Într–o eră digitală în continuă expansiune, amenințările informatice devin tot mai sofisticate și răspândite, subminând securitatea informațiilor personale și a organizațiilor. De la malware și atacuri de tip ransomware până la breșe de date, provocările cu care ne confruntăm sunt diverse și imprevizibile. În acest context, backup–ul se conturează ca ultima linie de apărare esențială, protejând datele împotriva pierderilor accidentale și atacurilor cibernetice, asigurându–se că informațiile critice pot fi recuperate rapid și eficient. Recent, adoptarea Directivei NIS2 (Network and Information Systems Directive) și a regulamentului DORA (Digital Operational Resilience Act) subliniază importanța unei infrastructuri de securitate robuste, care să includă măsuri adecvate de backup. Aceste reglementări pun accent pe necesitatea de a proteja sistemele și datele împotriva incidentelor cibernetice și de a garanta continuitatea activităților în fața diverselor amenințări.



Implementarea unei soluții de backup nu garantează întotdeauna îndeplinirea scopului ei. Pentru aceasta, voi evidenția anumiți factori care pot influența o implementare de succes.



Primul pas care ar trebui făcut este definirea clară a design–ului implementării soluției, prin care se identifică resursele disponibile, se stabilesc cerințele, constrângerile și se elimină presupunerile. Se identifică infrastructura care va fi protejată:



<ul class="wp-block-list">
<li>Centrele de date (locațiile fizice)</li>



<li>Infrastructura virtuală (vSphere, Hyper–V, AHV, RHV, etc.)</li>



<li>Mașinile fizice</li>



<li>Mașinile din cloud</li>



<li>Date nestructurate (File share–uri, NAS, object storage)</li>



<li>Baze de date</li>
</ul>







Cerințele implementării urmăresc nevoile de afaceri sau nevoile tehnice și se transpun în cerințe funcționale sau non–funcționale, care trebuie documentate:



<ul class="wp-block-list">
<li>Service Level Agreements (SLA) și Service Level Objectives (SLO)</li>



<li>Recovery Point Objectives (RPO) și Recovery Time Objectives (RTO) – exemple:  baze de date, RPO – 0.5 TB pe oră; NAS, RTO un singur fișier &lt; 1 oră; server (fizic sau virtual), RTO&lt; 24 ore</li>



<li>Retenție – perioada de timp disponibilă pentru restaurare</li>



<li>Consistența – backup consistent al aplicațiilor: MS–SQL, Oracle, AD, etc.</li>



<li>Imutabilitate – posibilitatea de a stoca backup–ului date fără posibilitatea de a fi modificate sau șterse</li>



<li>Regula 3–2–1 – strategie de backup pentru a avea 3 copii ale datelor, 2 medii de backup diferite (disk, tape, cloud), 1 copie backup offsite</li>



<li>Fereastra de backup – siguranța ca backup–ul se realizează într–o perioadă determinată de timp</li>



<li>Criptarea backup-ului – în timpul stocării și transportului prin rețea</li>



<li>Backup rezilient – copia datelor pe medii reziliență, de încredere, redundante cu suport de la furnizor</li>



<li>Compresie și deduplicare</li>



<li>Ransomware / malware mitigation – funcții implementate pentru a reduce riscurile și impactul atacurilor cibernetice</li>



<li>Replicare – replicare pentru sistemele critice</li>



<li>Cerințe de securitate – MFA pentru conectarea în consola de backup, acces restricționat la server de backup, etc.</li>
</ul>







O altă componentă a design–ului soluției o reprezintă constrângerile, care apar la nivel de descriere, implementare sau operare:



<ul class="wp-block-list">
<li>Infrastructura de rețea – capacitatea de transport determinată de echipamentele de comunicație sau furnizorul de comunicație</li>



<li>Echipamentele de stocare backup – nu trebuie să fie EOL pentru a beneficia de suport de la producător</li>



<li>Ora de începere a operațiunilor de backup, pentru a nu perturba activitatea de producție</li>



<li>Capacitatea de stocare existentă</li>



<li>Bugetul disponibil</li>



<li>Timpul de implementare</li>



<li>Experiența și competența echipei de implementare</li>
</ul>







Pe lângă toate acestea mai sunt elemente care trebuie luate în calcul în realizarea design–ului, dar care vor fi presupuse:



<ul class="wp-block-list">
<li>Rata de modificare a bazelor de date</li>



<li>Rata de creștere a mașinilor virtuale</li>



<li>Rata de deduplicare</li>



<li>Rata de compresie a datelor</li>



<li>Mărirea benzii de rețea internet</li>
</ul>







Implementarea unei soluții de backup poate veni și cu anumite riscuri care trebuie luate în considerare. Iată câteva dintre riscurile potențiale:



<ul class="wp-block-list">
<li>Termene de implementare scurte</li>



<li>Estimare necesar echipament de stocare greșită, bazată pe compresie și deduplicare</li>



<li>Termene de livrare echipamente depășite</li>



<li>Implementare soluție pe hardware învechit</li>
</ul>







Următorul pas, după realizarea design–ului conceptual, este realizarea design–ului logic. Acesta are ca scop alegerea  componentele aplicației bazată pe cerințele specificate anterior și se finalizează prin crearea unui HLD (High Level Design), în care vor fi documentate componentele aplicației de Backup &amp; Restore, precum și dimensionarea lor.







<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="936" height="482" src="https://wp.arcticstream.ro/wp-content/uploads/2025/06/Arhitectura-backup.png" alt="" class="wp-image-2549" srcset="https://wp.arcticstream.ro/wp-content/uploads/2025/06/Arhitectura-backup.png 936w, https://wp.arcticstream.ro/wp-content/uploads/2025/06/Arhitectura-backup-300x154.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2025/06/Arhitectura-backup-768x395.png 768w" sizes="auto, (max-width: 936px) 100vw, 936px" /></figure>



Exemplu de arhitectură







În general o soluție de backup trebuie sa aibă cel puțin componente enumerate mai jos, în funcție de necesități.



Server backup, care poate fi server fizic sau virtual, instalabil pe diverse sisteme de operare, cu CPU, RAM în funcție de dimensiunea soluției de backup. Pentru serverul de backup trebuie urmărite câteva aspecte:



<ul class="wp-block-list">
<li>Restricționarea accesului la server, incluzând tool–urile de acces de la distanță</li>



<li>Să nu aparțină aceluiași domeniu ca si mașinile pentru care realizează copii</li>



<li>Să nu conțină alte aplicații neesențiale</li>



<li>Consola de acces la aplicația de backup să nu fie instalată direct pe serverul de backup, ci pe un server auxiliar, pentru a evita accesul RDP</li>



<li>Să aibă mecanism multi–factor authentication (MFA)</li>



<li>Să aibă activă autorizarea four–eyes, în sensul în care modificările efectuate asupra configurației și a joburilor de backup să fie aprobate de 2 persoane</li>



<li>Să fie permise doar porturile necesare aplicației</li>



<li>Să fie configurată și criptată copia de backup a configurației aplicației</li>



<li>Să fie dezactivate versiunile SSL (SSL 1.0, 2.0, 3.0) și TLS ( TLS 1.1) învechite</li>
</ul>







Backup server database, care poate exista pe același server cu aplicația sau pe alt server dedicat pentru baza de date, instalabilă pe diverse sisteme de operare, cu CPU, RAM in funcție de dimensiunea soluției de backup. Aceasta componentă trebuie securizată ca si serverul de backup.







Componenta rețea: adresare IP, DNS, criptare trafic, segmentare rețea pentru componentele aplicației.







Backup Repository, echipamentul de stocare destinat pentru copiile de siguranță. În funcție de necesități poate fi FC SAN, Shared SAS, iSCI SAN, NFS, vSAN, vVOLs, object storage sau local storage. Un aspect important îl constituie dimensionarea acestei componente:



<ul class="wp-block-list">
<li>Din punct de vedere al resursele de compute:</li>
</ul>



CPU cores = RoundUp (Proxy Cores /3), unde proxy core poate fi proxy pentru Vmware, CDP sau pentru fiecare agent fizic (fiecare agent fizic acționează ca propriul proxy)



RAM în GB = Required Repository CPU cores * 4



<ul class="wp-block-list">
<li>Din punct de vedere al spațiului fiecare aplicație are propriul tool de calcul.</li>
</ul>



Pentru full backup: capacity = Size of Full Backup TB * (Total Instances * Full Backups Per week) * Annual Growth Rate



Pentru backup incremental: capacity= number of inc per week * IncSizeGB / 1024 (GB to TB) * compression formula







Backup Proxy, componenta a infrastructurii de backup care gestionează traficul de backup și restaurare, optimizând procesul pentru a reduce impactul asupra resurselor sistemului. Acesta poate fi configurat pentru a efectua compresia și criptarea datelor, precum și pentru a direcționa traficul de backup către destinația corespunzătoare. Pentru estimare dimensionare proxy:



<ul class="wp-block-list">
<li>Pentru CPU: Required Incremental Proxy CPU cores = ((Source Data Size MB * Change Rate) / Backup Window Sec) / Throughput per Task MBps</li>
</ul>



<ul class="wp-block-list">
<li>Pentru RAM: Required RAM in GB = Required Incremental Proxy CPU cores * 2</li>
</ul>







Gateway Server, componentă auxiliară a infrastructurii de backup care facilitează accesul de la serverul de backup către storage–urile de backup, unde serverul de backup nu poate ajunge direct (exemplu, accesul la object storage din cloud).







Mount Server, componentă a infrastructurii de backup care gestionează montarea și accesul la fișierele din backup pentru restaurare sau verificare. Acesta permite utilizatorilor să exploreze și să recupereze datele din punctele de restaurare fără a fi nevoie să descarce întregul backup.







Următorul pas este implementarea soluției, urmărind documentul de instalare al fiecărui producător. Echipa de implementare trebuie să verifice funcționarea soluției conform testelor proiectate.



Testele de validare trebuie să includă acțiuni specifice, componente implicate, parametrii de testare și rezultatele așteptate. Printre aspectele ce trebuie testate se numără:



<ul class="wp-block-list">
<li>Accesul utilizatorilor (permisiuni)</li>



<li>Executarea job–urilor (durata)</li>



<li>Protecția workload–urilor</li>



<li>Notificările primite</li>



<li>Locația fișierelor de backup (respectarea regulii 3–2–1)</li>



<li>RPO (Recovery Point Objective)</li>
</ul>







Implementarea nu este finalizată până nu validăm și componenta de restaurare. Se restaurează:



<ul class="wp-block-list">
<li>Elemente ale aplicațiilor</li>



<li>Fișiere și foldere ale sistemului de operare guest</li>



<li>Mașini virtuale</li>



<li>Backup–uri ale agenților</li>



<li>Failover și failback de replică</li>



<li>Fișiere, foldere și dispozitive din stocarea NAS/obiect</li>



<li>Recuperabilitatea mașinilor virtuale</li>



<li>Recuperabilitatea aplicațiilor</li>



<li>Dependențele aplicațiilor</li>



<li>Integritatea fișierelor de backup</li>



<li>Conținutul backup–ului (scanare malware)</li>
</ul>







Salvarea datelor și protecția lor este un proces continuu. Sunt o serie de pași strategici pentru revizuirea și actualizarea proceselor de implementare:



<ul class="wp-block-list">
<li>Revizuirea notelor din deployment. Se verifică notițele înregistrate din implementările anterioare pentru a identifica problemele apărute și modificările necesare la nivelul designului fizic.</li>



<li>Actualizarea documentației. Se completează documentația existentă adăugând pașii omiși sau recomandările pentru depășirea provocărilor de mediu întâmpinate în timpul implementării.</li>



<li>Evaluarea periodică a stării mediului. Se colaborează cu echipa de administrare pentru a monitoriza periodic starea mediului, asigurându–ne că totul funcționează conform așteptărilor și identificând eventuale zone de îmbunătățire.</li>



<li>Identificarea noilor inițiative și modificări. Atenție la inițiativele noi sau schimbările din mediul de operare care ar putea declanșa necesitatea unui nou ciclu de implementare.</li>



<li>Revizuirea modificărilor în suita de produse. Se evaluează periodic dacă actualizările aduse suitei de produse răspund provocărilor noi sau existente ale afacerii, determinând astfel zonele care necesită optimizare sau adoptarea celor mai bune practici.</li>
</ul>







Acești pași contribuie la menținerea și îmbunătățirea continuă a implementărilor existente, asigurând adaptarea lor la dinamica mediului organizațional și tehnologic. Dacă doriți să discutăm mai detaliat despre cum pot fi integrate aceste practici în contextul profesional al afacerii dumneavoastră, Arctic Stream este aici să continuăm conversația! Ne puteți contacta la: <a href="mailto:sales@arcticstream.ro">sales@arcticstream.ro</a>.

Backup–ul, ultima linie de apărare pentru continuitatea afacerii

Datacenter

Descoperiți noutățile echipamentelor Cisco pentru colaborare audio-video (partea a II-a)

Colaborare

Probabil că majoritatea clienților noștri au trecut printr-un audit NIS (Network and Information Systems, acum în versiunea 2), care este o directivă a Uniunii Europene privind securitatea cibernetică. Legislația se aplică tuturor entităților economice de dimensiune cel puțin medie (10 milioane euro venituri sau 50 de angajați) și care sunt furnizori de servicii esențiale sau importante (energie, utilități și nu numai). Articolul de față nu e pentru ei, dacă recomandările primite le-au dat deja suficient de lucru – sau e și pentru ei, dacă au nevoie de o abordare practică, care să suplimenteze NIS2. E pentru firmele care au până în 50 de angajați, care își pun problema ”dar oare noi cum stăm? IT-ul zice că știe ce face, dar oare știe?” E pentru cei care vor să aibă la îndemână un ghid de orientare practic, de bun simț, fără costurile inițiale ridicate ale unor soluții de securitate sofisticate, dar care nu acoperă riscuri importante, plictisitoare pentru IT. În ce ar trebui să investească mai întâi, de fapt? Care sunt lucrurile de bază, după care să ne ghidăm chiar și în Liga Mare? În mod paradoxal și cei care se califică pentru NIS2 încă mai au probleme cu lista de priorități.



Undeva în anii 2000, un grup de profesioniști în securitate, sub umbrela SANS Institute (<a href="https://www.sans.org" target="_blank" rel="noopener">https://www.sans.org</a>), a început să publice ceea ce era cunoscut ca „SANS Top 20”, o listă de controale de securitate acționabile, pe baza analizei atacurilor prevalente în acea epocă. Lista de controale a fost actualizată continuu de-a lungul anilor, pe baza tendințelor observate, astfel încât organizațiile să implementeze cu prioritate ceea ce funcționează în practică, prevenind majoritatea atacurilor (85%). Inițiativa a fost transferată apoi către Council on Cyber Security (CCS), respectiv către Center for Internet Security (CIS) în 2015. În prezent, controalele sunt cunoscute ca CIS 18 Framework (sau CIS Critical Security Controls), iar versiunea curentă este 8.1 (<a href="https://www.cisecurity.org/controls" target="_blank" rel="noopener">https://www.cisecurity.org/controls</a>). Există și o versiune adaptată pentru Industrial Control Systems (ICS) și Operating Technology (OT) (<a href="https://www.cisecurity.org/insights/white-papers/cis-critical-security-controls-v8-1-industrial-control-systems-ics-guide" target="_blank" rel="noopener">https://www.cisecurity.org/insights/white-papers/cis-critical-security-controls-v8-1-industrial-control-systems-ics-guide</a>).



Ceea ce este remarcabil la CIS 18 este organizarea sub-controalelor (denumite și „safeguards” sau măsuri) în funcție de prioritate, pe grupuri de implementare (Implementation Groups IG1, IG2 și IG3). Un alt aspect remarcabil este formularea practică, prescriptivă, a măsurilor. Pe ansamblu, majoritatea se regăsesc și în standardele de securitate cunoscute (<a href="https://www.cisecurity.org/cybersecurity-tools/mapping-compliance" target="_blank" rel="noopener">https://www.cisecurity.org/cybersecurity-tools/mapping-compliance</a>), doar că standarde nu spun cu ce ar trebui o organizație să înceapă practic – această alegere este lăsată la latitudinea profesioniștilor. Nu în ultimul rând, CIS 18 poate fi folosit ușor pentru auto-evaluare – sau o firmă specializată în securitate cibernetică ar putea compara evaluarea completată (căreia i se poate asocia un grad de maturitate) cu a altor firme din aceeași industrie. În fond, obiectivul nu este de a avea maximul de securitate, ci un nivel mai bun decât a celorlalți competitori și rezonabil pentru riscurile industriei din care face parte organizația (nu ne așteptăm ca un lanț de magazine să fie o țintă la fel de valoroasă ca o bancă).



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="479" height="283" src="https://wp.arcticstream.ro/wp-content/uploads/2025/04/CIS18_1.png" alt="" class="wp-image-2350" srcset="https://wp.arcticstream.ro/wp-content/uploads/2025/04/CIS18_1.png 479w, https://wp.arcticstream.ro/wp-content/uploads/2025/04/CIS18_1-300x177.png 300w" sizes="auto, (max-width: 479px) 100vw, 479px" /></figure>







Ceea ce ar trebui sa fie rezonabil pentru toate companiile, indiferent de industrie, sunt măsurile care fac parte din IG1 (Implementation Group 1, ”Essential Cyber Hygiene”), care ar trebui sa tină sub control atacurile care nu sunt țintite (cum ar fi cele care profită de expunerea accidentală). Doar 3 controale din 18 nu au măsuri în IG1. Să le enumerăm pe cele 15 care au:



<ul class="wp-block-list">
<li>01 &#8211; Inventory and Control of Enterprise Assets</li>



<li>02 &#8211; Inventory and Control of Software Assets</li>



<li>03 &#8211; Data Protection</li>



<li>04 &#8211; Secure Configuration of Enterprise Assets and Software</li>



<li>05 &#8211; Account Management</li>



<li>06 &#8211; Access Control Management</li>



<li>07 &#8211; Continuous Vulnerability Management</li>



<li>08 &#8211; Audit Log Management</li>



<li>09 &#8211; Email and Web Browser Protections</li>



<li>10 &#8211; Malware Defenses</li>



<li>11 &#8211; Data Recovery</li>



<li>12 &#8211; Network Infrastructure Management</li>



<li>14 &#8211; Security Awareness and Skills Training</li>



<li>15 &#8211; Service Provider Management</li>



<li>17 &#8211; Incident Response Management</li>
</ul>







Ordinea nu este întâmplătoare. Sunt multe organizații care nici măcar nu și-au pus problema ce trebuie să protejeze (ce active și ce date sunt esențiale și pentru cât timp pot fi indisponibile) dar și ce nu ar trebui să fie prezent, mărind gratuit suprafața de atac (de exemplu, software depășit sau un punct de acces wireless adus de un utilizator de acasă), adică fix primele trei controale. Altfel, organizațiile stau relativ bine „la grămadă”, însă gradul de maturitate poate fi înșelător dacă e văzut ca o medie.



Majoritatea organizațiilor stau mai bine cu soluțiile de securitate (10 &#8211; Malware Defenses) sau poate cu gestiunea conturilor (05 &#8211; Account Management), pentru că furnizorii de soluții de securitate, respectiv de SaaS își fac bine treaba, dar securitatea este despre veriga cea mai slabă. Degeaba implementăm măsuri sofisticate în anumite arii (să zicem 08 &#8211; Audit Log Management), poate chiar din grupurile IG2 și IG3, dacă fie și unul dintre controalele esențiale este complet ignorat (să zicem 14 &#8211; Security Awareness and Skills Training).



Alteori se întâmplă ca măsuri din grupurile IG2 sau IG3 să fie puse în practică înaintea celor din IG1. Să luam, de exemplu, 01 &#8211; Inventory and Control of Enterprise Assets. În acest exemplu, a avea un proces regulat pentru identificarea și îndepărtarea dispozitivelor neautorizate este mai important decât a achiziționa un soft de inventariere fără a face nimic cu acesta.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="364" height="226" src="https://wp.arcticstream.ro/wp-content/uploads/2025/04/CIS18_2.png" alt="" class="wp-image-2352" srcset="https://wp.arcticstream.ro/wp-content/uploads/2025/04/CIS18_2.png 364w, https://wp.arcticstream.ro/wp-content/uploads/2025/04/CIS18_2-300x186.png 300w" sizes="auto, (max-width: 364px) 100vw, 364px" /></figure>







Cum arată practic o măsură de securitate în CIS 18? Nu foarte flexibil, ci de-a dreptul prescriptiv:



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="540" height="120" src="https://wp.arcticstream.ro/wp-content/uploads/2025/04/CIS18_3.png" alt="" class="wp-image-2354" srcset="https://wp.arcticstream.ro/wp-content/uploads/2025/04/CIS18_3.png 540w, https://wp.arcticstream.ro/wp-content/uploads/2025/04/CIS18_3-300x67.png 300w" sizes="auto, (max-width: 540px) 100vw, 540px" /></figure>







Flexibilitatea mai scăzută poate fi un dezavantaj pentru organizațiile foarte mari (care gândesc mai degrabă strategic decât tactic), dar pentru organizațiile mai mici nu este loc de îndoială despre ce ar fi considerat ca fiind bună practică.



Indiferent de standarde, câteva dintre provocările cu care se confruntă organizațiile sunt:



<ul class="wp-block-list">
<li>Bugetul</li>



<li>Lipsa de personal cu aptitudini riguroase de securitate. În timp ce personalul IT poate avea cunoștințe solide de securitate în aria proprie de competență, se poate întâmpla ca recomandările în ceea ce privește prioritatea măsurilor în ansamblu să fie total „din auzite”</li>



<li>Alegerea priorităților, dacă NIS2 nu este o „alegere” evidentă</li>
</ul>







Indiferent de standardul folosit, Arctic Stream și cu partenerul său, <a href="https://datacoresystems.ro/" target="_blank" rel="noopener">Data Core Systems</a>, pot evalua postura de securitate și pot face ca măsurile de securitate să fie implementate consistent și într-o ordine riguroasă, care are sens, nu doar ca un exercițiu de compliance (de adaptare la cerințele legale). Pentru mai multe informații, ne puteți contacta la <a href="mailto:sales@arcticstream.ro">sales@arcticstream.ro</a>.



Pentru cei care trebuie să se conformeze NIS2, acesta și cu CIS 18 sunt complementare, de fapt. NIS2 impune cerințe mai stricte pentru securitatea cibernetică, pregătire și raportare, în timp ce CIS 18 oferă o abordare practică și detaliată a implementării acestor cerințe. NIS2 pune accent pe evaluarea continuă a riscurilor și gestionarea incidentelor, pe care CIS 18 le sprijină prin controale specifice pentru identificarea, evaluarea și atenuarea riscurilor, precum și stabilirea unor planuri robuste de răspuns la incident. În plus, NIS2 se concentrează pe securitatea lanțului de aprovizionare, iar CIS18 include controale pentru gestionarea riscurilor terțelor părți, asigurându-se că furnizorii respectă standardele de securitate necesare. Prin integrarea CIS 18 în strategia lor de securitate, organizațiile pot îndeplini mai ușor cerințele NIS2, construind în același timp o apărare generală mai puternică împotriva amenințărilor cibernetice.

CIS Framework: pași esențiali pentru securitatea cibernetică a organizațiilor mici și mijlocii

Securitate

A trecut deja un an de la lansarea CUCM 15, iar Cisco ridică din nou ștacheta cu CUCM 15, cea mai recentă versiune a platformei sale de comunicare și colaborare, reușind până în acest moment să aducă și două actualizări importante, SU1 și SU2 (Oct-2024), care consolidează această versiune. Deoarece această lansare a adus unele dintre cele mai mari schimbări din ultimii ani, m-am gândit că este momentul potrivit să analizăm în detaliu ce s-a schimbat și cum pot aceste noutăți influența utilizatorii.



Un aspect important de remarcat este faptul că Cisco a implementat schimbări hardware semnificative în CUCM 15, care i-ar putea surprinde pe mulți dintre utilizatori. Aceste modificări pot crea provocări în ceea ce privește actualizările de la versiunile anterioare, precum 12.x sau chiar 14.x. În acest articol, vom analiza specificațiile hardware, noile funcționalități și îmbunătățirile aduse, oferindu-vă o viziune clară asupra acestei noi versiuni, în cazul în care plănuiți un upgrade sau o implementare nouă.



<figure class="wp-block-image aligncenter size-full is-resized"><img loading="lazy" decoding="async" width="622" height="284" src="https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-1.jpg" alt="" class="wp-image-2181" style="width:736px;height:auto" srcset="https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-1.jpg 622w, https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-1-300x137.jpg 300w" sizes="auto, (max-width: 622px) 100vw, 622px" /></figure>







<h5 class="wp-block-heading">Evoluția arhitecturii platformei și sistemului</h5>



CUCM 15 marchează o schimbare semnificativă din punct de vedere a platformei.



<ul class="wp-block-list">
<li>Sfârșitul suportului pentru CentOS: în 2020, Red Hat a anunțat întreruperea dezvoltării proiectul CentOS, oferind suport până în data de 30 Iunie 2024. După această dată, CentOS nu va mai primi actualizări de securitate, devenind o alegere nesigură pentru mediile de afaceri care depind de stabilitate și protecție împotriva vulnerabilităților. Pentru a răspunde acestei provocări, CUCM 15 face trecerea la AlmaLinux, o platformă fiabilă și modernă, concepută pentru a susține operațiuni critice. Prin adoptarea AlmaLinux, CUCM 15 oferă utilizatorilor un mediu stabil și sigur, asigurând continuitatea și protecția infrastructurii clienților Cisco.</li>
</ul>







<figure class="wp-block-image aligncenter size-full is-resized"><img loading="lazy" decoding="async" width="1932" height="1700" src="https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-5.jpg" alt="" class="wp-image-2193" style="width:724px;height:auto" srcset="https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-5.jpg 1932w, https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-5-300x264.jpg 300w, https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-5-1024x901.jpg 1024w, https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-5-768x676.jpg 768w, https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-5-1536x1352.jpg 1536w" sizes="auto, (max-width: 1932px) 100vw, 1932px" /></figure>







<ul class="wp-block-list">
<li>AlmaLinux 64-bit: Cisco a migrat de la CentOS la AlmaLinux, o distribuție Linux open-source pe 64 de biți, aliniindu-se la tranziția comunității Linux. Această schimbare a fost determinată evident de întreruperea suportului, care inițial era planificat să fie susținut până în 2029. AlmaLinux oferă o tranziție lină de la CentOS, permițând organizațiilor să-și convertească sistemele existente fără a necesita reinstalări complete.</li>
</ul>







<h5 class="wp-block-heading">Considerații hardware și de virtualizare</h5>







<figure class="wp-block-image aligncenter size-full is-resized"><img loading="lazy" decoding="async" width="623" height="277" src="https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-3.png" alt="" class="wp-image-2185" style="width:623px" srcset="https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-3.png 623w, https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-3-300x133.png 300w" sizes="auto, (max-width: 623px) 100vw, 623px" /></figure>







<ul class="wp-block-list">
<li>Cerințe de virtualizare: CUCM 15 suporta pentru virtualizare VMware ESXi 7.0 U3 sau 8.0 U1. Sistemul necesită și resurse hardware suplimentare, un minim de 10GB vRAM și o dimensiune a discului de 110GB (față de 80GB) pentru VM-uri de tip small. Implementările existente de vDisk de 80GB trebuie redimensionate manual pentru a îndeplini această cerință.</li>



<li>Suport ESXi: sunt acceptate doar versiunile ESXi 7.0 și 8.0 datorită ciclului de viață de suport al VMware și statutului de încheiere a vieții pentru CentOS.</li>
</ul>







Aceste specificații sunt orientative și pot varia în funcție de numărul de utilizatori și de cerințele specifice ale organizației. Pentru o dimensionare precisă, se recomandă utilizarea instrumentului Cisco Collaboration Sizing Tool (CST).



<h5 class="wp-block-heading">Caracteristici și îmbunătățiri funcționale</h5>



Au fost introduse mai multe funcționalități noi pentru a îmbunătăți experiența utilizatorilor și administratorilor în CUCM 15, precum cele menționate mai jos.



Integrarea cu Webex: CUCM 15 aduce o integrare avansată cu Webex Control Hub, îmbunătățind continuitatea serviciului și reziliența apelurilor. În cazul unei întreruperi de conexiune la Webex Cloud Calling, instanțele locale CUCM pot prelua apelurile și menține serviciul activ până la restabilirea conexiunii.



<ul class="wp-block-list">
<li>Continuitate operațională – backup local pentru apeluri în caz de probleme de rețea.</li>



<li>Administrare centralizată – monitorizare și gestionare unificată prin Webex Control Hub.</li>



<li>Securitate sporită – criptare end-to-end și management îmbunătățit al certificatelor.</li>



<li>Experiență optimizată pentru utilizatori – tranziție fluidă între apelurile din cloud și cele locale.</li>
</ul>







Această funcționalitate este esențială pentru organizații cu nevoi critice de comunicare, precum centre de contact, instituții financiare, organizații globale și sectorul medical.



Provizionare automată pentru Webex și Cisco Jabber: acum, utilizatorii LDAP sincronizați cu Microsoft Active Directory pot previziona automat clienții Webex Teams și Jabber, simplificând implementarea și gestionarea dispozitivelor. Această funcționalitate este ideală pentru organizațiile mari, simplificând gestionarea dispozitivelor și îmbunătățind eficiența operațională.



<ul class="wp-block-list">
<li>Implementare rapidă – utilizatorii noi primesc acces instant la Webex și Jabber.</li>



<li>Reducerea efortului IT – elimină configurările manuale ale conturilor și dispozitivelor.</li>



<li>Gestionare centralizată – permite administrarea eficientă a unui număr mare de utilizatori.</li>



<li>Securitate îmbunătățită – politicile de acces sunt gestionate centralizat, reducând riscurile.</li>
</ul>







Istoricul apelurilor centralizat: CUCM 15 permite utilizatorilor Webex Calling pentru Microsoft Teams să vizualizeze istoricul apelurilor efectuate pe dispozitivele partajate, înregistrate în sistem. Această funcționalitate face parte din integrarea Webex Cloud-Connected UC, oferind acces unificat la datele apelurilor și îmbunătățind colaborarea. Astfel, utilizatorii pot monitoriza apelurile mai eficient, asigurând continuitatea operațională și o experiență optimizată în mediile de lucru hibride.



Mobilitatea dispozitivelor îmbunătățită: CUCM 15 extinde suportul pentru Webex App pe infrastructuri Virtual Desktop Infrastructure, oferind o experiență mai stabilă și performantă pentru utilizatori. Această îmbunătățire aduce compatibilitate extinsă, depanare optimizată și fiabilitate crescută, facilitând gestionarea și monitorizarea conexiunilor. Organizațiile care utilizează VDI, precum call center-uri, spitale sau instituții financiare, beneficiază acum de o comunicare mai sigură și fără întreruperi.



Îmbunătățiri OAuth și refresh token: sistemul OAuth a fost îmbunătățit pentru a elimina dependența de nodul publisher al CUCM pentru gestionarea refresh token-urilor, oferind mai multă flexibilitate și securitate pentru actualizări.



Conectivitatea push locală pentru iOS: în multe medii de lucru, conexiunea la internet este limitată sau inexistentă din motive de securitate sau infrastructură. CUCM 15 răspunde acestei provocări prin introducerea serviciului de notificări push locale pentru iOS, o soluție esențială pentru menținerea conectivității și continuității apelurilor, chiar și în absența internetului.



<ul class="wp-block-list">
<li>CUCM 15 gestionează notificările push direct în infrastructura locală, fără a trimite cereri către servere externe.</li>



<li>Dispozitivele iOS sunt înregistrate în CUCM, permițând recepția apelurilor prin notificări push interne, indiferent de starea conexiunii la internet.</li>



<li>Această soluție îmbunătățește fiabilitatea comunicațiilor, fiind ideală pentru organizații care operează în medii restrictive.</li>
</ul>







<h5 class="wp-block-heading">Îmbunătățiri ale experienței utilizatorului</h5>



Fluxul îmbunătățit de login în CUCM: CUCM 15 îmbunătățește experiența utilizatorilor prin simplificarea procesului de login pentru aplicațiile Webex, menținând o sesiune persistentă de login și îmbunătățind ușurința de utilizare. Această funcționalitate nu doar că îmbunătățește experiența utilizatorilor, dar și sporește eficiența operațională în organizații, având un impact pozitiv asupra productivității, deoarece utilizatorii pot accesa rapid toate funcționalitățile Webex fără întreruperi.



Îmbunătățiri RTMT : Cisco Unified Real &#8211; Time Monitoring Tool susține autentificarea bazată pe certificate, fiind este un instrument esențial pentru monitorizarea și gestionarea performanței rețelelor și a sistemelor de comunicații în timp real. Prin implementarea autentificării bazate pe certificate, RTMT adaugă un strat suplimentar de securitate la accesul și manipularea datelor sensibile ale rețelei. În locul unei autentificări tradiționale cu nume de utilizator și parolă, certificatele digitale permit o verificare mult mai sigură, evitând riscurile asociate cu parolele compromise sau gestionarea inadecvată a acreditărilor.



Compatibilitatea RTMT cu Windows 11: RTMT poate fi acum instalat pe sisteme Windows 11, făcând procesul de monitorizare mai flexibil pentru administratori. În versiunile anterioare, RTMT era compatibil doar cu anumite versiuni de Windows, iar utilizatorii trebuiau să utilizeze versiuni specifice de sistem de operare pentru a instala și a rula aplicația corect.



<h5 class="wp-block-heading">Îmbunătățiri operaționale</h5>



Managementul software-ului clusterului: în CUCM 15 procesul de upgrade al software-ului a fost îmbunătățit prin introducerea managementului centralizat al fișierelor ISO ale nodurilor clusterului. Această schimbare permite Publisher-ului să gestioneze și să distribuie fișierele ISO necesare actualizărilor software-ului către toate nodurile clusterului, simplificând procesul de upgrade și reducând sarcina administrativă. Beneficiile includ: reducerea erorilor umane, îmbunătățirea eficienței și a consistenței în upgrade-uri, o mai bună scalabilitate a infrastructurii și control asupra upgrade-urilor. Acest sistem ajută la economisirea timpului, minimizarea riscurilor și eficientizarea gestionării infrastructurii.



Provizionarea automată a dispozitivelor Webex și Jabber: CUCM 15 introduce funcționalitatea de provizionare automată a dispozitivelor Webex și Cisco Jabber, care permite integrarea acestora cu Microsoft Active Directory. Astfel, dispozitivele sunt configurate automat pe măsură ce utilizatorii sunt adăugați sau modificați în AD, eliminând necesitatea intervenției manuale. Această automatizare îmbunătățește eficiența implementării si reduce riscurile de erori. În plus, procesul centralizat ajută la aplicarea politicilor de securitate și conformitate, economisind timp și resurse pentru organizații.



<h5 class="wp-block-heading">Actualizări de securitate și conformitate</h5>



Listele de revocare a certificatelor (CRL): în CUCM 15, un nou element important adăugat este suportul pentru listele de revocare a certificatelor (Certificate Revocation Lists &#8211; CRL). Acest sistem joacă un rol esențial în gestionarea securității, permițând administratorilor să aibă un control mai bun asupra certificatelor digitale folosite pentru autentificarea și criptarea comunicațiilor.



CRL &#8211; listă de revocare a certificatelor este un fișier care conține certificatele care au fost revocate înainte de a expira. Acestea pot fi certificate care au fost compromise, utilizate în scopuri malițioase sau care nu mai sunt valide din diverse motive (de exemplu, schimbarea unei chei private sau expirarea unui certificat). CRL-urile sunt utilizate de servere și clienți pentru a verifica dacă un certificat emis de o autoritate de certificare (CA) este încă valid sau a fost retras.



Autentificare multi-factor (MFA): CUCM 15 implementează autentificarea multi-factor (MFA) pentru Real-Time Monitoring Tool (RTMT), oferind un nivel suplimentar de protecție pentru accesul administratorilor. MFA utilizează certificate digitale și un al doilea factor de autentificare (precum OTP sau verificare biometrică) pentru a securiza accesul la datele critice ale sistemului. Această măsură reduce riscul accesului neautorizat și protejează informațiile sensibile, asigurând o securitate avansată pentru infrastructura de comunicații.



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
Ce este autentificarea multi-factor (MFA)? Pentru a înțelege mai bine cum funcționează MFA și care sunt beneficiile sale, puteți citi articolul scris de Andreea Cozuc, unde sunt explicate mecanismele de autentificare și avantajele implementării acestui sistem în organizații: 



<a href="https://www.arcticstream.ro/blog/autentificare-cu-mai-multi-factori-mfa-ce-este-si-de-ce-avem-nevoie-de-ea" data-type="link" data-id="https://www.arcticstream.ro/blog/autentificare-cu-mai-multi-factori-mfa-ce-este-si-de-ce-avem-nevoie-de-ea" target="_blank" rel="noopener">https://www.arcticstream.ro/blog/autentificare-cu-mai-multi-factori-mfa-ce-este-si-de-ce-avem-nevoie-de-ea</a>
</blockquote>



<h5 class="wp-block-heading">Funcționalități deprecate și suport eliminat</h5>



Cisco Unified Communications Manager (CUCM) 15 aduce modificări semnificative în ceea ce privește funcționalitățile suportate, eliminând anumite caracteristici considerate învechite sau înlocuite de tehnologii mai moderne și eficiente. Aceste modificări au fost realizate pentru a alinia platforma la standardele actuale de comunicații unificate și pentru a îmbunătăți securitatea, performanța și compatibilitatea cu soluțiile Cisco moderne.



<ul class="wp-block-list">
<li>H.323 Gatekeeper: o schimbare majoră în CUCM 15 este eliminarea suportului pentru H.323 Gatekeeper, un protocol utilizat anterior pentru gestionarea apelurilor în rețelele VoIP. Această funcționalitate a fost înlocuită de soluții mai flexibile și scalabile, bazate pe SIP, care oferă o integrare mai bună cu infrastructurile moderne de telecomunicații. Cisco recomandă utilizatorilor care depindeau de H.323 Gatekeeper să migreze la SIP trunking, utilizând Location Bandwidth Manager (LBM) pentru gestionarea lățimii de bandă și controlul apelurilor.</li>



<li>Controlul apelurilor la distanță cu Microsoft Lync Server: CUCM 15 elimină suportul pentru Remote Call Control (RCC) cu Microsoft Lync Server, o funcționalitate care permitea utilizatorilor să controleze telefoanele Cisco prin intermediul clientului Lync. Această funcționalitate a devenit redundantă odată cu apariția soluțiilor integrate de colaborare bazate pe Microsoft Teams și Cisco Webex, care oferă o experiență mai fluidă și mai bine integrată.</li>



<li>Deprecarea firmware-ului dispozitivelor: începând cu CUCM 15, firmware-ul pentru telefoanele depreciate nu va mai fi inclus în ISO. Dispozitivele care nu mai sunt acceptate, cum ar fi Cisco Unified IP Phone 7970 și 7971, nu vor mai primi actualizări de firmware în instalările de CUCM 15.</li>
</ul>







<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="955" height="394" src="https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-4.jpeg" alt="" class="wp-image-2187" srcset="https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-4.jpeg 955w, https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-4-300x124.jpeg 300w, https://wp.arcticstream.ro/wp-content/uploads/2025/03/RP-blog-4-768x317.jpeg 768w" sizes="auto, (max-width: 955px) 100vw, 955px" /></figure>







Cisco Unified Communications Manager (CUCM) 15 introduce îmbunătățiri semnificative în platforma sa, concentrându-se pe arhitectura sistemului, integrarea cu Webex și alte servicii cloud, îmbunătățiri de securitate și o experiență mai prietenoasă pentru utilizatori și administratori. Aceste îmbunătățiri răspund nevoilor în creștere ale afacerilor moderne, în special în ceea ce privește scalabilitatea, securitatea și colaborarea, pregătind organizațiile pentru viitor prin adoptarea unor tehnologii mai stabile și eficiente, cum ar fi AlmaLinux. Pe măsură ce organizațiile trec la CUCM 15, este esențial să planifice upgrade-uri hardware necesare, să adopte practici noi de management al software-ului și să asigure compatibilitatea cu cele mai recente cerințe ale VMware și sistemele de operare.



Dacă organizația dumneavoastră are nevoie de consultanță pentru implementarea soluțiilor de colaborare Cisco, specialiștii din echipa Arctic Stream sunt aici să vă ajute. Contactați-ne la sales@arcticstream.ro pentru mai multe detalii!

Cisco Unified Communications Manager 15: ce aduce nou cea mai recentă versiune?

În lumea digitală de astăzi, unde datele sensibile și sistemele critice sunt mai accesibile ca niciodată, asigurarea unor măsuri de securitate robuste este esențială. A ne baza doar pe parole pentru protecția conturilor nu mai este suficient pentru a contracara amenințările cibernetice moderne. Autentificarea Multi-Factor (MFA) a devenit o măsură de securitate critică, adăugând un nivel suplimentar de protecție în procesul de autentificare a utilizatorilor și reducând semnificativ riscurile asociate accesului neautorizat.



<h5 class="wp-block-heading">De ce sunt parolele considerate slabe?</h5>



În ciuda faptului că sunt cea mai comună metodă de autentificare, parolele sunt considerate slabe deoarece se bazează în întregime pe un singur nivel de securitate. Dacă acel nivel este compromis, atacatorul obține acces complet la cont sau sistem. Câteva exemple care contribuie la vulnerabilitatea lor:



<ul class="wp-block-list">
<li>Eroare umană: utilizatorii creează adesea parole slabe, ușor de ghicit sau reutilizează aceeași parolă pentru mai multe conturi, făcându-i vulnerabili la atacuri de tip brute-force (în care hackerii încearcă diverse combinații de parole) și la atacuri de tip credential stuffing, unde atacatorii folosesc parole furate dintr-o breșă de securitate pentru a accesa alte conturi ale utilizatorului.</li>



<li>Breșe de date: bazele de date cu parole compromise sunt frecvent vândute sau partajate pe dark web. Odată ce parolele sunt scurse, atacatorii le pot folosi pentru a accesa conturile cu un efort minim.</li>



<li>Atacuri de tip phishing: tehnică folosită de atacatori pentru a păcăli utilizatorii să dezvăluie informații sensibile, pretinzând că sunt o entitate de încredere.</li>
</ul>







<h5 class="wp-block-heading">Ce este autentificarea multi-factor (MFA)?</h5>



MFA este un mecanism de securitate care întărește verificarea utilizatorilor prin solicitarea acestora de a furniza mai mulți factori pentru a-și dovedi identitatea. Acești factori se încadrează de obicei în trei categorii:



<ul class="wp-block-list">
<li>Ceva ce știi: în majoritatea cazurilor, o parolă, dar poate fi și un PIN sau răspunsul la o întrebare de securitate.</li>



<li>Ceva ce ai: un token fizic, o parolă unică (OTP) trimisă prin SMS, email sau o aplicație pe smartphone-ul personal.</li>



<li>Ceva ce ești: date biometrice precum amprentele, recunoașterea facială sau tiparele vocale.</li>
</ul>



Prin combinarea a cel puțin doi dintre acești factori, MFA crește semnificativ securitatea, făcând mult mai dificil pentru atacatori să obțină acces neautorizat.



<h5 class="wp-block-heading">Cum funcționează MFA din perspectiva utilizatorului?</h5>



<ul class="wp-block-list">
<li>Încercare de autentificare: utilizatorul inițiază o autentificare într-o aplicație sau sistem.</li>



<li>Autentificare primară: utilizatorul își furnizează credențialele, de obicei un nume de utilizator și o parolă.</li>



<li>Solicitare MFA: sistemul solicită un al doilea factor de autentificare bazat pe metoda configurată, cum ar fi o notificare push, o parolă unică (OTP) sau o solicitare biometrică.</li>



<li>Verificarea utilizatorului: utilizatorul completează al doilea pas aprobând notificarea push, introducând OTP-ul sau verificându-și identitatea prin biometrie.</li>



<li>Acces acordat: după verificarea cu succes, sistemul acordă utilizatorului acces la aplicație sau serviciu.</li>
</ul>



<ol class="wp-block-list">
<li></li>
</ol>







<h5 class="wp-block-heading">Cum implementați MFA?</h5>



Implementările MFA diferă în funcție de platformă, cerințele de securitate și publicul țintă, totuși, câteva abordări comune utilizate de furnizori pentru a implementa MFA sunt următoarele:



1. Gama largă de metode de autentificare:



<ol class="wp-block-list">
<li></li>
</ol>



<ul class="wp-block-list">
<li>Notificări push: o notificare este trimisă pe smartphone-ul utilizatorului. Acesta poate aproba sau respinge încercarea de autentificare direct de pe dispozitivul său. (exemplu: Cisco Duo, Okta și Microsoft Authenticator)</li>



<li>Parole unice (OTPs): un utilizator se autentifică cu parola sa și primește un cod unic care expiră după o perioadă scurtă, livrat prin SMS, email sau o aplicație mobilă. (exemplu: Cisco Duo, Okta și Microsoft Authenticator)</li>



<li>Autentificare biometrică: utilizatorii își verifică identitatea folosind recunoașterea facială, amprentele sau tiparele vocale. (exemplu: Face ID de la Apple sau Windows Hello de la Microsoft)</li>



<li>Tokenuri hardware: dispozitive fizice, cum ar fi YubiKeys sau tokenuri RSA, generează coduri bazate pe timp sau evenimente. (exemplu: Google și AWS suportă integrarea YubiKey)</li>
</ul>



<ol start="1" class="wp-block-list">
<li></li>
</ol>







2. Capacități de integrare: soluțiile MFA sunt concepute pentru a se integra perfect cu diverse aplicații, servicii și dispozitive, inclusiv platforme cloud, VPN-uri și sisteme on-premises, asigurând o compatibilitate largă.



3. Politici adaptive: administratorii pot defini reguli flexibile de autentificare bazate pe rolurile utilizatorilor, dispozitive, locații sau niveluri de risc. De exemplu, scenariile cu risc mai mare pot declanșa cerințe de verificare mai stricte.



4. Informații despre dispozitive: vizibilitatea detaliată asupra dispozitivelor care accesează sistemul permite administratorilor să impună măsuri de securitate, cum ar fi solicitarea de software actualizat sau blocarea dispozitivelor neîncredere. Exemplu: Duo oferă verificări ale stării de sănătate a dispozitivelor înainte de a acorda acces.



<ol class="wp-block-list">
<li></li>
</ol>



<h5 class="wp-block-heading">Beneficiile soluțiilor MFA</h5>



Soluțiile MFA sunt predominant bazate pe platforme găzduite în cloud, mai ales în implementările moderne, iar beneficiile sunt următoarele:



<ul class="wp-block-list">
<li>Securitate îmbunătățită:&nbsp;prin solicitarea unui al doilea factor de autentificare, se reduce dramatic probabilitatea compromiterii contului, chiar dacă parolele sunt furate.</li>



<li>Scalabilitate:&nbsp;soluțiile MFA în cloud pot fi scalate cu ușurință pentru a acomoda organizațiile în creștere, de la echipe mici la mari întreprinderi.</li>



<li>Eficiență a costurilor:&nbsp;reduce cheltuielile pentru hardware și întreținere. Asigură că cele mai recente patch-uri de securitate și funcționalități sunt întotdeauna disponibile fără intervenție manuală.</li>



<li>Monitorizare în timp real:&nbsp;oferă administratorilor informații în timp real despre încercările de autentificare și amenințările potențiale.</li>



<li>Accesibilitate: infrastructura bazată pe cloud asigură autentificarea securizată de oriunde din lume, susținând o forță de muncă distribuită și rămânând operațională chiar și în timpul întreruperilor locale ale sistemului.</li>
</ul>







<h5 class="wp-block-heading">Provocări și depășirea lor</h5>



Deși MFA este foarte eficient, se confruntă cu unele provocări:



<ul class="wp-block-list">
<li>Rezistența utilizatorilor:&nbsp;utilizatorii pot considera MFA incomod. Aceasta poate fi abordată prin implementarea unor opțiuni prietenoase pentru utilizatori, cum ar fi notificările push sau biometria și educarea utilizatorilor cu privire la importanța sa.</li>



<li>Cost:&nbsp;organizațiile mai mici pot avea dificultăți cu costul implementării MFA. Alegerea soluțiilor open-source sau accesibile poate ajuta la atenuarea acestei probleme.</li>



<li>Tehnici de ocolire: atacatorii pot exploata vulnerabilități precum schimbarea SIM pentru OTP-uri. Utilizarea metodelor sigure, cum ar fi token-urile bazate pe aplicații sau cheile hardware, împreună cu educarea utilizatorilor despre phishing, poate reduce aceste riscuri.</li>
</ul>







<h5 class="wp-block-heading">În concluzie</h5>



În peisajul digital plin de amenințări de astăzi, să ne bazăm doar pe parole nu mai este suficient. Autentificarea Multi-Factor (MFA) oferă o apărare vitală și robustă prin securizarea sistemelor chiar dacă un factor este compromis. Soluțiile MFA oferă scalabilitate, ușurință în utilizare și protecție puternică pentru nevoile actuale. În ciuda provocărilor, precum costurile și rezistența utilizatorilor, MFA este o investiție esențială în securizarea activelor digitale și asigurarea unui viitor rezilient. Cu experiența noastră în soluții precum Cisco Duo, vă putem ajuta să implementați un sistem de autentificare eficient și sigur. Contactați-ne pentru detalii la sales@arcticstream.ro.

Autentificare cu mai mulți factori (MFA): ce este și de ce avem nevoie de ea?

Adio, CLI: cum Cisco NDFC și ACI automatizează centrele de date ale viitorului

<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
În era digitalizării rapide, centrele de date au devenit fundamentul infrastructurii moderne. Se vorbește peste tot despre scalabilitate, eficiență operațională și optimizare continuă. Buzzword-urile domină discursul: „Totul este containerizat, orchestrat și provizionat dinamic! Fiecare nod e self-healing, fiecare flow e microsegmentat și analizat pe bază de inteligență artificială, și toate serviciile pot fi migrate în cloud la un click distanță.” Pare că trăim într-un viitor în care infrastructura se configurează singură, fără efort uman, totul fiind automatizat end-to-end, aproape instantaneu.
</blockquote>



<figure class="wp-block-image aligncenter size-large is-resized"><img loading="lazy" decoding="async" width="1024" height="334" src="https://wp.arcticstream.ro/wp-content/uploads/2024/12/ClickOps-RO-1-1024x334.png" alt="" class="wp-image-1973" style="width:1030px;height:auto" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/12/ClickOps-RO-1-1024x334.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/ClickOps-RO-1-300x98.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/ClickOps-RO-1-768x251.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/ClickOps-RO-1.png 1136w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>







Și totuși, în ciuda tuturor acestor promisiuni și a standardelor înalte din industrie, o mare parte din munca din centrele de date se face încă… manual. În timp ce conceptele avansate de automatizare se împrăștie în prezentări și discuții de business, inginerii sunt adesea prinși într-o realitate mult mai „old-school”: click după click în interfețe grafice sau, și mai des, cu ochii în linia de comandă, inginerii configurează politici de rețea, ajustează setări de firewall și gestionează servere – totul definit de&#8230; degete. Practici pe care le numim ironic Finger-Defined Networking sau ClickOps. În loc de scripturi automate, avem clickuri automate. Deși pare de domeniul trecutului, rutina aceasta manuală rămâne prezentă în era automatizării. Scopul acestui articol este să explorăm cum putem evita capcana ClickOps și să construim un pipeline de automatizare eficient și funcțional.



Scenariul abordat



Să luăm un caz de utilizare foarte relevant: onboarding-ul unui client într-un data center. Procesul de onboarding este critic pentru a oferi clienților o experiență rapidă, sigură și standardizată. Totodată, fiecare client vine cu propriile sale cerințe, de la resurse de calcul, stocare, configurații de rețea și politici de securitate. Automatizarea acestui proces poate reduce timpul de implementare și elimina erorile umane. Nu vom intra în detalii tehnice foarte precise, dar vom aborda pașii de bază pentru a face trecerea de la procese manuale la o infrastructură automatizată, fără stres și cu un consum de timp minim.







1. Definirea workflow-ului și a cerințelor de onboarding



Într-adevăr, planificarea nu e partea preferată a nimănui. Toți suntem nerăbdători să deschidem IDE-ul și să scriem primele linii de cod, dar înainte de a ne arunca în automatizare trebuie să punem bazele proiectului. Definirea workflow-ului și cerințelor este esențială; fără acest pas, riscăm să investim timp și resurse în automatizări care nu aduc valoare reală și pot transforma totul într-un haos de scripturi inutile. Prima întrebare pe care ar trebui să ne-o punem este “chiar merită automatizat acest proces?” – iar de aici vom construi totul cu o fundație solidă.



Clarificarea cerințelor



Pentru a parcurge acest prim pas, trebuie să ne punem câteva întrebări esențiale:



<ul class="wp-block-list">
<li>Care sunt resursele disponibile în infrastructură? Cum este configurată în prezent și ce componente ar putea fi automatizate?</li>



<li>Ce tipuri de scenarii și opțiuni de onboarding avem la dispoziție? Care sunt pașii specifici necesari pentru fiecare tip de client? Există cazuri particulare sau excepții de luat în considerare?</li>



<li>Ce date trebuie colectate pentru a începe? Cum identificăm toate IP-urile, VLAN-urile, politicile de securitate și configurațiile esențiale?</li>



<li>Cum putem construi o bază clară de referință pentru fiecare etapă a pipeline-ului de automatizare?</li>



<li>Cum putem testa eficient procesul de automatizare înainte de implementarea în producție?</li>
</ul>



Aceste întrebări ne vor oferi direcția de care avem nevoie pentru a construi un plan de acțiune eficient.



Plan de acțiune



<ul class="wp-block-list">
<li>Auditarea infrastructurii: revizuirea tuturor dispozitivelor de rețea, a configurațiilor și a politicilor existente pentru a obține o înțelegere clară a structurii actuale.</li>



<li>Definirea scenariilor de onboarding: dezvoltarea unor scenarii clare de onboarding pentru diferite tipuri de clienți, acoperind cazuri standard, personalizate și complexe, precum și posibile excepții.</li>



<li>Diagrame și arbori decizionali: vizualizarea fluxurilor de lucru prin diagrame și arbori decizionali care să contureze fiecare pas și punct de decizie din procesul de onboarding.</li>



<li>Construirea unei surse de adevăr: centralizarea informațiilor într-o platformă precum NetBox pentru a menține actualizate evidențele dispozitivelor, adreselor IP, clienților și altor elemente ale infrastructurii care vor servi drept single source of truth.</li>



<li>Identificarea soluțiilor automatizabile: analizarea părților din procesul de onboarding care pot fi automatizate.</li>



<li>Stabilirea punctelor de verificare: definirea unui proces de testare pentru a valida că fiecare configurare este corectă înainte de implementare.</li>
</ul>







2. Configurarea infrastructurii de automatizare



După definirea workflow-ului și a cerințelor, următorul pas este alegerea instrumentelor potrivite pentru automatizarea infrastructurii. Iată câteva exemple de soluții folosite frecvent în automatizarea rețelelor, fiecare cu propriile avantaje și scenarii de utilizare:



REST API



REST API permite configurarea directă a echipamentelor de rețea prin HTTP requests (eg. GET, POST, PUT, DELETE). Practic, REST API oferă o suită de endpoint-uri pe care trebuie să le accesăm programatic pentru a interacționa cu infrastructura. Documentația API-ului, accesibilă de obicei pe portalul producătorului sau în interfața echipamentului, descrie structura fiecărui endpoint, inclusiv parametrii și cerințele de autentificare. Odată ce endpoint-ul este identificat și structura cererii este definită, putem trimite cererea către echipament folosind un script în limbaje precum Python.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="447" src="https://wp.arcticstream.ro/wp-content/uploads/2024/12/swagger-1-1024x447.png" alt="" class="wp-image-1976" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/12/swagger-1-1024x447.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/swagger-1-300x131.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/swagger-1-768x336.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/swagger-1.png 1300w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>







NETCONF și RESTCONF



NETCONF și RESTCONF sunt protocoale standardizate pentru configurarea rețelelor, bazate pe modele de date YANG, care definesc structura și tipul de date ale configurărilor. Acestea permit accesul la modele standardizate, precum OpenConfig (pentru configurarea comună pe dispozitive multivendor) sau modele vendor specific, cum ar fi Cisco-NX-OS-device. NETCONF funcționează pe bază de SSH și este mai potrivit pentru configurări complexe și tranzacționale, oferind suport pentru operațiuni atomice și rollback automat. RESTCONF utilizează HTTP/HTTPS și este mai simplu de integrat, fiind optim pentru interacțiuni rapide, cum ar fi extragerea de date sau modificările incrementale.



Scripturi Python. Python este o alegere excelentă pentru automatizare datorită gamei largi de module care simplifică sarcinile de rețea. Iată câteva dintre cele mai utile soluții pentru automatizarea rețelei:



<ul class="wp-block-list">
<li>SDK-uri Python: module precum Cisco ACI Toolkit sau UCS Python SDK oferă funcții predefinite pentru gestionarea politicilor și interfețelor, eliminând apelurile directe REST API.</li>



<li>Netmiko: o librărie simplificată pentru conexiuni SSH, compatibilă cu mai multe platforme (Cisco, Juniper, HP), permițând configurarea directă prin CLI.</li>



<li>NAPALM: librărie multivendor care abstractizează funcții comune de rețea – configurări, colectarea datelor de stare și verificările de conformitate – utilă în medii mixte de echipamente.</li>



<li>Nornir: framework de automatizare pentru workflow-uri complexe, cu integrare ușoară cu Netmiko și NAPALM pentru management centralizat la scară mare.</li>
</ul>



<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow"></blockquote>







Ansible



Ansible este o soluție de automatizare simplă și eficientă, bazată pe playbook-uri YAML, care facilitează standardizarea configurărilor pentru rețele și servere. Datorită modularității sale, Ansible este compatibil cu o gamă largă de platforme de rețea și servere, făcându-l ideal pentru scenarii multivendor în care este necesară o abordare unitară. Playbook-urile Ansible sunt scrise într-un format ușor de citit și de modificat, permițând echipelor să configureze infrastructura fără a necesita scripting complex. Ansible include module dedicate pentru rețele, care permit configurarea rapidă și eficientă a unor elemente esențiale precum VLAN-urile, ACL-urile, interfețele și politicile de securitate pe platforme populare precum Cisco IOS, NX-OS și ACI.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="760" height="557" src="https://wp.arcticstream.ro/wp-content/uploads/2024/12/ansible-2.jpg" alt="" class="wp-image-1978" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/12/ansible-2.jpg 760w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/ansible-2-300x220.jpg 300w" sizes="auto, (max-width: 760px) 100vw, 760px" /></figure>







Terraform



<ul class="wp-block-list has-lg-font-size"></ul>



Terraform este un instrument puternic de Infrastructure as Code (IaC), ideal pentru gestionarea resurselor atât on-premises, cât și în cloud, într-un mod declarativ. Terraform le permite inginerilor să definească starea dorită a infrastructurii și să aplice automat modificările necesare pentru a ajunge la această stare. Un avantaj major al Terraform este suportul pentru controlul versiunilor infrastructurii. Astfel, modificările pot fi urmărite și gestionate în mod controlat, permițând rollback rapid dacă apar probleme.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="1024" height="386" src="https://wp.arcticstream.ro/wp-content/uploads/2024/12/terraform-1.png" alt="" class="wp-image-1980" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/12/terraform-1.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/terraform-1-300x113.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/terraform-1-768x290.png 768w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>







Managementul secretelor



<ul class="wp-block-list has-lg-font-size"></ul>



Indiferent de soluția aleasă, gestionarea secretelor este crucială pentru securitatea proceselor automate. Ultimul lucru pe care ni-l dorim este să avem credențiale expuse public în istoricul unui repo pe Git! Instrumente precum HashiCorp Vault permit stocarea securizată a acestor informații sensibile, reducând riscul ca ele să apară din greșeală în scripturi și configurații, la îndemâna oricui.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="665" src="https://wp.arcticstream.ro/wp-content/uploads/2024/12/tools-1-1024x665.png" alt="" class="wp-image-1982" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/12/tools-1-1024x665.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/tools-1-300x195.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/tools-1-768x498.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/tools-1.png 1345w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>







Instalarea instrumentelor de automatizare



După selectarea instrumentelor de automatizare, următorul pas este instalarea acestora. Pentru o gestionare centralizată și eficientă, se recomandă instalarea tuturor instrumentelor de automatizare pe un server dedicat de automatizare. Acesta poate fi o mașină virtuală on-premises sau un server în cloud, în funcție de infrastructură și de cerințele de securitate.







3. Crearea și testarea template-urilor de automatizare



După tot acest research, e timpul să trecem la partea interesantă: construirea template-urilor și scripturilor de automatizare. Acestea vor aduce consistență, reducând erorile și timpul de configurare pentru fiecare implementare.



Construirea template-urilor și scripturilor



Pentru a construi template-uri și scripturi eficiente, este important să urmăm câteva principii de bază. În primul rând, ne vom asigura că acestea sunt reutilizabile și ușor de adaptat, astfel încât să poată fi folosite pentru diverse scenarii de configurare, fără modificări majore. Fiecare template va fi parametrizat, permițând personalizarea configurărilor (precum VLAN-uri, IP-uri și politici de securitate) prin simpla ajustare a unor valori.



Construirea unui mediu de testare



Ca să evităm scenarii de genul &#8216;cine a dezactivat toate interfețele?&#8217;, este critic să testăm template-urile și scripturile într-un mediu controlat înainte de a le rula în producție. Pentru aceasta va fi nevoie sa creăm un mediu de test. Pentru a crea un sandbox de testare eficient, se va configura un laborator dedicat unde template-urile și scripturile pot fi rulate în siguranță, pe echipamente simulate sau pe resurse non-critice. În mod ideal, mediul de test ar trebui se replice setările din producție cât mai fidel posibil.



Rularea scripturilor și validarea în mediu de test



După construirea mediului de testare, este timpul să rulăm template-urile și scripturile pentru a valida funcționalitatea acestora. Vom executa scripturile si vom monitoriza atent comportamentul pentru a ne asigura că efectul rezultat este cel dorit. În cazul în care apar probleme, vom ajusta template-urile înainte de a le implementa în producție, astfel încât să evităm surprizele neplăcute.



Implementarea în producție



Odată ce template-urile și scripturile au fost validate, acestea pot fi aplicate în mediile de producție. Se recomandă ca, înainte de rularea efectivă în producție, să se asigure un mecanism de fallback pentru a reseta configurațiile în cazul unor eventuale bug-uri neprevăzute.







4. Integrare, monitorizare și mentenanță



După ce automatizarea este validată în producție, următorul pas este să centralizăm și să asigurăm buna funcționare a configurărilor printr-o integrare într-un pipeline CI/CD, monitorizare continuă și mentenanță activă. Aceste practici ne permit să menținem stabilitatea rețelei și să adaptăm automatizarea la nevoile organizației.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="612" height="289" src="https://wp.arcticstream.ro/wp-content/uploads/2024/12/cicd-pipeline-1.png" alt="" class="wp-image-1984" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/12/cicd-pipeline-1.png 612w, https://wp.arcticstream.ro/wp-content/uploads/2024/12/cicd-pipeline-1-300x142.png 300w" sizes="auto, (max-width: 612px) 100vw, 612px" /></figure>



Integrarea într-un pipeline CI/CD



Integrarea automatizării într-un pipeline CI/CD, precum Jenkins sau GitLab CI/CD, asigură o implementare centralizată și eficientă a modificărilor în rețea. Un pipeline CI/CD oferă un proces bazat pe pași, parcurgând etape esențiale, cum ar fi provizionarea resurselor, rularea scripturilor, testarea și validarea configurărilor. Fiecare actualizare a template-urilor și scripturilor poate trece prin aceste etape de testare și aprobare, reducând riscul de erori și oferind un control constant asupra versiunilor, esențial pentru stabilitatea infrastructurii.



Mentenanță și îmbunătățiri continue



Pentru a menține automatizarea relevantă și funcțională, este esențial să avem un proces activ de mentenanță și optimizare. Pe măsură ce cerințele evoluează, va fi necesar să actualizăm template-urile și scripturile, fie prin adăugarea de noi scripturi, fie prin optimizarea celor existente. În plus, audituri periodice ajută la identificarea unor posibile îmbunătățiri și ne asigură că automatizarea funcționează conform așteptărilor.



Concluzii



Automatizarea bine gândită ne duce cu un pas mai aproape de acel ideal de infrastructură scalabilă și configurabilă fără efort. Am văzut cum trecerea de la ClickOps la un pipeline de automatizare eficient poate reduce erorile și simplifica procesele, eliberând echipele de sarcini repetitive și îndreptându-le atenția către optimizare și inovare. În cele din urmă, automatizarea aduce centrele de date mai aproape de promisiunea unei infrastructuri moderne, cu adevărat pregătite pentru viitor.



Dacă doriți să transformați procesele din centrele de date ale companiei dumneavoastră și să faceți pasul de la ClickOps la DevOps, echipa Arctic Stream vă stă la dispoziție! Contactați-ne la <a href="mailto:sales@arcticstream.ro">sales@arcticstream.ro</a> pentru soluții personalizate și suport în construcția unui pipeline de automatizare adaptat nevoilor dumneavoastră.

De la ClickOps la DevOps: optimizarea proceselor în centrele de date

Într-o lume din ce în ce mai interconectată, organizațiile trebuie să se asigure că rețelele lor sunt nu doar rapide, dar și sigure și scalabile. MPLS (Multiprotocol Label Switching) se dovedește a fi una dintre soluțiile de vârf care răspund acestor cerințe. Recent, am avut oportunitatea să explorez în detaliu această tehnologie, prin implementarea unor soluții de VPN bazate pe MPLS și BGP, care m-au ajutat să înțeleg nu doar puterea acestei tehnologii, ci și importanța ei în peisajul actual al rețelelor.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="544" height="242" src="https://wp.arcticstream.ro/wp-content/uploads/2024/11/Screenshot-2024-10-10-112240.png" alt="" class="wp-image-1744" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/11/Screenshot-2024-10-10-112240.png 544w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Screenshot-2024-10-10-112240-300x133.png 300w" sizes="auto, (max-width: 544px) 100vw, 544px" /></figure>



Ce este MPLS și de ce este atât de important? La baza sa, MPLS este o tehnologie de rutare care permite transmiterea eficientă a pachetelor de date printr-o rețea, prin utilizarea unor &#8222;etichete&#8221;. Spre deosebire de metodele tradiționale de rutare care se bazează pe adrese IP, MPLS direcționează pachetele de date pe baza acestor etichete, ceea ce reduce semnificativ timpul de procesare și optimizează fluxul de date. Acest lucru este esențial pentru aplicațiile care necesită o latență scăzută și o disponibilitate constantă, cum ar fi telefonia IP sau transmisia video. &nbsp;



Unul dintre marile avantaje ale MPLS este flexibilitatea sa. Această tehnologie nu este limitată la un anumit tip de trafic sau protocol, ceea ce o face ideală pentru rețelele care transportă o varietate de servicii. În plus, MPLS permite furnizorilor de servicii să ofere o gamă largă de servicii de rețea, cum ar fi VPN-uri (rețele virtuale private), QoS (calitatea serviciului) și multe altele, toate pe aceeași infrastructură. Cum funcționează MPLS? MPLS funcționează prin atribuirea unei etichete fiecărui pachet de date la intrarea într-o rețea MPLS. Această etichetă conține informații despre calea pe care trebuie să o urmeze pachetul prin rețea, permițându-i să fie comutat rapid de la un nod la altul fără a fi nevoie de o examinare detaliată a adresei IP la fiecare pas. Acest proces de comutare pe baza etichetei este ceea ce face ca MPLS să fie mult mai rapid decât metodele tradiționale de rutare. &nbsp;



În cadrul unui proiect la care am lucrat, am configurat protocoale, precum OSPF (Open Shortest Path First) și LDP (Label Distribution Protocol) pentru a stabili și gestiona căile de rutare în rețea. De exemplu, OSPF a fost folosit pentru a asigura convergența rapidă a rutelor în cadrul rețelei furnizorului de servicii, iar LDP a fost utilizat pentru a distribui etichetele de rutare, esențiale pentru funcționarea MPLS.ibuted the essential routing labels required for MPLS functionality.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="527" src="https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-1024x527.png" alt="" class="wp-image-1747" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-1024x527.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-300x154.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-768x395.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-1536x791.png 1536w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-2048x1054.png 2048w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



Topologie VPN MPLS trei furnizori



MPLS și VPN-urile: O combinație puternică Una dintre aplicațiile cele mai importante ale MPLS este în crearea VPN-urilor (rețele virtuale private). Prin utilizarea VRF-urilor (Virtual Routing and Forwarding), MPLS permite ca mai multe instanțe de rutare să coexiste pe aceeași infrastructură fizică. Acest lucru înseamnă că fiecare client (în cazul în care vorbim de un Service Provider) sau departament în cadrul aceluiași client poate avea propria rețea privată, complet izolată de ceilalți clienți respectiv de celelalte departamente, cu propriile reguli de rutare și politici de securitate.



 Spre exemplu, putem configura două VPN-uri separate pentru doi clienți diferiți. Fiecare VPN avea propriile rute și politici de securitate, gestionate prin intermediul VRF-urilor pe routerele Provider Edge (PE). Acest lucru nu doar că asigura confidențialitatea datelor fiecărui client, dar permite și o administrare centralizată și eficientă a rețelei, chiar și în condițiile unei infrastructuri comune.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="729" src="https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-1024x729.png" alt="" class="wp-image-1750" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-1024x729.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-300x214.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-768x547.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-1536x1093.png 1536w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-2048x1458.png 2048w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



Topologie VPN MPLS un singur furnizor



Integrarea cu BGP O altă componentă importantă în implementarea MPLS este integrarea cu protocolul BGP (Border Gateway Protocol). BGP este utilizat pentru a gestiona rutele între diferite sisteme autonome (AS-uri), iar în contextul MPLS, versiunea sa extinsă, MP-BGP (Multiprotocol BGP), permite transportul nu doar al rutelor IPv4, ci și al rutelor VPNv4. Această funcționalitate este esențială pentru a asigura că traficul VPN este rutat corect prin rețeaua MPLS. &nbsp;



MP-BGP este configurat pentru a transporta rutele între diferitele site-uri ale clienților, asigurându-ne că fiecare pachet de date ajunge la destinația corectă, indiferent de complexitatea rețelei furnizorului de servicii. BGP este, de asemenea important pentru prevenirea buclelor de rutare și pentru asigurarea redundanței, necesare în orice rețea de mari dimensiuni. &nbsp;



Beneficiile MPLS în practică &nbsp;



După ce am trecut prin toate etapele de implementare și configurare, am realizat cât de puternică este această tehnologie. În esență, MPLS oferă o soluție care nu doar că simplifică procesul de rutare, dar și îmbunătățește considerabil performanța rețelei. Scalabilitatea este un alt avantaj major: pe măsură ce o organizație crește, MPLS poate fi ușor extins pentru a acomoda noi locații și utilizatori, fără a compromite securitatea sau performanța. Un alt beneficiu major al MPLS este securitatea sporită. În plus, prin utilizarea tehnologiilor de criptare, cum ar fi IPsec, pentru protejarea datelor, MPLS devine o opțiune și mai atractivă pentru organizațiile care lucrează cu informații sensibile. MPLS nu este doar o tehnologie de rețea; este un game-changer pentru companiile care doresc să îmbunătățească performanța, securitatea și scalabilitatea rețelelor lor. Deși implementarea sa poate părea complexă la început, beneficiile pe termen lung fac ca acest efort să merite din plin. Prin combinația sa unică de viteză, flexibilitate și securitate, MPLS este, fără îndoială, soluția de care au nevoie rețelele moderne pentru a face față provocărilor viitoare. Pentru oricine este interesat să exploreze mai adânc această tehnologie, recomand să începeți prin implementarea unei soluții VPN MPLS pe o topologie mică folosind un simulator de rețea precum GNS3. Nu numai că vă va oferi o înțelegere practică a modului în care funcționează MPLS, dar vă va pregăti și pentru provocările reale dintr-o infrastructură de rețea complexă. Explorarea și implementarea tehnologiilor SD-WAN sau a altor soluții de rețea definită prin software poate oferi beneficii suplimentare în ceea ce privește flexibilitatea și gestionarea centralizată prin adaptarea la cerințele dinamice ale rețelelor clienților. Bibliografie: Luc. De Ghein, MPLS fundamentals. Cisco Press, 2006. Lancy. Lobo, Umesh. Lakshman, Andy. Schutz, Raymond. Zhang, and Alex. Raj, MPLS configuration on Cisco IOS software. Cisco Press, 2006.

Impactul soluției VPN MPLS asupra rețelelor

Networking

Imaginați-vă că într-o zi vă conectați la rețeaua companiei și descoperiți că datele sensibile au fost compromise. Totul a pornit de la un singur fișier nesigur care a scăpat printre ”scuturile” rețelei. Aceasta este o realitate zilnică pentru multe organizații. Însă, cu un firewall bine configurat, astfel de scenarii pot fi prevenite.



Scutul tău în lumea digitală



Firewall-ul reprezintă un concept esențial în domeniul securității cibernetice. Necesitatea lui a luat naștere odată cu creșterea utilizării rețelelor de calculatoare și a Internetului, implicit cu creșterea pericolelor la care utilizatorii erau expuși. Datele transmise de o sensibilitate deosebită erau ușor compromise. Termenul CIA (Confidentiality, Integrity, Availability) descrie modurile în care atacatorii pot pune în pericol informațiile transmise între utilizatori. Datele trebuie să fie confidențiale, mai exact disponibile numai pentru utilizatorii finali. De asemenea, trebuie să fie intacte, fără să fie alterate de o persoană terță și tot timpul disponibile utilizatorilor când au nevoie de ele. Firewall-ul este una dintre soluțiile folosite pentru protejarea atributelor descrise de CIA, în combinație cu alte tehnologii.



Cum funcționează un Firewall?



Un Firewall este un echipament de rețea care acționează între rețeaua locală a unei companii și Internet. Funcționează ca un “paravan”, monitorizând și controlând traficul de rețea pe baza unor reguli predefinite de administratorul de rețea. Firewall-ul are rolul de a examina pachetele care intră în rețeaua locală și de a decide dacă acestea respectă cerințele pentru a putea fi transmise mai departe. Regulile pot fi simple, cum ar fi blocarea accesului în anumite locații geografice, până la foarte complexe, analizând tipul de trafic, porturile și aplicațiile folosite, precum și comportamentul acestora.



<figure class="wp-block-image aligncenter size-full is-resized"><img loading="lazy" decoding="async" width="934" height="525" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Firewall_eng.png" alt="" class="wp-image-1243" style="width:934px;height:auto" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Firewall_eng.png 934w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Firewall_eng-300x169.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Firewall_eng-768x432.png 768w" sizes="auto, (max-width: 934px) 100vw, 934px" /></figure>



Pe lângă funcțiile de bază, un Firewall poate detecta tipurile de trafic neobișnuite, cum ar fi un volum mare de date transmise într-un interval scurt de timp. Poate recunoaște tipuri de atacuri, cele mai des întâlnite sunt atacurile de tip DoS (Denial-of-Service) sau DDoS (Distributed DDoS) care compromit funcționarea echipamentelor de rețea cu trafic fals, sau cele de tipul “Man-in-the-Middle”, în care atacatorul interceptează și chiar alterează comunicația. După recunoașterea unui comportament anormal, Firewall-ul poate bloca pachetele de date suspecte sau poate restricționa accesul către anumite adrese IP, porturi și/sau aplicații. Tipuri de Firewall-uri și utilizări Firewall-ul a evoluat semnificativ pe parcursul deceniilor. În anii ’90, a început de la un echipament simplist care doar filtra pachetele transmise pe baza unor reguli rudimentare și monitoriza traficul de rețea, iar în prezent are mult mai multe funcționalități și posibilități de implementare, prezentate în următoarele rânduri. Next Generation Firewall funcționează la nivelul aplicațiilor, acesta a evoluat pentru a face față amenințărilor complexe. Documentația amintește cele mai importante capabilități ale sale: funcționalitățile unui Firewall standard, cum ar fi inspecția “orientată” (Stateful Inspection), prevenirea intruziunilor (Intrusion Prevention System &#8211; IPS), controlul aplicațiilor (Application Awareness and Control) și integrarea cu surse inteligente actualizate cu informații despre posibile noi atacuri. Acestea permit Firewall-ului să detecteze și să blocheze atacurile cibernetice în timp real și să se adapteze la noi amenințări prin upgrade-uri viitoare. Acest echipament poate fi implementat în următoarele moduri: &nbsp;



<ul class="wp-block-list">
<li>Firewall-uri Hardware: de regulă, se instalează la granița dintre rețeaua locală și Internet, protejând astfel întreaga rețea de atacuri externe;</li>



<li>Firewall-uri Virtuale: pot fi implementate în Data Center, sub formă de containere virtualizate pe echipamente de rețea, în infrastructurile de Cloud, iar nivelul de protecție este asemănător cu al celor de tipul Hardware.</li>
</ul>



Un avantaj important îl constituie delimitarea zonelor de trafic, astfel Firewall-ul segmentează și protejează diferite părți ale unei de rețele în funcție de necesități. Cele mai întâlnite zone sunt următoarele:



<ul class="wp-block-list">
<li>Zona externă: Internetul;</li>



<li>Zona internă: rețeaua locală a unei organizații, unde se găsesc și dispozitivele și resursele interne;</li>



<li>Zona demilitarizată: o zonă tampon între rețeaua internă și cea externă, unde sunt plasate serverele care trebuie să fie accesibile atât din interiorul, cât și din exteriorul rețelei.</li>
</ul>



Traficul între aceste zone este controlat de obicei cu ajutorul unui set de reguli care specifică tipurile de trafic permis, respectiv respins, translatarea adreselor IP private în adrese IP publice și permiterea conexiunilor securizate printr-o rețea privată virtuală. Din punct de vedere logic, modurile de implementare cel mai des întâlnite sunt Transparent și Routed. Un Firewall în modul Routed este responsabil cu separarea segmentelor de rețea, rutarea traficului între acestea și controlul granular asupra traficului. În modul Transparent, echipamentul nu modifică schema de rutare, doar se ocupă cu filtrarea traficului. Este o modalitate des folosită, deoarece nu este nevoie de modificarea infrastructurii existente, rețeaua poate fi securizată doar adăugând echipamentul ce funcționează ca un “bump in the wire”. Pentru a asigura o protecție optimă împotriva amenințărilor cibernetice, politicile de securitate trebuie actualizate periodic în cadrul proceselor de mentenanță. Aceste actualizări sunt necesare pentru îmbunătățirea măsurilor existente de securitate, astfel încât să corespundă celor mai recente cerințe pe piață. Deși au apărut alte soluții de securitate, Firewall-ul rămâne un element de bază care trebuie să existe în rețeaua clienților. El funcționează ca prima linie de apărare, la fel cum se construiau zidurile în jurul cetăților în trecut. Pentru un nivel de protecție ridicat, pe lângă utilizarea unui Firewall, este recomandat să fie utilizate și soluții de securitate la nivel Endpoint, Web, E-mail etc. Firewall-ul în contextul actual Atacurile cibernetice devin din ce în ce mai sofisticate și greu de descoperit, implicit greu de oprit. În acest context, Firewall-ul are un rol important în protecția datelor personale, a informațiilor sensibile și a resurselor critice. Este o componentă activă care contribuie la protejarea integrității și confidențialității datelor și asigură accesul controlat pentru utilizatorii autorizați. De exemplu, ultima versiune Secure Firewall Threat Defense 7.6 de la Cisco aduce noutăți pentru a ține pasul cu amenințările noi. Din punct de vedere al integrării soluțiilor în Cloud au fost adăugate noi capacități, cum ar fi Cisco Security Cloud Integration și AI Assistant. Categoria Threat și Malware beneficiază de introducerea SnortML pentru detectarea atacurilor cunoscute, dar și a celor de tip “zero-day” (exploatarea vulnerabilităților necunoscute), iar Simplified Do-Not-Decrypt oferă utilizatorilor posibilitatea de a alege ce conexiuni înafara rețelei locale să nu fie decriptate. Soluția SD-WAN beneficiază de asemenea, de extinderea capabilităților cu SD-WAN Wizard care introduce o modalitate simplificată și automatizată de creare, configurare și management a topologiei în FMC (Firewall Management Center). Într-o lume în continuă evoluție din punct de vedere al digitalizării și tot mai conectată, utilizarea unui Firewall în rețeaua locală nu mai este doar o opțiune, ci o necesitate. Soluțiile de Firewall pot fi personalizate în funcție de nevoile clienților și posibilitățile de implementare. Arctic Stream se poziționează ca un partener de încredere în acest proces, cu o echipă de specialiști gata să ofere consultanță și suport. Pentru informații suplimentare sau pentru a discuta nevoile specifice ale rețelei dumneavoastră, contactați-ne la <a href="mailto:office@arcticstream.ro" target="_blank" rel="noreferrer noopener">office@arcticstream.ro</a> și consultați un specialist pentru a vă asigura că sunteți protejați împotriva celor mai noi amenințări.

Firewall-ul: Prima linie de apărare în securitatea cibernetică

Acest text nu e scris cu AI și nici inspirat de ce au avut de zis alții pe Internet. E o poveste personală și imperfectă.



Ideea seriei de articole care urmează a apărut într-o zi când povesteam Ancăi, noua noastră colegă Marketing Manager, cum am ajuns să fac ce fac, și în general ce ne aseamănă și ce ne adună pe toți colegii în același loc, astfel încât să ne facem atât de bine treaba ca un întreg. Poate că și clienții ar vrea să știe, a revenit Anca mai târziu. Poate că e și ceva de învățat din atâta experiență colectivă.



Cariera în IT



Atunci când mi-am început cariera în IT, inginerii intrau în meserie din curiozitate și pasiune. Tot pasiunea împreună cu contextul au făcut ca fiecare să apuce pe câte o cale, de parcă Sorting Hat din Harry Potter își spusese cuvântul. În contextul unei firme de IT, unii și-au dorit adrenalina depanării, alții structura planificării și proiectării &#8211; sau pur și simplu ambiția din vânzări. Pe alții corporația i-a făcut șefi. Eu am avut șansa de a îmi pune pălăria de mai multe ori, și prin urmare de a mă dezvolta lateral. Așa mi-am format mai degrabă o gândire de consultant, decât de management de linie.&nbsp;



Un lucru important a fost că atât eu, cât și majoritatea colegilor actuali nu am lucrat niciodată direct pentru utilizatorul final al tehnologiei, și asta mi-a permis să văd frecvent o altă stivă tehnologică și mod de a face lucrurile. Tot la fel ca și majoritatea colegilor, am trecut printr-o firmă de telecomunicații, și astfel am văzut tehnologia aplicată la scară mare. Pe scurt: un drum cu deschidere, schimbare frecventă de context, și cu structură și gândit la scară mare.



Pe de altă parte, clienții noștri sunt utilizatori finali ai tehnologiei. Un arhitect sau un expert IT competent nu ar avea de lucru constant la întreaga capacitate, iar pentru client nu ar avea sens economic. Cu alte cuvinte, dacă pentru un integrator de sisteme are sens să aibă experți în toate stadiile din ciclul de viață IT, pentru clienți nu are sens.



Ciclul de viață al unui sistem



Pentru a înțelege diversele roluri de care un integrator IT are nevoie, este necesară perspectiva ciclului de viață al unui sistem. Cisco îl vede ca: pregătire (identificare obiective), planificare (evaluarea stării inițiale versus cerințe), proiectare (în funcție de obiectivele de business și cerințele tehnice), implementare, operare și optimizare. Un arhitect este implicat în tot ciclul de viață (plan, build, manage). Deși percepția generală este că un arhitect doar proiectează, rolul său e de a elimina presupunerile și de a aduce focus și claritate în proiect pe întreaga sa durată (ce este important și corect de făcut și cât de fezabil este), atât către business, cât și către tehnic. De asemenea, un arhitect trebuie să își cunoască opțiunile și să fi avut experiență cu ele.



Un arhitect lucrează cu o organizație temporară de proiect, dar pe de altă are în vedere evoluția infrastructurii pe termen lung, și se asigură că derapajele sunt ținute sub control (cu alte cuvinte, se poziționează într-un sfătuitor de încredere pentru client). Pe de altă parte, nu orice proiect are nevoie de un arhitect. Deseori, acolo unde proiectul e bazat pe o singură tehnologie și cerințele sunt clare, un inginer expert poate prelua acest rol. La rândul său, arhitectul a fost și încă mai este expert în unul sau mai multe domenii (pentru că altfel nu și-ar putea argumenta opiniile tehnice), iar acolo unde nu este se bazează pe munca altor experți, atât dintre colegii săi cât și de la parteneri, dar tot trebuie să poată evalua opțiunile.



Interacțiunea arhitectului cu alte roluri



De-a lungul ciclului de viață al sistemului, arhitectul interacționează cu alți colegi ce au diferite roluri, dintre cea mai lungă bucată de drum cu managerul de proiect. Deși uneori rolurile se pot confunda, acesta este o altă persoană decât arhitectul. Arhitectul este liderul tehnic al proiectului, pe când managerul urmărește încadrarea în timp, buget și resurse (cu alte cuvinte, ține ritmul). Totuși, este răspunderea arhitectului să prevadă riscurile, să estimeze inițial costurile și resursele și să îi fie clară ordinea operațiilor și dependențele, pentru ca managerul de proiect să știe să le urmărească. În faza de operare, un service delivery manager va prelua rolul managerului de proiect, pentru că proiectul se va fi transformat în proces.



Arhitectul interacționează cu sponsorii proiectului pentru a înțelege obiectivele și constrângerile economice, în special în faza de planificare. Un sponsor este persoana din management (atât de la executant, cât și de la client) care este cea mai interesată de buna execuție a proiectului și care ia deciziile de business importante, legate de bani și riscuri. Apoi, începând cu proiectarea, arhitectul interacționează cu experții tehnici. În faza de implementare, arhitectul coordonează munca tehnică, înțelege logistica și poate participa la rândul sau în execuție cu partea sa de expertiză. Nu în ultimul rând, îndrumă corecțiile necesare în faza de operare și optimizare, pe baza feedback-ului primit de la client și de la colegii săi. Foarte important, bucla de feedback nu există numai în faza de operare, ci pornește de la planificare! Un proiect reușit va fi consumat multe discuții încă înainte de implementare, iar documentația trebuie începută tot înainte.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="441" height="316" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/IT-Architect-AST-system-lifecycle.gif" alt="" class="wp-image-1235"/></figure>



Un arhitect ar trebui să poată să pună întrebările relevante, să testeze, să sintetizeze, să prezinte și să scrie. În această capacitate, poate ajuta activitatea de pre-vânzări, de marketing sau de vânzări, acolo unde este nevoie.



Un arhitect nu este manager operațional. Echipa tehnică face parte dintr-o organizație permanentă, care împrumută experții sau inginerii de implementare proiectului, spre deosebire de echipa de proiect care este o organizație temporară. De aceea, există un rol de management separat pentru echipa de implementare. De asemenea, managerii de proiect au și ei propria organizare permanentă (PMO), la fel cum și arhitecții pot să o aibă (AMO), în funcție de mărimea organizației, diversitatea tehnologiilor acoperite, respectiv ponderea activităților de proiectare versus implementare și operațional. Nici organizația de pre-vânzări nu acoperă complet arhitectura, pentru ca ea nu urmărește tot ciclul de viață a unui sistem, și este concentrată mai degrabă pe activitatea de livrare de echipamente fără a fi parte dintr-un proiect.



În loc de concluzii



Dacă ar fi să dau câteva sfaturi în urma experienței câștigate, iată câteva care mi se par foarte importante:



<ul class="wp-block-list">
<li>Nu presupune, întreabă.</li>



<li>Fii deschis, nu ignora informația care nu se potrivește sau care contrazice ce știi.</li>



<li>Păstrează tot timpul contextul în minte în timp ce te uiți la detalii, pentru că altfel te pierzi în detalii. A propos, orice generație de ingineri iubește contextul.</li>



<li>Pune întrebări cu candoare, nu cu grija la ce pot crede ceilalți.</li>



<li>Nu îți pune singur limite.</li>



<li>Teoria (cursurile despre cum funcționează tehnologia), testarea, o gândire structurată și ordinea operațiilor sunt importante.</li>



<li>Imaginează-ți proiectul în dinamica sa și du raționamentul până la capăt.</li>



<li>Planifică mult și culege feedback.</li>



<li>Nu te complica (KISS*), cunoaște-ți opțiunile, urmărește cele mai bune practici. În primul rând, infrastructura trebuie să fie ușor de depanat și de extins. Daca e ceva exotic (corner case), vei deschide un caz de lungă durată la TAC**, cel mai probabil.</li>



<li>Deleagă! N-o să poți face totul singur și trebuie să își păstrezi mintea liberă pentru chestiunile importante, nu micro-management.</li>



<li>Bazează-te pe experiența echipei, dar continuă să fii expert în aria ta. A propos, e valabil și pentru juniori: trebuie să te concentrezi să excelezi într-un anumit lucru, înainte de a adăuga următorul strat de cunoștințe.</li>



<li>Nu ignora juniorii, păstrează ușa deschisă și investește timp să îi cunoști. Îți va păstra gândirea proaspătă.</li>
</ul>



* acronim pentru Keep It Simple, Stupid



** Technical Assistance Center

Pălăria vorbitoare: rolul arhitectului IT în cadrul proiectelor complexe

Uncategorized @ro

<h2 class="wp-block-heading">Despre Administraţia Naţională de Meteorologie</h2>



 Administraţia Naţională de Meteorologie are ca principală responsabilitate protecţia vieţii oamenilor şi a bunurilor materiale prin transmiterea de prognoze şi avertizări meteo, prognoze privind dispersia poluanţilor atmosferici pentru situaţii de producere a fenomenelor meteorologice periculoase şi poluări accidentale, precum şi prognoze agrometeorologice către utilizatorii de profil.



 Domeniul de competență al Administraţiei Naţionale de Meteorologie cuprinde cunoașterea, monitorizarea și anticiparea proceselor atmosferice și fenomenelor asociate, iar obiectul principal de activitate îl constituie activitatea de meteorologie și climatologie necesară dezvoltării social-economice a României și integrarea acestei activități în sistemul de convenții și relații internaționale.



<h2 class="wp-block-heading"> Scopul Proiectului</h2>



 Obiectivul general al proiectului a fost modernizarea infrastructurii de telecomunicații în scopul de a îmbunătății performanțele sistemului informatic al Administraţiei Naţionale de Meteorologie, implicit a activităţii operative de transmitere de date şi produse meteorologice catre institutiile statului, populatie și beneficiari, activități care să se desfășoare în conformitate cu standardele de comunicații și securitate din domeniul IT&amp;C.



 Prin acest proiect, s-a urmărit și construirea bazelor unei rețele solide, cu performanțe imbunătățite pentru utilizatori și pentru aplicațiile folosite în rețea, totodată asigurând o scalabilitate pentru viitor, din punct de vedere al serviciilor, capabilităților și posibilităților de extindere. Urmând ultimele tendințe tehnologice, ANM s-a orientat catre o soluție de tip software-defined, pentru a beneficia de avantajele unei astfel de infrastructuri: automatizare, administrare simplificată centralizată, vizibilitate sporită asupra traficului din rețea precum și reducerea costurilor de operare și scalabilitate crescută.



<div class="wp-block-columns is-layout-flex wp-container-core-columns-is-layout-1 wp-block-columns-is-layout-flex">
<div class="wp-block-column is-layout-flow wp-block-column-is-layout-flow" style="flex-basis:66.66%">
<h2 class="wp-block-heading">Descrierea solutiei tehnice</h2>



 Pentru infrastructura de WAN, s-a ales soluția Cisco SD-WAN, care permite utilizarea ambelor legături cu service providerii, balansând traficul în funcție de calitatea legăturilor și cerințele aplicațiilor ce tranzitează rețeaua. Administrarea întregii soluții se realizează din platforma centralizată vManage, platformă prin intermediul căreia se definesc template-urile pentru configurarea echipamentelor, politicile de trafic în funcție de cerințele aplicațiilor (delay, jitter și packet loss).



Tot prin intermediul platformei se monitorizează starea rețelei și se execută pașii de depanare în cazul apariției unor probleme. Existența controllerului centralizat ajută și la simplificarea instalării și implementării viitoare de echipamente, prin funcționalitatea de tip plug and play (PnP), facilitând astfel scalabilitatea soluției.
</div>



<div class="wp-block-column is-layout-flow wp-block-column-is-layout-flow" style="flex-basis:33.33%">
<figure class="wp-block-image size-large"><img loading="lazy" decoding="async" width="1024" height="574" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/image004-1024x574.png" alt="" class="wp-image-1222" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/image004-1024x574.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image004-300x168.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image004-768x431.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image004-1536x862.png 1536w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image004.png 1920w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>
</div>
</div>



<div class="wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2 wp-block-columns-is-layout-flex">
<div class="wp-block-column is-layout-flow wp-block-column-is-layout-flow" style="flex-basis:33.33%">
<figure class="wp-block-image aligncenter size-full is-resized"><img loading="lazy" decoding="async" width="767" height="813" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/image001.png" alt="" class="wp-image-1224" style="width:259px;height:auto" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/image001.png 767w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image001-283x300.png 283w" sizes="auto, (max-width: 767px) 100vw, 767px" /></figure>
</div>



<div class="wp-block-column is-layout-flow wp-block-column-is-layout-flow" style="flex-basis:66.66%">
Pe zona de LAN, familia de switchuri implementată a fost Cisco Catalyst 9000, administrate centralizat din platforma DNA Center. Similar cu soluția de WAN, Cisco DNA Center asigură un punct unic de configurare și monitorizare pentru switchuri și oferă posibilitatea automatizării provizionării configurațiilor, prin template-uri flexibile. De asemenea, funcționalitatea de auditare a configurațiilor echipamentelor și a versiunilor de software care ruleaza, adaugă un plus de securizare al infrastructurii, determinând dacă există vulnerabilități software prezente în infrastructură, precum și identificarea facilă de schimbări de configurație.&nbsp;&nbsp;&nbsp;&nbsp;



Soluția de securitate este compusă din echipamente Cisco Firepower din seria 2100, configurate în pereche pentru a asigura o disponibilitate înaltă (High Availability) precum și platforma centralizată de management Cisco Firepower Management Center, de unde se operează întreaga configurație a firewallurilor, în vederea aplicării politicilor de filtrare a traficului.
</div>
</div>



Beneficii



<ol class="wp-block-list">
<li>Imbunatățirea funcționării comunicațiilor operative între sediul central și sediile centrelor meteorologice regionaleOdată cu implementarea arhitecturii SD-WAN, ambele conexiuni cu providerii sunt folosite concomitent, oferind sistemelor și aplicațiilor operative cele mai bune rute în funcție de nevoile acestora.</li>



<li>Simplificarea procedurilor de administrare a echipamentelor din rețea. De exemplu, implementarea unei noi politici de trafic sau a unei reguli de access pe echipamente, se implementează din cațiva pași simpli, folosind una dintre platformele de management (vManage, DNA Center, Firepower Management Center). Astfel, se reduce considerabil timpul de operare al schimbărilor în rețea.</li>



<li>Creșterea vizibilității asupra întregii rețele.Procedurile de depanare sunt considerabil reduse ca timp și complexitate, datorită feedbackului pe care îl oferă echipamentele către platformele de management.</li>
</ol>



<h2 class="wp-block-heading">Concluzii</h2>



Furnizarea echipamentelor și a platformelor de management centralizat (SDWAN, DNA Center și FMC) permite Administraţiei Naţionale de Meteorologie să îndeplinească cerințele de fiabilitate, securitate și performanță necesare datelor care se transferă prin intermediul rețelelor LAN și WAN. Platforma de monitorizare a echipamentelor din cadrul sistemului informatic asigura monitorizarea, raportarea si vizualizarea în timp real a incidentelor care pot să apară în funcționarea echipamentelor operative asigurând o reacție rapidă la incidentele de funcționare.



Modernizarea sistemului de comunicatii a contribuit la dezvoltarea capacităţii de informare în timp real a populaţiei cu privire la producerea&nbsp; fenomenelor meteorologice severe extreme şi la schimbările climatice.



Nu in ultimul rând, implementarea acestor soluții oferă personalului de specialitate din cadrul departamentului de sisteme de calcul și telecomunicații oportunitatea de a învăța și de a se dezvolta profesional pe tehnologii de nouă generație.



“Migrarea catre noile tehnologii si paradigma de rețea nu este una facilă. Este nevoie timp și rabdare pentru a le aprofunda, iar partenerul cu care pornești la drum într-o astfel de inițiativă este la fel de important ca tehnologia aleasa. Colaborarea cu Arctic Stream a fost una de excepție, pe tot parcursul proiectului, de la etapele de planificare, livrare, instalare pana la trainingul de transfer de informații de la final. Intelegem pe deplin de ce deviza lor este “Going the Extra Mile” ”



Cătălin Ostroveanu



Director Tehnic, Administrația Națională de Meteorologie



<div data-wp-interactive="core/file" class="wp-block-file"><object data-wp-bind--hidden="!state.hasPdfPreview" hidden class="wp-block-file__embed" data="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Case_study_ANM_1_63fe84bd7f.pdf" type="application/pdf" style="width:100%;height:600px" aria-label="Înglobare pentru Click to download PDF."></object><a id="wp-block-file--media-19da240c-e811-4868-b397-24f0ae1a9fcc" href="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Case_study_ANM_1_63fe84bd7f.pdf">Click to download PDF</a><a href="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Case_study_ANM_1_63fe84bd7f.pdf" class="wp-block-file__button wp-element-button" aria-describedby="wp-block-file--media-19da240c-e811-4868-b397-24f0ae1a9fcc" download>Download</a></div>

Studiu de caz Administraţia Naţională de Meteorologie

Într-o lume în continuă schimbare și globalizare, colaborarea eficientă a devenit esențială pentru succesul afacerilor moderne. Aceasta implică o comunicare transparentă, partajarea ideilor și cunoștințelor, precum și luarea de decizii în echipă, care pot impulsiona inovația și productivitatea.



Situația post-pandemie a adus noi provocări și a schimbat radical modul în care companiile funcționează. Munca la distanță, care a fost adoptată pe scară largă în timpul pandemiei, a devenit o componentă importantă a mediului de lucru hibrid, în care angajații lucrează atât de la distanță, cât și de la birou. Acest nou context a accentuat și mai mult necesitatea unor soluții de colaborare eficiente, care să permită o comunicare eficientă între angajații aflați în diferite locații.



În ultimii ani, Cisco a continuat să inoveze în domeniul colaborării, lansând noi dispozitive și soluții care integrează tehnologii avansate, precum inteligența artificială și analiza datelor.&nbsp;



Portofoliul actual de terminale de colaborare este unul foarte mare și foarte variat, de la terminale și accesorii pentru utilizare individuală (telefoane IP, căști, sisteme complete de videoconferință) până la terminale și accesorii pentru săli mari de conferință (sisteme complete de videoconferință all-in-one sau codecuri de videoconferință care pot forma sisteme complete împreuna cu display-uri de diverse mărimi).



O imagine de ansamblu cu o parte din portofoliul Cisco cu echipamente de colaborare:



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="236" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/WebexComputer.png" alt="" class="wp-image-1202" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/WebexComputer.png 624w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/WebexComputer-300x113.png 300w" sizes="auto, (max-width: 624px) 100vw, 624px" /></figure>







Printre noutățile din portofoliul de colaborare Cisco, se numără echipamente pentru săli de conferințe din seriile Cisco Board și Room dar și terminale pentru utilizare individuală din seriile Cisco Desk și IP Phone.



În articolul de astăzi vă povestim despre noutățile echipamentelor pentru săli de conferințe iar într-un articol viitor, continuăm cu noutățile terminalelor concepute pentru utilizare individuală.



Cele mai noi echipamente pentru sălile de conferințe sunt reprezentate de echipamentele “all-in-one” din familia Cisco Board Pro (Board Pro 55 și Board Pro 75) cât și de noile codec-uri Cisco Room Kit EQ, Cisco Room Bar si Cisco Room Bar Pro. Acestea integrează cele mai noi tehnologii și inovații în domeniul colaborării.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="663" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/image-4-1024x663.png" alt="" class="wp-image-1204" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/image-4-1024x663.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image-4-300x194.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image-4-768x497.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image-4.png 1124w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>







Noua serie Cisco Board Pro vă permite să participați la întâlniri bazate pe video, să folosiți tabla de scris digitală (whiteboard), să adăugați note pe conținutul partajat, să utilizați aplicații web uzuale și să prezentați fără fir (prin Cisco Proximity, Miracast și AirPlay). Aceste dispozitive intuitive includ tot ce este necesar pentru o colaborare eficientă în echipă în spații de colaborare &nbsp;de diverse mărimi (săli de consiliu, săli de conferință, săli de training, etc).



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="499" height="257" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/webex3.png" alt="" class="wp-image-1206" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/webex3.png 499w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/webex3-300x155.png 300w" sizes="auto, (max-width: 499px) 100vw, 499px" /></figure>







Cisco Board Pro sunt echipamente complete de videoconferință (“all-in-one”), incluzând în același sistem: codec videoconferință, display, camere video, microfoane, difuzoare. Suplimentar, se pot include: microfoane de masă sau de tavan cât și o și tabletă pentru control – Cisco Webex Room Navigator (ce se poate monta pe masă sau pe perete).



Caracteristici principale ale echipamentelor Cisco Board Pro:



<ul class="wp-block-list">
<li>Modele de 55-inch sau 75-inch&nbsp;</li>



<li>Touchscreen interactiv ultraHD&nbsp;</li>



<li>Sistem de două camere video 4K inteligente cu funcții de auto-framing, people focus și speaker tracking.&nbsp;</li>



<li>Sistem integrat de difuzoare&nbsp;</li>



<li>Matrice de microfoane formată din 12 elemente</li>



<li>Opțiuni de montare flexibile (pe perete, stand pentru podea sau stand cu roți)</li>



<li>USB-C passthrough: permite dispozitivelor de tip computer (laptop/PC) să utilizeze Cisco Board Pro cu orice client de videoconferință instalat pe computer, beneficiind în același timp de inteligența camerei și a sistemului audio asigurate de Cisco Board Pro</li>



<li>Certificate pentru Microsoft Teams Rooms: oferă o experiență nativă Microsoft Teams pe dispozitivele de colaborare Cisco&nbsp;Board Pro</li>



<li>Produse recunoscute la&nbsp;“Red Dot Design Awards 2022” drept “Best of the Best” ca design de produs și la „UC Awards 2022” drept Best Meeting Room Product” al anului.</li>
</ul>







Noile codec-uri de videoconferință Cisco Room Kit EQ, Cisco Room Bar și Cisco Room Bar Pro includ cele mai noi tehnologii de colaborare și au fost concepute pentru o comunicare eficientă în echipă, fiind proiectate pentru a fi utilizate în săli medii și mari de conferință (în cazul Cisco Room Kit EQ), pentru săli medii (în cazul Cisco Room Bar Pro) sau pentru săli mici de conferință (în cazul Cisco Room Bar).







Aceste dispozitive sunt sisteme de videoconferință formate din codec, camere video, microfoane și difuzoare. Mai trebuie doar să le conectați la un display (a cărui mărime poate fi aleasă în funcție de mărimea sălii) și veți avea un sistem complet de video colaborare.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="243" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Webex.png" alt="" class="wp-image-1200" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Webex.png 624w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Webex-300x117.png 300w" sizes="auto, (max-width: 624px) 100vw, 624px" /></figure>







Cisco Room Kit EQ este unul din cele mai noi echipamente de videoconferință Cisco și este un codec bazat pe inteligență artificială ce include un sistem inteligent de 4 camere video Cisco QuadCam, un sistem audio, de asemenea bazat pe AI, cât și diverse accesorii pentru o colaborare eficientă. Se poate integra cu până la trei display-uri externe, oferind o experiență completă pentru săli mari de conferințe, săli de consiliu, săli de training sau săli de spectacole. &nbsp;



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="227" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Webex4.png" alt="" class="wp-image-1208" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Webex4.png 624w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Webex4-300x109.png 300w" sizes="auto, (max-width: 624px) 100vw, 624px" /></figure>







Caracteristici principale ale echipamentului Cisco Room Kit EQ:



<ul class="wp-block-list">
<li>Codec modular care poate fi combinat cu sistemul de 4 camere Cisco QuadCam sau cu cameră Cisco PTZ 4K, sau cu ambele.</li>



<li>Sistemul inteligent de 4 camere video de 80 MP oferă un singur stream video 1080p bazat pe cadre simultane de la senzorii celor 4 camere</li>



<li>Camera video PTZ 4K este o cameră video AI-powered cu funcții pan, tilt și zoom. Oferă o rezoluție 4K cu un zoom total de 240x (20x optic + 12x digital)</li>



<li>Sistem integrat de difuzoare&nbsp;</li>



<li>Matrice de microfoane formată din 8 elemente</li>



<li>Codecul Kit EQ oferă multiple opțiuni I/O pentru microfoane externe și difuzoare; De asemenea oferă suport pentru conectarea până la 8 microfoane digitale ce folosesc tehnologia audio over IP.</li>



<li>Opțiuni de montare flexibile: Codec-ul poate fi montat pe perete, în rack sau poate fi așezat pe orice suprafață dreaptă; Camera Cisco&nbsp;QuadCam poate fi montată pe perete, pe display sau sub display; Camera Cisco PTZ4K poate fi montată pe perete sau pe tavan).</li>



<li>Oferă funcții de speaker tracking, automatic group-framing și intelligent&nbsp;people framing</li>



<li>Suportă partajare de conținut 4K prin cablu sau fără fir prin Apple AirPlay, Miracast, Webex sau prin USB-C și HDMI Passthrough</li>



<li>Poate fi configurat să ruleze nativ sistemul de operare Webex &#8211; RoomOS sau poate fi configurat să ruleze nativ Microsoft Teams Rooms system.</li>



<li>Interoperabilitate video în modul Webex RoomOS cu Zoom, Microsoft Teams și Google Meet</li>
</ul>







Cisco Room Bar este unul din cele mai compacte echipamente de videoconferință Cisco și este dedicat pentru săli mici de conferință. Este un terminal de videoconferință all-in-one ce include în aceeași carcasă un codec de videoconferință cu cipset Nvidia, cameră video, difuzoare stereo și matrice de microfoane. Suplimentar include și Webex Room Navigator.



Se poate integra cu până la două display-uri externe, oferind o experiență completă pentru participanții la întâlnire.&nbsp;



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="468" height="247" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5.png" alt="" class="wp-image-1210" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5.png 468w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5-300x158.png 300w" sizes="auto, (max-width: 468px) 100vw, 468px" /></figure>







Caracteristici principale ale echipamentului Cisco Room Bar:



<ul class="wp-block-list">
<li>Camera video 12 MP cu zoom 5x și unghi de vizualizare orizontal de 120 de grade</li>



<li>Matrice de microfoane formată din 4 elemente cu funcție de eliminare a zgomotului bazată pe AI</li>



<li>Oferă opțiune pentru conectarea unui microfon extern de masă sau a unui difuzor extern pe USB-A</li>



<li>Opțiuni de montare flexibile:&nbsp;pe perete, pe display sau sub display</li>



<li>Oferă funcții de speaker tracking, automatic group-framing și intelligent&nbsp;people framing</li>



<li>Suportă partajare de conținut 4K prin cablu sau fără fir prin Apple AirPlay, Miracast, Webex sau prin USB-C și HDMI Passthrough</li>



<li>Poate fi configurat să ruleze nativ sistemul de operare Webex &#8211; RoomOS sau poate fi configurat să ruleze nativ Microsoft Teams Rooms system.</li>



<li>Interoperabilitate video în modul Webex RoomOS cu Zoom, Microsoft Teams și Google Meet</li>
</ul>







Cisco Room Bar Pro este cel mai nou terminal de videoconferință Cisco și este dedicat pentru săli medii de conferință. Este un terminal de videoconferință all-in-one ce include în aceeași carcasă un codec de videoconferință, cameră video, difuzoare stereo și matrice de microfoane. Suplimentar include și Webex Room Navigator.



Se poate integra cu până la trei display-uri externe, oferind o experiență completă pentru participanții la întâlnire.&nbsp;



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="214" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture6.png" alt="" class="wp-image-1212" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture6.png 624w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture6-300x103.png 300w" sizes="auto, (max-width: 624px) 100vw, 624px" /></figure>







Caracteristici principale ale echipamentului Cisco Room Bar Pro:



<ul class="wp-block-list">
<li>Codec video inteligent bazat pe cipset Nvidia bazat pe AI</li>



<li>Sistem inteligent de 2 camere video de 96 MP cu zoom 5x, unghi de vizualizare orizontal de 112 grade și funcție tilt motorizat între -2 și 20 de grade</li>



<li>Matrice de microfoane formată din 16 elemente cu funcție de eliminare a zgomotului bazată pe AI</li>



<li>Oferă opțiune pentru conectarea a două microfoane analogice sau 3 microfoane digitale ce folosesc tehnologia audio over IP sau multiple microfoane 3rd party ce folosesc standardul AES67</li>



<li>Include sistem de difuzoare stereo pe 3 canale cu funcție audio spațial</li>



<li>Opțiuni de montare flexibile:&nbsp;pe perete, pe display sau sub display</li>



<li>Oferă funcții de speaker tracking, automatic group-framing și intelligent&nbsp;people framing</li>



<li>Suportă partajare de conținut 4K prin cablu sau fără fir prin Apple AirPlay, Miracast, Webex sau prin USB-C și HDMI Passthrough</li>



<li>Poate fi configurat să ruleze nativ sistemul de operare Webex &#8211; RoomOS sau poate fi configurat să ruleze nativ Microsoft Teams Rooms system</li>



<li>Interoperabilitate video în modul Webex RoomOS cu Zoom, Microsoft Teams și Google Meet</li>
</ul>







Caracteristici smart comune echipamentelor Cisco Board Pro/Room Kit EQ/Room Bar/Room Bar Pro:



Se pot controla perifericele camerei, cum ar fi luminile, separatoarele de cameră și draperiile, utilizând tableta de control &#8211; Cisco Room Navigator (necesită integrare cu un modul 3rd party extern prin intermediul API-urilor personalizabile)







Webex Assistant: utilizatorii se pot alătura la întâlniri prin comenzi vocale preluate de un asistent virtual cu funcții AI&nbsp;



AI-Powered Noise Removal: Eliminare a zgomotului cu ajutorul AI



People Focus: oferă o opțiune inteligentă a aspectului video prin care se elimina spațiul în exces de la podea și tavan



People Count: Sistemul poate număra persoanele din cameră permițând realizarea de analize pentru o planificare mai bună a resurselor



Senzori: Se pot măsura temperatura, umiditatea, zgomotul și lumina din camere atunci când terminalele sunt asociate cu o tabletă de control &#8211; Cisco Room Navigator.&nbsp;



Digital signage – vă permite să afișați conținut personalizat cu scopul de a oferi informații importante pentru angajați și/sau oaspeți

Descoperă noutățile echipamentelor Cisco pentru colaborare audio-video

Nu cu mult timp în urmă, pionierii rețelisticii creionau caracteristicile &#8222;Epocii de piatră&#8221; a networking-ului definind conceptele de Spanning Tree Protocol și VLAN. Cum lumea este într-o continuă evoluție, nu a durat mult până la tranziția către &#8222;Epoca de bronz&#8221;, inginerii desăvârșiți primind titulatura de &#8222;IP Magedon&#8221; pentru că stăpâneau protocoalele de rutare și desenau rețelele pe distanțe geografice mari (WAN). Rețelele au devenit din ce în ce mai mari, făcând din serviciile de Internet și Intranet din interiorul companiilor un atribut din ce în ce mai căutat. Se pune astfel în discuție problema scalabilității din punct de vedere management operațional al rețelelor și, bineînțeles, problema securității acestora.



Networking-ul tranzitează odată cu aceste nevoi către epocile de &#8222;Renastere și Programabilitate&#8221;. Apar concepte precum controllerele centralizate, separarea planurilor, programabilitate sau underlay versus overlay. În zilele noastre ne aflăm la granița dintre aceste două epoci, iar acest lucru, din punct de vedere al rețelelor WAN, se traduce prin includerea mecanismelor software în zona de networking și discutăm astfel despre soluții de tip Software Defined Wide Area Network, pe scurt SDWAN.



Soluția Cisco pentru SDWAN ia naștere în anul 2017, odată cu achiziția companiei Viptela. Tehnologia Viptela a fost înglobată în soluțiile de rutare state-of-the-art deja existente în&nbsp;portofoliul Cisco, conturându-se astfel o nouă generație de rețele WAN, bazate pe conceptul de &#8222;intuitive-networks&#8221; (rețele intuitive), rețele care se adaptează constant condițiilor de trafic, oferă posibilitatea de automatizare și înglobează nativ mecanismele de securitate atât de necesare în contextul climatului cibernetic actual.



Istoric vorbind, cea mai scalabilă arhitectură de WAN era reprezentată prin implementarea tehnologiei DMVPN. Mecanismele de administrare ce presupuneau conectarea pe fiecare echipament în parte și legarea administratorilor de linia de comandă, conturează nevoia unei centralizări, proces prin care să se poată realiza managementul întregii infrastructuri. În SDWAN, managementul se realizează printr-un așa-numit &#8222;Single Pane of Glass&#8221;, o consolă centralizată prin care se pot configura noi feature-uri, dar se pot și vizualiza toate datele despre echipamentele administrate, în vederea eficientizării procesului de depanare.



Pentru depanare, inginerii se confruntă desori cu probleme de funcționalitate a aplicațiilor. Pe zona de transport, zona care este de obicei asigurată de către un provider de servicii, pot apărea modificări ale parametrilor de întârziere și jitter (variația întârzierii), precum și pierderi de pachete (eng. latency, jitter și loss). Soluția Cisco ține cont de acești parametri în scopul alterării rutării de pachete, în timp real. Astfel, pentru aplicațiile susceptibile, spre exemplu, la întârzieri (VoIP, Video etc.), în cazul în care una dintre legăturile de WAN nu îndeplinește parametrii impuși, traficul pentru acea aplicație se va re-ruta automat pe o altă conexiune de WAN. În scenariul ideal în care toate conexiunile de WAN îndeplinesc parametrii impuși, traficul se va balansa pe toate circuitele, acest lucru realizându-se de asemenea în mod automat, fără intervenția administratorului.



Istoric vorbind, cea mai scalabilă arhitectură de WAN era reprezentată prin implementarea tehnologiei DMVPN. Mecanismele de administrare ce presupuneau conectarea pe fiecare echipament în parte și legarea administratorilor de linia de comandă, conturează nevoia unei centralizări, proces prin care să se poată realiza managementul întregii infrastructuri. În SDWAN, managementul se realizează printr-un așa-numit &#8222;Single Pane of Glass&#8221;, o consolă centralizată prin care se pot configura noi feature-uri, dar se pot și vizualiza toate datele despre echipamentele administrate, în vederea eficientizării procesului de depanare.



Pentru depanare, inginerii se confruntă desori cu probleme de funcționalitate a aplicațiilor. Pe zona de transport, zona care este de obicei asigurată de către un provider de servicii, pot apărea modificări ale parametrilor de întârziere și jitter (variația întârzierii), precum și pierderi de pachete (eng. latency, jitter și loss). Soluția Cisco ține cont de acești parametri în scopul alterării rutării de pachete, în timp real. Astfel, pentru aplicațiile susceptibile, spre exemplu, la întârzieri (VoIP, Video etc.), în cazul în care una dintre legăturile de WAN nu îndeplinește parametrii impuși, traficul pentru acea aplicație se va re-ruta automat pe o altă conexiune de WAN. În scenariul ideal în care toate conexiunile de WAN îndeplinesc parametrii impuși, traficul se va balansa pe toate circuitele, acest lucru realizându-se de asemenea în mod automat, fără intervenția administratorului. Scalabilitatea configurării rețelelor SDWAN provine din valorificarea conceptului de Plug-and-Play cee ace se traduce prin realizarea centralizată a configurării, configurare care mai apoi se se distribuie către routere în momentul conectării acestora la rețea. De fapt, configurarea prezentă la nivel central este segregată în template-uri, aspect ce permite reutilizarea unei singure configurări pe mai multe device-uri, îmbunătățindu-se astfel trasabilitatea și procesul de depanare. Din punct de vedere al arhitecturii, soluția SDWAN poate fi văzută ca un &#8222;fabric&#8221; în interiorul căruia există mai multe roluri separate pentru fiecare tip de device. De fapt, aceste funcții se mapează pe planurile din cadrul unui router ce face parte dintr-o rețea clasică – management, control și date. În SDWAN, singurul plan care intră sub jurisdictia routerului este planul de date. Astfel, traficul interesant dintre două locații deservite de două routere diferite, va tranzita data plane-ul celor două echipamente. Din punct de vedere al rutării, tabelele de rutare ale device-urilor sunt populate utilizând planul de control, prin intermediul controller-ului ce poartă numele de vSmart. Acesta are rolul de a agrega update-urile de rutare de la toate echipamentele din rețea și de a le transmite către celelalte routere. vSmart poate fi privit ca fiind omologul route reflector-ului din cadrul protocolului BGP. Managementul infrastructurii se realizează prin intermediul controller-ului ce poartă numele de vManage. Se atinge astfel și cel de-al treilea plan, adică planul de management din cadrul fabric-ului. Ultimul plan este planul de orchestrare. Acesta are rolul de a asigura &#8222;îmbarcarea&#8221; (eng. on-boarding) inițială a routerelor în fabric și este asigurat de către controllerul ce poartă numele de vBond.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="988" height="700" src="https://wp.arcticstream.ro/wp-content/uploads/2023/07/sdwan_1_e2aa21218e.png" alt="" class="wp-image-1788" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/07/sdwan_1_e2aa21218e.png 988w, https://wp.arcticstream.ro/wp-content/uploads/2023/07/sdwan_1_e2aa21218e-300x213.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2023/07/sdwan_1_e2aa21218e-768x544.png 768w" sizes="auto, (max-width: 988px) 100vw, 988px" /></figure>



Securitatea reprezintă în general un subiect ce trebuie tratat cu maxima responsabilitate. Principiul de &#8222;layered security&#8221; este aplicat cu succes în SDWAN, conturându-se trei direcții de interes în interiorul fabric-ului. În prima fază, așa cum reiese din paragraful anterior, înrolarea routerelor în fabric-ul de SDWAN se realizează prin vBond, folosind un model de whitelisting, model ce presupune înrolarea în rețea numai a device-urilor ale căror serie și certificate digital corespund cu lista încărcată în prealabil de către administrator. Conexiunea se inițiază dinspre routere către vBond, controller ce verifică SN-ul și datele din certificatul prezentat de către router, iar mai apoi validează cererea echipamentului de a intra în fabric. În planul de date, traficul dintre routere este securizat nativ, folosindu-se protocolul IPSEC, protejându-se astfel datele utile transmise prin fabric. Cel de-al treilea layer de securitate este reprezentat de securizarea traficului din planurile management și control prin intermediul protocoalelor DTLS sau TLS.



Având în vedere complexitatea arhitecturală și operațională a rețelelor din zilele noastre, precum și necesitatea de a securiza cât mai bine datele și infrastructura de comunicații, soluția Cisco SDWAN reușește să ofere simplitate în configurare și administrare, respectând totodată cele mai bune practici din industrie în ceea ce privește securitatea cibernetică.

Cisco SDWAN- o nouă paradigmă în lumea rețelelor WAN

<h2 class="wp-block-heading">Extinderea arhitecturii Cisco SD-WAN in AWS</h2>



Cisco SD-WAN oferă o arhitectură scalabilă în cloud, securizată și proiectată pentru a satisface nevoile complexe ale rețelelor WAN moderne prin trei domenii cheie: optimizarea avansată a aplicațiilor, securitatea multi-stratificată și integrarea în cloud.



 Interconectarea dintre Cisco SD-WAN și AWS Transit Gateway aduce următoarele beneficii:



• Provizionarea automată și ușoară a conectivității către punctul de intrare AWS cel mai optim pentru centrul de date, filialele și locațiile centrale ale clienților.



 • Telemetrie pentru aplicații și date în și din AWS, în scopuri de raportare și facturare.



 • Rutare dinamică, selectare a mai multor căi și comportament de failover determinist prin utilizarea protocolului de gestionare a suprapunerii (Overlay Management Protocol &#8211; OMP) și a politicilor de rețea extensibilă și securizată SD-WAN (Secure Extensible Network &#8211; SEN) proprietare Cisco.



• Hub-uri regionale care interconectează mai multe Gateway-uri de Tranzit AWS și regiuni AWS prin intermediul SEN.



 • Scalarea lățimii de bandă a rețelei private virtuale (VPN) de la 1,2 Gbps până la 50 Gbps utilizând metoda de rutare cu cost egal multiplu (Equal Cost Multi Path &#8211; ECMP).



Cu AWS Transit Gateway, nu este nevoie de un VPC de tranzit pentru a încheia mai multe conexiuni VPN de la ruterele virtuale vEdge cloud din VPC-ul SD-WAN la VGW (Virtual Private Gateway) în fiecare VPC- spoke.



 Astfel, filialele se conectează prin infrastructura AWS și se pot interconecta cu workload-urile AWS.



<h2 class="wp-block-heading">Conectarea Branch-ului la AWS – SD-WAN VPC, TGW, și atasarea VPN-ului</h2>



În arhitectura de referință, ruterele virtuale vEdge cloud ale filialei încheie tuneluri securizate proprietare Cisco SD-WAN de la filială peste internet sau prin intermediul conexiunii directe AWS Direct Connect de la centrul de date către o pereche de rutere vEdge cloud într-un VPC SD-WAN pe AWS. Ruterele virtuale vEdge cloud încheie tuneluri VPN IPSec standard de la ruterele SD-WAN către AWS Transit Gateway ca atașamente VPN.



Diagrama de mai jos prezintă un exemplu. În acest exemplu, există două VPC-uri de aplicație adiționale atașate la AWS Transit Gateway. Filiala/centrul de date poate comunica cu sarcinile de lucru din VPC- urile de aplicație, dar sarcinile de lucru din VPC-uri nu ar trebui să comunice între ele. Acesta este un caz de utilizare pentru segmentare.



Pentru a obține conectivitatea dorită, au fost configurate trei tabele de rute diferite pe AWS Transit Gateway. Tabela de rute1 este asociată cu un VPC de aplicație; tabela de rute2 este asociată cu celălalt VPC și tabela de rute3 este asociată ca atașament VPN cu VPC-ul SD-WAN.



Rutele IP din tabelele de rute AWS Transit Gateway asociate cu VPC-urile de aplicație sunt învățate din VPC-ul SD-WAN folosind propagarea rutei. Rutele din tabela de rute asociată cu VPC-ul SD-WAN sunt propagate static.



În plus, pe tabela de rute a VPC-ului, este configurată o rută statică pentru fiecare VPC de aplicație, având ca următor salt tgw-xxxx pentru rutele non-locale. Similar, pe tabela de rute a VPC-ului SD-WAN, este configurată o rută implicită statică care indică igw-xxxx ca următor salt.



Rutele între VPC-ul SD-WAN și filială sunt învățate prin intermediul protocolului OMP (Overlay Management Protocol) al Cisco SD-WAN. Prin redistribuirea rutelor BGP în OMP, rețeaua SD-WAN devine conștientă de infrastructura AWS. Opțiunile tradiționale de filtrare a rutelor, cum ar fi hărțile de rute, pot fi utilizate pentru a face redistribuirea mai granulară.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="695" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/resize-1687782340465960823Picture8.png" alt="" class="wp-image-1181" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/resize-1687782340465960823Picture8.png 624w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/resize-1687782340465960823Picture8-269x300.png 269w" sizes="auto, (max-width: 624px) 100vw, 624px" /></figure>



<h2 class="wp-block-heading">Reunind toate elementele</h2>



Diagrama de mai jos rezumă conceptele de arhitectură menționate mai sus, așa cum au fost implementate într-un mediu de producție. AWS Transit Gateway, AWS Transit VPC și întreaga rețea SD-WAN au fost implementate automat cu ajutorul Cisco vManage. De acolo, AWS Transit Gateway a fost extins către VPC-urile existente AWS Spoke (aplicații). Un VPC suplimentar de securitate, care găzduiește firewall-uri Cisco FTDv, a fost adăugat manual pentru inspecție E-W și N-S. Un alt VPC a fost creat pentru diferite echipamente de securitate de rețea (în special gestionarea firewall-ului).



În același timp, Cisco SD-WAN a fost de asemenea extins în Azure, unde se află AD (Active Directory).



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="524" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture9.gif" alt="" class="wp-image-1183"/></figure>



Surse:



<ul class="wp-block-list">
<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/design-your-firewall-deployment-for-internet-ingress-traffic-flows/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/design-your-firewall-deployment-for-internet-ingress-traffic-flows/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/scaling-network-traffic-inspection-using-aws-gateway-load-balancer/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/scaling-network-traffic-inspection-using-aws-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/integrate-your-custom-logic-or-appliance-with-aws-gateway-load-balancer/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/integrate-your-custom-logic-or-appliance-with-aws-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/best-practices-for-deploying-gateway-load-balancer/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/best-practices-for-deploying-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-aws-gateway-load-balancer-supported-architecture-patterns/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-aws-gateway-load-balancer-supported-architecture-patterns/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/centralized-inspection-architecture-with-aws-gateway-load-balancer-and-aws-transit-gateway/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/centralized-inspection-architecture-with-aws-gateway-load-balancer-and-aws-transit-gateway/</a></li>



<li><a href="https://aws.amazon.com/blogs/apn/centralized-traffic-inspection-with-gateway-load-balancer-on-aws/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/apn/centralized-traffic-inspection-with-gateway-load-balancer-on-aws/</a></li>
</ul>

Multi-Cloud Network Architecture-2

<h2 class="wp-block-heading">High Level Design</h2>



<h3 class="wp-block-heading">Cerințe</h3>



Infrastructura IT descrisă în acest articol a fost construită de la zero cu câteva obiective în minte:



<ul class="wp-block-list">
<li>Să profite de cele mai noi și cele mai bune tehnologii disponibile, deoarece nu există constrângeri provenite din lucruri vechi</li>



<li>Să se bazeze pe principii și tehnologii de securitate testate și dovedite</li>



<li>Să fie cât mai flexibilă posibil (adaugarea și ștergerea de lucruri noi după necesitate, scalarea în sus și în jos fără modificări semnificative de design)</li>



<li> Să fie foarte disponibilă, dar fără a irosi resursele</li>
</ul>



Obiectivele de business, totuși, devin constrângeri de design conflictuale atunci când analizăm detaliile. Să reformulăm nevoile:



<ul class="wp-block-list">
<li> Integrarea mai multor medii cloud (AWS datorită funcționalităților, Cisco SD-WAN datorită rețelelor securizate și flexibile de filiale, Azure datorită gestionării punctelor terminale, a securității și a instrumentelor de productivitate)</li>



<li>Segmentarea logică, adică separarea mediilor de aplicații în cloud-ul AWS, din motive de securitate</li>



<li>Inspecția traficului între mediile de aplicații AWS înșiși (numit trafic E-W) și între mediile de aplicații și Internet (numit trafic N-S), de asemenea, din motive de securitate</li>



<li>Păstrarea unor aparate de securitate mai capabile (față de cele native în cloud)</li>



<li>Scalabilitate fără modificări semnificative de design</li>



<li>Disponibilitate ridicată și echilibrare a load-ului</li>
</ul>



Cel mai dificilă problemă în acest context este securitatea și disponibilitatea ridicată a mediilor de aplicații utilizând appliance-uri de securitate 3rd party pentru segmentare și inspecție a traficului. Centralizarea inspecției cu Gateway Load Balancer (GWLB) și Transit Gateway (TGW) de la AWS este concepută pentru a rezolva această problemă.



Cealaltă problemă este o rețea WAN scalabilă și rezistentă, care are acces atât la AWS, cât și la resursele Azure, și oferă, de asemenea, o cale alternativă între resursele AWS și Azure, în scopul simplificării rutării. Soluția Cisco SD-WAN se integrează bine atât cu TGW de la AWS, cât și cu Virtual WAN de la Azure.



<h2 class="wp-block-heading">Centralizarea inspecției cu Gateway Load Balancer și Transit Gateway de la AWS</h2>



<h3 class="wp-block-heading">Concepte de bază</h3>



Cu doar un an în urmă, nu exista o modalitate ușoară de a implementa, scala și oferi o disponibilitate ridicată pentru echipamentele virtuale de rețea 3rd party în AWS.&nbsp;



Amazon a lansat VPC ingress routing, facilitând rutarea traficului către instanțe specifice EC2 într-o VPC, dar încă lipsea capacitatea de a vizat un load balancer și puncte terminale de interfață VPC într-o tabelă de rutare a VPC-ului. Prin combinarea unui gateway transparent și a unui load balancer, noul Gateway Load Balancer (GWLB) de la AWS îndeplinește această cerință.



Dispozitivele virtuale de rețea stau in-line cu traficul de rețea și inspectează fluxurile de trafic de intrare și ieșire. Acest tip de inserție transparentă are multe denumiri, cum ar fi service chaining, bump in the wire sau virtualizarea funcțiilor de rețea (NFV).



Un Gateway Load Balancer (GWLB) este un serviciu gestionat (sau un plan de control) care facilitează clienților să implementeze și să administreze o flotă de appliance-uri virtuale de rețea scalabile în mod orizontal într-un mod transparent în scopuri precum inspecția de securitate, conformitatea, controalele de politică și alte servicii de rețea.



Un Gateway Load Balancer Endpoint (GWLBE) este o componentă al planului de date al GWLB și oferă o modalitate clienților de a plasa puncte terminale de interfață VPC într-o implementare centralizată și distribuită într-un mod flexibil. Un GWLBE este similar cu AWS PrivateLink, care vă permite să plasați serviciul dvs. în mai multe conturi și VPC-uri fără a pierde controlul și administrarea centralizate.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="513" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture1-1024x513.jpg" alt="" class="wp-image-1141" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture1-1024x513.jpg 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture1-300x150.jpg 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture1-768x385.jpg 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture1.jpg 1430w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



O adresă IP elastică este o adresă IPv4 statică și publică concepută pentru cloud-computing dinamic, fiind accesibilă de pe Internet. O adresă IP elastică este alocată unui cont AWS și poate fi înregistrată cu DNS-ul public.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="506" height="347" src="https://wp.arcticstream.ro/wp-content/uploads/2023/06/transit-gateway.jpg" alt="" class="wp-image-1158" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/06/transit-gateway.jpg 506w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/transit-gateway-300x206.jpg 300w" sizes="auto, (max-width: 506px) 100vw, 506px" /></figure>



Un Gateway de Tranzit AWS oferă o configurație de tip hub și spoke pentru conectarea rețelelor VPC și a rețelelor on-premises ca un serviciu complet gestionat. Nu este necesar un VPN overlay și AWS gestionează disponibilitatea ridicată și scalabilitatea. Gateway-ul de Tranzit controlează modul în care traficul este rutat între toate rețelele spoke conectate utilizând tabele de rutare. Acest model hub și spoke simplifică gestionarea și reduce costurile operaționale deoarece VPC-urile se conectează doar la instanța Gateway-ului de Tranzit pentru a accesa rețelele conectate. Gateway-ul de Tranzit este un resursă regională și poate conecta mii de VPC-uri în aceeași regiune AWS.



Unele echipamente de rețea, cum ar fi firewall-urile de tip stateful, necesită vizibilitate asupra tranzacției bidirecționale a fluxului de rețea pentru a evalua traficul valid și a detecta amenințări sau atacuri potențiale. Pentru aceste scenarii, rutarea asimetrică poate împiedica eficacitatea stateful. În mod implicit, Gateway-ul de Tranzit AWS încearcă să izoleze traficul în cadrul zonei de disponibilitate de unde a pornit traficul. Deși acest comportament este optim pentru majoritatea arhitecturilor, nu este ideal pentru implementările centralizate de firewall stateful care se extind pe mai multe zone de disponibilitate. Poate introduce rutarea asimetrică, ceea ce poate duce la întreruperi ale traficului. Pentru a rezolva această problemă, Gateway-ul de Tranzit AWS suportă acum appliance mode. Acest mod asigură rutarea traficului bidirecțional către aceleași atașamente VPC, cunoscută și sub numele de rutare simetrică. Aceasta elimină necesitatea soluțiilor complexe de rezolvare a problemei, cum ar fi sursa-NAT, pentru a forța traficul să revină la aparatul corect.



<h2 class="wp-block-heading">Modele pentru Inspectare Inline &#8211; Trafic N/S și E/W </h2>



Clienții care implementează echipamente inline se încadrează în mod obișnuit în una dintre următoarele modele arhitecturale:&nbsp;



<ul class="wp-block-list">
<li> O singură VPC cu conectivitate nord/sud </li>



<li>Multe VPC-uri cu conectivitate centralizată nord/sud </li>



<li>Multe VPC-uri cu conectivitate centralizată est/vest </li>



<li>O singură VPC cu conectivitate est/vest între subneturi în aceeași VPC </li>
</ul>



Termenii nord/sud și est/vest sunt utilizați de ani de zile în rețelele tradiționale și mediile de date pentru a descrie fluxul de trafic. Nord/sud se referă în general la traficul care părăsește rețeaua sau centrul de date și descrie cel mai frecvent traficul care vine de la sau merge către Internet. Est/vest se referă la traficul care circulă între resursele din cadrul centrului de date sau rețelei.&nbsp;



Cu modelul cu un singur VPC cu conectivitate nord/sud, se poate alege să se centralizeze sau să se distribuie planul de control și să se mențină un plan de date distribuit. Nu este necesar un Gateway de Tranzit.



Single VPC, Distributed Control and Data Plane (GWLB and GWLBE)



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="684" height="318" src="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1-1.jpg" alt="" class="wp-image-1159" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1-1.jpg 684w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1-1-300x139.jpg 300w" sizes="auto, (max-width: 684px) 100vw, 684px" /></figure>



Single VPC, Centralized Control Plane (GWLB), Distributed Data Plane (GWLBE)



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="535" height="428" src="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture2.jpg" alt="" class="wp-image-1161" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture2.jpg 535w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture2-300x240.jpg 300w" sizes="auto, (max-width: 535px) 100vw, 535px" /></figure>



Atunci când mai multe VPC-uri necesită o conectivitate centralizată nord/sud, funcționalitatea inline bump-in-the-wire este mutată într-un VPC centralizată. Acest lucru este realizat în mod obișnuit cu ajutorul AWS Transit Gateway pentru a controla separarea atribuțiilor între conturile care efectuează funcționalitatea inline și VPC-urile auxiliare care găzduiesc aplicațiile. În acest model, atât funcționalitatea planului de control, cât și a planului de date sunt centralizate.



Many VPC’s, Centralized Control and Data Plane, North/South traffic (GWLB and GWLBE plus TGW)



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="415" src="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture3-1024x415.jpg" alt="" class="wp-image-1163" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture3-1024x415.jpg 1024w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture3-300x122.jpg 300w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture3-768x311.jpg 768w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture3.jpg 1430w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



Configurația cu un singur VPC care necesită funcționalitatea est-vest între subrețelele din același VPC nu este acceptată, deoarece VPC-ul nu permite definiția rutelor mai specifice decât alocarea CIDR a VPC-ului într-o tabelă de rute a VPC-ului. Din acest motiv, o tabelă de rute a VPC-ului nu permite redirecționarea traficului prin intermediul unui appliance dacă sursa și destinația se află în același VPC. Există o excepție de la această regulă și se aplică tabelelor de rutare edge. O tabelă de rutare edge permite traficului să intre într-un VPC de la o Poartă de internet prin intermediul unui Gateway Load Balancer.



Pentru același motiv, este important să se ia în considerare plasarea funcțiilor inline pentru sarcini de lucru destinate internetului. Dacă se utilizează un Gateway NAT AWS sau instanțe NAT autogestionate, GWLBE trebuie să fie amplasat între gateway-ul de internet și resursa cu expunere publică directă. Pentru traficul care vine de pe internet, funcționalitatea inline sau GWLBE nu poate fi plasată după NAT și între instanțele private, deoarece ar necesita o rută mai specifică în cadrul tabelului de rute al VPC-ului.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="510" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5-1024x510.jpg" alt="" class="wp-image-1149" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5-1024x510.jpg 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5-300x149.jpg 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5-768x382.jpg 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5.jpg 1430w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



<h2 class="wp-block-heading">Modele pentru Inspectarea Inline &#8211; Luând în considerare starea firewall-ului</h2>



Rutarea asimetrică este un termen care descrie situația în care solicitarea unui client către un server parcurge o cale de rețea diferită față de răspunsul serverului. Dacă calea de retur asimetrică trimite pachetul printr-un firewall diferit, traficul valid ar putea fi respins din cauza urmăririi conexiunilor &#8211; un component de bază al firewall-urilor stateful. Un firewall stateful urmărește o conexiune sau un flux de rețea pe întreaga durată a unei tranzacții (cum ar fi conexiunile TCP de la pachetul SYN inițial la notificarea FIN finală). Pentru ca un firewall să urmărească o conexiune eficient, rețeaua trebuie să se asigure că pachetele sunt trimise către aceeași instanță de firewall în ambele direcții (de la client la server și de la server la client). Dacă, din orice motiv, un flux activ este rutat către un firewall care nu urmărește starea fluxului, pot apărea pierderi nedorite de pachete.



În mod implicit, AWS Transit Gateway aplică un algoritm de rutare foarte specific, optimizat pentru a menține afinitatea cu zona de disponibilitate. Deși acest lucru este ideal pentru performanță și disponibilitate, poate provoca probleme pentru arhitecturile de firewall centralizate. Acest lucru este valabil în special în cazul modelului de arhitectură centralizată est-vest, în care sursa și destinația pot fi în două zone de disponibilitate diferite.



Cu modul Appliance al AWS Transit Gateway, este posibil să se specifice atașamente care să direcționeze fluxurile de rețea din aceeași zonă de disponibilitate, indiferent de direcția fluxului și de zona de disponibilitate din care a pornit. Modul Appliance al AWS Transit Gateway asigură rutarea simetrică a fluxurilor de rețea către aceeași zonă de disponibilitate și aparat de rețea. Este necesară conectarea unui singur AWS Transit Gateway la VPC-ul Appliance pentru a garanta stabilitatea fluxurilor, deoarece gateway-urile AWS Transit nu împărtășesc informații despre starea fluxului între ele.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="555" src="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture7-1024x555.jpg" alt="" class="wp-image-1151" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture7-1024x555.jpg 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture7-300x163.jpg 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture7-768x416.jpg 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture7.jpg 1430w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



<h2 class="wp-block-heading">Modele pentru inspecția în linie &#8211; Elastic Load Balancer</h2>



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="492" src="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1_a5dad686e2-1024x492.png" alt="" class="wp-image-1173" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1_a5dad686e2-1024x492.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1_a5dad686e2-300x144.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1_a5dad686e2-768x369.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1_a5dad686e2.png 1430w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



Până acum, Endpointurile Gateway Load Balancer (GWLB) erau inserate în mod transparent în trafic ca un &#8222;bump-in-the-wire&#8221; folosind rutarea în subrețea VPC și o rută de intrare IGW (Internet Gateway). Endpointurile GWLB erau create în subrețele individuale &#8211; câte una per Zonă de Disponibilitate. Aceste endpointuri ofereau o cale către un VPC separat care găzduia GWLB și echipamentele de securitate ale 3rd&nbsp;party.



În primul rând, am direcționat traficul către Endpointul GWLB corespunzător. De acolo, a fost trimis în mod transparent către GWLB și apoi către firewall-urile de la terți. După ce traficul a fost inspectat, se întorcea la Endpointul GLWB. Acum, poate continua către Elastic Load Balancer care găzduiește serviciul. Aceasta este ultima componentă necesară.



Surse:



<ul class="wp-block-list">
<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/design-your-firewall-deployment-for-internet-ingress-traffic-flows/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/design-your-firewall-deployment-for-internet-ingress-traffic-flows/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/scaling-network-traffic-inspection-using-aws-gateway-load-balancer/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/scaling-network-traffic-inspection-using-aws-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/integrate-your-custom-logic-or-appliance-with-aws-gateway-load-balancer/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/integrate-your-custom-logic-or-appliance-with-aws-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/best-practices-for-deploying-gateway-load-balancer/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/best-practices-for-deploying-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-aws-gateway-load-balancer-supported-architecture-patterns/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-aws-gateway-load-balancer-supported-architecture-patterns/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/centralized-inspection-architecture-with-aws-gateway-load-balancer-and-aws-transit-gateway/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/networking-and-content-delivery/centralized-inspection-architecture-with-aws-gateway-load-balancer-and-aws-transit-gateway/</a></li>



<li><a href="https://aws.amazon.com/blogs/apn/centralized-traffic-inspection-with-gateway-load-balancer-on-aws/" target="_blank" rel="noopener">https://aws.amazon.com/blogs/apn/centralized-traffic-inspection-with-gateway-load-balancer-on-aws/</a></li>
</ul>

Multi-Cloud Network Architecture-1

https://wp.arcticstream.ro/wp-content/uploads/2024/10/Arctic_Stream_logo_02_17200a1602.webp