Sygnał 1. Przełączniki, których producent już nie wspiera
Sprzęt sieciowy potrafi pracować bardzo długo i to jest właśnie problem. Przełącznik kupiony osiem lat temu nadal przełącza ruch, nikt go nie rusza, więc nie trafia na żadną listę do wymiany.
Producenci prowadzą urządzenia przez kolejne etapy cyklu życia. Po ostatnim dniu wsparcia dla danego modelu nie ma już aktualizacji oprogramowania, poprawek bezpieczeństwa ani prawa do pomocy technicznej. Cisco opisuje to wprost w swojej polityce wycofywania produktów. Urządzenie nadal działa, tylko nikt na świecie nie ma już obowiązku niczego w nim naprawić.
W praktyce grozi to dwiema rzeczami. Awaria oznacza szukanie części na rynku wtórnym, a luka znaleziona w oprogramowaniu zostaje w sieci na stałe, bo poprawka już nie powstanie.
Pierwszy krok jest tani. Wystarczy spis urządzeń z modelami, wersjami oprogramowania i datami wsparcia. Dopiero na tej podstawie ustala się kolejność wymiany, zaczynając od rdzenia sieci, przez który przechodzi cały ruch. Pracujemy głównie na przełącznikach Cisco Catalyst i Nexus, więc taki spis czytamy razem z historią konkretnego modelu.
Sygnał 2. Jeden element, po którym staje cała firma
Jest prosty test. Wejdź do serwerowni i wskaż urządzenie, którego awaria zatrzyma pracę wszystkich. Jeżeli takie urządzenie istnieje, masz odpowiedź.
Zwykle jest to jeden przełącznik, do którego schodzą się wszystkie kable, jeden router na wyjściu do świata albo jedna szafa z jednym zasilaniem. Sieć zbudowana w ten sposób działa bardzo dobrze do dnia, w którym przestaje.
Czas naprawy takiej awarii to nie czas pracy administratora. To czas dostawy części, a przy starszym sprzęcie nikt go nie zna z góry. Firma stoi tyle, ile trwa dostawa.
Rozwiązanie nie wymaga przebudowy wszystkiego. Zaczyna się od zdublowania tego jednego miejsca, przez które idzie cały ruch, i od rozdzielenia zasilania. Rdzeń sieci da się też rozłożyć na dwie lokalizacje, tak żeby awaria jednej z nich nie zatrzymywała pracy. Robiliśmy tak rdzeń oparty na Cisco Catalyst i Nexus, spięty łączem światłowodowym między dwoma centrami danych.
Sygnał 3. Jedno łącze do internetu
Przez ostatnie lata coraz więcej firmowej pracy wyszło poza budynek. Poczta, dyski, systemy sprzedaży, terminale płatnicze i praca zdalna przechodzą dziś przez łącze do internetu. Bardzo często przez jedno.
To jedyny element infrastruktury, nad którym firma nie ma żadnej kontroli. Wystarczy koparka przy pracach drogowych albo awaria u operatora i nie ma czego naprawiać po swojej stronie. Zostaje czekanie.
Zapasowe łącze pomaga tylko wtedy, gdy jest naprawdę zapasowe. Dwa łącza od tego samego operatora, w tej samej wiązce i w tej samej studzience, to nadal jedno łącze. Sens ma drugi operator i inna droga fizyczna, a przy pracy w wielu lokalizacjach także rozsądne rozłożenie ruchu między łączami.
Techniczna strona jest dobrze opisana. Ruch można przełączać automatycznie routingiem BGP, spinać oddziały łączami MPLS albo prowadzić przez SD-WAN, które samo wybiera lepsze łącze i przenosi na nie ruch, gdy pierwsze przestaje odpowiadać. Wybór zależy od liczby lokalizacji i od tego, co ma działać bez przerwy.
Sygnał 4. Wi-Fi z dziurami w zasięgu
Objawy są zawsze podobne. Rozmowa rwie się w jednej sali, w magazynie jest miejsce, w którym skaner gubi połączenie, a ludzie chodzą z laptopem tam, gdzie działa lepiej.
Przyczyna zwykle nie leży w samych punktach dostępowych, tylko w tym, że nigdy nie było projektu. Punkty rozstawiono na wyczucie, potem dokładano kolejne w miarę skarg, kanały zaczęły nachodzić na siebie, a sieć dla gości poszła tą samą drogą co firmowa.
Dopóki chodzi o wygodę, da się z tym żyć. Problem robi się wtedy, gdy po Wi-Fi pracują skanery w magazynie, terminale albo telefonia. Dziura w zasięgu przestaje być wtedy niedogodnością i staje się przerwą w pracy, której nikt nie umie udowodnić, bo nie ma żadnego pomiaru.
Porządne Wi-Fi zaczyna się od pomiaru na miejscu i od projektu rozmieszczenia punktów, a nie od zakupu sprzętu. Osobna sieć dla gości jest przy tym pierwszą rzeczą do ustawienia. Pracujemy na urządzeniach Cisco i Ubiquiti. Cisco czy Ubiquiti? Decyduje obiekt i budżet.
Sygnał 5. „To działa, tylko trzeba czasem zrestartować”
Zdanie brzmi niewinnie i pada w wielu firmach. Jest w sieci urządzenie, które raz na kilka tygodni trzeba wyłączyć i włączyć, wszyscy się do tego przyzwyczaili, a ktoś nawet wie, o której godzinie najlepiej to zrobić.
Restart nie jest naprawą. Jest objawem tego, że czegoś w urządzeniu brakuje albo coś się kończy. Może to być pamięć, przepełniona tablica adresów, przegrzewający się zasilacz, pętla w sieci albo łącze, które w godzinach szczytu jest po prostu zapchane.
Najgorsze w tym objawie jest to, że nikt nie umie przewidzieć następnego razu. Urządzenie zrestartuje się samo w najmniej wygodnym momencie, bo przyczyna nigdy nie została nazwana.
Wyjaśnia to monitoring, ale nie ten, który tylko pokazuje, że urządzenie odpowiada. Potrzebna jest historia, czyli obciążenie, pamięć, temperatura, wysycenie łącza i logi z minut przed restartem. Prowadzimy monitoring sieci i serwerów z Elastic Stack, a obejmuje on dziś kilka tysięcy urządzeń, więc takie przypadki zwykle udaje się domknąć do konkretnej przyczyny.
Sygnał 6. Nikt nie wie, jak ta sieć jest zbudowana
Nie ma schematu. Nie ma spisu urządzeń. Nie ma zapisanej adresacji ani opisu, co jest w którym VLAN-ie. Konfiguracja została w głowie osoby, która odeszła dwa lata temu, a hasła ma jedna osoba w firmie.
To najtańszy do usunięcia sygnał z całej siódemki i jednocześnie ten, który kosztuje najwięcej przy pierwszej poważnej awarii. Pierwsze godziny idą wtedy nie na naprawę, tylko na ustalanie, co jest gdzie podłączone.
Brak dokumentacji utrudnia też każdą zmianę. Nowy przełącznik, nowy oddział albo nowy system wchodzą wtedy metodą prób, bo nikt nie potrafi z góry powiedzieć, co się przy tym zepsuje. Zmiana firmy obsługującej sieć zamienia się w takim układzie w karę.
Robi się z tym rzecz nudną i skuteczną. Inwentaryzacja urządzeń, schemat fizyczny i logiczny, opis adresacji i segmentów, kopie konfiguracji trzymane poza urządzeniami oraz dostęp do tego wszystkiego dla więcej niż jednej osoby. Nic z tego nie wymaga wymiany sprzętu.
Sygnał 7. Wszystko w jednej sieci, bez podziału
W jednej sieci pracują laptopy, serwery, drukarki, kamery, kasy, sprzęt produkcyjny i Wi-Fi dla gości. Każde z tych urządzeń może połączyć się z każdym innym, bo nikt tego nigdy nie ograniczył.
Skutek widać dopiero przy incydencie. Jeden zainfekowany laptop ma wtedy otwartą drogę do serwera z bazą danych. Amerykańskie CISA i NSA piszą wprost, że tam, gdzie bezpieczeństwo opiera się na ochronie brzegu sieci, po zalogowaniu prawie nic już nie ogranicza ruchu. Dzielenie sieci zalecają właśnie po to, żeby ograniczyć zasięg napastnika.
Sam podział na segmenty tego nie rozwiązuje. Częsty błąd polega na tym, że VLAN-y są, a między nimi nie ma żadnych reguł, więc ruch dalej chodzi wszędzie. Segment ma sens dopiero razem z regułą na firewallu, która mówi, co wolno, a resztę odrzuca.
Zaczyna się od rzeczy najprostszych i najbardziej opłacalnych. Sieć dla gości osobno, serwery osobno od stacji roboczych, sprzęt produkcyjny i kamery osobno od wszystkiego. Dopiero potem warto rozmawiać o dokładniejszym podziale.
Ile sygnałów to już za dużo
Jeden sygnał to zadanie do zrobienia. Trzy albo więcej to sieć, która zatrzyma firmę w najmniej wygodnym momencie, a nikt nie będzie w stanie powiedzieć, kiedy to nastąpi.
Dobra wiadomość jest taka, że modernizacji nie robi się jednym cięciem. Kolejność zwykle wygląda tak: najpierw inwentaryzacja i schemat, bo bez nich każdy kolejny krok jest zgadywaniem, potem usunięcie jednego punktu, po którym staje wszystko, potem wymiana sprzętu bez wsparcia, a na końcu podział sieci na segmenty.
Każdy z tych etapów to osobne, krótkie okno serwisowe, zwykle wieczorem albo w weekend. Firma pracuje przez cały czas, a po każdym etapie coś realnie się poprawia, więc nie trzeba czekać na koniec całego projektu.
Po modernizacji zostaje utrzymanie, bo sieć bez opieki wraca do tego samego stanu w ciągu kilku lat. Zakres wsparcia, w tym dyżur całodobowy, ustalamy w umowie. Jeżeli chcesz zacząć od przejrzenia tych siedmiu punktów u siebie, zadzwoń pod +48 662 036 615 albo napisz na [email protected].