Sieci i łączność w przedsiębiorstwie

Dobre Wi-Fi się projektuje, a nie kupuje.

• Przełączniki i Wi-Fi Cisco Catalyst albo Aruba - dobrane do budynku i do zespołu, który będzie to prowadził. Przy większych sieciach wdrażamy kontroler - jedno urządzenie sterujące wszystkimi punktami dostępowymi. Tam, gdzie byłby przesadą, obchodzimy się bez niego.
• Dell PowerSwitch z serii N i starsze PowerConnect - serię N konfigurujemy jak każdy sprzęt klasy enterprise. PowerConnect jest poza wsparciem producenta. Jeśli już stoi w budynku, sprawdzamy wersję oprogramowania, znane luki i rolę, jaką pełni w sieci. Potem konfigurujemy go, zabezpieczamy, dzielimy sieć na strefy i wpisujemy go do planu wymiany. Wymieniamy, gdy przerosną go wymagania albo ryzyko stanie się nie do przyjęcia.
• Najpierw pomiar - zanim ustalimy liczbę i rozmieszczenie punktów dostępowych, mierzymy budynek narzędziem Ekahau, a po instalacji dostrajamy moc i kanały do tego, jak ten budynek zachowuje się naprawdę.

Podawanie liczby punktów dostępowych bez pomiaru budynku jest zgadywaniem, a zgadywanie kosztuje albo zasięg, albo pieniądze.

Sprzęt na tę skalę ma w ofercie każdy producent; o wyniku decyduje to, kto go potem poprowadzi.

• Ubiquiti UniFi - solidne Wi-Fi i proste zarządzanie na co dzień, dla jednego budynku bez działu IT i bez serwerowni. Wykonane zgodnie ze sztuką: kontroler skonfigurowany, sieć podzielona na strefy, roaming między punktami dostępowymi przetestowany.
• Przełączniki Cisco dla małych firm i routery z serii ISR 1000 - w routerach ten sam IOS-XE co w dużych urządzeniach, w przełącznikach prostsze oprogramowanie, ale ogłoszony cykl życia i prosta ścieżka rozbudowy do większych Catalystów. Wybór dla małego obiektu, który potrzebuje funkcji klasy enterprise.
• Routery MikroTik klasy hAP - gdy RouterOS pokrywa wszystko, czego obiekt potrzebuje, a budżet waży więcej niż logo producenta.
• Kompaktowy FortiGate - firewall, który sprawdza, co jest w ruchu, a nie tylko skąd i dokąd idzie; na styku z internetem, dla małego biura, które ma co chronić.
• Prowadzimy to za Ciebie - brak własnego działu IT nie znaczy, że nikt nie patrzy: monitoring, aktualizacje i zmiany w ramach umowy wsparcia, żeby mała sieć dostała tę samą opiekę co duża.

Sprzęt na małe obiekty jest zbudowany na małe obiekty. Jeśli firma potrzebuje złożonego routingu, szczegółowych zapisów do audytu albo rozdzielenia ruchu także między lokalizacjami, potrzebuje sprzętu o klasę wyżej - nawet jeśli sama jest mała.

• Cisco Nexus, ewentualnie Arista - nowoczesne topologie leaf-spine (EVPN/VXLAN), w których każdy serwer jest tak samo blisko każdego innego, zarządzane kodem od pierwszego dnia.
• Nowy albo poleasingowy - fabrycznie nowy, gdy wymaga tego projekt albo warunki wsparcia producenta; sprawdzony poleasingowy, gdy daje tę samą sieć za ułamek ceny katalogowej.

Jeśli dwa dobrze dobrane przełączniki spełniają wymagania z zapasem, żadna topologia leaf-spine nie jest Ci potrzebna. Powiemy to wprost.

Cel jest prosty: gdy ktoś włamie się na jedno urządzenie, szkoda ma się na nim skończyć. Jak daleko się posuwamy, zależy od tego, co jest do stracenia:

• Strefy i VLAN-y - punkt wyjścia: pracownicy, goście, sprzęt do zarządzania siecią i urządzenia takie jak drukarki czy kamery od początku w osobnych strefach.
• Podział na VRF-y - działy albo systemy, które nigdy nie mogą się mieszać, dostają na wspólnym sprzęcie osobne, niepołączone sieci, z kontrolowanym przejściem tylko tam, gdzie jest potrzebne.
• Dostęp oparty na tożsamości (AAA) - użytkownicy i urządzenia uwierzytelniają się, zanim wejdą do sieci, a logowania administracyjne do samego sprzętu są centralnie kontrolowane i zapisywane (802.1X, RADIUS, TACACS+).
• Mikrosegmentacja - izolacja aż do pojedynczych systemów, dla tych rzadkich przypadków, które ją uzasadniają. Większość firm nie potrzebuje jeszcze tego poziomu - i usłyszysz to od nas.
• Styk z internetem - gdy wystarczy prosty firewall, FortiGate robi to dobrze; gdy zabezpieczenia i prowadzenie ruchu zależą od siebie nawzajem, trzymamy jedno i drugie na Cisco, żeby odpowiadał za to jeden producent.
• Urządzenia w budynku (IoT) - czujniki, sterowniki i instalacje budynkowe dostają własne, zamknięte segmenty. Nie zajmujemy się automatyką przemysłową (PLC/SCADA) i mówimy to od razu.

Licencja na firewall to nie jest projekt segmentacji. Jeśli nikt nie rozrysował, co ma być oddzielone od czego, sprzęt nie zrobi tego za Ciebie.

• Tunele VPN - między lokalizacjami i dla pracy zdalnej, na IPsec, WireGuard albo SSL - dobierane według przepustowości, możliwości sprzętu po obu stronach i tego, kto będzie to potem prowadził.
• Rozdział ruchu także poza budynkiem - gdy działy albo systemy mają zostać odizolowane na całej trasie, każdy dostaje własną drogę również na łączu między lokalizacjami, więc podział zaprojektowany w jednym budynku trzyma się we wszystkich.

Zdalny dostęp, który utrudnia pracę, ludzie obchodzą, a obejście kończy się naruszeniem bezpieczeństwa. Cokolwiek zbudujemy, musi być na tyle wygodne, żeby ludzie naprawdę tego używali.

Zaskakująco duża część problemów z siecią zaczyna się w okablowaniu, w szafie albo w zasilaniu - dlatego robimy to sami.

• Miedź i światłowód - planujemy trasy, układamy kable, montujemy końcówki i mierzymy każdy tor; światłowody spawamy, a zmierzone tłumienie - ile sygnału ubywa na trasie - trafia do dokumentacji powykonawczej.
• Szafy i zasilanie - montaż, uziemienie i prowadzenie kabli wykonane zgodnie ze sztuką; moc UPS-ów i listew PDU planujemy z elektrykiem, który odpowiada za instalację w budynku.
• Wszystkie urządzenia, nie tylko sieciowe - drukarki, kamery z rejestratorami, zasilacze awaryjne: skonfigurowane, opisane i udokumentowane razem z resztą.

Gdy oferta traktuje okablowanie jako cudzy problem, ten problem zwykle spada na Ciebie.

To dla firm, w których cała sieć siedzi dziś w głowie jednej osoby.

• Konfiguracja w Gicie - ustawienia całej sieci leżą w repozytorium, a każda zmiana jest przejrzana, automatycznie przetestowana przed wdrożeniem i ma przećwiczoną drogę powrotu, gdyby coś poszło nie tak.
• Żadnych haseł w plikach tekstowych - hasła i klucze trzymamy w sejfie i regularnie zmieniamy, a procedury są spisane.

Automatyzowanie nieudokumentowanej sieci automatyzuje bałagan. Najpierw dokumentacja.