{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"Costruzione dell'infrastruttura di rete basata su Nebula. Parte 1 - compiti e soluzioni","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Costruzione
\nL'articolo parler\u00e0 delle problematiche legate all'organizzazione dell'infrastruttura di rete in modo tradizionale e dei metodi per risolvere le stesse questioni utilizzando le tecnologie cloud.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

Per riferimento.<\/strong> Nebula \u00e8 un ambiente SaaS per la gestione remota dell'infrastruttura di rete. Tutti i dispositivi che supportano Nebula sono gestiti dal cloud tramite una connessione sicura. \u00c8 possibile gestire una grande infrastruttura di rete distribuita da un'unica sede, senza sforzi per crearla.<\/p>\n

<\/p>\n

A cosa serve un ennesimo servizio cloud?<\/h2>\n

<\/p>\n

Il principale problema nella gestione dell'infrastruttura di rete non \u00e8 progettare la rete o acquistare l'hardware, e nemmeno installarlo nei rack, ma tutto ci\u00f2 che occorre fare dopo per la rete.<\/p>\n

<\/p>\n

Rete nuova, preoccupazioni vecchie<\/h3>\n

<\/p>\n

Quando si mette in funzione un nuovo nodo della rete dopo l'installazione e il collegamento dell'hardware, inizia la configurazione iniziale. Dal punto di vista della 'grande direzione' \u2014 non \u00e8 nulla di complicato: 'Prendiamo la documentazione di lavoro del progetto e iniziamo a configurare...' \u00c8 cos\u00ec facile a dirsi quando tutti gli elementi di rete sono nello stesso data center. Se invece sono sparsi tra le filiali, inizia il mal di testa per garantire l'accesso remoto. Ecco un circolo vizioso: per ottenere l'accesso remoto alla rete, \u00e8 necessario configurare l'hardware di rete, e per farlo serve l'accesso alla rete...<\/p>\n

<\/p>\n

Si devono inventare vari schemi per uscire da questo vicolo cieco. Ad esempio, un laptop con accesso a Internet tramite un modem USB 4G \u00e8 collegato tramite un cavo patch alla rete da configurare. Su questo laptop viene avviato un client VPN, e attraverso di esso l'amministratore di rete dalla sede centrale cerca di accedere alla rete della filiale. Lo schema non \u00e8 dei pi\u00f9 trasparenti: anche se si porta un laptop con VPN gi\u00e0 configurata sul sito remoto e si chiede di accenderlo, non \u00e8 affatto certo che tutto funzioni al primo tentativo. Soprattutto se si tratta di un'altra regione con un altro provider.<\/p>\n

<\/p>\n

Risulta quindi che il modo pi\u00f9 sicuro \u00e8 avere 'dall'altra parte del filo' un buon esperto in grado di configurare la propria parte secondo progetto. Se non c'\u00e8 nessuno del personale nella filiale, restano due opzioni: outsourcing o missione.<\/p>\n

<\/p>\n

\u00c8 necessaria anche una sistema di monitoraggio. Deve essere installato, configurato e mantenuto (almeno monitorare lo spazio su disco e fare regolarmente backup). E che non sappia nulla dei nostri dispositivi finch\u00e9 non glielo comunichiamo. Per questo \u00e8 necessario specificare le impostazioni per tutte le unit\u00e0 di attrezzatura e tenere aggiornate le registrazioni.<\/p>\n

<\/p>\n

\u00c8 fantastico avere una 'persona-orchestra' nel team, che oltre a conoscenze specifiche di un amministratore di rete, sa lavorare con Zabbix o con un altro sistema simile. Altrimenti, dobbiamo assumere un'altra persona o esternalizzare il lavoro.<\/p>\n

<\/p>\n

Nota.<\/strong> I problemi pi\u00f9 gravi iniziano con le parole: 'E che ci vuole a configurare questo Zabbix (Nagios, OpenView ecc.)? Ora lo avvio in un attimo e siamo a posto!'<\/em><\/p>\n

<\/p>\n

Dall'implementazione all'operativit\u00e0<\/h3>\n

<\/p>\n

Esaminiamo un esempio specifico.<\/p>\n

<\/p>\n

\u00c8 stato ricevuto un messaggio di allerta che un punto di accesso WiFi non risponde.<\/p>\n

<\/p>\n

Dove si trova?<\/p>\n

<\/p>\n

Ovviamente, un buon amministratore di rete ha il proprio manuale personale, dove \u00e8 tutto annotato. I problemi sorgono quando \u00e8 necessario condividere queste informazioni. Ad esempio, dobbiamo inviare urgentemente qualcuno per risolvere sul posto, e per questo serve qualcosa come: 'Punto di accesso nel centro affari di via Strada, casa 1, al 3\u00b0 piano, ufficio N 301 vicino alla porta d'ingresso sotto il soffitto'.<\/p>\n

<\/p>\n

Supponiamo di essere fortunati e che il punto di accesso sia alimentato tramite PoE, e lo switch consenta di riavviarlo da remoto. Non \u00e8 necessario andare fisicamente, ma serve accesso remoto allo switch. Resta da configurare il port forwarding tramite PAT sul router, gestire le VLAN per le connessioni esterne e cos\u00ec via. \u00c8 meglio se tutto \u00e8 stato configurato in anticipo. Il lavoro non \u00e8 troppo difficile, ma deve essere fatto.<\/p>\n

<\/p>\n

Quindi, abbiamo riavviato il punto di accesso. Non ha funzionato?<\/p>\n

<\/p>\n

Supponiamo che ci sia qualche problema nell'hardware. Ora cerchiamo informazioni sulla garanzia, sull'inizio dell'uso e su altri dettagli interessanti.<\/p>\n

<\/p>\n

A proposito di WiFi. L'uso della variante domestica WPA2-PSK, con una chiave per tutti i dispositivi, non \u00e8 consigliato in un ambiente aziendale. In primo luogo, avere una chiave comune per tutti \u00e8 semplicemente insicuro; in secondo luogo, quando un dipendente lascia l'azienda, \u00e8 necessario cambiare questa chiave condivisa e riconfigurare tutti i dispositivi per ogni utente. Per evitare tali inconvenienti, esiste WPA2-Enterprise con autenticazione individuale per ogni utente. Tuttavia, per questo \u00e8 necessario un server RADIUS, un'altra unit\u00e0 infrastrutturale da monitorare, fare backup e cos\u00ec via.<\/p>\n

<\/p>\n

Si prega di notare che in ogni fase, sia essa implementazione o operativit\u00e0, abbiamo utilizzato sistemi ausiliari. Questo include il laptop con uscita \"esterna\" su Internet, il sistema di monitoraggio, il database di riferimento sull'hardware e RADIUS come sistema di autenticazione. Oltre ai dispositivi di rete, \u00e8 necessario gestire anche servizi esterni.<\/p>\n

<\/p>\n

In questi casi si pu\u00f2 sentire il consiglio: \"Metti tutto nel cloud e non pensarci pi\u00f9\". Sicuramente esiste un Zabbix cloud, forse esiste un RADIUS cloud da qualche parte e persino un database cloud per mantenere un elenco dei dispositivi. Il problema \u00e8 che tutto questo non serve separatamente, ma \"in un'unica soluzione\". E rimangono comunque domande sull'organizzazione dell'accesso, la configurazione iniziale dei dispositivi, la sicurezza e molto altro.<\/p>\n

<\/p>\n

Come appare utilizzando Nebula?<\/h2>\n

<\/p>\n

Naturalmente, inizialmente il \"cloud\" non sa nulla n\u00e9 dei nostri piani n\u00e9 dell'hardware acquistato.<\/p>\n

<\/p>\n

In primo luogo, viene creato un profilo per l'organizzazione. Cio\u00e8, tutta l'infrastruttura: la sede centrale e le filiali vengono prima registrate nel cloud. Vengono inseriti i dettagli e vengono create le credenziali per delegare i poteri.<\/p>\n

<\/p>\n

Registrare i dispositivi utilizzati nel cloud pu\u00f2 avvenire in due modi: alla vecchia maniera, semplicemente inserendo il numero di serie nel modulo web oppure scansionando il codice QR tramite un telefono mobile. Tutto ci\u00f2 che serve per il secondo metodo \u00e8 uno smartphone con fotocamera e accesso a Internet, anche tramite un operatore mobile.<\/p>\n

<\/p>\n

Naturalmente, l'infrastruttura necessaria per memorizzare le informazioni, sia quelle contabili che le impostazioni, \u00e8 fornita da Zyxel Nebula.<\/p>\n

<\/p>\n

\"Costruzione
\nFigura 1. Rapporto sulla sicurezza di Nebula Control Center.<\/em><\/p>\n

<\/p>\n

E per la configurazione dell'accesso? L'apertura delle porte, l'inoltro del traffico attraverso il gateway in entrata, tutto ci\u00f2 che gli amministratori della sicurezza chiamano affettuosamente: \u00abdipingere buchi\u00bb? Fortunatamente, non \u00e8 necessario fare tutto ci\u00f2. I dispositivi gestiti da Nebula stabiliscono una connessione in uscita. E l'amministratore si connette non a un singolo dispositivo, ma al cloud. Nebula funge da intermediario tra le due connessioni: con il dispositivo e con il computer dell'amministratore di rete. Ci\u00f2 significa che la fase in cui viene chiamato un amministratore in arrivo pu\u00f2 essere ridotta al minimo o addirittura saltata. E niente \u00abbuchi\u00bb aggiuntivi nel firewall.<\/p>\n

<\/p>\n

E per il server RADUIS? \u00c8 necessaria una qualche forma di autenticazione centralizzata!<\/p>\n

<\/p>\n

Questa funzione viene gestita anche da Nebula. L'autenticazione degli account per l'accesso all'hardware avviene tramite un database protetto. Questo semplifica notevolmente la delegazione o la revoca dei diritti di gestione del sistema. Se \u00e8 necessario trasferire i diritti, creiamo un utente e assegniamo un ruolo. Se \u00e8 necessario revocare i diritti, eseguiamo le operazioni inverse.<\/p>\n

<\/p>\n

Vale la pena menzionare separatamente WPA2-Enterprise, per il quale \u00e8 necessaria un'apposita servizio di autenticazione. Zyxel Nebula ha un proprio equivalente \u2014 DPPSK, che consente di utilizzare WPA2-PSK con una chiave individuale per ogni utente.<\/p>\n

<\/p>\n

Domande \"scomode\"<\/h2>\n

<\/p>\n

Qui di seguito cercheremo di fornire risposte alle domande pi\u00f9 insidiose che vengono spesso poste quando ci si avvicina ai servizi cloud.<\/p>\n

<\/p>\n

\u00c8 davvero sicuro?<\/h3>\n

<\/p>\n

In qualsiasi delega di controllo e gestione, per garantire la sicurezza, due fattori rivestono un ruolo importante: l'anonimizzazione e la crittografia.<\/p>\n

<\/p>\n

L'uso della crittografia per proteggere il traffico da sguardi indiscreti \u00e8 qualcosa di pi\u00f9 o meno noto ai lettori.<\/p>\n

<\/p>\n

L'anonimizzazione nasconde al personale del provider cloud le informazioni sul proprietario e sulla fonte. Le informazioni personali vengono rimosse e alle registrazioni viene assegnato un identificativo \"anonimo\". N\u00e9 lo sviluppatore del software cloud n\u00e9 l'amministratore che gestisce il sistema cloud possono conoscere il proprietario delle richieste. \"Da dove proviene? Chi potrebbe essere interessato?\", queste domande rimarranno senza risposta. L'assenza di dati sul proprietario e sulla fonte rende il data mining una perdita di tempo senza senso.<\/p>\n

<\/p>\n

Se confrontiamo questo approccio con la pratica tradizionale di esternalizzazione o assunzione di un amministratore temporaneo, \u00e8 chiaro che le tecnologie cloud sono pi\u00f9 sicure. Un esperto IT temporaneo conosce abbastanza bene l'organizzazione che gestisce e pu\u00f2, volontariamente o involontariamente, arrecare danni significativi in termini di sicurezza. Bisogna anche risolvere la questione del licenziamento o della cessazione del contratto. A volte, oltre al blocco o alla cancellazione dell'account, ci\u00f2 comporta un cambio globale delle password per accedere ai servizi, cos\u00ec come un audit di tutte le risorse per individuare eventuali \u00abpunti d'ingresso dimenticati\u00bb e possibili \u00abbackdoor\u00bb.<\/p>\n

<\/p>\n

Quanto \u00e8 pi\u00f9 costosa o pi\u00f9 economica Nebula rispetto a un amministratore temporaneo?<\/h3>\n

<\/p>\n

Tutto si conosce per confronto. Le funzioni di base di Nebula sono disponibili gratuitamente. In effetti, cosa potrebbe essere pi\u00f9 economico?<\/p>\n

<\/p>\n

Certo, non si pu\u00f2 fare a meno di un amministratore di rete o di una persona che lo sostituisca. La questione riguarda il numero di persone, la loro specializzazione e la suddivisione per aree.<\/p>\n

<\/p>\n

Per quanto riguarda il servizio avanzato a pagamento, porre direttamente la domanda: \u00e8 pi\u00f9 costoso o pi\u00f9 economico - questo approccio sar\u00e0 sempre impreciso e parziale. \u00c8 pi\u00f9 corretto confrontare diversi fattori, partendo dai costi per il pagamento di professionisti specifici fino alle spese necessarie per garantire la loro interazione con un'agenzia contrattata o una persona fisica: controllo della qualit\u00e0 del lavoro, redazione di documentazione, mantenimento del livello di sicurezza e cos\u00ec via.<\/p>\n

<\/p>\n

Parlando della convenienza o meno di acquistare un pacchetto di servizi a pagamento (Pro-Pack), la risposta approssimativa potrebbe suonare cos\u00ec: se l'organizzazione \u00e8 piccola, pu\u00f2 bastare la versione di base; se l'organizzazione sta crescendo, allora ha senso considerare il Pro-Pack. Le differenze tra le versioni di Zyxel Nebula possono essere consultate nella Tabella 1.<\/p>\n

<\/p>\n

Tabella 1. Differenze tra le funzionalit\u00e0 della versione base e della versione Pro-Pack per Nebula.<\/em><\/p>\n

<\/p>\n

\"Costruzione<\/p>\n

<\/p>\n

Ci sono anche reportistiche avanzate, audit degli utenti, clonazione della configurazione e molto altro.<\/p>\n

<\/p>\n

E per quanto riguarda la protezione del traffico?<\/h3>\n

<\/p>\n

Nebula utilizza il protocollo NETCONF<\/a><\/noindex> per garantire la sicurezza nel lavoro con l'hardware di rete.<\/p>\n

<\/p>\n

NETCONF pu\u00f2 funzionare su vari protocolli di trasporto:<\/p>\n

<\/p>\n