utilis\u00e9s dans le cloud : \u00e0 l'ancienne \u2014 en saisissant simplement le num\u00e9ro de s\u00e9rie lors du remplissage d'un formulaire web ou en scannant un code QR avec un t\u00e9l\u00e9phone mobile. Tout ce dont vous avez besoin pour la seconde m\u00e9thode est un smartphone avec cam\u00e9ra et acc\u00e8s \u00e0 Internet, y compris via un fournisseur mobile.<\/p>\n

<\/p>\n

Bien s\u00fbr, l'infrastructure n\u00e9cessaire pour stocker les informations, tant pour la comptabilit\u00e9 que pour les param\u00e8tres, est fournie par Zyxel Nebula.<\/p>\n

<\/p>\n

\"Construction
\nFigure 1. Rapport de s\u00e9curit\u00e9 du Nebula Control Center.<\/em><\/p>\n

<\/p>\n

Qu'en est-il de la configuration d'acc\u00e8s ? L'ouverture des ports, le transfert du trafic via la passerelle d'entr\u00e9e, tout ce que les administrateurs de s\u00e9curit\u00e9 appellent affectueusement : \u00ab faire des trous \u00bb ? Heureusement, tout cela n'est pas n\u00e9cessaire. Les appareils sous Nebula \u00e9tablissent une connexion sortante. L'administrateur se connecte non pas \u00e0 un appareil s\u00e9par\u00e9, mais au cloud. Nebula agit comme interm\u00e9diaire entre les deux connexions : l'appareil et l'ordinateur de l'administrateur r\u00e9seau. Cela signifie que l'\u00e9tape de l'appel de l'administrateur entrant peut \u00eatre minimis\u00e9e, voire omise. Et aucun \u00ab trou \u00bb suppl\u00e9mentaire dans le pare-feu.<\/p>\n

<\/p>\n

Et qu'en est-il du serveur RADIUS ? Une certaine authentification centralis\u00e9e est n\u00e9cessaire !<\/p>\n

<\/p>\n

Nebula prend \u00e9galement en charge cette fonction. L'authentification des comptes pour acc\u00e9der au mat\u00e9riel passe par une base de donn\u00e9es s\u00e9curis\u00e9e. Cela simplifie fortement la d\u00e9l\u00e9gation ou le retrait des droits de gestion du syst\u00e8me. Pour transf\u00e9rer des droits, nous cr\u00e9ons un utilisateur et attribuons un r\u00f4le. Pour retirer des droits, nous effectuons les actions inverses.<\/p>\n

<\/p>\n

Il convient de mentionner s\u00e9par\u00e9ment le WPA2-Enterprise, qui n\u00e9cessite un service d'authentification distinct. Zyxel Nebula propose son propre \u00e9quivalent \u2014 DPPSK, qui permet d'utiliser WPA2-PSK avec une cl\u00e9 individuelle pour chaque utilisateur.<\/p>\n

<\/p>\n

Questions \u00ab g\u00eanantes \u00bb<\/h2>\n

<\/p>\n

Ci-dessous, nous tenterons de r\u00e9pondre aux questions les plus \u00e9pineuses souvent pos\u00e9es lors de l'adoption d'un service cloud.<\/p>\n

<\/p>\n

Est-ce vraiment s\u00e9curis\u00e9 ?<\/h3>\n

<\/p>\n

Dans toute d\u00e9l\u00e9gation de contr\u00f4le et de gestion, deux facteurs jouent un r\u00f4le essentiel pour assurer la s\u00e9curit\u00e9 : l'anonymisation et le chiffrement.<\/p>\n

<\/p>\n

L'utilisation du chiffrement pour prot\u00e9ger le trafic des regards indiscrets est quelque chose que nos lecteurs connaissent plus ou moins.<\/p>\n

<\/p>\n

L'anonymisation cache au personnel du fournisseur de cloud des informations sur le propri\u00e9taire et la source. Les informations personnelles sont supprim\u00e9es, et aux enregistrements est attribu\u00e9 un identifiant \u00ab anonyme \u00bb. Ni le d\u00e9veloppeur du logiciel cloud ni l'administrateur qui g\u00e8re le syst\u00e8me cloud ne peuvent savoir qui est le propri\u00e9taire des demandes. \u00ab D'o\u00f9 cela vient-il ? Qui pourrait s'en soucier ? \u00bb \u2014 ces questions resteront sans r\u00e9ponse. L'absence de donn\u00e9es sur le propri\u00e9taire et la source rend l'insight totalement futile.<\/p>\n

<\/p>\n

Compar\u00e9 \u00e0 la pratique traditionnelle de l'externalisation ou de l'embauche d'un administrateur temporaire, il est \u00e9vident que les technologies cloud sont plus s\u00fbres. Un sp\u00e9cialiste IT temporaire en sait suffisamment sur l'organisation qu'il accompagne et peut, volontairement ou non, causer des dommages consid\u00e9rables sur le plan de la s\u00e9curit\u00e9. Il reste \u00e9galement \u00e0 g\u00e9rer la question du licenciement ou de la fin du contrat. Parfois, en plus du blocage ou de la suppression du compte, cela entra\u00eene un changement global des mots de passe pour acc\u00e9der aux services, ainsi qu'un audit de toutes les ressources afin de rechercher des \u00ab points d'entr\u00e9e oubli\u00e9s \u00bb et d'\u00e9ventuelles \u00ab portes d\u00e9rob\u00e9es \u00bb.<\/p>\n

<\/p>\n

Combien Nebula est-elle plus ch\u00e8re ou moins ch\u00e8re qu'un administrateur temporaire ?<\/h3>\n

<\/p>\n

Tout s'apprend par comparaison. Les fonctions de base de Nebula sont disponibles gratuitement. En fait, qu'est-ce qui pourrait \u00eatre moins cher ?<\/p>\n

<\/p>\n

Bien s\u00fbr, il est impossible de se passer totalement d'un administrateur r\u00e9seau ou de son rempla\u00e7ant. La question r\u00e9side dans le nombre de personnes, leur sp\u00e9cialisation et leur r\u00e9partition sur les sites.<\/p>\n

<\/p>\n

En ce qui concerne le service payant avanc\u00e9, poser la question directe : est-il plus cher ou moins cher ? \u2014 cette approche sera toujours inexacte et unilat\u00e9rale. Il serait plus correct de comparer plusieurs facteurs, allant des fonds n\u00e9cessaires pour r\u00e9mun\u00e9rer des sp\u00e9cialistes sp\u00e9cifiques \u00e0 la gestion de leur interaction avec un entrepreneur ou un particulier : contr\u00f4le de la qualit\u00e9, r\u00e9daction de documentation, maintien du niveau de s\u00e9curit\u00e9, etc.<\/p>\n

<\/p>\n

Si l'on parle de l'opportunit\u00e9 ou non d'acheter un pack de services payant (Pro-Pack), une r\u00e9ponse approximative pourrait \u00eatre : si l'organisation est petite, la version de base peut suffire, si l'organisation grandit, il convient alors de r\u00e9fl\u00e9chir au Pro-Pack. Les diff\u00e9rences entre les versions de Zyxel Nebula peuvent \u00eatre consult\u00e9es dans le tableau 1.<\/p>\n

<\/p>\n

Tableau 1. Diff\u00e9rences entre les ensembles de fonctionnalit\u00e9s de la version de base et de la version Pro-Pack pour Nebula.<\/em><\/p>\n

<\/p>\n

\"Construction<\/p>\n

<\/p>\n

C'est \u00e0 la fois des rapports avanc\u00e9s, un audit des utilisateurs, le clonage de configuration, et bien plus encore.<\/p>\n

<\/p>\n

Qu'en est-il de la protection du trafic ?<\/h3>\n

<\/p>\n

Nebula utilise le protocole NETCONF<\/a><\/noindex> pour garantir la s\u00e9curit\u00e9 des op\u00e9rations avec l'\u00e9quipement r\u00e9seau.<\/p>\n

<\/p>\n

NETCONF peut fonctionner sur plusieurs protocoles de transport :<\/p>\n

<\/p>\n