🥇Costruzione dell'infrastruttura di rete basata su Nebula. Parte 1 — obiettivi e soluzioni

L'articolo parlerà delle problematiche legate all'organizzazione dell'infrastruttura di rete in modo tradizionale e dei metodi per risolvere le stesse questioni utilizzando le tecnologie cloud.

Per riferimento. Nebula è un ambiente SaaS per la gestione remota dell'infrastruttura di rete. Tutti i dispositivi che supportano Nebula sono gestiti dal cloud tramite una connessione sicura. È possibile gestire una grande infrastruttura di rete distribuita da un'unica sede, senza sforzi per crearla.

A cosa serve un ennesimo servizio cloud?

Il principale problema nella gestione dell'infrastruttura di rete non è progettare la rete o acquistare l'hardware, e nemmeno installarlo nei rack, ma tutto ciò che occorre fare dopo per la rete.

Rete nuova, preoccupazioni vecchie

All'attivazione di un nuovo nodo di rete, dopo l'installazione e il collegamento delle attrezzature, inizia la configurazione iniziale. Dal punto di vista dei 'top manager' - niente di complicato: 'Prendiamo la documentazione di lavoro del progetto e iniziamo a configurare...' Si parla in modo così spensierato, quando tutti gli elementi di rete sono nello stesso datacenter. Tuttavia, se sono sparsi tra le filiali, inizia il mal di testa per garantire l'accesso remoto. È un circolo vizioso: per ottenere l'accesso remoto attraverso la rete, è necessario configurare l'attrezzatura di rete, e per questo è necessario avere accesso alla rete...

Si devono inventare vari schemi per uscire da questo vicolo cieco. Ad esempio, un laptop con accesso a Internet tramite un modem USB 4G è collegato tramite un cavo patch alla rete da configurare. Su questo laptop viene avviato un client VPN, e attraverso di esso l'amministratore di rete dalla sede centrale cerca di accedere alla rete della filiale. Lo schema non è dei più trasparenti: anche se si porta un laptop con VPN già configurata sul sito remoto e si chiede di accenderlo, non è affatto certo che tutto funzioni al primo tentativo. Soprattutto se si tratta di un'altra regione con un altro provider.

Risulta quindi che il modo più sicuro è avere 'dall'altra parte del filo' un buon esperto in grado di configurare la propria parte secondo progetto. Se non c'è nessuno del personale nella filiale, restano due opzioni: outsourcing o missione.

È necessaria anche una sistema di monitoraggio. Deve essere installato, configurato e mantenuto (almeno monitorare lo spazio su disco e fare regolarmente backup). E che non sappia nulla dei nostri dispositivi finché non glielo comunichiamo. Per questo è necessario specificare le impostazioni per tutte le unità di attrezzatura e tenere aggiornate le registrazioni.

È fantastico avere una 'persona-orchestra' nel team, che oltre a conoscenze specifiche di un amministratore di rete, sa lavorare con Zabbix o con un altro sistema simile. Altrimenti, dobbiamo assumere un'altra persona o esternalizzare il lavoro.

Nota. I problemi più gravi iniziano con le parole: 'E che ci vuole a configurare questo Zabbix (Nagios, OpenView ecc.)? Ora lo avvio in un attimo e siamo a posto!'

Dall'implementazione all'operatività

Esaminiamo un esempio specifico.

È stato ricevuto un messaggio di allerta che un punto di accesso WiFi non risponde.

Dove si trova?

Ovviamente, un buon amministratore di rete ha il proprio manuale personale, dove è tutto annotato. I problemi sorgono quando è necessario condividere queste informazioni. Ad esempio, dobbiamo inviare urgentemente qualcuno per risolvere sul posto, e per questo serve qualcosa come: 'Punto di accesso nel centro affari di via Strada, casa 1, al 3° piano, ufficio N 301 vicino alla porta d'ingresso sotto il soffitto'.

Supponiamo di essere fortunati e che il punto di accesso sia alimentato tramite PoE, e lo switch consenta di riavviarlo da remoto. Non è necessario andare fisicamente, ma serve accesso remoto allo switch. Resta da configurare il port forwarding tramite PAT sul router, gestire le VLAN per le connessioni esterne e così via. È meglio se tutto è stato configurato in anticipo. Il lavoro non è troppo difficile, ma deve essere fatto.

Quindi, abbiamo riavviato il punto di accesso. Non ha funzionato?

Supponiamo che ci sia qualche problema nell'hardware. Ora cerchiamo informazioni sulla garanzia, sull'inizio dell'uso e su altri dettagli interessanti.

A proposito di WiFi. L'uso della variante domestica WPA2-PSK, con una chiave per tutti i dispositivi, non è consigliato in un ambiente aziendale. In primo luogo, avere una chiave comune per tutti è semplicemente insicuro; in secondo luogo, quando un dipendente lascia l'azienda, è necessario cambiare questa chiave condivisa e riconfigurare tutti i dispositivi per ogni utente. Per evitare tali inconvenienti, esiste WPA2-Enterprise con autenticazione individuale per ogni utente. Tuttavia, per questo è necessario un server RADIUS, un'altra unità infrastrutturale da monitorare, fare backup e così via.

Si prega di notare che in ogni fase, sia essa implementazione o operatività, abbiamo utilizzato sistemi ausiliari. Questo include il laptop con uscita "esterna" su Internet, il sistema di monitoraggio, il database di riferimento sull'hardware e RADIUS come sistema di autenticazione. Oltre ai dispositivi di rete, è necessario gestire anche servizi esterni.

In questi casi si può sentire il consiglio: "Metti tutto nel cloud e non pensarci più". Sicuramente esiste un Zabbix cloud, forse esiste un RADIUS cloud da qualche parte e persino un database cloud per mantenere un elenco dei dispositivi. Il problema è che tutto questo non serve separatamente, ma "in un'unica soluzione". E rimangono comunque domande sull'organizzazione dell'accesso, la configurazione iniziale dei dispositivi, la sicurezza e molto altro.

Come appare utilizzando Nebula?

Naturalmente, inizialmente il "cloud" non sa nulla né dei nostri piani né dell'hardware acquistato.

In primo luogo, viene creato un profilo per l'organizzazione. Cioè, tutta l'infrastruttura: la sede centrale e le filiali vengono prima registrate nel cloud. Vengono inseriti i dettagli e vengono create le credenziali per delegare i poteri.

Registrare i dispositivi utilizzati nel cloud può avvenire in due modi: alla vecchia maniera, semplicemente inserendo il numero di serie nel modulo web oppure scansionando il codice QR tramite un telefono mobile. Tutto ciò che serve per il secondo metodo è uno smartphone con fotocamera e accesso a Internet, anche tramite un operatore mobile.

Naturalmente, l'infrastruttura necessaria per memorizzare le informazioni, sia quelle contabili che le impostazioni, è fornita da Zyxel Nebula.

Figura 1. Rapporto sulla sicurezza di Nebula Control Center.

E per la configurazione dell'accesso? L'apertura delle porte, l'inoltro del traffico attraverso il gateway in entrata, tutto ciò che gli amministratori della sicurezza chiamano affettuosamente: «dipingere buchi»? Fortunatamente, non è necessario fare tutto ciò. I dispositivi gestiti da Nebula stabiliscono una connessione in uscita. E l'amministratore si connette non a un singolo dispositivo, ma al cloud. Nebula funge da intermediario tra le due connessioni: con il dispositivo e con il computer dell'amministratore di rete. Ciò significa che la fase in cui viene chiamato un amministratore in arrivo può essere ridotta al minimo o addirittura saltata. E niente «buchi» aggiuntivi nel firewall.

E per il server RADUIS? È necessaria una qualche forma di autenticazione centralizzata!

Questa funzione viene gestita anche da Nebula. L'autenticazione degli account per l'accesso all'hardware avviene tramite un database protetto. Questo semplifica notevolmente la delegazione o la revoca dei diritti di gestione del sistema. Se è necessario trasferire i diritti, creiamo un utente e assegniamo un ruolo. Se è necessario revocare i diritti, eseguiamo le operazioni inverse.

Vale la pena menzionare separatamente WPA2-Enterprise, per il quale è necessaria un'apposita servizio di autenticazione. Zyxel Nebula ha un proprio equivalente — DPPSK, che consente di utilizzare WPA2-PSK con una chiave individuale per ogni utente.

Domande "scomode"

Qui di seguito cercheremo di fornire risposte alle domande più insidiose che vengono spesso poste quando ci si avvicina ai servizi cloud.

È davvero sicuro?

In qualsiasi delega di controllo e gestione, per garantire la sicurezza, due fattori rivestono un ruolo importante: l'anonimizzazione e la crittografia.

L'uso della crittografia per proteggere il traffico da sguardi indiscreti è qualcosa di più o meno noto ai lettori.

L'anonimizzazione nasconde al personale del provider cloud le informazioni sul proprietario e sulla fonte. Le informazioni personali vengono rimosse e alle registrazioni viene assegnato un identificativo "anonimo". Né lo sviluppatore del software cloud né l'amministratore che gestisce il sistema cloud possono conoscere il proprietario delle richieste. "Da dove proviene? Chi potrebbe essere interessato?", queste domande rimarranno senza risposta. L'assenza di dati sul proprietario e sulla fonte rende il data mining una perdita di tempo senza senso.

Se confrontiamo questo approccio con la pratica tradizionale di esternalizzazione o assunzione di un amministratore temporaneo, è chiaro che le tecnologie cloud sono più sicure. Un esperto IT temporaneo conosce abbastanza bene l'organizzazione che gestisce e può, volontariamente o involontariamente, arrecare danni significativi in termini di sicurezza. Bisogna anche risolvere la questione del licenziamento o della cessazione del contratto. A volte, oltre al blocco o alla cancellazione dell'account, ciò comporta un cambio globale delle password per accedere ai servizi, così come un audit di tutte le risorse per individuare eventuali «punti d'ingresso dimenticati» e possibili «backdoor».

Quanto è più costosa o più economica Nebula rispetto a un amministratore temporaneo?

Tutto si conosce per confronto. Le funzioni di base di Nebula sono disponibili gratuitamente. In effetti, cosa potrebbe essere più economico?

Certo, non si può fare a meno di un amministratore di rete o di una persona che lo sostituisca. La questione riguarda il numero di persone, la loro specializzazione e la suddivisione per aree.

Per quanto riguarda il servizio avanzato a pagamento, porre direttamente la domanda: è più costoso o più economico - questo approccio sarà sempre impreciso e parziale. È più corretto confrontare diversi fattori, partendo dai costi per il pagamento di professionisti specifici fino alle spese necessarie per garantire la loro interazione con un'agenzia contrattata o una persona fisica: controllo della qualità del lavoro, redazione di documentazione, mantenimento del livello di sicurezza e così via.

Parlando della convenienza o meno di acquistare un pacchetto di servizi a pagamento (Pro-Pack), la risposta approssimativa potrebbe suonare così: se l'organizzazione è piccola, può bastare la versione di base; se l'organizzazione sta crescendo, allora ha senso considerare il Pro-Pack. Le differenze tra le versioni di Zyxel Nebula possono essere consultate nella Tabella 1.

Tabella 1. Differenze tra le funzionalità della versione base e della versione Pro-Pack per Nebula.

Ci sono anche reportistiche avanzate, audit degli utenti, clonazione della configurazione e molto altro.

E per quanto riguarda la protezione del traffico?

Nebula utilizza il protocollo NETCONF per garantire la sicurezza nel lavoro con l'hardware di rete.

NETCONF può funzionare su vari protocolli di trasporto:

Se confrontiamo NETCONF con altri metodi, ad esempio, la gestione tramite SNMP - va sottolineato che NETCONF supporta una connessione TCP in uscita per superare il barriere NAT ed è considerata più affidabile.

E per il supporto hardware?

Naturalmente, non si dovrebbe trasformare il server in uno zoo con rappresentanti di specie rare ed in via di estinzione. È estremamente auspicabile che l'hardware, unito alla tecnologia di gestione, copra tutte le direzioni: dallo switch centrale ai punti di accesso. Gli ingegneri di Zyxel si sono occupati di questa possibilità. Sotto la gestione di Nebula operano molti dispositivi:

switch centrali 10G;
switch di accesso;
switch con PoE;
punti di accesso;
gateway di rete.

Utilizzando un ampio spettro di dispositivi supportati, è possibile costruire reti per vari tipi di compiti. Questo è particolarmente rilevante per le aziende che non crescono verticalmente, ma si espandono orizzontalmente, continuamente esplorando nuove sedi per condurre affari.

Sviluppo continuo

I dispositivi di rete con un metodo di gestione tradizionale hanno solo un percorso di miglioramento: modificare il dispositivo stesso, che sia un nuovo firmware o moduli aggiuntivi. Nel caso di Zyxel Nebula, c'è un percorso aggiuntivo per i miglioramenti: attraverso il miglioramento dell'infrastruttura cloud. Ad esempio, dopo l'aggiornamento del Nebula Control Center (NCC) alla versione 10.1 (21 settembre 2020), gli utenti possono accedere a nuove funzionalità, ecco alcune di esse:

il proprietario dell'organizzazione può ora trasferire tutti i diritti di proprietà ad un altro amministratore nella stessa organizzazione;
nuovo ruolo chiamato "Rappresentante del Proprietario", che ha gli stessi diritti del proprietario dell'organizzazione;
nuova funzionalità di aggiornamento del firmware a livello organizzativo (funzionalità Pro-Pack);
aggiunte due nuove opzioni alla topologia: riavvio del dispositivo e accensione e spegnimento dell'alimentazione della porta PoE (funzionalità Pro-Pack);
supporto per nuovi modelli di punti di accesso: WAC500, WAC500H, WAC5302D-Sv2 e NWA1123ACv3;
supporto per l'autenticazione tramite voucher con stampa di codici QR (funzionalità Pro-Pack).