Artykuł dotyczy problemów związanych z organizacją infrastruktury sieciowej w tradycyjny sposób oraz metod rozwiązania tych samych zagadnień za pomocą technologii chmurowych.
Dla informacji. Nebula to chmurowe środowisko SaaS do zdalnego zarządzania infrastrukturą sieciową. Wszystkie urządzenia wspierające Nebula są zarządzane z chmury poprzez bezpieczne połączenie. Można zarządzać dużą, rozproszoną infrastrukturą sieciową z jednego centrum, nie ponosząc wysiłku na jej stworzenie.
Po co potrzebna jest jeszcze jedna usługa chmurowa?
Głównym problemem w pracy z infrastrukturą sieciową nie jest projektowanie sieci i zakup sprzętu, ani nawet montaż w szafie, lecz wszystko to, co później należy zrobić z tą siecią.
Nowa sieć — stare zmartwienia
Po uruchomieniu nowego węzła sieci po montażu i podłączeniu sprzętu następuje początkowa konfiguracja. Z punktu widzenia 'wielkiego przełożonego' — nic skomplikowanego: 'Bierzemy dokumentację roboczą projektu i zaczynamy konfigurować…' Łatwo to powiedzieć, gdy wszystkie elementy sieci znajdują się w jednym centrum danych. Jeśli są rozproszone po filiach, zaczynają się kłopoty z zapewnieniem zdalnego dostępu. Taki zamknięty krąg: aby uzyskać zdalny dostęp w sieci, trzeba skonfigurować urządzenia sieciowe, a żeby to zrobić, potrzebny jest dostęp do sieci…
Trzeba wymyślać różne schematy, aby wyjść z powyższego impasu. Na przykład, laptop z dostępem do Internetu za pośrednictwem modemu USB 4G jest podłączany kablem do konfigurowanej sieci. Na tym laptopie uruchamiany jest klient VPN, a przez niego administrator sieci z centrali próbuje uzyskać dostęp do sieci filii. Schemat nie jest najbardziej przejrzysty — nawet jeśli dowieźć laptop z wcześniej skonfigurowanym VPN do zdalnej lokalizacji i poprosić o jego włączenie, nie ma gwarancji, że wszystko zadziała od pierwszego razu. Szczególnie gdy chodzi o inny region z innym dostawcą.
Okazuje się, że najpewniejszym sposobem jest mieć 'po drugiej stronie kabla' dobrego specjalistę, który będzie w stanie skonfigurować swoją część zgodnie z projektem. Jeśli takiego nie ma w filii, pozostają opcje: albo outsourcing, albo delegacja.
Potrzebny jest również system monitorowania. Należy go zainstalować, skonfigurować i obsługiwać (przynajmniej monitorować miejsce na dysku i regularnie wykonywać kopie zapasowe). I który nie wie nic o naszych urządzeniach, dopóki mu nie powiemy. W tym celu trzeba spisać ustawienia dla wszystkich urządzeń i regularnie kontrolować aktualność zapisów.
To wspaniale, gdy w zespole jest swoją „człowiek-orkiestra”, który, oprócz specyficznej wiedzy administratora sieci, potrafi pracować z Zabbixem lub innym podobnym systemem. W przeciwnym razie musimy zatrudnić jeszcze jedną osobę lub zlecić to na zewnątrz.
Uwaga. Najbardziej smutne potknięcia zaczynają się od słów: „Co tam tego Zabbixa (Nagios, OpenView itp.) konfigurować? Ja teraz szybciutko go uruchomię i gotowe!”
Od wdrożenia do eksploatacji
Rozważmy konkretny przykład.
Otrzymano alarm o tym, że gdzieś nie odpowiada punkt dostępu WiFi.
Gdzie on się znajduje?
Oczywiście, dobry administrator sieci ma swoją osobistą książkę z informacjami. Problemy zaczynają się, gdy trzeba się tą informacją podzielić. Na przykład, trzeba pilnie wysłać kuriera, aby zajął się sprawą na miejscu, a dla tego trzeba wydać coś w rodzaju: „Punkt dostępu w biznesowym centrum na ulicy Budowniczych 1, na 3. piętrze, w pokoju N 301 obok drzwi wejściowych pod sufitem”.
Załóżmy, że mamy szczęście i punkt dostępu jest zasilany przez PoE, a przełącznik pozwala go zrestartować zdalnie. Nie trzeba jechać, ale potrzebny jest zdalny dostęp do przełącznika. Trzeba skonfigurować przekierowanie portów przez PAT na routerze, zająć się VLAN-em do połączenia z zewnątrz itd. Dobrze, jeśli wszystko jest wcześniej skonfigurowane. Praca może nie jest skomplikowana, ale trzeba to zrobić.
A więc zresetowano zasilanie punktu. Nie pomogło?
Załóżmy, że coś jest nie tak w części sprzętowej. Teraz szukamy informacji o gwarancji, rozpoczęciu eksploatacji i innych interesujących szczegółach.
Jeśli chodzi o WiFi. Użycie domowej wersji WPA2-PSK, w której jeden klucz jest używany przez wszystkie urządzenia, nie jest zalecane w środowisku korporacyjnym. Po pierwsze, jeden klucz dla wszystkich jest po prostu niebezpieczny, po drugie, gdy jeden pracownik odchodzi, trzeba zmieniać ten wspólny klucz i ponownie konfigurować wszystkie urządzenia wszystkich użytkowników. Aby uniknąć takich nieprzyjemności, istnieje WPA2-Enterprise z indywidualną autoryzacją dla każdego użytkownika. Ale potrzebny jest serwer RADIUS — jeszcze jeden element infrastruktury, który należy kontrolować, tworzyć kopie zapasowe itd.
Zwróć uwagę, że na każdym etapie, zarówno podczas wdrażania, jak i eksploatacji, korzystaliśmy z systemów wspomagających. To zarówno laptop z "zewnętrznym" dostępem do Internetu, system monitoringu, baza wiedzy o sprzęcie oraz RADIUS jako system autoryzacji. Oprócz urządzeń sieciowych, musimy obsługiwać także zewnętrzne usługi.
W takich przypadkach można usłyszeć radę: „Oddać do chmury i nie męczyć się”. Z pewnością istnieje chmurowy Zabbix, może gdzieś jest chmurowy RADIUS, a nawet chmurowa baza danych do prowadzenia listy urządzeń. Problem w tym, że nie chodzi o elementy oddzielnie, ale „w jednym opakowaniu”. I pojawiają się pytania dotyczące organizacji dostępu, początkowej konfiguracji urządzeń, bezpieczeństwa i wiele więcej.
Jak to wygląda przy użyciu Nebula?
Oczywiście na początku "chmura" nie wie nic ani o naszych planach, ani o zakupionym sprzęcie.
Najpierw tworzony jest profil organizacji. Cała infrastruktura - siedziba i filie - najpierw zostaje wpisana w chmurze. Zawierane są dane rejestrowe, tworzone konta do delegowania uprawnień.
Zarejestrować używane urządzenia w chmurze można na dwa sposoby: po staroświecku — po prostu wpisując numer seryjny podczas wypełniania formularza internetowego lub skanując kod QR za pomocą telefonu komórkowego. Wszystko, co jest potrzebne do drugiego sposobu, to smartfon z aparatem i dostępem do Internetu, w tym przez operatora mobilnego.
Oczywiście niezbędną infrastrukturę do przechowywania informacji, zarówno o użytkownikach, jak i ustawieniach, zapewnia Zyxel Nebula.
Rysunek 1. Raport o bezpieczeństwie Nebula Control Center.
A co z konfiguracją dostępu? Otwieraniem portów, przekazywaniem ruchu przez bramę przychodzącą, wszystkim tym, co administratorzy bezpieczeństwa z powodzeniem nazywają: „wykuwaniem dziur”? Na szczęście nie trzeba tego robić. Urządzenia zarządzane przez Nebula nawiązują połączenie wychodzące. Administrator łączy się nie z osobnym urządzeniem, lecz z chmurą. Nebula jest pośrednikiem między dwoma połączeniami: z urządzeniem i z komputerem administratora sieci. Oznacza to, że etapie wezwania przychodzącego administratora można zminimalizować albo całkowicie pominąć. I żadnych dodatkowych „dziur” w zaporze.
A co z serwerem RADIUS? Przecież potrzebna jest jakaś scentralizowana autoryzacja!
Te funkcje również przejmuje Nebula. Autoryzacja kont dostępu do sprzętu odbywa się przez zabezpieczoną bazę danych. To znacznie upraszcza delegowanie lub odbieranie uprawnień do zarządzania systemem. Chcąc przekazać uprawnienia — zakładamy użytkownika, przypisujemy rolę. Chcąc odebrać uprawnienia — wykonujemy odwrotne działania.
Osobno warto wspomnieć o WPA2-Enterprise, dla którego potrzebna jest oddzielna usługa autoryzacji. Zyxel Nebula ma swoją własną wersję — DPPSK, która pozwala na użycie WPA2-PSK z indywidualnym kluczem dla każdego użytkownika.
„Kłopotliwe” pytania
Poniżej spróbujemy odpowiedzieć na najbardziej złożone pytania, które często pojawiają się przy wchodzeniu w chmurę.
Czy to naprawdę bezpieczne?
Przy delegowaniu kontroli i zarządzania w celu zapewnienia bezpieczeństwa ważną rolę odgrywają dwa czynniki: anonimowość i szyfrowanie.
Użycie szyfrowania do ochrony ruchu przed obcymi oczami — to czytelnikom jest mniej więcej znane.
Anonimizacja ukrywa przed personelem dostawcy chmury informacje o właścicielu i źródle. Informacje osobiste są usuwane, a zapisom przypisywany jest „bezwzględny” identyfikator. Ani twórca chmur, ani administrator obsługujący chmurę — nie mogą znać właściciela zapytań. „Skąd to przyszło? Kogo to może interesować?”, — takie pytania pozostaną bez odpowiedzi. Brak danych o właścicielu i źródle sprawia, że wgląd staje się bezsensowną stratą czasu.
Porównując to podejście z tradycyjną praktyką outsourcingu lub zatrudniania zewnętrznego administratora, ewidentne jest, że technologia chmurowa jest bezpieczniejsza. Zewnętrzny specjalista IT wie o swojej podopiecznej organizacji wystarczająco dużo i może, chcąc lub nie, wyrządzić znaczne szkody w zakresie bezpieczeństwa. Należy także rozwiązać kwestię zwolnienia lub zakończenia umowy. Czasami, poza zablokowaniem lub usunięciem konta, wiąże się to z globalną zmianą haseł do usług oraz audytem wszystkich zasobów pod kątem „zapomnianych” punktów dostępu i możliwych „pułapek”.
Jak bardzo Nebula jest droższa lub tańsza od zewnętrznego administratora?
Wszystko można poznać w porównaniu. Podstawowe funkcje Nebuli są dostępne za darmo. Cóż, co może być jeszcze tańsze?
Oczywiście, całkowicie obejść się bez administratora sieci lub osoby go zastępującej się nie da. Chodzi o liczbę osób, ich specjalizację i rozdzielenie po lokalizacjach.
Jeśli chodzi o płatny, rozszerzony serwis, zadawanie pytania: droższe czy tańsze — taki sposób myślenia zawsze będzie nieprecyzyjny i jednostronny. Lepiej porównać wiele czynników, zaczynając od pieniędzy na wynagrodzenie konkretnych specjalistów, a kończąc na kosztach zapewnienia ich interakcji z firmą zewnętrzną lub osobą fizyczną: kontrola jakości wykonania, tworzenie dokumentacji, utrzymanie poziomu bezpieczeństwa i tak dalej.
Jeśli chodzi o to, czy warto kupić płatny pakiet usług (Pro-Pack), to przybliżona odpowiedź mogłaby brzmieć następująco: jeśli organizacja jest mała, można się obejść podstawową wersją, jeśli organizacja rośnie, warto pomyśleć o Pro-Pack. Różnice między wersjami Zyxel Nebula można zobaczyć w tabeli 1.
Tabela 1. Różnice między zestawami funkcji wersji podstawowej a wersji Pro-Pack dla Nebuli.
To zarówno rozszerzone raportowanie, audyt użytkowników, klonowanie konfiguracji i wiele więcej.
A co z ochroną ruchu?
Nebula wykorzystuje protokół do zapewnienia bezpieczeństwa pracy z urządzeniami sieciowymi.
NETCONF może działać na kilku protokołach transportowych:
- ();
- ();
- ();
- ().
Porównując NETCONF z innymi metodami, na przykład zarządzaniem przez SNMP — należy zauważyć, że JSON obsługiwane jest wychodzące połączenie TCP do pokonywania bariery NAT i uważane jest za bardziej niezawodne.
Co z obsługą sprzętu?
Oczywiście, nie warto przekształcać serwerowni w zoo z przedstawicielami rzadkich i wymierających gatunków sprzętu. Zdecydowanie zaleca się, aby sprzęt zarządzany technologią łączył wszystkie kierunki: od centralnego switcha po punkty dostępowe. Inżynierowie Zyxel zadbali o taką możliwość. Pod kontrolą Nebula działa wiele urządzeń:
- centralne switche 10G;
- switche dostępowe;
- switche z PoE;
- punkty dostępowe;
- bramy sieciowe.
Wykorzystując szeroki wachlarz obsługiwanych urządzeń, można budować sieci dla różnych typów zadań. Jest to szczególnie istotne dla firm, które rozwijają się nie w górę, a w szerz, stale zdobywając nowe powierzchnie do prowadzenia działalności.
Stały rozwój
Urządzenia sieciowe z tradycyjną metodą zarządzania mają tylko jeden sposób na doskonalenie — zmianę samego urządzenia, czy to poprzez nowy firmware, czy dodatkowe moduły. W przypadku Zyxel Nebula istnieje dodatkowa droga doskonalenia — poprzez rozwój infrastruktury chmurowej. Na przykład, po aktualizacji Nebula Control Center (NCC) do wersji 10.1. (21 września 2020) użytkownicy zyskali nowe możliwości, oto niektóre z nich:
- właściciel organizacji może teraz przekazać wszystkie prawa do innego administratora w tej samej organizacji;
- nowa rola o nazwie „Przedstawiciel właściciela”, która ma te same prawa co właściciel organizacji;
- nowa funkcja aktualizacji firmware'u w skali całej organizacji (funkcja Pro-Pack);
- dodano dwie nowe opcje do topologii: ponowne uruchomienie urządzenia oraz włączanie i wyłączanie zasilania portu PoE (funkcja Pro-Pack);
- wsparcie dla nowych modeli punktów dostępowych: WAC500, WAC500H, WAC5302D-Sv2 i NWA1123ACv3;
- wsparcie dla uwierzytelniania za pomocą kuponów z nadrukowanymi kodami QR (funkcja Pro-Pack).
Przydatne linki
Źródło: habr.com
