Tento článok je druhý v cykle článkov „Ako si získať kontrolu nad sieťovou infraštruktúrou“. Obsah všetkých článkov cyklu a odkazy nájdete .
Našim cieľom v tomto kroku je usporiadať dokumentáciu a konfiguráciu.
Na konci tohto procesu by ste mali mať potrebnú dokumentáciu a sieť nakonfigurovanú podľa nej.
Teraz nebudeme hovoriť o audite zabezpečenia – tomu sa bude venovať tretia časť.
Náročnosť úlohy stanovené v tejto fáze sa samozrejme veľmi líši od firmy k firme.
Ideálna situácia je, keď
- vaša sieť bola vytvorená podľa plánu a máte úplný súbor dokumentácie
- vo vašej spoločnosti bol zavedený pre sieť
- podľa tohto procesu máte k dispozícii dokumenty (vrátane všetkých potrebných schém), ktoré poskytujú úplné informácie o aktuálnom stave vecí
V takom prípade je vaša úloha celkom jednoduchá. Musíte si preštudovať dokumenty a skontrolovať všetky zmeny, ktoré boli vykonané.
V najhoršom prípade budete mať
- sieť vytvorenú bez plánu, bez projektu, bez odsúhlasenia, inžiniermi, ktorí nemajú dostatočnú kvalifikáciu,
- s chaotickými, nedokumentovanými zmenami, s množstvom „odpadu“ a suboptimálnych riešení
Je jasné, že vaša situácia bude niekde medzi týmito dvoma extrémami, ale bohužiaľ, na tejto škále je s veľkou pravdepodobnosťou lepší koniec, ste bližšie k horšiemu.
V takom prípade budete musieť tiež ovládať čítanie medzi riadkami, pretože sa budete musieť naučiť chápať, čo chceli urobiť „dizajnéri“, obnoviť ich logiku, dokončiť to, čo zostalo nedokončené a odstrániť „odpad“.
A samozrejme, budete musieť skorigovať ich chyby, zmeniť (v tejto fáze čo najmenej) dizajn a upraviť alebo znovu vytvoriť schémy.
Tento článok si rozhodne neuzurpuje úplnosť. Tu opíšem len všeobecné princípy a zameriam sa na niektoré bežné problémy, ktoré je potrebné riešiť.
Súbor dokumentov
Začnime príkladom.
Nižšie sú uvedené niektoré dokumenty, ktoré sa zvyknú vytvárať v spoločnosti Cisco Systems pri projektovaní.
CR – Požiadavky zákazníka (technická špecifikácia).
Vytvára sa spoločne so zákazníkom a určuje požiadavky na sieť.HLD – High Level Design, vysokolevelový dizajn na základe požiadaviek na sieť (CR). Dokument vysvetľuje a odôvodňuje prijaté architektonické rozhodnutia (topológia, protokoly, výber zariadení,…). HLD neobsahuje detaily dizajnu, napríklad o používaných rozhraniach a IP adresách. Taktiež sa tu nerokuje o konkrétnych konfiguráciách zariadení. Tento dokument je skôr určený na vysvetlenie technickému manažmentu zákazníka kľúčových koncepcií dizajnu.
LLD – Low Level Design, nízkolevelový dizajn na základe vysokolevelového (HLD).
Musí obsahovať všetky detaily potrebné na realizáciu projektu, ako napríklad informácie o tom, ako pripojiť a nastaviť zariadenia. Je to kompletný sprievodca realizáciou dizajnu. Tento dokument by mal poskytnúť dostatok informácií pre jeho realizáciu aj menej kvalifikovanému personálu.Niečo, ako napríklad IP adresy, čísla AS, schéma fyzickej komunikácie (cabling), môže byť "vyčlenené" do samostatných dokumentov, ako sú NIP (Network Implementation Plan).
Budovanie siete začína po vytvorení týchto dokumentov a prebieha v prísnom súlade s nimi a následne je overované zákazníkom (testy) na súlad s dizajnom.
Samozrejme, rôzni integrátori, rôzni zákazníci, v rôznych krajinách môžu mať rôzne požiadavky na projektovú dokumentáciu. Ale chceli by sme sa vyhnúť formalitám a zvážiť veci podstatné. Tento krok nie je o projektovaní, ale o usporiadaní a potrebujeme dostatočné množstvo dokumentov (schémy, tabuľky, popisy …) na splnenie našich úloh.
A podľa môjho názoru existuje akýsi absolútny minimum, bez ktorého nie je možné efektívne kontrolovať sieť.
Sú to nasledujúce dokumenty:
- schéma (zápisník) fyzickej komunikácie (cabling)
- schéma alebo schémy siete s podstatnými L2/L3 informáciami
Schéma fyzického prepojenia
V niektorých malých spoločnostiach sú práce spojené s inštaláciou zariadení a fyzickou komunikáciou (cabling) v zóne zodpovednosti sieťových inžinierov.
V tomto prípade je problém čiastočne riešený nasledujúcim prístupom.
- použite popis na rozhraní na opis toho, čo je k nemu pripojené
- administratívne vypnite (shutdown) všetky nepripojené porty sieťového zariadenia
To je umožní rýchlo určiť, čo je pripojené k tomuto portu, aj v prípade, že nastane problém s linkou (keď na tomto rozhraní nefunguje cdp alebo lldp).
Rovnako ľahko uvidíte, aké porty máte obsadené a aké sú voľné, čo je potrebné na plánovanie pripojení nového sieťového zariadenia, serverov alebo pracovných staníc.
Je zrejmé, že ak stratíte prístup k vybaveniu, stratíte aj prístup k týmto informáciám. Okrem toho týmto spôsobom nebudete môcť zdokumentovať také dôležité informácie ako to, aké zariadenie to je, akú má spotrebu, koľko portov má, v akej stojke sa nachádza, aké sú tam patch panely a kam (do akej stojky/patch panelu) sú zapojené. Preto je nasledovné dodatočné dokumentovanie (nielen popisy na vybavení) veľmi užitočné.
Ideálnym riešením je používať aplikácie, ktoré sú navrhnuté na prácu s podobnými informáciami. No môžete sa obmedziť aj na jednoduché tabuľky (napríklad v Exceli) alebo zobraziť informácie, ktoré považujete za potrebné, v schémach L1/L2.
Dôležité!
Sieťový inžinier môže dobre poznať nuansy a štandardy HKP, typy stojok, typy zdrojov nepřerušovaného napájania, čo je studený a horúci koridor, vykonávať správne uzemnenie,… rovnako ako môže taktiež vedieť fyziku elementárnych častíc alebo C++. Ale treba rozumieť tomu, že všetko toto nie je jeho oblasťou znalosti.
Preto dobrým zvykom je mať oddelenia alebo vyhradených ľudí na riešenie úloh súvisiacich s inštaláciou, pripojením, podporou funkčnosti vybavenia a fyzickou komutáciou. Zvyčajne pre dátové centrá to sú inžinieri dátových centier, a pre kanceláriu — help-desk.
Ak sú takéto oddelenia v vašej spoločnosti zohľadnené, otázky vedenia denníka fyzickej komutácie nie sú vašou úlohou a môžete sa obmedziť iba na popis na rozhraní a administratívne vypnutie nepoužívaných portov.
Schémy siete
Neexistuje univerzálny prístup k kresleniu schém.
Najdôležitejšie je, aby schémy poskytovali pochopenie toho, ako bude prúdiť prevádzka cez aké logické a fyzické prvky vašej siete.
Pod fyzickými prvkami rozumieme
- aktívne vybavenie
- rozhrania/porty aktívneho zariadenia
Pod logickými —
- logické zariadenia (N7K VDC, Palo Alto VSYS, …)
- VRF
- vlan
- podrozhrania
- tunely
- zóny
- …
Tak, ak vaša sieť nie je úplne jednoduchá, bude pozostávať z rôznych segmentov.
napríklad
- dátové centrum
- internet
- WAN
- diaľkový prístup
- kancelárska LAN
- DMZ
- …
Bolo by rozumné mať niekoľko schém, ktoré poskytnú ako všeobecný prehľad (ako prechádza traffic medzi všetkými týmito segmentmi), tak aj podrobné vysvetlenie každého jednotlivého segmentu.
Keďže v moderných sieťach môže byť veľa logických úrovní, dobrým (ale nie povinným) prístupom je vytvárať rôzne schémy pre rôzne úrovne, napríklad v prípade overlay prístupu to môžu byť nasledujúce schémy:
- overlay
- L1/L2 underlay
- L3 underlay
Samozrejme, najdôležitejšou schémou, bez ktorej nie je možné pochopiť myšlienku vášho dizajnu, je schéma smerovania.
Schéma smerovania
Na tejto schéme by malo byť uvedené
- aké smerovacie protokoly a kde sa používajú
- základné informácie o nastaveniach smerovacieho protokolu (area/AS number/router-id/…)
- na akých zariadeniach dochádza k redistribúcii
- kde prebieha filtrovanie a agregácia trás
- informácie o predvolenom smere
Tak, častokrát je užitočná aj L2 schéma (OSI).
L2 schéma (OSI)
Na tejto schéme môžu byť uvedené nasledujúce informácie:
- aké VLAN
- aké porty sú trunk porty
- aké porty sú agregované do ether-channel (port channel), virtuálny port channel
- aké STP protokoly a na akých zariadeniach sa používajú
- základné nastavenia STP: root/root backup, STP cost, priorita portu
- dodatočné nastavenia STP: BPDU guard/filter, root guard…
Typické chyby pri navrhovaní
Príklad zlého prístupu k budovaniu siete.
Poďme si zobraziť jednoduchý príklad budovania jednoduchej kancelárskej lokálnej siete.
Pri výučbe telekomunikácií študentom môžem povedať, že prakticky každý študent v polovici druhého semestra má potrebné znalosti (v rámci kurzu, ktorý som viedol) na to, aby nastavil jednoduchú kancelársku LAN.
Čo je také náročné na prepojenie prepínačov, nastavení VLAN, SVI rozhraní (v prípade L3 prepínačov) a zadaní statického smerovania?
Všetko bude fungovať.
Ale pri tom zostávajú bokom otázky týkajúce sa
- bezpečnosti
- zálohovania
- škálovateľnosti siete
- výkonom
- priepustnosti
- spoľahlivosti
- …
Niekedy počujem tvrdenie, že kancelárska LAN je niečo veľmi jednoduché, a to zvyčajne od inžinierov (a manažérov), ktorí sa zaoberajú všetkým možným, len nie sieťami, a hovoria to tak sebavedomo, že sa nečudujte, ak bude LAN vytvorená ľuďmi s nedostatočnou praxou a znalosťami a bude zahrňovať približne tie chyby, ktoré opíšem nižšie.
Charakteristické chyby návrhu na úrovni L1 (OSI)
- Ak ste zodpovední aj za štruktúrovanú kabeláž, jedným z najnepríjemnejších dedičstiev, ktoré vám môže ostať, je nedbalo a neprakticky navrhnuté zapojenie.
Tiež by som ku typu L1 priradil chyby súvisiace so zdrojmi používaného zariadenia, napríklad,
- nedostatočná šírka pásma
- nedostatočný TCAM na zariadení (alebo neefektívne jeho využitie)
- nedostatočný výkon (často sa to týka firewallov)
Charakteristické chyby návrhu na úrovni L2 (OSI)
Často, keď nie je dobré pochopenie, ako funguje STP a aké potenciálne problémy so sebou nesie, sú prepínače pripojené chaoticky, s predvolené nastavenia bez dodatočného ladenia STP.
V dôsledku toho často máme nasledovné
- veľký STP priemer siete, čo môže viesť k broadcastovým búrkam
- STP root bude určený náhodne (na základe mac adresy) a cesta trafiku bude suboptimálna
- porty pripojené k hostiteľom nebudú nastavené ako edge (portfast), čo povedie k prepočtu STP pri zapnutí/vypnutí koncových zariadení
- sieť nebude segmentovaná na úrovni L1/L2, čo spôsobí, že problémy s ktorýmkoľvek prepínačom (napríklad preťaženie napájaním) povedú k prepočtu STP topológie a zastaveniu trafiku vo všetkých VLAN na všetkých prepínačoch (vrátane kritického segmentu z hľadiska kontinuity služby)
Príklady chýb v navrhovaní L3 (OSI)
Niekoľko charakteristických chýb začiatočníkov v sieti:
- časté používanie (alebo používanie iba) statického routingu
- používanie neoptimálnych protokolov routovania pre daný dizajn
- neoptimálna logická segmentácia siete
- neoptimálne využívanie adresného priestoru, čo zabraňuje agregácii trás
- nedostatok záložných trás
- nedostatok zálohovania pre default gateway
- asymetrické smerovanie pri prestavbe trás (môže byť kritické v prípade NAT/PAT, statefull firewallov)
- problémy s MTU
- pri prestavbe trás prechádza traffic cez iné bezpečnostné zóny alebo dokonca iné firewally, čo vedie k tomu, že tento traffic je zamietnutý
- zlá škálovateľnosť topológie
Kritériá hodnotenia kvality dizajnu
Keď hovoríme o optimalite/neoptimalite, musíme porozumieť, podľa akých kritérií to môžeme hodnotiť. Z môjho pohľadu sú najpodstatnejšie (ale nie všetky) kritériá (a ich vysvetlenie vzťahujúce sa na smerovacie protokoly):
- škálovateľnosť (scalability)
Napríklad, ak ste sa rozhodli pridať ďalšie dátové centrum. Ako ľahko to môžete urobiť. - pohodlie v správe (managability)
Ako jednoducho a bezpečne sa vykonávajú operačné zmeny, napríklad oznamovanie novej siete alebo filtrovanie trás - dostupnosť (availability)
Aký percentuálny podiel času vaša systém poskytuje požadovanú úroveň služieb - bezpečnosť (security)
Ako sú chránené prenášané dáta - cena
Zmeny
Hlavný princíp v tejto fáze môžeme vyjadriť vzorcom „neublíž“.
Preto, aj keď sa nemusíte úplne zhodovať s dizajnom a vybranou implementáciou (konfiguráciou), nie vždy je rozumné robiť zmeny. Rozumný prístup je zoradiť všetky zjavené problémy podľa dvoch parametrov:
- ako ľahko môže byť tento problém opravený
- ako veľké riziko nesie
Predovšetkým je potrebné odstrániť to, čo v súčasnosti znižuje úroveň poskytovaných služieb pod prípustnú hranicu, napríklad problémy vedúce k strate paketov. Potom odstráňte to, čo je najjednoduchšie a najbezpečnejšie opraviť, v poradí znižujúcej sa závažnosti rizika (od problémov v dizajne alebo konfigurácii, ktoré nesú väčšie riziká, k menším).
Perfekcionizmus v tejto fáze môže byť škodlivý. Priveďte dizajn do uspokojivého stavu a synchronizujte konfiguráciu siete v súlade s ním.
Zdroj: habr.com
