Zdalne zarządzanie siecią firmową sprawia, że nie trzeba być na miejscu, żeby zobaczyć, co się w niej dzieje. Ten artykuł wyjaśnia, czym różni się panel w chmurze od połączenia VPN, co realnie widać zdalnie, a czego nie, kto powinien mieć takie uprawnienia i dlaczego to jest fundament obsługi wielu lokalizacji.
Po co w ogóle zdalne zarządzanie siecią firmową
Odpowiedź „żeby nie jeździć” jest prawdziwa, ale niepełna, ponieważ zdalne zarządzanie zmienia coś istotniejszego niż logistyka.
Bez niego jedynym źródłem informacji o stanie sieci pozostaje zgłoszenie od użytkownika: ktoś dzwoni, że nie działa, i dopiero wtedy zaczyna się szukanie, prowadzone po fakcie, na podstawie czyjejś relacji, a często już po tym, jak problem sam minął.
Zdalny dostęp odwraca tę kolejność. Widać, że punkt dostępowy restartował się pięć razy w nocy, zanim ktokolwiek zgłosi, że rano nie było zasięgu, i widać port pracujący na niższej prędkości, niż powinien, choć nikt jeszcze tego nie odczuł.
Na tym polega różnica między reagowaniem a utrzymywaniem i to ona przesądza, czy stała opieka nad siecią ma w ogóle sens.
Dwie drogi: panel w chmurze i VPN
Zdalny dostęp realizuje się na dwa sposoby, które rozwiązują nieco inne problemy.
Panel w chmurze
Urządzenia w sieci firmy łączą się z panelem producenta i to właśnie panel staje się miejscem, z którego się nimi zarządza. Zyxel prowadzi to w modelu chmurowym przez Nebula Control Center, inni producenci mają własne odpowiedniki.
Zaletą jest to, że nie trzeba niczego otwierać na brzegu sieci, ponieważ połączenie nawiązują same urządzenia, wychodząc na zewnątrz. Dostęp działa z przeglądarki, wiele lokalizacji widać w jednym miejscu, a historia zdarzeń zapisywana poza obiektem przetrwa awarię na miejscu.
Ograniczeniem pozostaje zależność od dostępności usługi producenta oraz od łącza, a zakres funkcji bywa powiązany z planem licencyjnym. Dla części firm osobnym pytaniem jest również to, że dane o sieci przechodzą przez infrastrukturę producenta.
Warto tu znać jedną rzecz o modelu licencyjnym, bo w rozmowach handlowych bywa upraszczana. Podstawowy plan Base Pack jest bezpłatny i obejmuje między innymi wdrożenie bezdotykowe, panel obiektu, zarządzanie firmware w obrębie obiektu, alerty oraz narzędzia diagnostyczne, ma jednak ograniczenia operacyjne, o których łatwo zapomnieć: retencja logów wynosi jeden dzień, a liczbę administratorów organizacji ograniczono do pięciu. Plany Plus i Pro wydłużają retencję odpowiednio do siedmiu dni i roku oraz podnoszą limity, ale są licencjonowane na urządzenie i wymagają, żeby wszystkie urządzenia w organizacji miały ten sam typ licencji.
Jednodniowa retencja logów ma konkretną konsekwencję praktyczną: incydent zgłoszony w poniedziałek rano, a wydarzony w piątek wieczorem, nie zostawi już po sobie żadnego śladu.
VPN
Firma stawia własny szyfrowany tunel do swojej sieci, a osoba uprawniona łączy się z nim i pracuje tak, jakby była na miejscu.
Przewagą jest pełna kontrola, ponieważ nic nie przechodzi przez infrastrukturę producenta, rozwiązanie działa niezależnie od tego, czy urządzenia mają wsparcie chmurowe, i daje dostęp nie tylko do sieci, ale też do pozostałych zasobów firmy.
Wadą jest konieczność skonfigurowania i utrzymywania tego mechanizmu oraz posiadania urządzenia brzegowego, które go obsługuje. Trzeba też pamiętać, że jeśli padnie łącze albo sam brzeg sieci, VPN przestaje działać razem z nimi, więc akurat w diagnozie tej awarii nie pomoże.
Czego nie robić
Istnieje jeszcze trzecia droga, którą warto wykluczyć od razu: wystawianie panelu zarządzania urządzeniem bezpośrednio do internetu przez przekierowanie portu.
Rozwiązanie to bywa stosowane, ponieważ jest najprostsze, i jednocześnie jest najgorsze z możliwych, gdyż panel administracyjny staje się wtedy dostępny dla każdego, kto trafi na ten adres i port, a skanowanie internetu w poszukiwaniu takich paneli prowadzi się w sposób zautomatyzowany i nieprzerwany.
Jeżeli ktoś proponuje to jako sposób na zdalny dostęp, warto potraktować to jako sygnał ostrzegawczy dotyczący całej reszty oferty.
Co realnie widać zdalnie
Zdalny dostęp nie jest wszechwidzący i warto wiedzieć, gdzie przebiega jego granica.
Widać stan urządzeń, czyli to, czy działają, czy się restartowały i jaką mają wersję oprogramowania, a także stan portów: czy jest link, na jakiej prędkości pracują i czy rosną na nich błędy. Widać klientów w sieci wraz z generowanym przez nich ruchem, warunki radiowe z perspektywy punktów dostępowych, zdarzenia i alerty w zakresie zależnym od retencji logów oraz zużycie budżetu mocy na przełączniku.
Nie widać natomiast, czy kabel jest fizycznie uszkodzony, poza tym, co da się wywnioskować z objawów na porcie, ani tego, co dzieje się w pomieszczeniu: czy ktoś przestawił punkt dostępowy albo czy nowe regały zasłoniły sygnał. Nie widać też jakości połączenia z perspektywy urządzenia użytkownika stojącego w konkretnym miejscu.
Osobno trzeba wymienić urządzenia niebędące częścią zarządzanej platformy, bo to najczęstsze źródło złudzenia. Panel pokazuje wyłącznie to, co do niego należy, więc stary przełącznik niezarządzalny, wpięty kiedyś w szafie i zapomniany, pozostaje dla niego niewidzialny, potrafiąc jednocześnie być przyczyną problemu.
Kto powinien mieć dostęp
Zdalny dostęp administracyjny to najwyższe uprawnienie w sieci, więc warto stosować kilka zasad.
Konta powinny być imienne, a nie wspólne, ponieważ bez tego nie sposób ustalić, kto co zmienił. Każde konto z uprawnieniami administracyjnymi powinno być chronione uwierzytelnianiem wieloskładnikowym. Warto też rozdzielić poziomy uprawnień, bo nie każdy potrzebuje pełnej administracji, a podgląd bez prawa zmiany wystarcza w wielu sytuacjach.
Najważniejsza zasada dotyczy własności: to firma jest właścicielem organizacji w panelu, a dostawca ma w niej konto, nie odwrotnie. Do tego dochodzi przegląd kont przy każdej zmianie, obejmujący odejście pracownika i zakończenie współpracy z wykonawcą, oraz dziennik zmian, o ile plan licencyjny go przewiduje.
Zasada własności przesądza o tym, co stanie się przy zmianie dostawcy, ponieważ jeżeli organizacja w panelu należy do wykonawcy, firma nie odzyskuje sieci, tylko o nią prosi. Rozwijamy to w artykule o zmianie firmy IT i przejęciu administracji.
Wiele lokalizacji zmienia rachunek
Przy jednym biurze zdalne zarządzanie jest wygodą, natomiast przy trzecim obiekcie przestaje nią być.
Bez wspólnego panelu każda lokalizacja stanowi osobną wyspę z własną konfiguracją, własnymi hasłami i własną historią, przez co wprowadzenie tej samej zmiany w pięciu obiektach oznacza pięciokrotnie tę samą pracę i pięć okazji do pomyłki.
Producenci odpowiadają na to funkcjami działającymi ponad pojedynczym obiektem. Zyxel udostępnia w Nebula Control Center osobną licencję MSP Pack, przypisaną do konta administratora i obejmującą zarządzanie między organizacjami, przeznaczoną dokładnie do sytuacji, w której jeden zespół opiekuje się środowiskami wielu klientów lub wielu spółek, przy czym używa się jej łącznie z licencjami organizacyjnymi.
Dla firmy z wieloma oddziałami znaczenie ma również to, że plan Pro obejmuje zarządzanie konfiguracją w obrębie organizacji, z synchronizacją, replikacją i szablonami, co stanowi różnicę między „skonfigurujmy piąty oddział” a „zastosujmy szablon”.
Kiedy to nie jest priorytet
Nie każda firma potrzebuje tego od razu, więc powiedzmy uczciwie, kiedy można odłożyć ten temat: gdy chodzi o jedno małe biuro bez systemów krytycznych, w którym nikt nie zgłasza problemów, gdy ktoś na miejscu potrafi i chce się tym zajmować, albo gdy budżet jest ograniczony, a pilniejsze pozostają kopie zapasowe lub ochrona komputerów.
W takiej sytuacji zdalne zarządzanie warto zaplanować przy najbliższej wymianie sprzętu, zamiast robić z niego osobny projekt, dzięki czemu nie staje się ono dodatkowym kosztem, tylko kryterium wyboru urządzeń.
Panel bez obserwatora nic nie daje
To najważniejsze zdanie tego artykułu.
Zdalne zarządzanie samo w sobie niczego nie naprawia, ponieważ jedynie pokazuje stan, a ktoś musi na ten stan patrzeć, rozumieć, co widzi, i reagować, zanim objaw dotrze do użytkowników.
Firmy kupują zarządzalny sprzęt, konfigurują panel, po czym po trzech miesiącach nikt do niego nie zagląda, a alerty przychodzą na skrzynkę, której nikt nie czyta. Sieć jest wtedy zarządzana formalnie, choć faktycznie nie jest.
Dlatego pytanie „kto będzie na to patrzył” warto zadać przed zakupem, a nie po nim.
U nas jest to dokładnie ten mechanizm, dzięki któremu obsługa zdalna w całej Polsce staje się możliwa: monitorujemy stan urządzeń i łączy, reagujemy na alerty, prowadzimy aktualizacje w uzgodnionych oknach serwisowych i wprowadzamy zmiany konfiguracji bez wizyty na miejscu, a zakres i czasy reakcji zapisujemy w umowie. To, jak dzielimy pracę zdalną od tej wymagającej obecności, opisujemy w artykule o zdalnej i on-site obsłudze IT.
W sieciach firmowych jesteśmy Partnerem Zyxel Networks i wdrażamy również Ubiquiti UniFi.
Zakres stałej obsługi opisujemy na stronie opieki IT, a wdrożenia i modernizacje na stronie sieci firmowych.
Umów bezpłatny przegląd IT i sprawdźmy, co widać w Twojej sieci, a czego nie.