Anzeichen 1. Switches, die der Hersteller nicht mehr unterstützt
Netzwerkhardware kann sehr lange funktionieren, und genau darin liegt das Problem. Ein vor acht Jahren gekaufter Switch leitet den Datenverkehr noch immer weiter. Da niemand Änderungen daran vornimmt, erscheint er auf keiner Austauschliste.
Hersteller führen ihre Geräte durch die aufeinanderfolgenden Phasen eines Produktlebenszyklus. Nach dem Supportende für ein bestimmtes Modell gibt es keine Software-Updates, keine Sicherheitspatches und keinen Anspruch auf technischen Support mehr. Cisco beschreibt das ausdrücklich in seiner End-of-Life-Richtlinie. Das Gerät funktioniert weiter. Weltweit ist jedoch niemand mehr verpflichtet, Fehler daran zu beheben.
In der Praxis entstehen daraus zwei Risiken. Bei einem Ausfall müssen Ersatzteile auf dem Gebrauchtmarkt gesucht werden. Eine in der Software entdeckte Schwachstelle bleibt dauerhaft im Netzwerk, weil dafür kein Patch mehr erscheint.
Der erste Schritt kostet wenig. Es genügt eine Bestandsaufnahme der Geräte mit Modellbezeichnungen, Softwareversionen und Daten zum Supportende. Erst auf dieser Grundlage wird die Reihenfolge des Austauschs festgelegt, beginnend beim Netzwerkkern, durch den der gesamte Datenverkehr läuft. Wir arbeiten hauptsächlich mit Switches der Serien Cisco Catalyst und Nexus. Deshalb lesen wir eine solche Bestandsaufnahme immer zusammen mit dem Lebenszyklus des jeweiligen Modells.
Anzeichen 2. Ein Gerät, dessen Ausfall das ganze Unternehmen lahmlegt
Dafür gibt es einen einfachen Test. Gehen Sie in den Serverraum und zeigen Sie auf das Gerät, dessen Ausfall den gesamten Betrieb stoppen würde. Wenn es ein solches Gerät gibt, kennen Sie die Antwort.
Meist ist es ein einzelner Switch, an dem alle Kabel zusammenlaufen, ein einzelner Router als Verbindung nach außen oder ein einzelner Netzwerkschrank mit nur einer Stromzufuhr. Ein so aufgebautes Netzwerk funktioniert sehr gut, bis zu dem Tag, an dem es ausfällt.
Die Reparaturzeit bei einem solchen Ausfall entspricht nicht der Arbeitszeit eines Administrators. Entscheidend ist die Lieferzeit des Ersatzteils, und bei älterer Hardware kennt sie niemand im Voraus. Der Betrieb steht so lange still, wie die Lieferung dauert.
Die Lösung setzt auf gezielte Änderungen statt auf einen vollständigen Umbau. Zuerst wird der zentrale Punkt, durch den der gesamte Datenverkehr läuft, redundant ausgelegt. Außerdem wird die Stromversorgung auf getrennte Zuleitungen verteilt. Der Netzwerkkern lässt sich auch auf zwei Standorte verteilen. Fällt einer davon aus, läuft der Betrieb über den anderen weiter. Einen solchen Netzwerkkern haben wir mit Switches der Serien Cisco Catalyst und Nexus aufgebaut und die beiden Rechenzentren über eine Glasfaserverbindung gekoppelt.
Anzeichen 3. Eine einzige Internetanbindung
In den vergangenen Jahren hat sich immer mehr Arbeit aus dem Firmengebäude hinaus verlagert. E-Mail, Dateispeicher, Vertriebssysteme, Zahlungsterminals und Remote-Arbeit laufen heute über die Internetanbindung. Sehr oft über eine einzige.
Es ist der einzige Teil der Infrastruktur, über den das Unternehmen keinerlei Kontrolle hat. Ein Bagger bei Straßenarbeiten oder eine Störung beim Netzbetreiber genügt. Auf der eigenen Seite gibt es dann nichts zu reparieren. Es bleibt nur das Warten.
Eine Backup-Leitung hilft nur dann, wenn sie tatsächlich unabhängig geführt ist. Zwei Anschlüsse desselben Netzbetreibers, im selben Kabelbündel und durch denselben Kabelschacht geführt, bleiben eine einzige Leitung. Sinnvoll sind ein zweiter Netzbetreiber und eine getrennte Trasse. Bei mehreren Standorten gehört außerdem eine durchdachte Verteilung des Datenverkehrs auf die Leitungen dazu.
Die technische Umsetzung ist gut dokumentiert. Der Datenverkehr lässt sich mit BGP-Routing automatisch umschalten. Standorte können über MPLS-Verbindungen gekoppelt werden. Alternativ kann der Datenverkehr über SD-WAN laufen, das selbst die bessere Leitung wählt und den Datenverkehr dorthin verlagert, sobald die erste nicht mehr antwortet. Die Wahl hängt von der Zahl der Standorte und davon ab, was ohne Unterbrechung verfügbar bleiben muss.
Anzeichen 4. WLAN mit Funklöchern
Die Symptome sind immer ähnlich. In einem Besprechungsraum brechen Gespräche ab, im Lager gibt es eine Stelle, an der der Scanner die Verbindung verliert, und die Mitarbeitenden tragen ihre Laptops dorthin, wo die Verbindung besser funktioniert.
Die Ursache liegt meist nicht bei den Access Points selbst, sondern darin, dass es nie eine WLAN-Planung gab. Die Access Points wurden nach Gefühl platziert, später kamen nach Beschwerden weitere hinzu, die Kanäle begannen sich zu überschneiden und das Gastnetz nahm denselben Weg wie das Firmennetz.
Solange es nur um Komfort geht, kann man damit leben. Problematisch wird es, wenn Scanner im Lager, Terminals oder die Telefonie über dieses WLAN laufen. Ein Funkloch ist dann nicht länger nur lästig. Es führt zu einer Arbeitsunterbrechung, die niemand belegen kann, weil keine Messdaten vorliegen.
Ein solides Firmen-WLAN beginnt mit einer Ausleuchtung vor Ort und einer Planung der Access-Point-Positionen, nicht mit dem Kauf von Hardware. Ein separates Gastnetz steht dabei an erster Stelle. Wir arbeiten mit Geräten von Cisco und Ubiquiti. Cisco oder Ubiquiti? Das Gebäude und das Budget entscheiden.
Anzeichen 5. „Es funktioniert, man muss es nur manchmal neu starten“
Der Satz klingt harmlos und fällt in vielen Unternehmen. Im Netzwerk gibt es ein Gerät, das alle paar Wochen aus und wieder eingeschaltet werden muss. Alle haben sich daran gewöhnt, und jemand weiß sogar, zu welcher Uhrzeit das am besten geschieht.
Ein Neustart ist keine Reparatur. Er ist ein Zeichen dafür, dass dem Gerät etwas fehlt oder eine Ressource zur Neige geht. Das kann der Arbeitsspeicher sein, eine volle Adresstabelle, ein überhitzendes Netzteil, eine Netzwerkschleife oder eine Leitung, die zu Spitzenzeiten schlicht überlastet ist.
Das Schlimmste an diesem Symptom ist, dass niemand vorhersagen kann, wann es wieder passiert. Das Gerät startet im ungünstigsten Moment von selbst neu, weil die Ursache nie ermittelt wurde.
Das lässt sich durch Monitoring klären, aber nicht durch ein Monitoring, das nur anzeigt, ob ein Gerät antwortet. Entscheidend ist der Verlauf mit Auslastung, Speicherbelegung, Temperatur, Verbindungsauslastung und den Protokollen aus den Minuten vor dem Neustart. Wir betreiben Netzwerk- und Server-Monitoring mit dem Elastic Stack. Es umfasst heute mehrere Tausend Geräte. Deshalb lassen sich solche Fälle meist auf eine konkrete Ursache zurückführen.
Anzeichen 6. Niemand weiß, wie dieses Netzwerk aufgebaut ist
Es gibt keinen Netzwerkplan. Es gibt kein Geräteverzeichnis. Die Adressierung ist nicht dokumentiert, und es gibt keine Beschreibung dazu, was sich in welchem VLAN befindet. Die Konfiguration existiert nur noch im Kopf einer Person, die das Unternehmen vor zwei Jahren verlassen hat, und nur eine Person im Unternehmen verfügt über die Passwörter.
Von allen sieben Anzeichen lässt sich dieses am kostengünstigsten beseitigen. Gleichzeitig verursacht es beim ersten ernsthaften Ausfall die höchsten Kosten. In den ersten Stunden geht es dann nicht um die Reparatur, sondern darum herauszufinden, was wo angeschlossen ist.
Fehlende Dokumentation erschwert außerdem jede Änderung. Ein neuer Switch, ein neuer Standort oder ein neues System wird dann nach dem Prinzip Versuch und Irrtum eingebunden, weil niemand im Voraus sagen kann, was dadurch ausfällt. Unter diesen Bedingungen wird der Wechsel des Netzwerkdienstleisters zur Strafe.
Die Lösung ist unspektakulär und wirksam: eine Inventarisierung der Geräte, ein physischer und ein logischer Netzwerkplan, eine Beschreibung der Adressierung und der Segmente, außerhalb der Geräte gespeicherte Konfigurationssicherungen sowie Zugriff auf all diese Unterlagen für mehr als eine Person. Dafür muss keine Hardware ersetzt werden.
Anzeichen 7. Alles in einem Netzwerk, ohne Trennung
Laptops, Server, Drucker, Kameras, Kassensysteme, Produktionsanlagen und das Gast-WLAN befinden sich im selben Netzwerk. Jedes dieser Geräte kann sich mit jedem anderen verbinden, weil dies nie eingeschränkt wurde.
Die Folgen zeigen sich erst bei einem Vorfall. Ein einziger infizierter Laptop hat dann einen ungehinderten Weg zum Datenbankserver. Die US-Behörden CISA und NSA schreiben ausdrücklich, dass dort, wo Sicherheit auf dem Schutz des Netzwerkperimeters beruht, nach einer Anmeldung nahezu nichts mehr den Datenverkehr einschränkt. Genau deshalb empfehlen sie die Netzwerksegmentierung, um den Bewegungsradius eines Angreifers zu begrenzen.
Die Segmentierung allein löst das Problem nicht. Ein häufiger Fehler besteht darin, dass VLANs vorhanden sind, zwischen ihnen aber keine Regeln gelten. Dadurch kann der Datenverkehr weiterhin überallhin fließen. Ein Segment ist erst zusammen mit einer Firewall-Regel sinnvoll, die festlegt, was erlaubt ist, und alles andere verwirft.
Am Anfang stehen die einfachsten und sinnvollsten Maßnahmen. Gäste erhalten ein eigenes Netzwerk, Server werden von Arbeitsplätzen getrennt, Produktionsanlagen und Kameras vom übrigen Netzwerk. Erst danach lohnt es sich, über eine feinere Segmentierung zu sprechen.
Wie viele Anzeichen sind zu viele?
Ein Anzeichen ist eine Aufgabe, die erledigt werden muss. Drei oder mehr bedeuten ein Netzwerk, das Ihr Unternehmen im ungünstigsten Moment zum Stillstand bringen wird. Wann das geschieht, kann niemand sagen.
Die gute Nachricht ist, dass eine Modernisierung nicht in einem einzigen Schritt erfolgt. Die übliche Reihenfolge ist folgende: zuerst Bestandsaufnahme und Netzwerkplan, denn ohne sie beruht jeder weitere Schritt auf Vermutungen. Danach wird der Single Point of Failure beseitigt, der alles zum Stillstand bringt, dann wird Hardware ohne Support ersetzt und zum Schluss das Netzwerk segmentiert.
Jede dieser Etappen findet in einem eigenen kurzen Wartungsfenster statt, meist am Abend oder am Wochenende. Das Unternehmen arbeitet währenddessen weiter. Nach jeder Etappe gibt es eine konkrete Verbesserung, sodass niemand bis zum Abschluss des gesamten Projekts warten muss.
Nach der Modernisierung folgt der laufende Betrieb, denn ein Netzwerk ohne Betreuung kehrt innerhalb weniger Jahre in denselben Zustand zurück. Den Umfang der Unterstützung, einschließlich einer 24/7-Rufbereitschaft, legen wir im Vertrag fest. Wenn Sie zunächst diese sieben Punkte in Ihrem Unternehmen durchgehen möchten, rufen Sie uns unter +48 662 036 615 an oder schreiben Sie an [email protected].