{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"Budowa infrastruktury sieciowej na bazie Nebula. Cz\u0119\u015b\u0107 1 - zadania i rozwi\u0105zania","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Budowa
\nArtyku\u0142 dotyczy problem\u00f3w zwi\u0105zanych z organizacj\u0105 infrastruktury sieciowej w tradycyjny spos\u00f3b oraz metod rozwi\u0105zania tych samych zagadnie\u0144 za pomoc\u0105 technologii chmurowych.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

Dla informacji.<\/strong> Nebula to chmurowe \u015brodowisko SaaS do zdalnego zarz\u0105dzania infrastruktur\u0105 sieciow\u0105. Wszystkie urz\u0105dzenia wspieraj\u0105ce Nebula s\u0105 zarz\u0105dzane z chmury poprzez bezpieczne po\u0142\u0105czenie. Mo\u017cna zarz\u0105dza\u0107 du\u017c\u0105, rozproszon\u0105 infrastruktur\u0105 sieciow\u0105 z jednego centrum, nie ponosz\u0105c wysi\u0142ku na jej stworzenie.<\/p>\n

<\/p>\n

Po co potrzebna jest jeszcze jedna us\u0142uga chmurowa?<\/h2>\n

<\/p>\n

G\u0142\u00f3wnym problemem w pracy z infrastruktur\u0105 sieciow\u0105 nie jest projektowanie sieci i zakup sprz\u0119tu, ani nawet monta\u017c w szafie, lecz wszystko to, co p\u00f3\u017aniej nale\u017cy zrobi\u0107 z t\u0105 sieci\u0105.<\/p>\n

<\/p>\n

Nowa sie\u0107 \u2014 stare zmartwienia<\/h3>\n

<\/p>\n

Po uruchomieniu nowego w\u0119z\u0142a sieciowego po monta\u017cu i pod\u0142\u0105czeniu sprz\u0119tu zaczyna si\u0119 pocz\u0105tkowa konfiguracja. Z perspektywy \u201ewielkiego szefa\u201d - nic trudnego: \u201eBierzemy dokumentacj\u0119 robocz\u0105 projektu i zaczynamy konfiguracj\u0119\u2026\u201d To brzmi wspaniale, gdy wszystkie elementy sieciowe znajduj\u0105 si\u0119 w jednym centrum danych. Je\u015bli jednak s\u0105 rozproszone po filiach, zaczyna si\u0119 b\u00f3l g\u0142owy z zapewnieniem zdalnego dost\u0119pu. Taki zamkni\u0119ty kr\u0105g: aby uzyska\u0107 zdalny dost\u0119p w sieci, nale\u017cy skonfigurowa\u0107 sprz\u0119t sieciowy, a do tego potrzebny jest dost\u0119p do sieci\u2026<\/p>\n

<\/p>\n

Trzeba wymy\u015bla\u0107 r\u00f3\u017cne schematy, aby wyj\u015b\u0107 z powy\u017cszego impasu. Na przyk\u0142ad, laptop z dost\u0119pem do Internetu za po\u015brednictwem modemu USB 4G jest pod\u0142\u0105czany kablem do konfigurowanej sieci. Na tym laptopie uruchamiany jest klient VPN, a przez niego administrator sieci z centrali pr\u00f3buje uzyska\u0107 dost\u0119p do sieci filii. Schemat nie jest najbardziej przejrzysty \u2014 nawet je\u015bli dowie\u017a\u0107 laptop z wcze\u015bniej skonfigurowanym VPN do zdalnej lokalizacji i poprosi\u0107 o jego w\u0142\u0105czenie, nie ma gwarancji, \u017ce wszystko zadzia\u0142a od pierwszego razu. Szczeg\u00f3lnie gdy chodzi o inny region z innym dostawc\u0105.<\/p>\n

<\/p>\n

Okazuje si\u0119, \u017ce najpewniejszym sposobem jest mie\u0107 'po drugiej stronie kabla' dobrego specjalist\u0119, kt\u00f3ry b\u0119dzie w stanie skonfigurowa\u0107 swoj\u0105 cz\u0119\u015b\u0107 zgodnie z projektem. Je\u015bli takiego nie ma w filii, pozostaj\u0105 opcje: albo outsourcing, albo delegacja.<\/p>\n

<\/p>\n

Potrzebny jest r\u00f3wnie\u017c system monitorowania. Nale\u017cy go zainstalowa\u0107, skonfigurowa\u0107 i obs\u0142ugiwa\u0107 (przynajmniej monitorowa\u0107 miejsce na dysku i regularnie wykonywa\u0107 kopie zapasowe). I kt\u00f3ry nie wie nic o naszych urz\u0105dzeniach, dop\u00f3ki mu nie powiemy. W tym celu trzeba spisa\u0107 ustawienia dla wszystkich urz\u0105dze\u0144 i regularnie kontrolowa\u0107 aktualno\u015b\u0107 zapis\u00f3w.<\/p>\n

<\/p>\n

To wspaniale, gdy w zespole jest swoj\u0105 \u201ecz\u0142owiek-orkiestra\u201d, kt\u00f3ry, opr\u00f3cz specyficznej wiedzy administratora sieci, potrafi pracowa\u0107 z Zabbixem lub innym podobnym systemem. W przeciwnym razie musimy zatrudni\u0107 jeszcze jedn\u0105 osob\u0119 lub zleci\u0107 to na zewn\u0105trz.<\/p>\n

<\/p>\n

Uwaga.<\/strong> Najbardziej smutne potkni\u0119cia zaczynaj\u0105 si\u0119 od s\u0142\u00f3w: \u201eCo tam tego Zabbixa (Nagios, OpenView itp.) konfigurowa\u0107? Ja teraz szybciutko go uruchomi\u0119 i gotowe!\u201d<\/em><\/p>\n

<\/p>\n

Od wdro\u017cenia do eksploatacji<\/h3>\n

<\/p>\n

Rozwa\u017cmy konkretny przyk\u0142ad.<\/p>\n

<\/p>\n

Otrzymano alarm o tym, \u017ce gdzie\u015b nie odpowiada punkt dost\u0119pu WiFi.<\/p>\n

<\/p>\n

Gdzie on si\u0119 znajduje?<\/p>\n

<\/p>\n

Oczywi\u015bcie, dobry administrator sieci ma swoj\u0105 osobist\u0105 ksi\u0105\u017ck\u0119 z informacjami. Problemy zaczynaj\u0105 si\u0119, gdy trzeba si\u0119 t\u0105 informacj\u0105 podzieli\u0107. Na przyk\u0142ad, trzeba pilnie wys\u0142a\u0107 kuriera, aby zaj\u0105\u0142 si\u0119 spraw\u0105 na miejscu, a dla tego trzeba wyda\u0107 co\u015b w rodzaju: \u201ePunkt dost\u0119pu w biznesowym centrum na ulicy Budowniczych 1, na 3. pi\u0119trze, w pokoju N 301 obok drzwi wej\u015bciowych pod sufitem\u201d.<\/p>\n

<\/p>\n

Za\u0142\u00f3\u017cmy, \u017ce mamy szcz\u0119\u015bcie i punkt dost\u0119pu jest zasilany przez PoE, a prze\u0142\u0105cznik pozwala go zrestartowa\u0107 zdalnie. Nie trzeba jecha\u0107, ale potrzebny jest zdalny dost\u0119p do prze\u0142\u0105cznika. Trzeba skonfigurowa\u0107 przekierowanie port\u00f3w przez PAT na routerze, zaj\u0105\u0107 si\u0119 VLAN-em do po\u0142\u0105czenia z zewn\u0105trz itd. Dobrze, je\u015bli wszystko jest wcze\u015bniej skonfigurowane. Praca mo\u017ce nie jest skomplikowana, ale trzeba to zrobi\u0107.<\/p>\n

<\/p>\n

A wi\u0119c zresetowano zasilanie punktu. Nie pomog\u0142o?<\/p>\n

<\/p>\n

Za\u0142\u00f3\u017cmy, \u017ce co\u015b jest nie tak w cz\u0119\u015bci sprz\u0119towej. Teraz szukamy informacji o gwarancji, rozpocz\u0119ciu eksploatacji i innych interesuj\u0105cych szczeg\u00f3\u0142ach.<\/p>\n

<\/p>\n

Je\u015bli chodzi o WiFi. U\u017cycie domowej wersji WPA2-PSK, w kt\u00f3rej jeden klucz jest u\u017cywany przez wszystkie urz\u0105dzenia, nie jest zalecane w \u015brodowisku korporacyjnym. Po pierwsze, jeden klucz dla wszystkich jest po prostu niebezpieczny, po drugie, gdy jeden pracownik odchodzi, trzeba zmienia\u0107 ten wsp\u00f3lny klucz i ponownie konfigurowa\u0107 wszystkie urz\u0105dzenia wszystkich u\u017cytkownik\u00f3w. Aby unikn\u0105\u0107 takich nieprzyjemno\u015bci, istnieje WPA2-Enterprise z indywidualn\u0105 autoryzacj\u0105 dla ka\u017cdego u\u017cytkownika. Ale potrzebny jest serwer RADIUS \u2014 jeszcze jeden element infrastruktury, kt\u00f3ry nale\u017cy kontrolowa\u0107, tworzy\u0107 kopie zapasowe itd.<\/p>\n

<\/p>\n

Zwr\u00f3\u0107 uwag\u0119, \u017ce na ka\u017cdym etapie, zar\u00f3wno podczas wdra\u017cania, jak i eksploatacji, korzystali\u015bmy z system\u00f3w wspomagaj\u0105cych. To zar\u00f3wno laptop z \"zewn\u0119trznym\" dost\u0119pem do Internetu, system monitoringu, baza wiedzy o sprz\u0119cie oraz RADIUS jako system autoryzacji. Opr\u00f3cz urz\u0105dze\u0144 sieciowych, musimy obs\u0142ugiwa\u0107 tak\u017ce zewn\u0119trzne us\u0142ugi.<\/p>\n

<\/p>\n

W takich przypadkach mo\u017cna us\u0142ysze\u0107 rad\u0119: \u201eOdda\u0107 do chmury i nie m\u0119czy\u0107 si\u0119\u201d. Z pewno\u015bci\u0105 istnieje chmurowy Zabbix, mo\u017ce gdzie\u015b jest chmurowy RADIUS, a nawet chmurowa baza danych do prowadzenia listy urz\u0105dze\u0144. Problem w tym, \u017ce nie chodzi o elementy oddzielnie, ale \u201ew jednym opakowaniu\u201d. I pojawiaj\u0105 si\u0119 pytania dotycz\u0105ce organizacji dost\u0119pu, pocz\u0105tkowej konfiguracji urz\u0105dze\u0144, bezpiecze\u0144stwa i wiele wi\u0119cej.<\/p>\n

<\/p>\n

Jak to wygl\u0105da przy u\u017cyciu Nebula?<\/h2>\n

<\/p>\n

Oczywi\u015bcie na pocz\u0105tku \"chmura\" nie wie nic ani o naszych planach, ani o zakupionym sprz\u0119cie.<\/p>\n

<\/p>\n

Najpierw tworzony jest profil organizacji. Ca\u0142a infrastruktura - siedziba i filie - najpierw zostaje wpisana w chmurze. Zawierane s\u0105 dane rejestrowe, tworzone konta do delegowania uprawnie\u0144.<\/p>\n

<\/p>\n

Zarejestrowa\u0107 u\u017cywane urz\u0105dzenia w chmurze mo\u017cna na dwa sposoby: po staro\u015bwiecku \u2014 po prostu wpisuj\u0105c numer seryjny podczas wype\u0142niania formularza internetowego lub skanuj\u0105c kod QR za pomoc\u0105 telefonu kom\u00f3rkowego. Wszystko, co jest potrzebne do drugiego sposobu, to smartfon z aparatem i dost\u0119pem do Internetu, w tym przez operatora mobilnego.<\/p>\n

<\/p>\n

Oczywi\u015bcie niezb\u0119dn\u0105 infrastruktur\u0119 do przechowywania informacji, zar\u00f3wno o u\u017cytkownikach, jak i ustawieniach, zapewnia Zyxel Nebula.<\/p>\n

<\/p>\n

\"Budowa
\nRysunek 1. Raport o bezpiecze\u0144stwie Nebula Control Center.<\/em><\/p>\n

<\/p>\n

A co z konfiguracj\u0105 dost\u0119pu? Otwieraniem port\u00f3w, przekazywaniem ruchu przez bram\u0119 przychodz\u0105c\u0105, wszystkim tym, co administratorzy bezpiecze\u0144stwa z powodzeniem nazywaj\u0105: \u201ewykuwaniem dziur\u201d? Na szcz\u0119\u015bcie nie trzeba tego robi\u0107. Urz\u0105dzenia zarz\u0105dzane przez Nebula nawi\u0105zuj\u0105 po\u0142\u0105czenie wychodz\u0105ce. Administrator \u0142\u0105czy si\u0119 nie z osobnym urz\u0105dzeniem, lecz z chmur\u0105. Nebula jest po\u015brednikiem mi\u0119dzy dwoma po\u0142\u0105czeniami: z urz\u0105dzeniem i z komputerem administratora sieci. Oznacza to, \u017ce etapie wezwania przychodz\u0105cego administratora mo\u017cna zminimalizowa\u0107 albo ca\u0142kowicie pomin\u0105\u0107. I \u017cadnych dodatkowych \u201edziur\u201d w zaporze.<\/p>\n

<\/p>\n

A co z serwerem RADIUS? Przecie\u017c potrzebna jest jaka\u015b scentralizowana autoryzacja!<\/p>\n

<\/p>\n

Te funkcje r\u00f3wnie\u017c przejmuje Nebula. Autoryzacja kont dost\u0119pu do sprz\u0119tu odbywa si\u0119 przez zabezpieczon\u0105 baz\u0119 danych. To znacznie upraszcza delegowanie lub odbieranie uprawnie\u0144 do zarz\u0105dzania systemem. Chc\u0105c przekaza\u0107 uprawnienia \u2014 zak\u0142adamy u\u017cytkownika, przypisujemy rol\u0119. Chc\u0105c odebra\u0107 uprawnienia \u2014 wykonujemy odwrotne dzia\u0142ania.<\/p>\n

<\/p>\n

Osobno warto wspomnie\u0107 o WPA2-Enterprise, dla kt\u00f3rego potrzebna jest oddzielna us\u0142uga autoryzacji. Zyxel Nebula ma swoj\u0105 w\u0142asn\u0105 wersj\u0119 \u2014 DPPSK, kt\u00f3ra pozwala na u\u017cycie WPA2-PSK z indywidualnym kluczem dla ka\u017cdego u\u017cytkownika.<\/p>\n

<\/p>\n

\u201eK\u0142opotliwe\u201d pytania<\/h2>\n

<\/p>\n

Poni\u017cej spr\u00f3bujemy odpowiedzie\u0107 na najbardziej z\u0142o\u017cone pytania, kt\u00f3re cz\u0119sto pojawiaj\u0105 si\u0119 przy wchodzeniu w chmur\u0119.<\/p>\n

<\/p>\n

Czy to naprawd\u0119 bezpieczne?<\/h3>\n

<\/p>\n

Przy delegowaniu kontroli i zarz\u0105dzania w celu zapewnienia bezpiecze\u0144stwa wa\u017cn\u0105 rol\u0119 odgrywaj\u0105 dwa czynniki: anonimowo\u015b\u0107 i szyfrowanie.<\/p>\n

<\/p>\n

U\u017cycie szyfrowania do ochrony ruchu przed obcymi oczami \u2014 to czytelnikom jest mniej wi\u0119cej znane.<\/p>\n

<\/p>\n

Anonimizacja ukrywa przed personelem dostawcy chmury informacje o w\u0142a\u015bcicielu i \u017ar\u00f3dle. Informacje osobiste s\u0105 usuwane, a zapisom przypisywany jest \u201ebezwzgl\u0119dny\u201d identyfikator. Ani tw\u00f3rca chmur, ani administrator obs\u0142uguj\u0105cy chmur\u0119 \u2014 nie mog\u0105 zna\u0107 w\u0142a\u015bciciela zapyta\u0144. \u201eSk\u0105d to przysz\u0142o? Kogo to mo\u017ce interesowa\u0107?\u201d, \u2014 takie pytania pozostan\u0105 bez odpowiedzi. Brak danych o w\u0142a\u015bcicielu i \u017ar\u00f3dle sprawia, \u017ce wgl\u0105d staje si\u0119 bezsensown\u0105 strat\u0105 czasu.<\/p>\n

<\/p>\n

Por\u00f3wnuj\u0105c to podej\u015bcie z tradycyjn\u0105 praktyk\u0105 outsourcingu lub zatrudniania zewn\u0119trznego administratora, ewidentne jest, \u017ce technologia chmurowa jest bezpieczniejsza. Zewn\u0119trzny specjalista IT wie o swojej podopiecznej organizacji wystarczaj\u0105co du\u017co i mo\u017ce, chc\u0105c lub nie, wyrz\u0105dzi\u0107 znaczne szkody w zakresie bezpiecze\u0144stwa. Nale\u017cy tak\u017ce rozwi\u0105za\u0107 kwesti\u0119 zwolnienia lub zako\u0144czenia umowy. Czasami, poza zablokowaniem lub usuni\u0119ciem konta, wi\u0105\u017ce si\u0119 to z globaln\u0105 zmian\u0105 hase\u0142 do us\u0142ug oraz audytem wszystkich zasob\u00f3w pod k\u0105tem \u201ezapomnianych\u201d punkt\u00f3w dost\u0119pu i mo\u017cliwych \u201epu\u0142apek\u201d.<\/p>\n

<\/p>\n

Jak bardzo Nebula jest dro\u017csza lub ta\u0144sza od zewn\u0119trznego administratora?<\/h3>\n

<\/p>\n

Wszystko mo\u017cna pozna\u0107 w por\u00f3wnaniu. Podstawowe funkcje Nebuli s\u0105 dost\u0119pne za darmo. C\u00f3\u017c, co mo\u017ce by\u0107 jeszcze ta\u0144sze?<\/p>\n

<\/p>\n

Oczywi\u015bcie, ca\u0142kowicie obej\u015b\u0107 si\u0119 bez administratora sieci lub osoby go zast\u0119puj\u0105cej si\u0119 nie da. Chodzi o liczb\u0119 os\u00f3b, ich specjalizacj\u0119 i rozdzielenie po lokalizacjach.<\/p>\n

<\/p>\n

Je\u015bli chodzi o p\u0142atny, rozszerzony serwis, zadawanie pytania: dro\u017csze czy ta\u0144sze \u2014 taki spos\u00f3b my\u015blenia zawsze b\u0119dzie nieprecyzyjny i jednostronny. Lepiej por\u00f3wna\u0107 wiele czynnik\u00f3w, zaczynaj\u0105c od pieni\u0119dzy na wynagrodzenie konkretnych specjalist\u00f3w, a ko\u0144cz\u0105c na kosztach zapewnienia ich interakcji z firm\u0105 zewn\u0119trzn\u0105 lub osob\u0105 fizyczn\u0105: kontrola jako\u015bci wykonania, tworzenie dokumentacji, utrzymanie poziomu bezpiecze\u0144stwa i tak dalej.<\/p>\n

<\/p>\n

Je\u015bli chodzi o to, czy warto kupi\u0107 p\u0142atny pakiet us\u0142ug (Pro-Pack), to przybli\u017cona odpowied\u017a mog\u0142aby brzmie\u0107 nast\u0119puj\u0105co: je\u015bli organizacja jest ma\u0142a, mo\u017cna si\u0119 obej\u015b\u0107 podstawow\u0105 wersj\u0105, je\u015bli organizacja ro\u015bnie, warto pomy\u015ble\u0107 o Pro-Pack. R\u00f3\u017cnice mi\u0119dzy wersjami Zyxel Nebula mo\u017cna zobaczy\u0107 w tabeli 1.<\/p>\n

<\/p>\n

Tabela 1. R\u00f3\u017cnice mi\u0119dzy zestawami funkcji wersji podstawowej a wersji Pro-Pack dla Nebuli.<\/em><\/p>\n

<\/p>\n

\"Budowa<\/p>\n

<\/p>\n

To zar\u00f3wno rozszerzone raportowanie, audyt u\u017cytkownik\u00f3w, klonowanie konfiguracji i wiele wi\u0119cej.<\/p>\n

<\/p>\n

A co z ochron\u0105 ruchu?<\/h3>\n

<\/p>\n

Nebula wykorzystuje protok\u00f3\u0142 JSON<\/a><\/noindex> do zapewnienia bezpiecze\u0144stwa pracy z urz\u0105dzeniami sieciowymi.<\/p>\n

<\/p>\n

NETCONF mo\u017ce dzia\u0142a\u0107 na kilku protoko\u0142ach transportowych:<\/p>\n

<\/p>\n