Како преузети контролу над вашом мрежном инфраструктуром. Поглавље два. Чишћење и документација

Овај чланак је други у низу чланака „Како преузети контролу над својом мрежном инфраструктуром“. Садржај свих чланака у серији и линкови се могу пронаћи овде.

Наш циљ у овој фази је да уведемо ред у документацију и конфигурацију.
На крају овог процеса, требало би да имате неопходан скуп докумената и мрежу конфигурисану у складу са њима.

Сада нећемо говорити о ревизији безбедности - ово ће бити тема трећег дела.

Наравно, тешкоћа извршавања задатка који је додељен у овој фази, наравно, веома варира од компаније до компаније.

Идеална ситуација је када

• ваша мрежа је креирана у складу са пројектом и имате комплетан сет докумената
• је имплементиран у вашој компанији процес контроле и управљања променама за мрежу
• у складу са овим процесом, имате документе (укључујући све потребне дијаграме) који пружају потпуне информације о тренутном стању ствари

У овом случају, ваш задатак је прилично једноставан. Требало би да проучите документе и прегледате све измене које су направљене.

У најгорем случају, имаћете

• мрежа створена без пројекта, без плана, без одобрења, од инжењера који немају довољан ниво квалификација,
• са хаотичним, недокументованим променама, са пуно „ђубрета“ и неоптималних решења

Јасно је да је ваша ситуација негде између, али, нажалост, на овој скали боље - горе, постоји велика вероватноћа да ћете бити ближе најгорем крају.

У овом случају ће вам бити потребна и способност читања мисли, јер ћете морати да научите да разумете шта су „дизајнери“ желели да ураде, да им вратите логику, завршите оно што није завршено и уклоните „ђубре“.
И, наравно, мораћете да исправите њихове грешке, промените (у овој фази што је минимално могуће) дизајн и промените или поново направите шеме.

Овај чланак ни на који начин не тврди да је потпун. Овде ћу описати само опште принципе и фокусирати се на неке уобичајене проблеме које треба решити.

Сет докумената

Почнимо са примером.

Испод су неки документи који се обично креирају у Цисцо Системс током дизајна.

CR – Захтеви купаца, захтеви клијената (техничке спецификације).
Креира се заједно са купцем и одређује захтеве мреже.

ХЛД – Дизајн високог нивоа, дизајн високог нивоа заснован на захтевима мреже (ЦР). Документ објашњава и оправдава донете архитектонске одлуке (топологија, протоколи, избор хардвера,...). ХЛД не садржи детаље дизајна, као што су интерфејси и ИП адресе које се користе. Такође, овде се не говори о специфичној конфигурацији хардвера. Уместо тога, овај документ има за циљ да објасни кључне концепте дизајна техничком менаџменту купца.

ЛЛД – Лов Левел Десигн, дизајн ниског нивоа заснован на дизајну високог нивоа (ХЛД).
Требало би да садржи све детаље неопходне за имплементацију пројекта, као што су информације о томе како повезати и конфигурисати опрему. Ово је комплетан водич за имплементацију дизајна. Овај документ треба да пружи довољно информација за његову примену чак и од стране мање квалификованог особља.

Нешто, на пример, ИП адресе, АС бројеви, физичка комутаторска шема (каблирање), може да се „изнесе“ у посебне документе, као нпр. НИП (План имплементације мреже).

Изградња мреже почиње након израде ових докумената и одвија се у строгој сагласности са њима, а затим се проверава од стране наручиоца (тестови) за усклађеност са пројектом.

Наравно, различити интегратори, различити клијенти и различите земље могу имати различите захтеве за пројектну документацију. Али желео бих да избегнем формалности и да размотрим ово питање у меритуму. У овој фази није реч о дизајну, већ о довођењу ствари у ред, а потребан нам је довољан сет докумената (дијаграми, табеле, описи...) да бисмо завршили своје задатке.

И по мом мишљењу, постоји одређени апсолутни минимум, без којег је немогуће ефикасно контролисати мрежу.

Ово су следећи документи:

• дијаграм (лог) физичког пребацивања (каблирања)
• мрежни дијаграм или дијаграми са битним Л2/Л3 информацијама

Дијаграм физичке комутације

У неким малим компанијама, посао везан за инсталацију опреме и физичко пребацивање (каблирање) је одговорност мрежних инжењера.

У овом случају, проблем се делимично решава следећим приступом.

• користите опис на интерфејсу да опишете шта је повезано са њим
• административно искључити све неповезане портове мрежне опреме

Ово ће вам дати прилику, чак и у случају проблема са везом (када цдп или ллдп не раде на овом интерфејсу), да брзо утврдите шта је повезано са овим портом.
Такође можете лако видети који портови су заузети, а који слободни, што је неопходно за планирање повезивања нове мрежне опреме, сервера или радних станица.

Али јасно је да ако изгубите приступ опреми, изгубићете и приступ овим информацијама. Поред тога, на овај начин нећете моћи да снимите тако важне информације као што је врста опреме, која потрошња енергије, колико портова, у ком се рек-у налази, који патцх панели се налазе и где (у ком рацк-у/патцх панелу ) они су повезани . Стога је додатна документација (не само опис опреме) и даље веома корисна.

Идеална опција је коришћење апликација дизајнираних за рад са овом врстом информација. Али можете се ограничити на једноставне табеле (на пример, у Екцел-у) или приказати информације које сматрате неопходним у Л1/Л2 дијаграмима.

Важно!

Мрежни инжењер, наравно, може прилично добро да зна замршености и стандарде СЦС-а, врсте рекова, врсте непрекидног напајања, шта је то хладан и топао пролаз, како да уради правилно уземљење... баш као што у принципу може позна физику елементарних честица или Ц++. Али ипак треба схватити да све ово није његова област знања.

Због тога је добра пракса имати или наменска одељења или посвећене људе за решавање проблема везаних за инсталацију, повезивање, одржавање опреме, као и физичко пребацивање. Обично за дата центре то су инжењери дата центра, а за канцеларију је хелп-деск.

Ако су такве поделе предвиђене у вашој компанији, онда питања евидентирања физичког пребацивања нису ваш задатак, и можете се ограничити само на опис интерфејса и административно гашење неискоришћених портова.

Мрежни дијаграми

Не постоји универзални приступ цртању дијаграма.

Најважније је да дијаграми треба да дају разумевање како ће саобраћај тећи, кроз које логичке и физичке елементе ваше мреже.

Под физичким елементима подразумевамо

• активна опрема
• интерфејси/прикључци активне опреме

Под логичним -

• логички уређаји (Н7К ВДЦ, Пало Алто ВСИС, ...)
• ВРФ
• Виланс
• подинтерфејси
• тунели
• зона
• ...

Такође, ако ваша мрежа није потпуно елементарна, састојаће се од различитих сегмената.
На пример

• Центар за податке
• Интернет
• ВАН
• даљински приступ
• оффице ЛАН
• ДМЗ
• ...

Паметно је имати неколико дијаграма који дају и ширу слику (како саобраћај тече између свих ових сегмената) и детаљно објашњење сваког појединачног сегмента.

Пошто у модерним мрежама може да постоји много логичких слојева, можда је добар (али не и неопходан) приступ да се направе различита кола за различите слојеве, на пример, у случају преклапајућег приступа то могу бити следећа кола:

• преклапање
• Л1/Л2 подлога
• Л3 подлога

Наравно, најважнији дијаграм, без којег је немогуће разумети идеју вашег дизајна, је дијаграм рутирања.

Шема рутирања

У најмању руку, овај дијаграм треба да одражава

• који протоколи рутирања се користе и где
• основне информације о подешавањима протокола за рутирање (област/АС број/ид рутера/…)
• на којим уређајима долази до прерасподеле?
• где долази до филтрирања и агрегације рута
• подразумеване информације о рути

Такође, Л2 шема (ОСИ) је често корисна.

Л2 шема (ОСИ)

Овај дијаграм може показати следеће информације:

• какви ВЛАН-ови
• који су портови магистрални портови
• који портови су агрегирани у етер-канал (порт канал), виртуелни порт канал
• који се СТП протоколи користе и на којим уређајима
• основне СТП поставке: роот/роот резервна копија, СТП цена, приоритет порта
• додатна СТП подешавања: БПДУ заштита/филтер, заштита роот…

Типичне грешке у дизајну

Пример лошег приступа изградњи мреже.

Узмимо једноставан пример изградње једноставне канцеларијске ЛАН мреже.

Са искуством у подучавању студентима телекомуникација, могу рећи да практично сваки студент до средине другог семестра има потребно знање (у оквиру предмета који сам ја предавао) да постави једноставан канцеларијски ЛАН.

Шта је толико тешко у међусобном повезивању прекидача, постављању ВЛАН-ова, СВИ интерфејса (у случају Л3 свичева) и постављању статичког рутирања?

Све ће радити.

Али у исто време, питања везана за

• сигурност
• резервација
• скалирање мреже
• продуктивности
• пропусност
• поузданост
• ...

С времена на време чујем изјаву да је канцеларијски ЛАН нешто веома једноставно и то обично чујем од инжењера (и менаџера) који раде све осим мрежа, а они то говоре тако самоуверено да се немојте изненадити ако ће ЛАН бити направљен од људи са недовољном праксом и знањем и биће направљен са приближно истим грешкама које ћу описати у наставку.

Уобичајене грешке у дизајну Л1 (ОСИ).

• Ако сте, ипак, одговорни и за СЦС, онда је једно од најнепријатнијих наслеђа које можете добити непажљиво и непромишљено пребацивање.

Такође бих класификовао као грешке типа Л1 које се односе на ресурсе коришћене опреме, нпр.

• недовољна пропусност
• недовољан ТЦАМ на опреми (или неефикасна употреба исте)
• недовољне перформансе (често у вези са заштитним зидовима)

Уобичајене грешке у дизајну Л2 (ОСИ).

Често, када нема доброг разумевања како СТП функционише и које потенцијалне проблеме носи са собом, прекидачи се повезују хаотично, са подразумеваним подешавањима, без додатног подешавања СТП-а.

Као резултат тога, често имамо следеће

• велики пречник СТП мреже, што може довести до олуја емитовања
• СТП роот ће бити одређен насумично (на основу мац адресе) и путања саобраћаја ће бити субоптимална
• портови повезани на хостове неће бити конфигурисани као едге (портфаст), што ће довести до СТП поновног израчунавања приликом укључивања/искључивања крајњих станица
• мрежа неће бити сегментирана на нивоу Л1/Л2, због чега ће проблеми са било којим прекидачем (на пример, преоптерећење струјом) довести до поновног израчунавања СТП топологије и заустављања саобраћаја у свим ВЛАН-овима на свим прекидачима (укључујући један критичан са становишта сегмента услуге континуитета)

Примери грешака у Л3 (ОСИ) дизајну

Неколико типичних грешака почетника у мрежи:

• Честа употреба (или само употреба) статичког рутирања
• коришћење субоптималних протокола рутирања за дати дизајн
• субоптимална логичка сегментација мреже
• неоптимално коришћење адресног простора, што не дозвољава агрегацију рута
• нема резервних рута
• нема резервације за подразумевани гатеваи
• асиметрично рутирање при поновној изградњи рута (може бити критично у случају НАТ/ПАТ, заштитних зидова са пуним стањем)
• проблеми са МТУ
• када се руте поново изграде, саобраћај иде кроз друге безбедносне зоне или чак друге заштитне зидове, што доводи до прекида овог саобраћаја
• лоша скалабилност топологије

Критеријуми за оцењивање квалитета пројектовања

Када говоримо о оптималности/неоптималности, морамо разумети са становишта по којим критеријумима ово можемо да проценимо. Ево, са моје тачке гледишта, најзначајнијих (али не свих) критеријума (и објашњења у вези са протоколима рутирања):

• прилагодљивост
  На пример, одлучите да додате још један центар података. Колико лако можете то учинити?
• једноставност употребе (управљивост)
  Колико су лаке и безбедне оперативне промене, као што је најава нове мреже или филтрирање рута?
• доступност
  У ком проценту времена ваш систем пружа потребан ниво услуге?
• сигурност
  Колико су безбедни пренети подаци?
• цена

Промјене

Основни принцип у овој фази може се изразити формулом „не шкоди“.
Због тога, чак и ако се не слажете у потпуности са дизајном и изабраном имплементацијом (конфигурацијом), није увек препоручљиво правити измене. Разуман приступ је рангирање свих идентификованих проблема према два параметра:

• колико лако се овај проблем може решити
• колики ризик она сноси?

Пре свега, потребно је елиминисати оно што тренутно смањује ниво пружене услуге испод прихватљивог нивоа, на пример, проблеме који доводе до губитка пакета. Затим поправите оно што је најлакше и најбезбедније поправити у опадајућем редоследу озбиљности ризика (од проблема са дизајном или конфигурацијом високог ризика до проблема са ниским ризиком).

Перфекционизам у овој фази може бити штетан. Доведите дизајн у задовољавајуће стање и у складу са тим синхронизујте конфигурацију мреже.

Извор: ввв.хабр.цом