{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"Construirea infrastructurii re\u021belei bazate pe Nebula. Partea 1 - sarcini \u0219i solu\u021bii","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Construirea
\nArticolul va discuta despre problemele organiz\u0103rii infrastructurii de re\u021bea prin metodele tradi\u021bionale \u0219i despre solu\u021biile pentru aceste probleme folosind tehnologii cloud.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

Pentru referin\u021b\u0103.<\/strong> Nebula este un mediu SaaS pentru gestionarea de la distan\u021b\u0103 a infrastructurii de re\u021bea. Toate dispozitivele care suport\u0103 Nebula sunt gestionate din cloud printr-o conexiune sigur\u0103. Se poate administra o infrastructur\u0103 de re\u021bea distribuit\u0103 de amploare dintr-un singur centru, f\u0103r\u0103 a depune eforturi pentru a o crea.<\/p>\n

<\/p>\n

De ce este necesar un alt serviciu cloud?<\/h2>\n

<\/p>\n

Principala problem\u0103 \u00een gestionarea infrastructurii de re\u021bea nu const\u0103 \u00een proiectarea re\u021belei \u0219i achizi\u021bia de echipamente, nici m\u0103car \u00een montarea acestora \u00een rack, ci \u00een tot ce trebuie f\u0103cut ulterior cu aceast\u0103 re\u021bea.<\/p>\n

<\/p>\n

Re\u021bea nou\u0103 \u2014 griji vechi.<\/h3>\n

<\/p>\n

Atunci c\u00e2nd se pune \u00een func\u021biune un nou nod de re\u021bea, dup\u0103 montarea \u0219i conectarea echipamentului, \u00eencepe configurarea ini\u021bial\u0103. Din perspectiva \u201emanagerilor de v\u00e2rf\u201d \u2014 nu este nimic complicat: \u201eLu\u0103m documenta\u021bia de lucru a proiectului \u0219i \u00eencepem s\u0103 configur\u0103m\u2026\u201d Se spune at\u00e2t de u\u0219or, c\u00e2nd toate elementele de re\u021bea se afl\u0103 \u00eentr-un singur centru de date. Dac\u0103 \u00eens\u0103 sunt dispersate \u00een filiale, \u00eencepe durerea de cap cu asigurarea accesului la distan\u021b\u0103. A\u0219a se creeaz\u0103 un cerc vicios: pentru a ob\u021bine acces la distan\u021b\u0103 prin re\u021bea, trebuie s\u0103 configur\u0103m echipamentele de re\u021bea, iar pentru asta avem nevoie de acces la re\u021bea\u2026<\/p>\n

<\/p>\n

Trebuie s\u0103 g\u0103sim diverse scheme pentru a ie\u0219i din impasul descris mai sus. De exemplu, un laptop cu acces la Internet printr-un modem USB 4G este conectat printr-un cablu patch la re\u021beaua configurat\u0103. Pe acest laptop se ridic\u0103 un client VPN, iar prin intermediul acestuia, administratorul de re\u021bea din sediul central \u00eencearc\u0103 s\u0103 ob\u021bin\u0103 acces la re\u021beaua filialei. Schema nu este cea mai transparent\u0103 \u2014 chiar dac\u0103 ducem laptopul cu VPN-ul configurat anterior la loca\u021bia de la distan\u021b\u0103 \u0219i cerem s\u0103 fie pornit, nu este deloc sigur c\u0103 totul va func\u021biona din prima. Mai ales dac\u0103 este vorba despre o alt\u0103 regiune cu un alt furnizor.<\/p>\n

<\/p>\n

Se pare c\u0103 cea mai sigur\u0103 metod\u0103 este s\u0103 avem \u201ede cealalt\u0103 parte a cablului\u201d un specialist bun care s\u0103 poat\u0103 configura partea sa conform proiectului. Dac\u0103 nu avem pe cineva \u00een filial\u0103, r\u0103m\u00e2n variante: fie externalizarea, fie o delega\u021bie.<\/p>\n

<\/p>\n

Este nevoie de un sistem de monitorizare. Trebuie s\u0103 fie instalat, configurat \u0219i \u00eentre\u021binut (cel pu\u021bin s\u0103 se supravegheze spa\u021biul de pe disc \u0219i s\u0103 se realizeze periodic copii de rezerv\u0103). \u0218i care nu \u0219tie nimic despre echipamentele noastre p\u00e2n\u0103 nu \u00eei comunic\u0103m. Pentru aceasta, trebuie s\u0103 specifice set\u0103rile pentru toate unit\u0103\u021bile de echipament \u0219i s\u0103 urm\u0103reasc\u0103 \u00een mod regulat actualitatea \u00eenregistr\u0103rilor.<\/p>\n

<\/p>\n

Este minunat c\u00e2nd \u00een echip\u0103 exist\u0103 un \u00abom-orchestr\u0103\u00bb, care, pe l\u00e2ng\u0103 cuno\u0219tin\u021bele specifice ale unui administrator de sistem, \u0219tie s\u0103 lucreze cu Zabbix sau cu un alt sistem similar. Altfel, angaj\u0103m o alt\u0103 persoan\u0103 sau externaliz\u0103m.<\/p>\n

<\/p>\n

Not\u0103.<\/strong> Cele mai triste gre\u0219eli \u00eencep cu cuvintele: \u201eCe e at\u00e2t de complicat \u00een a configura acest Zabbix (Nagios, OpenView etc.)? \u00cel voi instala rapid \u0219i gata!\u201d<\/em><\/p>\n

<\/p>\n

De la implementare la exploatare<\/h3>\n

<\/p>\n

S\u0103 lu\u0103m un exemplu concret.<\/p>\n

<\/p>\n

Am primit un mesaj de alarm\u0103 c\u0103 undeva nu r\u0103spunde un punct de acces WiFi.<\/p>\n

<\/p>\n

Unde se afl\u0103?<\/p>\n

<\/p>\n

Desigur, un bun administrator de re\u021bea are propriul s\u0103u ghid, \u00een care este notat\u0103 totul. Problema apare atunci c\u00e2nd trebuie s\u0103 \u00eemp\u0103rt\u0103\u0219easc\u0103 aceste informa\u021bii. De exemplu, trebuie s\u0103 trimitem urgent un mesager pentru a clarifica situa\u021bia, iar pentru aceasta trebuie s\u0103 d\u0103m ceva de genul: \u201ePunctul de acces se afl\u0103 \u00een centrul de afaceri pe strada Constructorilor, casa 1, la etajul 3, biroul N 301 l\u00e2ng\u0103 u\u0219a de intrare sub tavan\u201d.<\/p>\n

<\/p>\n

S\u0103 presupunem c\u0103 ne-am nimerit bine \u0219i punctul de acces se alimenteaz\u0103 prin PoE, iar comutatorul permite resetarea de la distan\u021b\u0103. Nu trebuie s\u0103 mergem, dar avem nevoie de acces de la distan\u021b\u0103 la comutator. R\u0103m\u00e2ne de configurat redirec\u021bionarea porturilor prin PAT pe router \u0219i s\u0103 ne ocup\u0103m cu VLAN-ul pentru conectarea din exterior \u0219i a\u0219a mai departe. Este bine dac\u0103 totul este configurat dinainte. Munca poate s\u0103 nu fie complicat\u0103, dar trebuie f\u0103cut\u0103.<\/p>\n

<\/p>\n

Deci, am resetat punctul de acces alimentat. Nu a ajutat?<\/p>\n

<\/p>\n

S\u0103 presupunem c\u0103 ceva nu este \u00een regul\u0103 cu partea hardware. Acum c\u0103ut\u0103m informa\u021bii despre garan\u021bie, \u00eenceputul utiliz\u0103rii \u0219i alte detalii interesante.<\/p>\n

<\/p>\n

Referitor la WiFi. Utilizarea variantei de acas\u0103 WPA2-PSK, \u00een care exist\u0103 o singur\u0103 cheie pentru toate dispozitivele, nu este recomandat\u0103 \u00een medii corporative. \u00cen primul r\u00e2nd, o singur\u0103 cheie pentru to\u021bi este pur \u0219i simplu nesigur, iar \u00een al doilea r\u00e2nd, c\u00e2nd un angajat pleac\u0103, este necesar s\u0103 schimba\u021bi aceast\u0103 cheie comun\u0103 \u0219i s\u0103 reconfigura\u021bi toate dispozitivele pentru to\u021bi utilizatorii. Pentru a evita astfel de nepl\u0103ceri, exist\u0103 WPA2-Enterprise cu autentificare individual\u0103 pentru fiecare utilizator. Dar pentru asta este necesar un server RADIUS - o alt\u0103 unitate de infrastructur\u0103 pe care trebuie s\u0103 o controla\u021bi, s\u0103 face\u021bi backup-uri \u0219i a\u0219a mai departe.<\/p>\n

<\/p>\n

Re\u021bine\u021bi c\u0103, la fiecare etap\u0103, fie c\u0103 este vorba de implementare sau operare, am utilizat sisteme auxiliare. Acestea includ un laptop cu o conexiune \u201eextern\u0103\u201d la Internet, un sistem de monitorizare, o baz\u0103 de date de referin\u021b\u0103 pentru echipamente \u0219i RADIUS ca sistem de autentificare. Pe l\u00e2ng\u0103 dispozitivele de re\u021bea, trebuie s\u0103 \u00eentre\u021binem \u0219i servicii externe.<\/p>\n

<\/p>\n

\u00cen astfel de cazuri, pute\u021bi auzi sfatul: \u201eTransfera\u021bi totul \u00een cloud \u0219i nu v\u0103 mai stresa\u021bi\u201d. Probabil exist\u0103 un Zabbix \u00een cloud, poate undeva exist\u0103 un RADIUS \u00een cloud \u0219i chiar o baz\u0103 de date \u00een cloud pentru a men\u021bine lista dispozitivelor. Problema este c\u0103 toate acestea trebuie s\u0103 fie integrate, nu \u00een mod separat, \u201e\u00een aceea\u0219i sticl\u0103\u201d. \u0218i totu\u0219i, apar \u00eentreb\u0103ri legate de organizarea accesului, de configurarea ini\u021bial\u0103 a dispozitivelor, de securitate \u0219i multe altele.<\/p>\n

<\/p>\n

Cum arat\u0103 acest lucru atunci c\u00e2nd utiliza\u021bi Nebula?<\/h2>\n

<\/p>\n

Desigur, la \u00eenceput \u201ecloud-ul\u201d nu \u0219tie nimic despre planurile noastre sau despre echipamentele achizi\u021bionate.<\/p>\n

<\/p>\n

Mai \u00eent\u00e2i se creeaz\u0103 profilul organiza\u021biei. Asta \u00eenseamn\u0103 c\u0103 \u00eentreaga infrastructur\u0103: sediul central \u0219i filialele sunt ini\u021bial introduse \u00een cloud. Se specific\u0103 datele de identificare, se creeaz\u0103 conturi pentru delegarea autorit\u0103\u021bilor.<\/p>\n

<\/p>\n

\u00cenregistrarea dispozitivelor utilizate \u00een cloud se poate face \u00een dou\u0103 moduri: pe vechiul sistem - pur \u0219i simplu introduc\u00e2nd seria \u00een formularul online sau scan\u00e2nd codul QR cu ajutorul unui telefon mobil. Tot ce ave\u021bi nevoie pentru a doua metod\u0103 este un smartphone cu camer\u0103 \u0219i acces la Internet, inclusiv prin intermediul unui provider de telefonie mobil\u0103.<\/p>\n

<\/p>\n

Desigur, infrastructura necesar\u0103 pentru stocarea informa\u021biilor, at\u00e2t cele contabile, c\u00e2t \u0219i cele de configurare, este furnizat\u0103 de Zyxel Nebula.<\/p>\n

<\/p>\n

\"Construirea
\nFigura 1. Raportul de securitate Nebula Control Center.<\/em><\/p>\n

<\/p>\n

Ce este cu configurarea accesului? Deschiderea porturilor, redirec\u021bionarea traficului printr-un gateway de intrare, toate acele lucruri pe care administratorii de securitate dr\u0103g\u0103lesc le numesc: \u201ea s\u0103pa g\u0103uri\u201d? Din fericire, nu trebuie s\u0103 faci nimic din toate acestea. Dispozitivele care func\u021bioneaz\u0103 cu Nebula stabilesc o conexiune ie\u0219it\u0103. Iar administratorul se conecteaz\u0103 nu la un dispozitiv separat, ci la cloud. Nebula ac\u021bioneaz\u0103 ca un intermediar \u00eentre cele dou\u0103 conexiuni: cea cu dispozitivul \u0219i cea cu computerul administratorului de re\u021bea. Aceasta \u00eenseamn\u0103 c\u0103 etapa \u00een care este chemat un administrator poate fi redus\u0103 la minimum sau omis\u0103 complet. \u0218i f\u0103r\u0103 \u201eg\u0103uri\u201d suplimentare \u00een firewall.<\/p>\n

<\/p>\n

Dar ce se \u00eent\u00e2mpl\u0103 cu serverul RADUIS? Este necesar\u0103 o anumit\u0103 autentificare centralizat\u0103!<\/p>\n

<\/p>\n

\u0218i aceast\u0103 func\u021bionalitate este preluat\u0103 de N\u0435bula. Autentificarea conturilor pentru accesul la echipamente se face printr-o baz\u0103 de date protejat\u0103. Acest lucru simplific\u0103 foarte mult delegarea sau retragerea drepturilor de gestionare a sistemului. Dac\u0103 trebuie s\u0103 transferi drepturile \u2014 cre\u0103m un utilizator, desemn\u0103m un rol. Dac\u0103 trebuie s\u0103 retragi drepturile \u2014 efectu\u0103m ac\u021biunile inverse.<\/p>\n

<\/p>\n

Merit\u0103 men\u021bionat separat WPA2-Enterprise, pentru care este necesar un serviciu de autentificare separat. Zyxel Nebula are propriul s\u0103u analog \u2014 DPPSK, care permite utilizarea WPA2-PSK cu o cheie individual\u0103 pentru fiecare utilizator.<\/p>\n

<\/p>\n

\u00centreb\u0103ri \u201einconveniente\u201d<\/h2>\n

<\/p>\n

Mai jos vom \u00eencerca s\u0103 oferim r\u0103spunsuri la cele mai dificile \u00eentreb\u0103ri care sunt frecvent adresate la intrarea \u00een serviciul cloud<\/p>\n

<\/p>\n

Este aceasta cu siguran\u021b\u0103 sigur?<\/h3>\n

<\/p>\n

\u00cen cazul oric\u0103rei deleg\u0103ri a controlului \u0219i managementului, pentru asigurarea securit\u0103\u021bii, joac\u0103 un rol important doi factori: anonimizarea \u0219i criptarea.<\/p>\n

<\/p>\n

Utilizarea cript\u0103rii pentru protec\u021bia traficului \u00eempotriva ochilor curio\u0219i \u2014 cititorii sunt mai mult sau mai pu\u021bin familiariza\u021bi cu acest concept.<\/p>\n

<\/p>\n

Anonimizarea ascunde de personalul providerului de cloud informa\u021biile despre proprietar \u0219i surs\u0103. Informa\u021biile personale sunt \u0219terse, iar \u00eenregistr\u0103rile primesc un identificator \u201ef\u0103r\u0103 chip\u201d. At\u00e2t dezvoltatorul software-ului cloud, c\u00e2t \u0219i administratorul care \u00eentre\u021bine sistemul cloud \u2014 nu pot \u0219ti cine este proprietarul cererilor. \u201eDe unde a venit asta? Pe cine ar putea interesa?\u201d, \u2014 aceste \u00eentreb\u0103ri vor r\u0103m\u00e2ne f\u0103r\u0103 r\u0103spuns. Absen\u021ba datelor despre proprietar \u0219i surs\u0103 face ca insiderii s\u0103 fie o pierdere de timp f\u0103r\u0103 sens.<\/p>\n

<\/p>\n

Dac\u0103 compari aceast\u0103 abordare cu practica tradi\u021bional\u0103 de externalizare sau angajare a unui administrator temporar, este evident c\u0103 tehnologiile cloud sunt mai sigure. Un specialist IT temporar \u0219tie destul de multe despre organiza\u021bia sa, iar prin voin\u021ba sau nevoia sa, poate provoca daune semnificative \u00een ceea ce prive\u0219te securitatea. De asemenea, trebuie s\u0103 rezolvi \u00eentrebarea destituirii sau a \u00eencheierii contractului. Uneori, pe l\u00e2ng\u0103 blocarea sau \u0219tergerea contului, asta implic\u0103 o schimbare global\u0103 a parolelor pentru accesul la servicii, precum \u0219i un audit al tuturor resurselor pentru \u201epunctele de intrare uitate\u201d \u0219i posibilele \u201ecapcane\u201d.<\/p>\n

<\/p>\n

C\u00e2t de mult mai scump sau mai ieftin este Nebula \u00een compara\u021bie cu un administrator temporar?<\/h3>\n

<\/p>\n

Totul se cunoa\u0219te prin compara\u021bie. Func\u021biile de baz\u0103 ale Nebula sunt disponibile gratuit. Ce ar putea fi mai ieftin de at\u00e2t?<\/p>\n

<\/p>\n

Desigur, nu este posibil s\u0103 te descurci complet f\u0103r\u0103 un administrator de re\u021bea sau o persoan\u0103 care s\u0103 \u00eel \u00eenlocuiasc\u0103. \u00centrebarea se reduce la num\u0103rul de oameni, specializ\u0103rile lor \u0219i distribu\u021bia pe loca\u021bii.<\/p>\n

<\/p>\n

\u00cen ceea ce prive\u0219te serviciul extins pl\u0103tit, a pune direct \u00eentrebarea: este mai scump sau mai ieftin \u2014 aceast\u0103 abordare va fi \u00eentotdeauna imprecis\u0103 \u0219i unilateral\u0103. Ar fi mai corect s\u0103 compari o mul\u021bime de factori, de la banii pentru plata lucrului specific al speciali\u0219tilor, p\u00e2n\u0103 la costurile pentru asigurarea interac\u021biunii lor cu o organiza\u021bie subcontractat\u0103 sau o persoan\u0103 fizic\u0103: controlul calit\u0103\u021bii execu\u021biei, \u00eentocmirea documenta\u021biei, men\u021binerea nivelului de securitate \u0219i a\u0219a mai departe.<\/p>\n

<\/p>\n

Dac\u0103 discut\u0103m despre avantajele sau dezavantajele achizi\u021bion\u0103rii unui pachet de servicii pl\u0103tite (Pro-Pack), un r\u0103spuns aproximativ ar putea fi acesta: dac\u0103 organiza\u021bia este mic\u0103, se poate descurca cu versiunea de baz\u0103, dac\u0103 organiza\u021bia cre\u0219te, atunci merit\u0103 s\u0103 te g\u00e2nde\u0219ti la Pro-Pack. Diferen\u021bele dintre versiunile Zyxel Nebula pot fi consultate \u00een tabelul 1.<\/p>\n

<\/p>\n

Tabelul 1. Diferen\u021bele dintre seturile de func\u021bii ale versiunii de baz\u0103 \u0219i ale versiunii Pro-Pack pentru Nebula.<\/em><\/p>\n

<\/p>\n

\"Construirea<\/p>\n

<\/p>\n

Acesta include at\u00e2t raport\u0103ri extinse, c\u00e2t \u0219i audituri ale utilizatorilor, clonarea configura\u021biei \u0219i multe altele.<\/p>\n

<\/p>\n

Dar ce se \u00eent\u00e2mpl\u0103 cu protec\u021bia traficului?<\/h3>\n

<\/p>\n

Nebula folose\u0219te protocolul NETCONF<\/a><\/noindex> pentru a asigura securitatea oper\u0103rii cu echipamentele de re\u021bea.<\/p>\n

<\/p>\n

NETCONF poate func\u021biona deasupra mai multor protocoale de transport:<\/p>\n

<\/p>\n