{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"Costruzione dell'infrastruttura di rete basata su Nebula. Parte 1 \u2014 compiti e soluzioni","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Costruzione
\nIn questo articolo si parler\u00e0 dei problemi legati all'organizzazione dell'infrastruttura di rete tradizionalmente e delle soluzioni a questi stessi problemi attraverso le tecnologie cloud.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

Per riferimento.<\/strong> Nebula \u00e8 un ambiente SaaS per la gestione remota dell'infrastruttura di rete. Tutti i dispositivi che supportano Nebula sono gestiti dal cloud attraverso una connessione sicura. \u00c8 possibile gestire una grande infrastruttura di rete distribuita da un unico centro, senza dover dedicare tempo alla sua creazione.<\/p>\n

<\/p>\n

A cosa serve un altro servizio cloud?<\/h2>\n

<\/p>\n

Il problema principale nella gestione dell'infrastruttura di rete non \u00e8 tanto la progettazione della rete e l'acquisto delle attrezzature, n\u00e9 tanto meno il montaggio nei rack, ma tutto ci\u00f2 che verr\u00e0 fatto successivamente con questa rete.<\/p>\n

<\/p>\n

Rete nuova \u2014 preoccupazioni vecchie<\/h3>\n

<\/p>\n

\u041f\u0440\u0438 \u0432\u0432\u043e\u0434\u0435 \u0432 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044e \u043d\u043e\u0432\u043e\u0433\u043e \u0443\u0437\u043b\u0430 \u0441\u0435\u0442\u0438 \u043f\u043e\u0441\u043b\u0435 \u043c\u043e\u043d\u0442\u0430\u0436\u0430 \u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u0430\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430. \u0421 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u00ab\u0431\u043e\u043b\u044c\u0448\u043e\u0433\u043e \u043d\u0430\u0447\u0430\u043b\u044c\u0441\u0442\u0432\u0430\u00bb \u2014 \u043d\u0438\u0447\u0435\u0433\u043e \u0441\u043b\u043e\u0436\u043d\u043e\u0433\u043e: \u00ab\u0411\u0435\u0440\u0435\u043c \u0440\u0430\u0431\u043e\u0447\u0443\u044e \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u044e \u043f\u043e \u043f\u0440\u043e\u0435\u043a\u0442\u0443 \u0438 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u043c \u043d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0442\u044c…\u00bb \u042d\u0442\u043e \u0442\u0430\u043a \u0437\u0434\u043e\u0440\u043e\u0432\u043e \u0433\u043e\u0432\u043e\u0440\u0438\u0442\u0441\u044f, \u043a\u043e\u0433\u0434\u0430 \u0432\u0441\u0435 \u0441\u0435\u0442\u0435\u0432\u044b\u0435 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u044b \u0441\u0442\u043e\u044f\u0442 \u0432 \u043e\u0434\u043d\u043e\u043c \u0426\u041e\u0414. \u0415\u0441\u043b\u0438 \u0436\u0435 \u043e\u043d\u0438 \u0440\u0430\u0437\u0431\u0440\u043e\u0441\u0430\u043d\u044b \u043f\u043e \u0444\u0438\u043b\u0438\u0430\u043b\u0430\u043c, \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0433\u043e\u043b\u043e\u0432\u043d\u0430\u044f \u0431\u043e\u043b\u044c \u0441 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u0435\u043c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430. \u0422\u0430\u043a\u043e\u0439 \u0432\u043e\u0442 \u0437\u0430\u043c\u043a\u043d\u0443\u0442\u044b\u0439 \u043a\u0440\u0443\u0433: \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043f\u043e \u0441\u0435\u0442\u0438, \u043d\u0443\u0436\u043d\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u043e\u0435 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435, \u0430 \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043d\u0443\u0436\u0435\u043d \u0434\u043e\u0441\u0442\u0443\u043f \u043f\u043e \u0441\u0435\u0442\u0438…<\/p>\n

<\/p>\n

\u00c8 necessario inventare diverse soluzioni per uscire da questo vicolo cieco descritto in precedenza. Ad esempio, un laptop con accesso a Internet tramite un modem USB 4G \u00e8 collegato tramite un cavo patch alla rete configurabile. Su questo laptop viene avviato un client VPN, e tramite esso l'amministratore di rete dalla sede centrale cerca di accedere alla rete della filiale. La soluzione non \u00e8 delle pi\u00f9 trasparenti: anche se si porta un laptop con VPN gi\u00e0 configurata sul sito remoto e si chiede di accenderlo, non \u00e8 affatto scontato che funzioni al primo tentativo. Soprattutto se si tratta di un'altra regione con un altro fornitore.<\/p>\n

<\/p>\n

Pertanto, il modo pi\u00f9 affidabile \u00e8 avere \u00abdall'altra parte del filo\u00bb un buon specialista che possa configurare la propria parte secondo il progetto. Se nella filiale non c'\u00e8 qualcuno, rimangono due opzioni: o esternalizzazione o missione temporanea.<\/p>\n

<\/p>\n

\u00c8 necessario avere un sistema di monitoraggio. Deve essere installato, configurato e manutentato (almeno per monitorare lo spazio su disco e fare regolarmente backup). E non deve sapere nulla dei nostri dispositivi finch\u00e9 non lo informiamo noi. Per questo \u00e8 necessario impostare le configurazioni per tutte le unit\u00e0 hardware e monitorare regolarmente l'accuratezza delle registrazioni.<\/p>\n

<\/p>\n

\u00c8 fantastico avere una 'persona-orchestra' nel team che, oltre a conoscere specificamente il lavoro di un amministratore di rete, sa anche utilizzare Zabbix o un altro sistema simile. Altrimenti, dobbiamo prendere un'altra persona nel team o esternalizzare il lavoro.<\/p>\n

<\/p>\n

Nota.<\/strong> I pi\u00f9 tristi errori iniziano con le parole: 'Ma che cosa ci vuole a configurare Zabbix (Nagios, OpenView, ecc.)? Adesso lo allestisco in un attimo e siamo a posto!'<\/em><\/p>\n

<\/p>\n

Dall'implementazione all'operativit\u00e0<\/h3>\n

<\/p>\n

Consideriamo un esempio concreto.<\/p>\n

<\/p>\n

\u00c8 stato ricevuto un avviso che una delle aree di accesso WiFi non risponde.<\/p>\n

<\/p>\n

Dove si trova?<\/p>\n

<\/p>\n

\u00c8 naturale che un buon amministratore di rete abbia il proprio manuale personale, dove \u00e8 annotato tutto. I problemi iniziano quando \u00e8 necessario condividere queste informazioni. Ad esempio, \u00e8 urgente inviare un messaggero per chiarire la situazione sul posto, e per questo bisogna fornire qualcosa come: \u00abPunto di accesso nel centro commerciale in via degli Costruttori, numero 1, al terzo piano, ufficio N 301 vicino alla porta d'ingresso sotto il soffitto\u00bb.<\/p>\n

<\/p>\n

Supponiamo di avere fortuna e che il punto di accesso sia alimentato tramite PoE, e lo switch consenta di riavviarlo da remoto. Non c'\u00e8 bisogno di andare, ma serve l'accesso remoto allo switch. Resta da configurare il port forwarding tramite PAT sul router, gestire la VLAN per la connessione esterna e cos\u00ec via. \u00c8 un vantaggio se tutto \u00e8 gi\u00e0 impostato. Il lavoro potrebbe non essere complicato, ma va comunque fatto.<\/p>\n

<\/p>\n

Quindi, abbiamo riavviato il punto di accesso per l'alimentazione. Non ha funzionato?<\/p>\n

<\/p>\n

Supponiamo che ci sia qualcosa di sbagliato nell'hardware. Ora cerchiamo informazioni sulla garanzia, sull'inizio dell'utilizzo e su altri dettagli di interesse.<\/p>\n

<\/p>\n

A proposito del WiFi. L'uso della versione domestica WPA2-PSK, in cui c'\u00e8 una chiave per tutti i dispositivi, non \u00e8 raccomandato in un ambiente aziendale. Innanzitutto, una chiave per tutti \u00e8 semplicemente insicura; in secondo luogo, quando un dipendente si dimette, \u00e8 necessario cambiare questa chiave comune e riconfigurare tutti i dispositivi per ogni utente. Per evitare tali inconvenienti, esiste WPA2-Enterprise con autenticazione individuale per ogni utente. Ma per questo \u00e8 necessario un server RADIUS, un'altra unit\u00e0 infrastrutturale che deve essere monitorata, eseguita con backup e cos\u00ec via.<\/p>\n

<\/p>\n

Si prega di notare che in ogni fase, sia essa l'implementazione o l'operativit\u00e0, abbiamo utilizzato sistemi ausiliari. Ci\u00f2 include un laptop con accesso a Internet 'esterno', un sistema di monitoraggio, una base di riferimento per l'hardware e RADIUS come sistema di autenticazione. Oltre ai dispositivi di rete, \u00e8 necessario gestire anche servizi esterni.<\/p>\n

<\/p>\n

In questi casi si pu\u00f2 sentire il consiglio: \u00abMetti tutto nel cloud e non pensarci pi\u00f9\u00bb. Probabilmente esiste un Zabbix cloud, forse esiste un RADIUS cloud, e anche un database cloud per tenere traccia dei dispositivi. Il problema \u00e8 che non \u00e8 necessario averli separatamente, ma \u00abtutto in uno\u00bb. E ci sono comunque questioni relative all'organizzazione degli accessi, alla configurazione iniziale dei dispositivi, alla sicurezza e molto altro.<\/p>\n

<\/p>\n

Come si presenta l'utilizzo di Nebula?<\/h2>\n

<\/p>\n

Naturalmente, all'inizio il \u00abcloud\u00bb non sa nulla dei nostri piani n\u00e9 delle attrezzature acquistate.<\/p>\n

<\/p>\n

In primo luogo, viene creato un profilo organizzativo. Cio\u00e8, tutta l'infrastruttura, la sede centrale e le filiali vengono inizialmente registrate nel cloud. Vengono indicati i dettagli e create le credenziali per delegare i diritti.<\/p>\n

<\/p>\n

\u00c8 possibile registrare i dispositivi utilizzati nel cloud in due modi: alla vecchia maniera \u2014 semplicemente inserendo il numero di serie nel modulo web, oppure scansionando il codice QR con un telefono cellulare. Tutto ci\u00f2 che serve per il secondo metodo \u00e8 uno smartphone con fotocamera e accesso a Internet, anche tramite un operatore mobile.<\/p>\n

<\/p>\n

Naturalmente, l'infrastruttura necessaria per memorizzare le informazioni, sia contabili che delle impostazioni, \u00e8 fornita da Zyxel Nebula.<\/p>\n

<\/p>\n

\"Costruzione
\nFigura 1. Report di sicurezza del Nebula Control Center.<\/em><\/p>\n

<\/p>\n

E per quanto riguarda la configurazione degli accessi? L'apertura delle porte, il forwarding del traffico attraverso il gateway in entrata, tutto ci\u00f2 che gli amministratori di sicurezza affettuosamente chiamano: \u00abcreare fori\u00bb? Fortunatamente, non \u00e8 necessario fare tutto ci\u00f2. I dispositivi gestiti da Nebula stabiliscono una connessione in uscita. E l'amministratore si connette non a un singolo dispositivo, ma al cloud. Nebula funge da intermediario tra le due connessioni: quella con il dispositivo e quella con il computer dell'amministratore di rete. Questo significa che la fase con la chiamata all'amministratore pu\u00f2 essere ridotta al minimo o addirittura saltata del tutto. E niente \u00abfori\u00bb aggiuntivi sul firewall.<\/p>\n

<\/p>\n

E per il server RADIUS? \u00c8 necessaria una qualche forma di autenticazione centralizzata!<\/p>\n

<\/p>\n

E anche questa funzione \u00e8 gestita da Nebula. L'autenticazione degli account per l'accesso all'hardware avviene tramite un database protetto. Questo semplifica notevolmente la delega o la revoca dei diritti di gestione del sistema. Se \u00e8 necessario trasferire i diritti, creiamo un utente e assegniamo un ruolo. Se \u00e8 necessario revocare i diritti, eseguiamo l'operazione inversa.<\/p>\n

<\/p>\n

Vale la pena menzionare WPA2-Enterprise, per cui \u00e8 necessario un servizio di autenticazione separato. Zyxel Nebula ha una propria alternativa: DPPSK, che consente di utilizzare WPA2-PSK con una chiave individuale per ogni utente.<\/p>\n

<\/p>\n

Domande \"scomode\"<\/h2>\n

<\/p>\n

Di seguito proveremo a rispondere alle domande pi\u00f9 insidiose che vengono spesso poste quando si accede a un servizio cloud.<\/p>\n

<\/p>\n

\u00c8 davvero sicuro?<\/h3>\n

<\/p>\n

In qualsiasi delega di controllo e gestione, per garantire la sicurezza, due fattori giocano un ruolo importante: l'anonimizzazione e la crittografia.<\/p>\n

<\/p>\n

L'uso della crittografia per proteggere il traffico da occhi indiscreti \u00e8 un concetto pi\u00f9 o meno familiare ai lettori.<\/p>\n

<\/p>\n

L'anonimizzazione nasconde al personale del fornitore di cloud informazioni sul proprietario e sulla fonte. Le informazioni personali vengono rimosse e vengono assegnati un identificatore 'anonimo' ai record. N\u00e9 lo sviluppatore del software cloud n\u00e9 l'amministratore che gestisce il sistema cloud possono conoscere il proprietario delle richieste. \"Da dove proviene? A chi pu\u00f2 interessare?\", queste domande rimarranno senza risposta. L'assenza di dati sul proprietario e sulla fonte rende insensata la condivisione di informazioni.<\/p>\n

<\/p>\n

Confrontando questo approccio con la tradizionale pratica di esternalizzazione o assunzione di un amministratore temporaneo, \u00e8 evidente che le tecnologie cloud sono pi\u00f9 sicure. Un professionista IT temporaneo sa abbastanza sulla propria organizzazione cliente e pu\u00f2, volontariamente o meno, causare danni significativi in termini di sicurezza. Inoltre, bisogna affrontare la questione del licenziamento o della fine del contratto. A volte, oltre alla disattivazione o eliminazione dell'account, questo comporta un cambiamento globale delle password per l'accesso ai servizi, nonch\u00e9 un audit di tutte le risorse per verificare eventuali punti di accesso \"dimenticati\" e possibili \"backdoor\".<\/p>\n

<\/p>\n

Quanto costa Nebula rispetto a un amministratore di rete esterno?<\/h3>\n

<\/p>\n

Tutto si conosce per confronto. Le funzionalit\u00e0 base di Nebula sono disponibili gratuitamente. In effetti, cosa potrebbe essere ancora pi\u00f9 economico?<\/p>\n

<\/p>\n

Naturalmente, non si pu\u00f2 fare a meno di un amministratore di rete o di qualcuno che lo sostituisca. La questione riguarda il numero di persone, la loro specializzazione e la distribuzione sui vari luoghi.<\/p>\n

<\/p>\n

Per quanto riguarda il servizio a pagamento avanzato, porre la domanda diretta: \u00e8 pi\u00f9 costoso o meno costoso \u2014 questo approccio sar\u00e0 sempre impreciso e unilaterale. \u00c8 pi\u00f9 corretto confrontare numerosi fattori, a partire dai costi per il lavoro di specialisti specifici fino alle spese per garantire la loro interazione con un'organizzazione appaltatrice o un singolo: controllo della qualit\u00e0 del lavoro, redazione della documentazione, mantenimento del livello di sicurezza e cos\u00ec via.<\/p>\n

<\/p>\n

Se si parla dell'opportunit\u00e0 di acquistare un pacchetto di servizi a pagamento (Pro-Pack), una risposta approssimativa potrebbe suonare cos\u00ec: se l'organizzazione \u00e8 piccola, si pu\u00f2 optare per la versione base; se l'organizzazione cresce, ha senso considerare il Pro-Pack. La differenza tra le versioni di Zyxel Nebula pu\u00f2 essere consultata nella tabella 1.<\/p>\n

<\/p>\n

Tabella 1. Differenze tra i set di funzionalit\u00e0 della versione base e della versione Pro-Pack per Nebula.<\/em><\/p>\n

<\/p>\n

\"Costruzione<\/p>\n

<\/p>\n

Include reportistica avanzata, audit degli utenti, clonazione della configurazione e molto altro.<\/p>\n

<\/p>\n

E per quanto riguarda la protezione del traffico?<\/h3>\n

<\/p>\n

Nebula utilizza il protocollo NETCONF<\/a><\/noindex> per garantire la sicurezza delle operazioni con le apparecchiature di rete.<\/p>\n

<\/p>\n

NETCONF pu\u00f2 funzionare su diversi protocolli di trasporto:<\/p>\n

<\/p>\n