{"id":95220,"date":"2020-09-26T19:42:34","date_gmt":"2020-09-26T17:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya"},"modified":"2020-09-26T19:42:34","modified_gmt":"2020-09-26T17:42:34","slug":"postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/postroenie-setevoj-infrastruktury-na-baze-nebula-chast-1-zadachi-i-resheniya","title":{"rendered":"Byggande av n\u00e4tverksinfrastruktur baserad p\u00e5 Nebula. Del 1 \u2013 uppgifter och l\u00f6sningar","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Byggande
\nI artikeln diskuteras problemen med att organisera n\u00e4tverksinfrastruktur p\u00e5 traditionellt s\u00e4tt och metoder f\u00f6r att l\u00f6sa samma fr\u00e5gor med hj\u00e4lp av molnteknologier.<\/em><\/p>\n

<\/a><\/noindex><\/p>\n

F\u00f6r referens.<\/strong> Nebula \u00e4r en molnbaserad SaaS-milj\u00f6 f\u00f6r fj\u00e4rrunderh\u00e5ll av n\u00e4tverksinfrastruktur. Alla enheter som st\u00f6der Nebula hanteras fr\u00e5n molnet via en s\u00e4ker anslutning. Stora distribuerade n\u00e4tverksinfrastrukturer kan hanteras fr\u00e5n ett och samma centrum utan att det kr\u00e4vs anstr\u00e4ngningar f\u00f6r att skapa det.<\/p>\n

<\/p>\n

Vad beh\u00f6vs en ytterligare molntj\u00e4nst f\u00f6r?<\/h2>\n

<\/p>\n

Det grundl\u00e4ggande problemet vid arbete med n\u00e4tverksinfrastruktur \u00e4r inte n\u00e4tverksdesign och ink\u00f6p av utrustning, inte ens installationen i rack, utan allt \u00f6vrigt som m\u00e5ste g\u00f6ras med detta n\u00e4tverk i framtiden.<\/p>\n

<\/p>\n

N\u00e4tverket \u00e4r nytt - men bekymren \u00e4r gamla<\/h3>\n

<\/p>\n

\u041f\u0440\u0438 \u0432\u0432\u043e\u0434\u0435 \u0432 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044e \u043d\u043e\u0432\u043e\u0433\u043e \u0443\u0437\u043b\u0430 \u0441\u0435\u0442\u0438 \u043f\u043e\u0441\u043b\u0435 \u043c\u043e\u043d\u0442\u0430\u0436\u0430 \u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u0430\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430. \u0421 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u00ab\u0431\u043e\u043b\u044c\u0448\u043e\u0433\u043e \u043d\u0430\u0447\u0430\u043b\u044c\u0441\u0442\u0432\u0430\u00bb \u2014 \u043d\u0438\u0447\u0435\u0433\u043e \u0441\u043b\u043e\u0436\u043d\u043e\u0433\u043e: \u00ab\u0411\u0435\u0440\u0435\u043c \u0440\u0430\u0431\u043e\u0447\u0443\u044e \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u044e \u043f\u043e \u043f\u0440\u043e\u0435\u043a\u0442\u0443 \u0438 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u043c \u043d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0442\u044c…\u00bb \u042d\u0442\u043e \u0442\u0430\u043a \u0437\u0434\u043e\u0440\u043e\u0432\u043e \u0433\u043e\u0432\u043e\u0440\u0438\u0442\u0441\u044f, \u043a\u043e\u0433\u0434\u0430 \u0432\u0441\u0435 \u0441\u0435\u0442\u0435\u0432\u044b\u0435 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u044b \u0441\u0442\u043e\u044f\u0442 \u0432 \u043e\u0434\u043d\u043e\u043c \u0426\u041e\u0414. \u0415\u0441\u043b\u0438 \u0436\u0435 \u043e\u043d\u0438 \u0440\u0430\u0437\u0431\u0440\u043e\u0441\u0430\u043d\u044b \u043f\u043e \u0444\u0438\u043b\u0438\u0430\u043b\u0430\u043c, \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0433\u043e\u043b\u043e\u0432\u043d\u0430\u044f \u0431\u043e\u043b\u044c \u0441 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u0435\u043c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430. \u0422\u0430\u043a\u043e\u0439 \u0432\u043e\u0442 \u0437\u0430\u043c\u043a\u043d\u0443\u0442\u044b\u0439 \u043a\u0440\u0443\u0433: \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043f\u043e \u0441\u0435\u0442\u0438, \u043d\u0443\u0436\u043d\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u043e\u0435 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435, \u0430 \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043d\u0443\u0436\u0435\u043d \u0434\u043e\u0441\u0442\u0443\u043f \u043f\u043e \u0441\u0435\u0442\u0438…<\/p>\n

<\/p>\n

Man m\u00e5ste komma p\u00e5 olika s\u00e4tt f\u00f6r att l\u00f6sa den ovanst\u00e5ende knuten. Till exempel kan en laptop med internet\u00e5tkomst via en USB 4G-modem kopplas via patchkabel till det n\u00e4tverk som ska konfigureras. P\u00e5 denna laptop st\u00e4lls en VPN-klient p\u00e5, och genom den f\u00f6rs\u00f6ker n\u00e4tverksadministrat\u00f6ren fr\u00e5n huvudkontoret f\u00e5 \u00e5tkomst till filialens n\u00e4tverk. Skissen \u00e4r inte den tydligaste - \u00e4ven om man tar med en laptop med f\u00f6rinst\u00e4llt VPN till den avl\u00e4gsna platsen och ber dem att starta den, \u00e4r det l\u00e5ngt ifr\u00e5n garanterat att allt fungerar f\u00f6rsta g\u00e5ngen. S\u00e4rskilt om det handlar om en annan region med en annan leverant\u00f6r.<\/p>\n

<\/p>\n

Det visar sig att det mest p\u00e5litliga s\u00e4ttet \u00e4r att ha en bra specialist \u00abi den andra \u00e4nden av ledningen\u00bb som kan konfigurera sin del enligt projektet. Om det inte finns en s\u00e5dan person i filialens personal kvarst\u00e5r alternativen: antingen outsourcing eller tj\u00e4nsteresa.<\/p>\n

<\/p>\n

Det beh\u00f6vs fortfarande ett \u00f6vervakningssystem. Det m\u00e5ste installeras, konfigureras och underh\u00e5llas (\u00e5tminstone h\u00e5lla koll p\u00e5 diskutrymme och regelbundet g\u00f6ra s\u00e4kerhetskopior). Det ska inte veta n\u00e5got om v\u00e5ra enheter f\u00f6rr\u00e4n vi informerar det. F\u00f6r detta beh\u00f6ver vi ange inst\u00e4llningar f\u00f6r all utrustning och regelbundet kontrollera att registreringarna \u00e4r aktuella.<\/p>\n

<\/p>\n

Det \u00e4r fantastiskt n\u00e4r man har en \"mann-orchester\" i teamet, som f\u00f6rutom specifika kunskaper om n\u00e4tverksadministration ocks\u00e5 kan arbeta med Zabbix eller n\u00e5got annat liknande system. Annars f\u00e5r vi anst\u00e4lla ytterligare en person eller outsourca.<\/p>\n

<\/p>\n

Anteckning.<\/strong> De sorgligaste misstagen b\u00f6rjar med orden: \"Vad \u00e4r det att konfigurera detta Zabbix (Nagios, OpenView osv.)? Jag startar det snabbt s\u00e5 \u00e4r det klart!\"<\/em><\/p>\n

<\/p>\n

Fr\u00e5n implementering till drift<\/h3>\n

<\/p>\n

L\u00e5t oss titta p\u00e5 ett konkret exempel.<\/p>\n

<\/p>\n

En larmrapport har erh\u00e5llits om att en WiFi-\u00e5tkomstpunkt inte svarar n\u00e5gonstans.<\/p>\n

<\/p>\n

Var \u00e4r den?<\/p>\n

<\/p>\n

Sj\u00e4lvklart har en bra n\u00e4tverksadministrat\u00f6r en egen handbok d\u00e4r allt \u00e4r nedtecknat. Fr\u00e5gor uppst\u00e5r n\u00e4r denna information m\u00e5ste delas. Till exempel m\u00e5ste vi br\u00e5ttom skicka n\u00e5gon f\u00f6r att l\u00f6sa problemet p\u00e5 plats, och f\u00f6r det m\u00e5ste vi ge n\u00e5got i stil med: \"\u00c5tkomstpunkten i aff\u00e4rscentret p\u00e5 Bygggatan 1, p\u00e5 3:e v\u00e5ningen, kontor N 301 n\u00e4ra ing\u00e5ngsd\u00f6rren under taket.\"<\/p>\n

<\/p>\n

Anta att vi har tur och \u00e5tkomstpunkten drivs via PoE, och switchen till\u00e5ter oss att starta om den p\u00e5 distans. Ingen resa beh\u00f6vs, men vi beh\u00f6ver fj\u00e4rr\u00e5tkomst till switchen. Det \u00e5terst\u00e5r att konfigurera port\u00f6ppning via PAT p\u00e5 routern, ta reda p\u00e5 VLAN f\u00f6r extern anslutning osv. Det \u00e4r bra om allt \u00e4r f\u00f6rberett i f\u00f6rv\u00e4g. Jobbet \u00e4r kanske inte komplicerat, men det m\u00e5ste g\u00f6ras.<\/p>\n

<\/p>\n

S\u00e5, vi har startat om str\u00f6mf\u00f6rs\u00f6rjningen till \u00e5tkomstpunkten. Hj\u00e4lpte det?<\/p>\n

<\/p>\n

Anta att det \u00e4r n\u00e5got fel med h\u00e5rdvaran. Nu letar vi efter information om garanti, drifts\u00e4ttning och andra intressanta detaljer.<\/p>\n

<\/p>\n

N\u00e4r det kommer till WiFi, s\u00e5 rekommenderas det inte att anv\u00e4nda den vanliga WPA2-PSK-l\u00f6sningen hemma, d\u00e4r en nyckel anv\u00e4nds f\u00f6r alla enheter, i en f\u00f6retagsmilj\u00f6. F\u00f6r det f\u00f6rsta, att ha en gemensam nyckel f\u00f6r alla \u00e4r helt enkelt os\u00e4kert, och f\u00f6r det andra, n\u00e4r en anst\u00e4lld slutar, m\u00e5ste den gemensamma nyckeln \u00e4ndras och inst\u00e4llningarna m\u00e5ste g\u00f6ras om p\u00e5 alla enheter f\u00f6r alla anv\u00e4ndare. F\u00f6r att undvika s\u00e5dana problem finns det WPA2-Enterprise med individuell autentisering f\u00f6r varje anv\u00e4ndare. Men detta kr\u00e4ver en RADIUS-server \u2014 \u00e4nnu en infrastrukturkomponent som m\u00e5ste kontrolleras, s\u00e4kerhetskopieras osv.<\/p>\n

<\/p>\n

Observera att vi har anv\u00e4nt hj\u00e4lpmedel vid varje steg, vare sig det handlar om implementering eller drift. Detta inkluderar en b\u00e4rbar dator med extern Internetanslutning, ett \u00f6vervakningssystem, en referensdatabas f\u00f6r utrustning och RADIUS som autentiseringssystem. F\u00f6rutom n\u00e4tverksutrustningen m\u00e5ste vi \u00e4ven underh\u00e5lla externa tj\u00e4nster.<\/p>\n

<\/p>\n

I s\u00e5dana fall kan man h\u00f6ra r\u00e5det: \"L\u00e4gg det i molnet och slipp bekymmer.\" Det finns s\u00e4kert en molnbaserad Zabbix, kanske finns det en molnbaserad RADIUS, och till och med en molndatabas f\u00f6r att h\u00e5lla listan p\u00e5 enheter. Problemet \u00e4r att dessa inte beh\u00f6vs var och en f\u00f6r sig, utan i \"ett paket\". Och \u00e4nd\u00e5 kvarst\u00e5r fr\u00e5gor kring \u00e5tkomstorganisation, initial inst\u00e4llning av enheter, s\u00e4kerhet och mycket mer.<\/p>\n

<\/p>\n

Hur ser det ut n\u00e4r man anv\u00e4nder Nebula?<\/h2>\n

<\/p>\n

Sj\u00e4lvklart vet \"molnet\" ingenting om v\u00e5ra planer eller v\u00e5r k\u00f6pta utrustning fr\u00e5n b\u00f6rjan.<\/p>\n

<\/p>\n

F\u00f6rst skapas en organisationsprofil. Allts\u00e5, hela infrastrukturen: huvudkontor och filialer registreras i molnet fr\u00e5n b\u00f6rjan. Uppgifter anges, och konton skapas f\u00f6r delegating av befogenheter.<\/p>\n

<\/p>\n

Du kan registrera de anv\u00e4nda enheterna i molnet p\u00e5 tv\u00e5 s\u00e4tt: p\u00e5 det gamla s\u00e4ttet \u2014 genom att skriva in serienumret i webbformul\u00e4ret, eller genom att skanna en QR-kod med en mobiltelefon. Det enda du beh\u00f6ver f\u00f6r den andra metoden \u00e4r en smartphone med kamera och internet\u00e5tkomst, \u00e4ven via mobiloperat\u00f6r.<\/p>\n

<\/p>\n

Sj\u00e4lvklart tillhandah\u00e5ller Zyxel Nebula den n\u00f6dv\u00e4ndiga infrastrukturen f\u00f6r lagring av information, b\u00e5de kontoinformation och inst\u00e4llningar.<\/p>\n

<\/p>\n

\"Byggande
\nFigur 1. S\u00e4kerhetsrapport f\u00f6r Nebula Control Center.<\/em><\/p>\n

<\/p>\n

Vad h\u00e4nder med \u00e5tkomstinst\u00e4llningarna? \u00d6ppning av portar, vidarekoppling av trafik genom den inkommande gatewayen, allt som s\u00e4kerhetsadministrat\u00f6rer k\u00e4rleksfullt kallar f\u00f6r: \"att borra h\u00e5l\"? Lyckligtvis beh\u00f6ver du inte g\u00f6ra n\u00e5got av detta. Enheter som styrs av Nebula etablerar en utg\u00e5ende anslutning. Och administrat\u00f6ren kopplar inte upp sig mot en enskild enhet, utan mot molnet. Nebula fungerar som en mellanhand mellan de tv\u00e5 anslutningarna: enheten och n\u00e4tverksadministrat\u00f6rens dator. Detta betyder att steget d\u00e4r en kommande administrat\u00f6r m\u00e5ste kallas in kan minimeras eller helt utel\u00e4mnas. Ingen extra \"h\u00e5l\" p\u00e5 brandv\u00e4ggen.<\/p>\n

<\/p>\n

Och hur \u00e4r det med RADIUS-servern? Beh\u00f6ver vi inte n\u00e5gon centraliserad autentisering?<\/p>\n

<\/p>\n

Och denna funktion tar ocks\u00e5 Nebula hand om. Autentisering av konton f\u00f6r \u00e5tkomst till utrustning sker via en s\u00e4ker databas. Detta f\u00f6renklar mycket delegationen eller \u00e5terkallandet av r\u00e4ttigheter f\u00f6r systemhantering. Om r\u00e4ttigheter beh\u00f6ver \u00f6verf\u00f6ras \u2014 skapar vi en anv\u00e4ndare och tilldelar en roll. Om r\u00e4ttigheter beh\u00f6ver \u00e5terkallas \u2014 g\u00f6r vi tv\u00e4rtom.<\/p>\n

<\/p>\n

Det \u00e4r v\u00e4rt att n\u00e4mna WPA2-Enterprise, f\u00f6r vilket en separat autentiseringstj\u00e4nst beh\u00f6vs. Zyxel Nebula har en egen motsvarighet \u2014 DPPSK, som till\u00e5ter anv\u00e4ndning av WPA2-PSK med en individuell nyckel f\u00f6r varje anv\u00e4ndare.<\/p>\n

<\/p>\n

\"Obekv\u00e4ma\" fr\u00e5gor<\/h2>\n

<\/p>\n

Nedan f\u00f6rs\u00f6ker vi ge svar p\u00e5 de mest kluriga fr\u00e5gor som ofta st\u00e4lls n\u00e4r man g\u00e5r \u00f6ver till en molntj\u00e4nst.<\/p>\n

<\/p>\n

\u00c4r det verkligen s\u00e4kert?<\/h3>\n

<\/p>\n

Vid all delegering av kontroll och hantering spelar tv\u00e5 faktorer en viktig roll f\u00f6r att s\u00e4kerst\u00e4lla s\u00e4kerheten: anonymisering och kryptering.<\/p>\n

<\/p>\n

Anv\u00e4ndningen av kryptering f\u00f6r att skydda trafiken fr\u00e5n obeh\u00f6riga \u00e4r n\u00e5got som l\u00e4sarna \u00e4r mer eller mindre bekanta med.<\/p>\n

<\/p>\n

Anonymisering d\u00f6ljer information om \u00e4garen och k\u00e4llan f\u00f6r personalen hos molnleverant\u00f6ren. Personlig information tas bort och poster f\u00e5r ett \"anonymt\" identifieringsnummer. Varken utvecklaren av molnprogramvaran eller administrat\u00f6ren som underh\u00e5ller molnsystemet kan veta vem som st\u00e5r bakom beg\u00e4rningarna. \"Varifr\u00e5n kom detta? Vem skulle vara intresserad av det?\", s\u00e5dana fr\u00e5gor f\u00f6rblir obesvarade. Avsaknaden av data om \u00e4garen och k\u00e4llan g\u00f6r insiderinformation till en meningsl\u00f6s tids\u00f6dande aktivitet.<\/p>\n

<\/p>\n

Om man j\u00e4mf\u00f6r denna metod med den traditionella metoden f\u00f6r extern outsourcing eller anst\u00e4llning av en tillf\u00e4llig administrat\u00f6r - \u00e4r det uppenbart att molnteknologier \u00e4r mer s\u00e4kra. En tillf\u00e4llig IT-specialist vet tillr\u00e4ckligt mycket om den organisation han eller hon arbetar f\u00f6r och kan avsiktligt eller oavsiktligt orsaka betydande s\u00e4kerhetsproblem. Det \u00e5terst\u00e5r ocks\u00e5 att l\u00f6sa fr\u00e5gan om upps\u00e4gning eller avslutande av kontraktet. Ibland, f\u00f6rutom att blockera eller ta bort ett konto, leder detta till en global \u00e4ndring av l\u00f6senord f\u00f6r \u00e5tkomst till tj\u00e4nster, samt en granskning av alla resurser f\u00f6r att identifiera<\/p>\n

<\/p>\n

Hur mycket dyrare eller billigare \u00e4r Nebula j\u00e4mf\u00f6rt med en tillf\u00e4llig administrat\u00f6r?<\/h3>\n

<\/p>\n

Allt f\u00f6rst\u00e5s i j\u00e4mf\u00f6relse. Grundl\u00e4ggande funktioner i Nebula \u00e4r tillg\u00e4ngliga gratis. Vad kan vara billigare \u00e4n s\u00e5?<\/p>\n

<\/p>\n

Sj\u00e4lvklart kan man inte helt klara sig utan en n\u00e4tverksadministrat\u00f6r eller en person som ers\u00e4tter denne. Fr\u00e5gan handlar om antalet m\u00e4nniskor, deras specialisering och f\u00f6rdelning \u00f6ver platser.<\/p>\n

<\/p>\n

N\u00e4r det kommer till den betalda ut\u00f6kade tj\u00e4nsten \u00e4r det en felaktig och ensidig metod att st\u00e4lla fr\u00e5gan direkt: dyrare eller billigare? Det \u00e4r mer korrekt att j\u00e4mf\u00f6ra m\u00e5nga faktorer, allt fr\u00e5n l\u00f6ner f\u00f6r specifika specialister till kostnader f\u00f6r att s\u00e4kerst\u00e4lla deras interaktion med en extern organisation eller en fysisk person: kvalitetskontroll, dokumentation, uppr\u00e4tth\u00e5llande av s\u00e4kerhetsniv\u00e5er, och s\u00e5 vidare.<\/p>\n

<\/p>\n

Om vi talar om huruvida det l\u00f6nar sig eller inte att k\u00f6pa en betald tj\u00e4nstepaket (Pro-Pack), kan ett ungef\u00e4rligt svar vara s\u00e5 h\u00e4r: om organisationen \u00e4r liten, kan man klara sig med den grundl\u00e4ggande versionen, om organisationen v\u00e4xer s\u00e5 kan det vara v\u00e4rt att \u00f6verv\u00e4ga Pro-Pack. Skillnaderna mellan versionerna av Zyxel Nebula kan ses i tabell 1.<\/p>\n

<\/p>\n

Tabell 1. Skillnaderna mellan funktionspaketen f\u00f6r den grundl\u00e4ggande versionen och Pro-Pack-versionen av Nebula.<\/em><\/p>\n

<\/p>\n

\"Byggande<\/p>\n

<\/p>\n

Det handlar om ut\u00f6kade rapporter, anv\u00e4ndargranskning, kloning av konfigurationer och mycket annat.<\/p>\n

<\/p>\n

Vad g\u00e4ller trafikskyddet?<\/h3>\n

<\/p>\n

Nebula anv\u00e4nder protokollet NETCONF<\/a><\/noindex> f\u00f6r att s\u00e4kerst\u00e4lla s\u00e4kerheten vid arbete med n\u00e4tverksutrustning.<\/p>\n

<\/p>\n

NETCONF kan fungera \u00f6ver flera transportprotokoll:<\/p>\n

<\/p>\n