🥇Nebula를 기반으로 네트워크 인프라를 구축합니다. 1부 - 문제 및 해결 방법

이 기사에서는 전통적인 방식으로 네트워크 인프라를 구성하는 데 따른 문제와 클라우드 기술을 사용하여 동일한 문제를 해결하는 방법에 대해 논의합니다.

참고로. Nebula는 네트워크 인프라를 원격으로 유지 관리하기 위한 SaaS 클라우드 환경입니다. 모든 Nebula 지원 장치는 보안 연결을 통해 클라우드에서 관리됩니다. 대규모 분산 네트워크 인프라를 구축하는 데 많은 노력을 들이지 않고도 단일 센터에서 관리할 수 있습니다.

다른 클라우드 서비스가 필요한 이유는 무엇입니까?

네트워크 인프라 작업 시 가장 큰 문제는 네트워크를 설계하고 장비를 구입하거나 랙에 설치하는 것이 아니라 향후 이 네트워크에서 수행해야 할 다른 모든 것입니다.

새로운 네트워크 - 오래된 걱정

장비를 설치하고 연결한 후 새로운 네트워크 노드를 작동시키면 초기 구성이 시작됩니다. "대기업"의 관점에서 볼 때 복잡한 것은 없습니다. "우리는 프로젝트에 대한 작업 문서를 작성하고 설정을 시작합니다..." 모든 네트워크 요소가 하나의 데이터 센터에 위치할 때 이는 매우 잘 표현됩니다. 여러 지점에 분산되어 있으면 원격 액세스를 제공해야 하는 골치 아픈 일이 시작됩니다. 이는 매우 악순환입니다. 네트워크를 통해 원격 액세스를 얻으려면 네트워크 장비를 구성해야 하며 이를 위해서는 네트워크를 통한 액세스가 필요합니다...

우리는 위에서 설명한 난관을 벗어나기 위해 다양한 방안을 강구해야 한다. 예를 들어, USB 4G 모뎀을 통해 인터넷에 액세스할 수 있는 노트북은 패치 코드를 통해 맞춤형 네트워크에 연결됩니다. 이 노트북에는 VPN 클라이언트가 설치되어 있으며 이를 통해 본사의 네트워크 관리자가 지점 네트워크에 대한 액세스 권한을 얻으려고 합니다. 이 계획은 가장 투명하지 않습니다. 사전 구성된 VPN이 포함된 노트북을 원격 사이트로 가져와서 켜도록 요청하더라도 모든 것이 처음에 작동한다는 사실과는 거리가 멀습니다. 특히 다른 공급자와 다른 지역에 대해 이야기하는 경우.

가장 신뢰할 수 있는 방법은 프로젝트에 따라 자신의 역할을 구성할 수 있는 훌륭한 전문가를 "상대편에" 두는 것임이 밝혀졌습니다. 지점 직원에게 그러한 것이 없다면 아웃소싱이나 출장 중 하나의 옵션이 남아 있습니다.

모니터링 시스템도 필요합니다. 설치, 구성, 유지 관리가 필요합니다(적어도 디스크 공간을 모니터링하고 정기적으로 백업해야 함). 그리고 우리가 말할 때까지 우리 장치에 대해 아무것도 모릅니다. 이렇게 하려면 모든 장비에 대한 설정을 등록하고 기록의 관련성을 정기적으로 모니터링해야 합니다.

직원이 네트워크 관리자의 특정 지식 외에도 Zabbix 또는 다른 유사한 시스템으로 작업하는 방법을 알고 있는 자체 "XNUMX인 오케스트라"를 보유하고 있으면 좋습니다. 그렇지 않으면 다른 직원을 고용하거나 아웃소싱합니다.

있습니다. 가장 슬픈 실수는 다음과 같은 말로 시작됩니다. “이 Zabbix(Nagios, OpenView 등)를 구성하려면 무엇이 필요합니까? 빨리 가져가서 준비할게요!”

구현부터 운영까지

구체적인 예를 살펴 보겠습니다.

어딘가의 WiFi 액세스 포인트가 응답하지 않는다는 경보 메시지가 수신되었습니다.

그녀는 어디에 있습니까?

물론, 훌륭한 네트워크 관리자는 모든 것이 기록되는 자신만의 개인 디렉토리를 가지고 있습니다. 질문은 이 정보를 공유해야 할 때 시작됩니다. 예를 들어, 현장에서 문제를 해결하기 위해 긴급하게 메신저를 보내야 하며, 이를 위해 다음과 같은 명령을 발행해야 합니다. 천장 아래 현관문 옆 1호입니다."

운이 좋게도 액세스 포인트에 PoE를 통해 전원이 공급되고 스위치를 사용하면 원격으로 재부팅할 수 있다고 가정해 보겠습니다. 여행할 필요는 없지만 스위치에 원격으로 액세스할 수 있어야 합니다. 남은 것은 라우터에서 PAT를 통해 포트 전달을 구성하고, 외부에서 연결하기 위한 VLAN을 파악하는 것뿐입니다. 모든 것이 미리 설정되어 있으면 좋습니다. 작업은 어렵지 않을 수도 있지만 완료해야 합니다.

그래서 푸드아울렛이 재부팅되었습니다. 도움이 되지 않았나요?

하드웨어에 문제가 있다고 가정해 보겠습니다. 이제 우리는 보증, 시작 및 기타 관심 세부 사항에 대한 정보를 찾고 있습니다.

WiFi에 대해 말하면. 모든 장치에 하나의 키가 있는 가정용 버전의 WPA2-PSK를 사용하는 것은 기업 환경에서는 권장되지 않습니다. 첫째, 모든 사람을 위한 하나의 키는 단순히 안전하지 않으며, 둘째, 직원 한 명이 퇴사하면 이 공통 키를 변경하고 모든 사용자에 대해 모든 장치에서 설정을 다시 수행해야 합니다. 이러한 문제를 방지하기 위해 각 사용자에 대한 개별 인증을 제공하는 WPA2-Enterprise가 있습니다. 그러나 이를 위해서는 제어, 백업 생성 등이 필요한 또 다른 인프라 장치인 RADIUS 서버가 필요합니다.

구현이나 운영 등 모든 단계에서 지원 시스템을 사용했습니다. 여기에는 "타사" 인터넷 연결이 가능한 노트북, 모니터링 시스템, 장비 참조 데이터베이스 및 인증 시스템인 RADIUS가 포함됩니다. 네트워크 장치 외에도 타사 서비스도 유지해야 합니다.

그런 경우에는 “클라우드에 맡기고 고생하지 마세요”라는 조언을 들을 수 있습니다. 확실히 클라우드 Zabbix가 있고 아마도 어딘가에 클라우드 RADIUS가 있을 것이며 심지어 장치 목록을 유지하는 클라우드 데이터베이스도 있을 것입니다. 문제는 이것이 별도로 필요하지 않고 "한 병에" 필요하다는 것입니다. 그럼에도 불구하고 액세스 구성, 초기 장치 설정, 보안 등에 대한 질문이 제기됩니다.

Nebula를 사용하면 어떤 모습이 되나요?

물론, 초기에 “클라우드”는 우리의 계획이나 구입한 장비에 대해 아무것도 모릅니다.

먼저 조직 프로필이 생성됩니다. 즉, 본사와 지점 등 전체 인프라가 먼저 클라우드에 등록됩니다. 권한 위임을 위한 세부 사항을 지정하고 계정을 생성합니다.

두 가지 방법으로 클라우드에 장치를 등록할 수 있습니다. 기존 방식 - 웹 양식을 작성할 때 일련번호를 입력하거나 휴대폰을 사용하여 QR 코드를 스캔하면 됩니다. 두 번째 방법에는 카메라가 장착된 스마트폰과 이동통신사를 통한 인터넷 액세스만 있으면 됩니다.

물론 계정 및 설정 정보를 저장하는 데 필요한 인프라는 Zyxel Nebula에서 제공됩니다.

그림 1. Nebula Control Center 보안 보고서.

액세스 설정은 어떻게 되나요? 포트 열기, 들어오는 게이트웨이를 통한 트래픽 전달 등 보안 관리자가 애칭으로 "구멍 따기"라고 부르는 모든 작업을 수행합니까? 다행히도 이 모든 작업을 수행할 필요는 없습니다. Nebula를 실행하는 장치는 나가는 연결을 설정합니다. 그리고 관리자는 별도의 장치가 아닌 클라우드에 연결하여 구성합니다. Nebula는 두 연결, 즉 장치와 네트워크 관리자의 컴퓨터 사이를 중재합니다. 이는 수신 관리자에게 전화하는 단계를 최소화하거나 완전히 건너뛸 수 있음을 의미합니다. 그리고 방화벽에는 추가 "구멍"이 없습니다.

RADUIS 서버는 어떻습니까? 결국 일종의 중앙 집중식 인증이 필요합니다!

그리고 이러한 기능도 Nebula가 대신합니다. 장비 접근을 위한 계정 인증은 보안 데이터베이스를 통해 이루어집니다. 이는 시스템 관리 권한의 위임 또는 철회를 크게 단순화합니다. 권한을 이전해야 합니다. 사용자를 생성하고 역할을 할당해야 합니다. 우리는 권리를 박탈해야 합니다. 우리는 반대 단계를 수행합니다.

이와 별도로 별도의 인증 서비스가 필요한 WPA2-Enterprise도 언급할 만하다. Zyxel Nebula에는 각 사용자의 개별 키와 함께 WPA2-PSK를 사용할 수 있는 자체 아날로그 DPPSK가 있습니다.

"불편한" 질문

아래에서는 클라우드 서비스에 들어갈 때 자주 묻는 가장 까다로운 질문에 대한 답변을 제공하려고 노력할 것입니다.

정말 안전한가요?

보안을 보장하기 위한 제어 및 관리 위임에서는 익명화와 암호화라는 두 가지 요소가 중요한 역할을 합니다.

암호화를 사용하여 트래픽을 엿보는 눈으로부터 보호하는 것은 독자들에게 어느 정도 익숙한 것입니다.

익명화는 클라우드 제공업체 직원에게 소유자 및 소스에 대한 정보를 숨깁니다. 개인 정보는 제거되고 기록에는 "얼굴 없는" 식별자가 할당됩니다. 클라우드 소프트웨어 개발자나 클라우드 시스템을 유지 관리하는 관리자는 요청의 소유자를 알 수 없습니다. "이거 어디서 나온 거야? 누가 이것에 관심을 가질까요?” - 그러한 질문에는 답이 없을 것입니다. 소유자와 출처에 대한 정보가 부족하면 내부자가 무의미한 시간 낭비가 됩니다.

이 접근 방식을 아웃소싱하거나 신입 관리자를 고용하는 기존 관행과 비교하면 클라우드 기술이 더 안전하다는 것이 분명합니다. 신입 IT 전문가는 자신의 조직에 대해 많은 것을 알고 있으므로 보안 측면에서 의도치 않게 심각한 피해를 입힐 수 있습니다. 계약 해고 또는 해고 문제는 여전히 해결되어야합니다. 때로는 계정을 차단하거나 삭제하는 것 외에도 서비스에 액세스하기 위한 전체 비밀번호 변경과 "잊혀진" 진입점 및 가능한 "북마크"에 대한 모든 리소스에 대한 감사가 수반됩니다.

Nebula는 들어오는 관리자보다 얼마나 비싸거나 저렴합니까?

모든 것은 상대적입니다. Nebula의 기본 기능은 무료로 제공됩니다. 실제로 무엇이 더 저렴할 수 있습니까?

물론 네트워크 관리자나 그를 대신할 사람 없이는 완전히 불가능합니다. 문제는 사람 수, 전문화 및 사이트 전반의 분포입니다.

유료 확장 서비스의 경우 더 비싸거나 저렴하다는 직접적인 질문을하는 경우 이러한 접근 방식은 항상 부정확하고 일방적입니다. 특정 전문가의 작업 비용을 지불하는 비용부터 계약자 또는 개인과의 상호 작용을 보장하는 비용까지 다양한 요소를 비교하는 것이 더 정확할 것입니다. 품질 관리, 문서 작성, 보안 수준 유지 및 곧.

유료 서비스 패키지(Pro-Pack)를 구매하는 것이 수익성이 있는지 여부에 대한 주제에 대해 이야기하는 경우 대략적인 대답은 다음과 같이 들릴 수 있습니다. 조직이 소규모인 경우 기본 버전, 조직이 성장하고 있다면 Pro-Pack을 고려하는 것이 합리적입니다. Zyxel Nebula 버전 간의 차이점은 표 1에서 확인할 수 있습니다.

표 1. Nebula의 기본 기능 세트와 Pro-Pack 기능 세트의 차이점

여기에는 고급 보고, 사용자 감사, 구성 복제 등이 포함됩니다.

교통 보호는 어떻습니까?

Nebula는 프로토콜을 사용합니다. NETCONF 네트워크 장비의 안전한 작동을 보장합니다.

NETCONF는 여러 전송 프로토콜 위에서 실행될 수 있습니다.

NETCONF를 SNMP를 통한 관리와 같은 다른 방법과 비교하면 다음 사항에 유의해야 합니다. NETCONF NAT 장벽을 극복하기 위해 나가는 TCP 연결을 지원하며 더 안정적인 것으로 간주됩니다.

하드웨어 지원은 어떻습니까?

물론 서버룸을 희귀하고 멸종 위기에 처한 장비를 대표하는 동물원으로 만들어서는 안 됩니다. 관리 기술로 통합된 장비는 중앙 스위치부터 액세스 포인트까지 모든 방향을 포괄하는 것이 매우 바람직합니다. Zyxel 엔지니어들은 이러한 가능성을 고려했습니다. Nebula는 다양한 장치를 실행합니다.

10G 중앙 스위치;
액세스 레벨 스위치;
PoE를 갖춘 스위치;
액세스 포인트;
네트워크 게이트웨이.

다양한 지원 장치를 사용하여 다양한 유형의 작업을 위한 네트워크를 구축할 수 있습니다. 이는 위쪽으로 성장하는 것이 아니라 바깥쪽으로 성장하면서 비즈니스 수행을 위한 새로운 영역을 끊임없이 탐색하는 기업의 경우 특히 그렇습니다.

지속적인 개발

기존 관리 방법을 사용하는 네트워크 장치에는 새 펌웨어나 추가 모듈 등 장치 자체를 변경하는 한 가지 개선 방법만 있습니다. Zyxel Nebula의 경우 클라우드 인프라 개선을 통해 개선할 수 있는 추가 경로가 있습니다. 예를 들어 NCC(Nebula Control Center)를 버전 10.1로 업데이트한 후입니다. (21년 2020월 XNUMX일) 사용자가 새로운 기능을 사용할 수 있으며 그 중 일부는 다음과 같습니다.

이제 조직 소유자는 모든 소유권을 동일한 조직의 다른 관리자에게 이전할 수 있습니다.
조직 소유자와 동일한 권한을 갖는 소유자 대리인이라는 새로운 역할;
새로운 조직 전체 펌웨어 업데이트 기능(Pro-Pack 기능)
두 가지 새로운 옵션이 토폴로지에 추가되었습니다. 장치 재부팅 및 PoE 포트 전원 켜기 및 끄기(Pro-Pack 기능);
새로운 액세스 포인트 모델 지원: WAC500, WAC500H, WAC5302D-Sv2 및 NWA1123ACv3
QR 코드 인쇄를 통한 바우처 인증 지원(Pro-Pack 기능)

유용한 링크

출처 : habr.com

Nebula를 기반으로 네트워크 인프라를 구축합니다. 1부 - 문제 및 해결 방법