Ogni imprenditore cerca di ridurre i costi. Lo stesso vale per l'infrastruttura IT.
Quando si apre un nuovo ufficio, a qualcuno potrebbero venire i brividi. Infatti, bisogna organizzare:
- una rete locale;
- l'accesso a Internet. Meglio ancora con riserva tramite un secondo fornitore;
- VPN fino all'ufficio centrale (o a tutte le filiali);
- HotSpot per i clienti con autorizzazione tramite sms;
- filtraggio del traffico in modo che i dipendenti non stiano sui social media e non chiacchierino su Skype;
- protezione della rete da virus e attacchi. Assicurare protezione contro intrusioni (IDS/IPS);
- un proprio server di posta (se non vi fidate di vari pdd.yandex.ru) con antivirus e antispam;
- un cestino per i file;
- Probabilmente vi serve la telefonia, ossia organizzare un centralino, collegarlo a un fornitore SIP e altre funzionalità...
Ma alzare la rete aziendale con tali requisiti non è possibile per un tecnico qualunque... Assumere un costoso sistemista?
Ne deriva un numero considerevole, in termini di costi futuri, in rubli.
Tuttavia, queste spese possono essere notevolmente ridotte se si presta attenzione a soluzioni UTM, che al momento sono disponibili in grande quantità. E poiché adotto la strategia 'più semplice è, meglio è' nella risoluzione dei miei compiti, la mia attenzione si è concentrata su UTM (CIS).
Come questo sistema può aiutare a mantenere il budget dell'azienda e perché non è necessario un costoso sistemista per il suo mantenimento, lo spiegherò di seguito.
Ma, per anticipare, dico che è un prodotto specifico e ha le sue limitazioni. È possibile valutare più nel dettaglio le capacità del gateway .
Io stesso ho configurato per l'articolo 'in russo', ossia senza guardare nei manuali, per capire quanto sia tutto intuitivo.
Installazione iniziale
Il CIS può essere installato sia su hardware reale che su un hypervisor. Si può utilizzare un PC senza ventola.Ad esempio uno così.
Il sistema si basa su e nella maggior parte dell'hardware dovrebbe funzionare senza problemi.
L'installazione viene eseguita su un disco vuoto. Piuttosto, se c'era qualcosa, potete salutare tranquillamente.Sfortunatamente, l'installer supporta solo la lingua inglese. Ma dopo l'installazione, l'interfaccia principale può essere in russo.
Non ci si è dimenticati neppure della tolleranza ai guasti.Se nel sistema ci sono più dischi, possono essere uniti in RAID utilizzando ZFS.
Selezioniamo l'interfaccia di rete e assegniamo un ip dalla rete selezionata.
Specificare un nome di dominio reale se si prevede di configurare, ad esempio, un server di posta. Se non occorre al momento, si può scegliere un nome a caso. In seguito nell'interfaccia sarà possibile modificarlo.
Fatto! Puoi accedere all'interfaccia web all'ip indicato nelle impostazioni e alla porta 81. Il DHCP non è ancora attivato, quindi dovrai assegnare manualmente un ip dal stesso network sul tuo PC.
Colleghiamo a internet e connettiamo gli uffici.
Al primo accesso si avvia una procedura guidata che ti costringe a impostare una password sicura.
La procedura guidata
Dopo entriamo nelle impostazioni di rete
e configuriamo la connessione con il nostro fornitore e i ruoli di tutte le interfacce di rete.
È possibile configurare più fornitori e organizzare il bilanciamento.
A proposito, se l'inglese dell'interfaccia ti crea problemi, puoi facilmente cambiarlo qui.
Se è necessario collegare un ufficio, ad esempio, alla sede centrale. Allora creiamo una nuova connessione
e configuriamo le route per le risorse nella rete remota.
Dimentica la routing dinamica - qui non c'è.
Forse sono troppo pignolo, ma IMHO è un grande difetto…
Accesso a internet dei dipendenti
La principale funzione del gateway è spesso il controllo dell'accesso dei dipendenti a internet.
È possibile identificare i dipendenti sia tramite ip/mac che tramite login/password attraverso un agente o un captive portal.
Inoltre, se nella tua organizzazione è utilizzato Active Directory, è possibile integrare l'IKS anche con esso.
Le impostazioni di filtraggio (cosa è permesso e cosa no) sono molto ampie.
Un enorme numero di modelli di regole pronti:
È possibile consentire YouTube, ma vietare il caricamento di video.
Ma non ci sono limitazioni e l'IKS ti dirà comunque dove chi è andato e dove è andato con report dettagliati:
E come la mettiamo con il Wi-Fi per gli ospiti?
Anche il Wi-Fi per gli ospiti può essere organizzato rispettando i requisiti della legge russa sul riconoscimento obbligatorio degli utenti.
L'IKS supporta l'invio di SMS tramite il protocollo SMPP tramite qualsiasi fornitore SMS.
Telefonia.
Sì-sì! Non è necessario installare un server separato con Asterisk. È già presente nell'IKS.
Ho collegato con successo SIP da Megafon (emotion, multiphone).
Come ottenere SIP da Megafon con tariffe mobili per persone fisiche è possibile leggerlo nell'articolo .
Sicurezza.
In IKX ci sono molti strumenti che ti permetteranno di impostare il livello di sicurezza secondo le tue esigenze: dai software antivirus gratuiti ClamAV e fino ai prodotti , configurando tutto attraverso un'interfaccia web comprensibile.
Anche il prezioso fail2Ban può essere configurato in pochi clic
Inoltre, IKX può monitorare il traffico tramite il protocollo netflow delle apparecchiature di rete, senza far passare il traffico attraverso di sé.
Funzioni di comunicazione
La comunicazione tra i dipendenti può essere organizzata non solo tramite telefoni e email
ma anche attraverso jabber. Pochi ormai ricordano questo protocollo.
Web-server:
In IKX c'è anche un web server con supporto per PHP. È possibile installare un proprio certificato HTTPS, se ne si possiede uno, oppure indicare a IKX di ottenere un certificato gratuito Let’s Encrypt.
Questo è sufficiente per ospitare un sito vetrina o una landing page promozionale. Tuttavia, non sarà possibile implementare un portale pesante con moduli personalizzati. E a mio avviso, è insensato. Dopotutto, un gateway deve rimanere un gateway.
Impostazione flessibile del monitoraggio e delle notifiche.
Puoi inviare allarmi anche su Telegram. Inoltre, in Russia, esiste la possibilità di inviare messaggi tramite proxy.
In conclusione
Il gateway Internet “IKX” contiene praticamente tutti i componenti necessari per il funzionamento di un piccolo ufficio.
E tutto ciò può essere configurato da un amministratore di sistema alle prime armi.
Nonostante il fatto che il sistema sia basato su FreeBSD, non c'è accesso ssh. Quindi, senza accorgimenti, non sarà possibile installare moduli PHP. Dovrai accontentarti di ciò che c'è... Oppure chiedere al supporto di sistemarlo.
In ogni caso, all'inizio e controlla quanto si adatta a te questo gateway.
La licenza non ha scadenza, ma nonostante questo, il costo è comunque
Nel banco di prova, nei test sintetici, il sistema ha dimostrato di essere adeguato.
Se il cliente approva e sarà interessante vedere come questo sistema si comporterà in "battaglia", tra circa 3-6 mesi scriverò una recensione con tutte le problematiche e le difficoltà emerse. Se possibile, verificheremo la qualità del supporto tecnico.
Aspetto le vostre domande nei commenti, su cui sarà necessario focalizzarsi nel utilizzo in situazioni reali.
Fonte: habr.com
