Într-o lume din ce în ce mai interconectată, organizațiile trebuie să se asigure că rețelele lor sunt nu doar rapide, dar și sigure și scalabile. MPLS (Multiprotocol Label Switching) se dovedește a fi una dintre soluțiile de vârf care răspund acestor cerințe. Recent, am avut oportunitatea să explorez în detaliu această tehnologie, prin implementarea unor soluții de VPN bazate pe MPLS și BGP, care m-au ajutat să înțeleg nu doar puterea acestei tehnologii, ci și importanța ei în peisajul actual al rețelelor.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="544" height="242" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/11/Screenshot-2024-10-10-112240.png" alt="" class="wp-image-1744" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/11/Screenshot-2024-10-10-112240.png 544w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Screenshot-2024-10-10-112240-300x133.png 300w" sizes="auto, (max-width: 544px) 100vw, 544px" /></figure>



Ce este MPLS și de ce este atât de important? La baza sa, MPLS este o tehnologie de rutare care permite transmiterea eficientă a pachetelor de date printr-o rețea, prin utilizarea unor &#8222;etichete&#8221;. Spre deosebire de metodele tradiționale de rutare care se bazează pe adrese IP, MPLS direcționează pachetele de date pe baza acestor etichete, ceea ce reduce semnificativ timpul de procesare și optimizează fluxul de date. Acest lucru este esențial pentru aplicațiile care necesită o latență scăzută și o disponibilitate constantă, cum ar fi telefonia IP sau transmisia video. &nbsp;



Unul dintre marile avantaje ale MPLS este flexibilitatea sa. Această tehnologie nu este limitată la un anumit tip de trafic sau protocol, ceea ce o face ideală pentru rețelele care transportă o varietate de servicii. În plus, MPLS permite furnizorilor de servicii să ofere o gamă largă de servicii de rețea, cum ar fi VPN-uri (rețele virtuale private), QoS (calitatea serviciului) și multe altele, toate pe aceeași infrastructură. Cum funcționează MPLS? MPLS funcționează prin atribuirea unei etichete fiecărui pachet de date la intrarea într-o rețea MPLS. Această etichetă conține informații despre calea pe care trebuie să o urmeze pachetul prin rețea, permițându-i să fie comutat rapid de la un nod la altul fără a fi nevoie de o examinare detaliată a adresei IP la fiecare pas. Acest proces de comutare pe baza etichetei este ceea ce face ca MPLS să fie mult mai rapid decât metodele tradiționale de rutare. &nbsp;



În cadrul unui proiect la care am lucrat, am configurat protocoale, precum OSPF (Open Shortest Path First) și LDP (Label Distribution Protocol) pentru a stabili și gestiona căile de rutare în rețea. De exemplu, OSPF a fost folosit pentru a asigura convergența rapidă a rutelor în cadrul rețelei furnizorului de servicii, iar LDP a fost utilizat pentru a distribui etichetele de rutare, esențiale pentru funcționarea MPLS.ibuted the essential routing labels required for MPLS functionality.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="527" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-1024x527.png" alt="" class="wp-image-1747" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-1024x527.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-300x154.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-768x395.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-1536x791.png 1536w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-trei-furnizori-2048x1054.png 2048w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



Topologie VPN MPLS trei furnizori



MPLS și VPN-urile: O combinație puternică Una dintre aplicațiile cele mai importante ale MPLS este în crearea VPN-urilor (rețele virtuale private). Prin utilizarea VRF-urilor (Virtual Routing and Forwarding), MPLS permite ca mai multe instanțe de rutare să coexiste pe aceeași infrastructură fizică. Acest lucru înseamnă că fiecare client (în cazul în care vorbim de un Service Provider) sau departament în cadrul aceluiași client poate avea propria rețea privată, complet izolată de ceilalți clienți respectiv de celelalte departamente, cu propriile reguli de rutare și politici de securitate.



 Spre exemplu, putem configura două VPN-uri separate pentru doi clienți diferiți. Fiecare VPN avea propriile rute și politici de securitate, gestionate prin intermediul VRF-urilor pe routerele Provider Edge (PE). Acest lucru nu doar că asigura confidențialitatea datelor fiecărui client, dar permite și o administrare centralizată și eficientă a rețelei, chiar și în condițiile unei infrastructuri comune.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="729" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-1024x729.png" alt="" class="wp-image-1750" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-1024x729.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-300x214.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-768x547.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-1536x1093.png 1536w, https://wp.arcticstream.ro/wp-content/uploads/2024/11/Topologie-VPN-MPLS-un-singur-furnizor-2048x1458.png 2048w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



Topologie VPN MPLS un singur furnizor



Integrarea cu BGP O altă componentă importantă în implementarea MPLS este integrarea cu protocolul BGP (Border Gateway Protocol). BGP este utilizat pentru a gestiona rutele între diferite sisteme autonome (AS-uri), iar în contextul MPLS, versiunea sa extinsă, MP-BGP (Multiprotocol BGP), permite transportul nu doar al rutelor IPv4, ci și al rutelor VPNv4. Această funcționalitate este esențială pentru a asigura că traficul VPN este rutat corect prin rețeaua MPLS. &nbsp;



MP-BGP este configurat pentru a transporta rutele între diferitele site-uri ale clienților, asigurându-ne că fiecare pachet de date ajunge la destinația corectă, indiferent de complexitatea rețelei furnizorului de servicii. BGP este, de asemenea important pentru prevenirea buclelor de rutare și pentru asigurarea redundanței, necesare în orice rețea de mari dimensiuni. &nbsp;



Beneficiile MPLS în practică &nbsp;



După ce am trecut prin toate etapele de implementare și configurare, am realizat cât de puternică este această tehnologie. În esență, MPLS oferă o soluție care nu doar că simplifică procesul de rutare, dar și îmbunătățește considerabil performanța rețelei. Scalabilitatea este un alt avantaj major: pe măsură ce o organizație crește, MPLS poate fi ușor extins pentru a acomoda noi locații și utilizatori, fără a compromite securitatea sau performanța. Un alt beneficiu major al MPLS este securitatea sporită. În plus, prin utilizarea tehnologiilor de criptare, cum ar fi IPsec, pentru protejarea datelor, MPLS devine o opțiune și mai atractivă pentru organizațiile care lucrează cu informații sensibile. MPLS nu este doar o tehnologie de rețea; este un game-changer pentru companiile care doresc să îmbunătățească performanța, securitatea și scalabilitatea rețelelor lor. Deși implementarea sa poate părea complexă la început, beneficiile pe termen lung fac ca acest efort să merite din plin. Prin combinația sa unică de viteză, flexibilitate și securitate, MPLS este, fără îndoială, soluția de care au nevoie rețelele moderne pentru a face față provocărilor viitoare. Pentru oricine este interesat să exploreze mai adânc această tehnologie, recomand să începeți prin implementarea unei soluții VPN MPLS pe o topologie mică folosind un simulator de rețea precum GNS3. Nu numai că vă va oferi o înțelegere practică a modului în care funcționează MPLS, dar vă va pregăti și pentru provocările reale dintr-o infrastructură de rețea complexă. Explorarea și implementarea tehnologiilor SD-WAN sau a altor soluții de rețea definită prin software poate oferi beneficii suplimentare în ceea ce privește flexibilitatea și gestionarea centralizată prin adaptarea la cerințele dinamice ale rețelelor clienților. Bibliografie: Luc. De Ghein, MPLS fundamentals. Cisco Press, 2006. Lancy. Lobo, Umesh. Lakshman, Andy. Schutz, Raymond. Zhang, and Alex. Raj, MPLS configuration on Cisco IOS software. Cisco Press, 2006.

Impactul soluției VPN MPLS asupra rețelelor

Networking

Imaginați-vă că într-o zi vă conectați la rețeaua companiei și descoperiți că datele sensibile au fost compromise. Totul a pornit de la un singur fișier nesigur care a scăpat printre ”scuturile” rețelei. Aceasta este o realitate zilnică pentru multe organizații. Însă, cu un firewall bine configurat, astfel de scenarii pot fi prevenite.



Scutul tău în lumea digitală



Firewall-ul reprezintă un concept esențial în domeniul securității cibernetice. Necesitatea lui a luat naștere odată cu creșterea utilizării rețelelor de calculatoare și a Internetului, implicit cu creșterea pericolelor la care utilizatorii erau expuși. Datele transmise de o sensibilitate deosebită erau ușor compromise. Termenul CIA (Confidentiality, Integrity, Availability) descrie modurile în care atacatorii pot pune în pericol informațiile transmise între utilizatori. Datele trebuie să fie confidențiale, mai exact disponibile numai pentru utilizatorii finali. De asemenea, trebuie să fie intacte, fără să fie alterate de o persoană terță și tot timpul disponibile utilizatorilor când au nevoie de ele. Firewall-ul este una dintre soluțiile folosite pentru protejarea atributelor descrise de CIA, în combinație cu alte tehnologii.



Cum funcționează un Firewall?



Un Firewall este un echipament de rețea care acționează între rețeaua locală a unei companii și Internet. Funcționează ca un “paravan”, monitorizând și controlând traficul de rețea pe baza unor reguli predefinite de administratorul de rețea. Firewall-ul are rolul de a examina pachetele care intră în rețeaua locală și de a decide dacă acestea respectă cerințele pentru a putea fi transmise mai departe. Regulile pot fi simple, cum ar fi blocarea accesului în anumite locații geografice, până la foarte complexe, analizând tipul de trafic, porturile și aplicațiile folosite, precum și comportamentul acestora.



<figure class="wp-block-image aligncenter size-full is-resized"><img loading="lazy" decoding="async" width="934" height="525" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Firewall_eng.png" alt="" class="wp-image-1243" style="width:934px;height:auto" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Firewall_eng.png 934w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Firewall_eng-300x169.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Firewall_eng-768x432.png 768w" sizes="auto, (max-width: 934px) 100vw, 934px" /></figure>



Pe lângă funcțiile de bază, un Firewall poate detecta tipurile de trafic neobișnuite, cum ar fi un volum mare de date transmise într-un interval scurt de timp. Poate recunoaște tipuri de atacuri, cele mai des întâlnite sunt atacurile de tip DoS (Denial-of-Service) sau DDoS (Distributed DDoS) care compromit funcționarea echipamentelor de rețea cu trafic fals, sau cele de tipul “Man-in-the-Middle”, în care atacatorul interceptează și chiar alterează comunicația. După recunoașterea unui comportament anormal, Firewall-ul poate bloca pachetele de date suspecte sau poate restricționa accesul către anumite adrese IP, porturi și/sau aplicații. Tipuri de Firewall-uri și utilizări Firewall-ul a evoluat semnificativ pe parcursul deceniilor. În anii ’90, a început de la un echipament simplist care doar filtra pachetele transmise pe baza unor reguli rudimentare și monitoriza traficul de rețea, iar în prezent are mult mai multe funcționalități și posibilități de implementare, prezentate în următoarele rânduri. Next Generation Firewall funcționează la nivelul aplicațiilor, acesta a evoluat pentru a face față amenințărilor complexe. Documentația amintește cele mai importante capabilități ale sale: funcționalitățile unui Firewall standard, cum ar fi inspecția “orientată” (Stateful Inspection), prevenirea intruziunilor (Intrusion Prevention System &#8211; IPS), controlul aplicațiilor (Application Awareness and Control) și integrarea cu surse inteligente actualizate cu informații despre posibile noi atacuri. Acestea permit Firewall-ului să detecteze și să blocheze atacurile cibernetice în timp real și să se adapteze la noi amenințări prin upgrade-uri viitoare. Acest echipament poate fi implementat în următoarele moduri: &nbsp;



<ul class="wp-block-list">
<li>Firewall-uri Hardware: de regulă, se instalează la granița dintre rețeaua locală și Internet, protejând astfel întreaga rețea de atacuri externe;</li>



<li>Firewall-uri Virtuale: pot fi implementate în Data Center, sub formă de containere virtualizate pe echipamente de rețea, în infrastructurile de Cloud, iar nivelul de protecție este asemănător cu al celor de tipul Hardware.</li>
</ul>



Un avantaj important îl constituie delimitarea zonelor de trafic, astfel Firewall-ul segmentează și protejează diferite părți ale unei de rețele în funcție de necesități. Cele mai întâlnite zone sunt următoarele:



<ul class="wp-block-list">
<li>Zona externă: Internetul;</li>



<li>Zona internă: rețeaua locală a unei organizații, unde se găsesc și dispozitivele și resursele interne;</li>



<li>Zona demilitarizată: o zonă tampon între rețeaua internă și cea externă, unde sunt plasate serverele care trebuie să fie accesibile atât din interiorul, cât și din exteriorul rețelei.</li>
</ul>



Traficul între aceste zone este controlat de obicei cu ajutorul unui set de reguli care specifică tipurile de trafic permis, respectiv respins, translatarea adreselor IP private în adrese IP publice și permiterea conexiunilor securizate printr-o rețea privată virtuală. Din punct de vedere logic, modurile de implementare cel mai des întâlnite sunt Transparent și Routed. Un Firewall în modul Routed este responsabil cu separarea segmentelor de rețea, rutarea traficului între acestea și controlul granular asupra traficului. În modul Transparent, echipamentul nu modifică schema de rutare, doar se ocupă cu filtrarea traficului. Este o modalitate des folosită, deoarece nu este nevoie de modificarea infrastructurii existente, rețeaua poate fi securizată doar adăugând echipamentul ce funcționează ca un “bump in the wire”. Pentru a asigura o protecție optimă împotriva amenințărilor cibernetice, politicile de securitate trebuie actualizate periodic în cadrul proceselor de mentenanță. Aceste actualizări sunt necesare pentru îmbunătățirea măsurilor existente de securitate, astfel încât să corespundă celor mai recente cerințe pe piață. Deși au apărut alte soluții de securitate, Firewall-ul rămâne un element de bază care trebuie să existe în rețeaua clienților. El funcționează ca prima linie de apărare, la fel cum se construiau zidurile în jurul cetăților în trecut. Pentru un nivel de protecție ridicat, pe lângă utilizarea unui Firewall, este recomandat să fie utilizate și soluții de securitate la nivel Endpoint, Web, E-mail etc. Firewall-ul în contextul actual Atacurile cibernetice devin din ce în ce mai sofisticate și greu de descoperit, implicit greu de oprit. În acest context, Firewall-ul are un rol important în protecția datelor personale, a informațiilor sensibile și a resurselor critice. Este o componentă activă care contribuie la protejarea integrității și confidențialității datelor și asigură accesul controlat pentru utilizatorii autorizați. De exemplu, ultima versiune Secure Firewall Threat Defense 7.6 de la Cisco aduce noutăți pentru a ține pasul cu amenințările noi. Din punct de vedere al integrării soluțiilor în Cloud au fost adăugate noi capacități, cum ar fi Cisco Security Cloud Integration și AI Assistant. Categoria Threat și Malware beneficiază de introducerea SnortML pentru detectarea atacurilor cunoscute, dar și a celor de tip “zero-day” (exploatarea vulnerabilităților necunoscute), iar Simplified Do-Not-Decrypt oferă utilizatorilor posibilitatea de a alege ce conexiuni înafara rețelei locale să nu fie decriptate. Soluția SD-WAN beneficiază de asemenea, de extinderea capabilităților cu SD-WAN Wizard care introduce o modalitate simplificată și automatizată de creare, configurare și management a topologiei în FMC (Firewall Management Center). Într-o lume în continuă evoluție din punct de vedere al digitalizării și tot mai conectată, utilizarea unui Firewall în rețeaua locală nu mai este doar o opțiune, ci o necesitate. Soluțiile de Firewall pot fi personalizate în funcție de nevoile clienților și posibilitățile de implementare. Arctic Stream se poziționează ca un partener de încredere în acest proces, cu o echipă de specialiști gata să ofere consultanță și suport. Pentru informații suplimentare sau pentru a discuta nevoile specifice ale rețelei dumneavoastră, contactați-ne la <a href="mailto:office@arcticstream.ro" target="_blank" rel="noreferrer noopener">office@arcticstream.ro</a> și consultați un specialist pentru a vă asigura că sunteți protejați împotriva celor mai noi amenințări.

Firewall-ul: Prima linie de apărare în securitatea cibernetică

Securitate

Acest text nu e scris cu AI și nici inspirat de ce au avut de zis alții pe Internet. E o poveste personală și imperfectă.



Ideea seriei de articole care urmează a apărut într-o zi când povesteam Ancăi, noua noastră colegă Marketing Manager, cum am ajuns să fac ce fac, și în general ce ne aseamănă și ce ne adună pe toți colegii în același loc, astfel încât să ne facem atât de bine treaba ca un întreg. Poate că și clienții ar vrea să știe, a revenit Anca mai târziu. Poate că e și ceva de învățat din atâta experiență colectivă.



Cariera în IT



Atunci când mi-am început cariera în IT, inginerii intrau în meserie din curiozitate și pasiune. Tot pasiunea împreună cu contextul au făcut ca fiecare să apuce pe câte o cale, de parcă Sorting Hat din Harry Potter își spusese cuvântul. În contextul unei firme de IT, unii și-au dorit adrenalina depanării, alții structura planificării și proiectării &#8211; sau pur și simplu ambiția din vânzări. Pe alții corporația i-a făcut șefi. Eu am avut șansa de a îmi pune pălăria de mai multe ori, și prin urmare de a mă dezvolta lateral. Așa mi-am format mai degrabă o gândire de consultant, decât de management de linie.&nbsp;



Un lucru important a fost că atât eu, cât și majoritatea colegilor actuali nu am lucrat niciodată direct pentru utilizatorul final al tehnologiei, și asta mi-a permis să văd frecvent o altă stivă tehnologică și mod de a face lucrurile. Tot la fel ca și majoritatea colegilor, am trecut printr-o firmă de telecomunicații, și astfel am văzut tehnologia aplicată la scară mare. Pe scurt: un drum cu deschidere, schimbare frecventă de context, și cu structură și gândit la scară mare.



Pe de altă parte, clienții noștri sunt utilizatori finali ai tehnologiei. Un arhitect sau un expert IT competent nu ar avea de lucru constant la întreaga capacitate, iar pentru client nu ar avea sens economic. Cu alte cuvinte, dacă pentru un integrator de sisteme are sens să aibă experți în toate stadiile din ciclul de viață IT, pentru clienți nu are sens.



Ciclul de viață al unui sistem



Pentru a înțelege diversele roluri de care un integrator IT are nevoie, este necesară perspectiva ciclului de viață al unui sistem. Cisco îl vede ca: pregătire (identificare obiective), planificare (evaluarea stării inițiale versus cerințe), proiectare (în funcție de obiectivele de business și cerințele tehnice), implementare, operare și optimizare. Un arhitect este implicat în tot ciclul de viață (plan, build, manage). Deși percepția generală este că un arhitect doar proiectează, rolul său e de a elimina presupunerile și de a aduce focus și claritate în proiect pe întreaga sa durată (ce este important și corect de făcut și cât de fezabil este), atât către business, cât și către tehnic. De asemenea, un arhitect trebuie să își cunoască opțiunile și să fi avut experiență cu ele.



Un arhitect lucrează cu o organizație temporară de proiect, dar pe de altă are în vedere evoluția infrastructurii pe termen lung, și se asigură că derapajele sunt ținute sub control (cu alte cuvinte, se poziționează într-un sfătuitor de încredere pentru client). Pe de altă parte, nu orice proiect are nevoie de un arhitect. Deseori, acolo unde proiectul e bazat pe o singură tehnologie și cerințele sunt clare, un inginer expert poate prelua acest rol. La rândul său, arhitectul a fost și încă mai este expert în unul sau mai multe domenii (pentru că altfel nu și-ar putea argumenta opiniile tehnice), iar acolo unde nu este se bazează pe munca altor experți, atât dintre colegii săi cât și de la parteneri, dar tot trebuie să poată evalua opțiunile.



Interacțiunea arhitectului cu alte roluri



De-a lungul ciclului de viață al sistemului, arhitectul interacționează cu alți colegi ce au diferite roluri, dintre cea mai lungă bucată de drum cu managerul de proiect. Deși uneori rolurile se pot confunda, acesta este o altă persoană decât arhitectul. Arhitectul este liderul tehnic al proiectului, pe când managerul urmărește încadrarea în timp, buget și resurse (cu alte cuvinte, ține ritmul). Totuși, este răspunderea arhitectului să prevadă riscurile, să estimeze inițial costurile și resursele și să îi fie clară ordinea operațiilor și dependențele, pentru ca managerul de proiect să știe să le urmărească. În faza de operare, un service delivery manager va prelua rolul managerului de proiect, pentru că proiectul se va fi transformat în proces.



Arhitectul interacționează cu sponsorii proiectului pentru a înțelege obiectivele și constrângerile economice, în special în faza de planificare. Un sponsor este persoana din management (atât de la executant, cât și de la client) care este cea mai interesată de buna execuție a proiectului și care ia deciziile de business importante, legate de bani și riscuri. Apoi, începând cu proiectarea, arhitectul interacționează cu experții tehnici. În faza de implementare, arhitectul coordonează munca tehnică, înțelege logistica și poate participa la rândul sau în execuție cu partea sa de expertiză. Nu în ultimul rând, îndrumă corecțiile necesare în faza de operare și optimizare, pe baza feedback-ului primit de la client și de la colegii săi. Foarte important, bucla de feedback nu există numai în faza de operare, ci pornește de la planificare! Un proiect reușit va fi consumat multe discuții încă înainte de implementare, iar documentația trebuie începută tot înainte.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="441" height="316" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/IT-Architect-AST-system-lifecycle.gif" alt="" class="wp-image-1235"/></figure>



Un arhitect ar trebui să poată să pună întrebările relevante, să testeze, să sintetizeze, să prezinte și să scrie. În această capacitate, poate ajuta activitatea de pre-vânzări, de marketing sau de vânzări, acolo unde este nevoie.



Un arhitect nu este manager operațional. Echipa tehnică face parte dintr-o organizație permanentă, care împrumută experții sau inginerii de implementare proiectului, spre deosebire de echipa de proiect care este o organizație temporară. De aceea, există un rol de management separat pentru echipa de implementare. De asemenea, managerii de proiect au și ei propria organizare permanentă (PMO), la fel cum și arhitecții pot să o aibă (AMO), în funcție de mărimea organizației, diversitatea tehnologiilor acoperite, respectiv ponderea activităților de proiectare versus implementare și operațional. Nici organizația de pre-vânzări nu acoperă complet arhitectura, pentru ca ea nu urmărește tot ciclul de viață a unui sistem, și este concentrată mai degrabă pe activitatea de livrare de echipamente fără a fi parte dintr-un proiect.



În loc de concluzii



Dacă ar fi să dau câteva sfaturi în urma experienței câștigate, iată câteva care mi se par foarte importante:



<ul class="wp-block-list">
<li>Nu presupune, întreabă.</li>



<li>Fii deschis, nu ignora informația care nu se potrivește sau care contrazice ce știi.</li>



<li>Păstrează tot timpul contextul în minte în timp ce te uiți la detalii, pentru că altfel te pierzi în detalii. A propos, orice generație de ingineri iubește contextul.</li>



<li>Pune întrebări cu candoare, nu cu grija la ce pot crede ceilalți.</li>



<li>Nu îți pune singur limite.</li>



<li>Teoria (cursurile despre cum funcționează tehnologia), testarea, o gândire structurată și ordinea operațiilor sunt importante.</li>



<li>Imaginează-ți proiectul în dinamica sa și du raționamentul până la capăt.</li>



<li>Planifică mult și culege feedback.</li>



<li>Nu te complica (KISS*), cunoaște-ți opțiunile, urmărește cele mai bune practici. În primul rând, infrastructura trebuie să fie ușor de depanat și de extins. Daca e ceva exotic (corner case), vei deschide un caz de lungă durată la TAC**, cel mai probabil.</li>



<li>Deleagă! N-o să poți face totul singur și trebuie să își păstrezi mintea liberă pentru chestiunile importante, nu micro-management.</li>



<li>Bazează-te pe experiența echipei, dar continuă să fii expert în aria ta. A propos, e valabil și pentru juniori: trebuie să te concentrezi să excelezi într-un anumit lucru, înainte de a adăuga următorul strat de cunoștințe.</li>



<li>Nu ignora juniorii, păstrează ușa deschisă și investește timp să îi cunoști. Îți va păstra gândirea proaspătă.</li>
</ul>



* acronim pentru Keep It Simple, Stupid



** Technical Assistance Center

Pălăria vorbitoare: rolul arhitectului IT în cadrul proiectelor complexe

Uncategorized @ro

<h2 class="wp-block-heading">Despre Administraţia Naţională de Meteorologie</h2>



 Administraţia Naţională de Meteorologie are ca principală responsabilitate protecţia vieţii oamenilor şi a bunurilor materiale prin transmiterea de prognoze şi avertizări meteo, prognoze privind dispersia poluanţilor atmosferici pentru situaţii de producere a fenomenelor meteorologice periculoase şi poluări accidentale, precum şi prognoze agrometeorologice către utilizatorii de profil.



 Domeniul de competență al Administraţiei Naţionale de Meteorologie cuprinde cunoașterea, monitorizarea și anticiparea proceselor atmosferice și fenomenelor asociate, iar obiectul principal de activitate îl constituie activitatea de meteorologie și climatologie necesară dezvoltării social-economice a României și integrarea acestei activități în sistemul de convenții și relații internaționale.



<h2 class="wp-block-heading"> Scopul Proiectului</h2>



 Obiectivul general al proiectului a fost modernizarea infrastructurii de telecomunicații în scopul de a îmbunătății performanțele sistemului informatic al Administraţiei Naţionale de Meteorologie, implicit a activităţii operative de transmitere de date şi produse meteorologice catre institutiile statului, populatie și beneficiari, activități care să se desfășoare în conformitate cu standardele de comunicații și securitate din domeniul IT&amp;C.



 Prin acest proiect, s-a urmărit și construirea bazelor unei rețele solide, cu performanțe imbunătățite pentru utilizatori și pentru aplicațiile folosite în rețea, totodată asigurând o scalabilitate pentru viitor, din punct de vedere al serviciilor, capabilităților și posibilităților de extindere. Urmând ultimele tendințe tehnologice, ANM s-a orientat catre o soluție de tip software-defined, pentru a beneficia de avantajele unei astfel de infrastructuri: automatizare, administrare simplificată centralizată, vizibilitate sporită asupra traficului din rețea precum și reducerea costurilor de operare și scalabilitate crescută.



<div class="wp-block-columns is-layout-flex wp-container-core-columns-is-layout-1 wp-block-columns-is-layout-flex">
<div class="wp-block-column is-layout-flow wp-block-column-is-layout-flow" style="flex-basis:66.66%">
<h2 class="wp-block-heading">Descrierea solutiei tehnice</h2>



 Pentru infrastructura de WAN, s-a ales soluția Cisco SD-WAN, care permite utilizarea ambelor legături cu service providerii, balansând traficul în funcție de calitatea legăturilor și cerințele aplicațiilor ce tranzitează rețeaua. Administrarea întregii soluții se realizează din platforma centralizată vManage, platformă prin intermediul căreia se definesc template-urile pentru configurarea echipamentelor, politicile de trafic în funcție de cerințele aplicațiilor (delay, jitter și packet loss).



Tot prin intermediul platformei se monitorizează starea rețelei și se execută pașii de depanare în cazul apariției unor probleme. Existența controllerului centralizat ajută și la simplificarea instalării și implementării viitoare de echipamente, prin funcționalitatea de tip plug and play (PnP), facilitând astfel scalabilitatea soluției.
</div>



<div class="wp-block-column is-layout-flow wp-block-column-is-layout-flow" style="flex-basis:33.33%">
<figure class="wp-block-image size-large"><img loading="lazy" decoding="async" width="1024" height="574" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/image004-1024x574.png" alt="" class="wp-image-1222" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/image004-1024x574.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image004-300x168.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image004-768x431.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image004-1536x862.png 1536w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image004.png 1920w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>
</div>
</div>



<div class="wp-block-columns is-layout-flex wp-container-core-columns-is-layout-2 wp-block-columns-is-layout-flex">
<div class="wp-block-column is-layout-flow wp-block-column-is-layout-flow" style="flex-basis:33.33%">
<figure class="wp-block-image aligncenter size-full is-resized"><img loading="lazy" decoding="async" width="767" height="813" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/image001.png" alt="" class="wp-image-1224" style="width:259px;height:auto" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/image001.png 767w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image001-283x300.png 283w" sizes="auto, (max-width: 767px) 100vw, 767px" /></figure>
</div>



<div class="wp-block-column is-layout-flow wp-block-column-is-layout-flow" style="flex-basis:66.66%">
Pe zona de LAN, familia de switchuri implementată a fost Cisco Catalyst 9000, administrate centralizat din platforma DNA Center. Similar cu soluția de WAN, Cisco DNA Center asigură un punct unic de configurare și monitorizare pentru switchuri și oferă posibilitatea automatizării provizionării configurațiilor, prin template-uri flexibile. De asemenea, funcționalitatea de auditare a configurațiilor echipamentelor și a versiunilor de software care ruleaza, adaugă un plus de securizare al infrastructurii, determinând dacă există vulnerabilități software prezente în infrastructură, precum și identificarea facilă de schimbări de configurație.&nbsp;&nbsp;&nbsp;&nbsp;



Soluția de securitate este compusă din echipamente Cisco Firepower din seria 2100, configurate în pereche pentru a asigura o disponibilitate înaltă (High Availability) precum și platforma centralizată de management Cisco Firepower Management Center, de unde se operează întreaga configurație a firewallurilor, în vederea aplicării politicilor de filtrare a traficului.
</div>
</div>



Beneficii



<ol class="wp-block-list">
<li>Imbunatățirea funcționării comunicațiilor operative între sediul central și sediile centrelor meteorologice regionaleOdată cu implementarea arhitecturii SD-WAN, ambele conexiuni cu providerii sunt folosite concomitent, oferind sistemelor și aplicațiilor operative cele mai bune rute în funcție de nevoile acestora.</li>



<li>Simplificarea procedurilor de administrare a echipamentelor din rețea. De exemplu, implementarea unei noi politici de trafic sau a unei reguli de access pe echipamente, se implementează din cațiva pași simpli, folosind una dintre platformele de management (vManage, DNA Center, Firepower Management Center). Astfel, se reduce considerabil timpul de operare al schimbărilor în rețea.</li>



<li>Creșterea vizibilității asupra întregii rețele.Procedurile de depanare sunt considerabil reduse ca timp și complexitate, datorită feedbackului pe care îl oferă echipamentele către platformele de management.</li>
</ol>



<h2 class="wp-block-heading">Concluzii</h2>



Furnizarea echipamentelor și a platformelor de management centralizat (SDWAN, DNA Center și FMC) permite Administraţiei Naţionale de Meteorologie să îndeplinească cerințele de fiabilitate, securitate și performanță necesare datelor care se transferă prin intermediul rețelelor LAN și WAN. Platforma de monitorizare a echipamentelor din cadrul sistemului informatic asigura monitorizarea, raportarea si vizualizarea în timp real a incidentelor care pot să apară în funcționarea echipamentelor operative asigurând o reacție rapidă la incidentele de funcționare.



Modernizarea sistemului de comunicatii a contribuit la dezvoltarea capacităţii de informare în timp real a populaţiei cu privire la producerea&nbsp; fenomenelor meteorologice severe extreme şi la schimbările climatice.



Nu in ultimul rând, implementarea acestor soluții oferă personalului de specialitate din cadrul departamentului de sisteme de calcul și telecomunicații oportunitatea de a învăța și de a se dezvolta profesional pe tehnologii de nouă generație.



“Migrarea catre noile tehnologii si paradigma de rețea nu este una facilă. Este nevoie timp și rabdare pentru a le aprofunda, iar partenerul cu care pornești la drum într-o astfel de inițiativă este la fel de important ca tehnologia aleasa. Colaborarea cu Arctic Stream a fost una de excepție, pe tot parcursul proiectului, de la etapele de planificare, livrare, instalare pana la trainingul de transfer de informații de la final. Intelegem pe deplin de ce deviza lor este “Going the Extra Mile” ”



Cătălin Ostroveanu



Director Tehnic, Administrația Națională de Meteorologie



<div data-wp-interactive="core/file" class="wp-block-file"><object data-wp-bind--hidden="!state.hasPdfPreview" class="wp-block-file__embed" data="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Case_study_ANM_1_63fe84bd7f.pdf" type="application/pdf" style="width:100%;height:600px" aria-label="Înglobare pentru Click to download PDF."></object><a id="wp-block-file--media-19da240c-e811-4868-b397-24f0ae1a9fcc" href="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Case_study_ANM_1_63fe84bd7f.pdf">Click to download PDF</a><a href="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Case_study_ANM_1_63fe84bd7f.pdf" class="wp-block-file__button wp-element-button" download aria-describedby="wp-block-file--media-19da240c-e811-4868-b397-24f0ae1a9fcc">Download</a></div>

Studiu de caz Administraţia Naţională de Meteorologie

Într-o lume în continuă schimbare și globalizare, colaborarea eficientă a devenit esențială pentru succesul afacerilor moderne. Aceasta implică o comunicare transparentă, partajarea ideilor și cunoștințelor, precum și luarea de decizii în echipă, care pot impulsiona inovația și productivitatea.



Situația post-pandemie a adus noi provocări și a schimbat radical modul în care companiile funcționează. Munca la distanță, care a fost adoptată pe scară largă în timpul pandemiei, a devenit o componentă importantă a mediului de lucru hibrid, în care angajații lucrează atât de la distanță, cât și de la birou. Acest nou context a accentuat și mai mult necesitatea unor soluții de colaborare eficiente, care să permită o comunicare eficientă între angajații aflați în diferite locații.



În ultimii ani, Cisco a continuat să inoveze în domeniul colaborării, lansând noi dispozitive și soluții care integrează tehnologii avansate, precum inteligența artificială și analiza datelor.&nbsp;



Portofoliul actual de terminale de colaborare este unul foarte mare și foarte variat, de la terminale și accesorii pentru utilizare individuală (telefoane IP, căști, sisteme complete de videoconferință) până la terminale și accesorii pentru săli mari de conferință (sisteme complete de videoconferință all-in-one sau codecuri de videoconferință care pot forma sisteme complete împreuna cu display-uri de diverse mărimi).



O imagine de ansamblu cu o parte din portofoliul Cisco cu echipamente de colaborare:



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="236" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/WebexComputer.png" alt="" class="wp-image-1202" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/WebexComputer.png 624w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/WebexComputer-300x113.png 300w" sizes="auto, (max-width: 624px) 100vw, 624px" /></figure>



Printre noutățile din portofoliul de colaborare Cisco, se numără echipamente pentru săli de conferințe din seriile Cisco Board și Room dar și terminale pentru utilizare individuală din seriile Cisco Desk și IP Phone.



În articolul de astăzi vă povestim despre noutățile echipamentelor pentru săli de conferințe iar într-un articol viitor, continuăm cu noutățile terminalelor concepute pentru utilizare individuală.



Cele mai noi echipamente pentru sălile de conferințe sunt reprezentate de echipamentele “all-in-one” din familia Cisco Board Pro (Board Pro 55 și Board Pro 75) cât și de noile codec-uri Cisco Room Kit EQ, Cisco Room Bar si Cisco Room Bar Pro. Acestea integrează cele mai noi tehnologii și inovații în domeniul colaborării.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="663" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/image-4-1024x663.png" alt="" class="wp-image-1204" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/image-4-1024x663.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image-4-300x194.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image-4-768x497.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/image-4.png 1124w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



Noua serie Cisco Board Pro vă permite să participați la întâlniri bazate pe video, să folosiți tabla de scris digitală (whiteboard), să adăugați note pe conținutul partajat, să utilizați aplicații web uzuale și să prezentați fără fir (prin Cisco Proximity, Miracast și AirPlay). Aceste dispozitive intuitive includ tot ce este necesar pentru o colaborare eficientă în echipă în spații de colaborare  de diverse mărimi (săli de consiliu, săli de conferință, săli de training, etc).



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="499" height="257" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/webex3.png" alt="" class="wp-image-1206" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/webex3.png 499w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/webex3-300x155.png 300w" sizes="auto, (max-width: 499px) 100vw, 499px" /></figure>



Cisco Board Pro sunt echipamente complete de videoconferință (“all-in-one”), incluzând în același sistem: codec videoconferință, display, camere video, microfoane, difuzoare. Suplimentar, se pot include: microfoane de masă sau de tavan cât și o și tabletă pentru control – Cisco Webex Room Navigator (ce se poate monta pe masă sau pe perete).



Caracteristici principale ale echipamentelor Cisco Board Pro:



<ul class="wp-block-list">
<li>Modele de 55-inch sau 75-inch </li>



<li>Touchscreen interactiv ultraHD </li>



<li>Sistem de două camere video 4K inteligente cu funcții de auto-framing, people focus și speaker tracking. </li>



<li>Sistem integrat de difuzoare </li>



<li>Matrice de microfoane formată din 12 elemente</li>



<li>Opțiuni de montare flexibile (pe perete, stand pentru podea sau stand cu roți)</li>



<li>USB-C passthrough: permite dispozitivelor de tip computer (laptop/PC) să utilizeze Cisco Board Pro cu orice client de videoconferință instalat pe computer, beneficiind în același timp de inteligența camerei și a sistemului audio asigurate de Cisco Board Pro</li>



<li>Certificate pentru Microsoft Teams Rooms: oferă o experiență nativă Microsoft Teams pe dispozitivele de colaborare Cisco Board Pro</li>



<li>Produse recunoscute la “Red Dot Design Awards 2022” drept “Best of the Best” ca design de produs și la „UC Awards 2022” drept Best Meeting Room Product” al anului.</li>
</ul>



Noile codec-uri de videoconferință Cisco Room Kit EQ, Cisco Room Bar și Cisco Room Bar Pro includ cele mai noi tehnologii de colaborare și au fost concepute pentru o comunicare eficientă în echipă, fiind proiectate pentru a fi utilizate în săli medii și mari de conferință (în cazul Cisco Room Kit EQ), pentru săli medii (în cazul Cisco Room Bar Pro) sau pentru săli mici de conferință (în cazul Cisco Room Bar).



Aceste dispozitive sunt sisteme de videoconferință formate din codec, camere video, microfoane și difuzoare. Mai trebuie doar să le conectați la un display (a cărui mărime poate fi aleasă în funcție de mărimea sălii) și veți avea un sistem complet de video colaborare.phones, and speakers. You just need to connect them to a display (the size of which can be chosen depending on the size of the room) and you will have a complete video collaboration system.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="243" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Webex.png" alt="" class="wp-image-1200" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Webex.png 624w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Webex-300x117.png 300w" sizes="auto, (max-width: 624px) 100vw, 624px" /></figure>



Cisco Room Kit EQ este unul din cele mai noi echipamente de videoconferință Cisco și este un codec bazat pe inteligență artificială ce include un sistem inteligent de 4 camere video Cisco QuadCam, un sistem audio, de asemenea bazat pe AI, cât și diverse accesorii pentru o colaborare eficientă. Se poate integra cu până la trei display-uri externe, oferind o experiență completă pentru săli mari de conferințe, săli de consiliu, săli de training sau săli de spectacole.  



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="227" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Webex4.png" alt="" class="wp-image-1208" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Webex4.png 624w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Webex4-300x109.png 300w" sizes="auto, (max-width: 624px) 100vw, 624px" /></figure>



Caracteristici principale ale echipamentului Cisco Room Kit EQ:



<ul class="wp-block-list">
<li>Codec modular care poate fi combinat cu sistemul de 4 camere Cisco QuadCam sau cu cameră Cisco PTZ 4K, sau cu ambele.</li>



<li>Sistemul inteligent de 4 camere video de 80 MP oferă un singur stream video 1080p bazat pe cadre simultane de la senzorii celor 4 camere</li>



<li>Camera video PTZ 4K este o cameră video AI-powered cu funcții pan, tilt și zoom. Oferă o rezoluție 4K cu un zoom total de 240x (20x optic + 12x digital)</li>



<li>Sistem integrat de difuzoare </li>



<li>Matrice de microfoane formată din 8 elemente</li>



<li>Codecul Kit EQ oferă multiple opțiuni I/O pentru microfoane externe și difuzoare; De asemenea oferă suport pentru conectarea până la 8 microfoane digitale ce folosesc tehnologia audio over IP.</li>



<li>Opțiuni de montare flexibile: Codec-ul poate fi montat pe perete, în rack sau poate fi așezat pe orice suprafață dreaptă; Camera Cisco QuadCam poate fi montată pe perete, pe display sau sub display; Camera Cisco PTZ4K poate fi montată pe perete sau pe tavan).</li>



<li>Oferă funcții de speaker tracking, automatic group-framing și intelligent people framing</li>



<li>Suportă partajare de conținut 4K prin cablu sau fără fir prin Apple AirPlay, Miracast, Webex sau prin USB-C și HDMI Passthrough</li>



<li>Poate fi configurat să ruleze nativ sistemul de operare Webex &#8211; RoomOS sau poate fi configurat să ruleze nativ Microsoft Teams Rooms system.</li>



<li>Interoperabilitate video în modul Webex RoomOS cu Zoom, Microsoft Teams și Google Meet</li>
</ul>



Cisco Room Bar este unul din cele mai compacte echipamente de videoconferință Cisco și este dedicat pentru săli mici de conferință. Este un terminal de videoconferință all-in-one ce include în aceeași carcasă un codec de videoconferință cu cipset Nvidia, cameră video, difuzoare stereo și matrice de microfoane. Suplimentar include și Webex Room Navigator.



Se poate integra cu până la două display-uri externe, oferind o experiență completă pentru participanții la întâlnire.&nbsp;



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="468" height="247" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Picture5.png" alt="" class="wp-image-1210" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5.png 468w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5-300x158.png 300w" sizes="auto, (max-width: 468px) 100vw, 468px" /></figure>



Caracteristici principale ale echipamentului Cisco Room Bar:



<ul class="wp-block-list">
<li>Camera video 12 MP cu zoom 5x și unghi de vizualizare orizontal de 120 de grade</li>



<li>Matrice de microfoane formată din 4 elemente cu funcție de eliminare a zgomotului bazată pe AI</li>



<li>Oferă opțiune pentru conectarea unui microfon extern de masă sau a unui difuzor extern pe USB-A</li>



<li>Opțiuni de montare flexibile: pe perete, pe display sau sub display</li>



<li>Oferă funcții de speaker tracking, automatic group-framing și intelligent people framing</li>



<li>Suportă partajare de conținut 4K prin cablu sau fără fir prin Apple AirPlay, Miracast, Webex sau prin USB-C și HDMI Passthrough</li>



<li>Poate fi configurat să ruleze nativ sistemul de operare Webex &#8211; RoomOS sau poate fi configurat să ruleze nativ Microsoft Teams Rooms system.</li>



<li>Interoperabilitate video în modul Webex RoomOS cu Zoom, Microsoft Teams și Google Meet</li>
</ul>



Cisco Room Bar Pro este cel mai nou terminal de videoconferință Cisco și este dedicat pentru săli medii de conferință. Este un terminal de videoconferință all-in-one ce include în aceeași carcasă un codec de videoconferință, cameră video, difuzoare stereo și matrice de microfoane. Suplimentar include și Webex Room Navigator.



Se poate integra cu până la trei display-uri externe, oferind o experiență completă pentru participanții la întâlnire.&nbsp;



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="214" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Picture6.png" alt="" class="wp-image-1212" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture6.png 624w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture6-300x103.png 300w" sizes="auto, (max-width: 624px) 100vw, 624px" /></figure>



Caracteristici principale ale echipamentului Cisco Room Bar Pro:



<ul class="wp-block-list">
<li>Codec video inteligent bazat pe cipset Nvidia bazat pe AI</li>



<li>Sistem inteligent de 2 camere video de 96 MP cu zoom 5x, unghi de vizualizare orizontal de 112 grade și funcție tilt motorizat între -2 și 20 de grade</li>



<li>Matrice de microfoane formată din 16 elemente cu funcție de eliminare a zgomotului bazată pe AI</li>



<li>Oferă opțiune pentru conectarea a două microfoane analogice sau 3 microfoane digitale ce folosesc tehnologia audio over IP sau multiple microfoane 3rd party ce folosesc standardul AES67</li>



<li>Include sistem de difuzoare stereo pe 3 canale cu funcție audio spațial</li>



<li>Opțiuni de montare flexibile: pe perete, pe display sau sub display</li>



<li>Oferă funcții de speaker tracking, automatic group-framing și intelligent people framing</li>



<li>Suportă partajare de conținut 4K prin cablu sau fără fir prin Apple AirPlay, Miracast, Webex sau prin USB-C și HDMI Passthrough</li>



<li>Poate fi configurat să ruleze nativ sistemul de operare Webex &#8211; RoomOS sau poate fi configurat să ruleze nativ Microsoft Teams Rooms system</li>



<li>Interoperabilitate video în modul Webex RoomOS cu Zoom, Microsoft Teams și Google Meet</li>
</ul>



Caracteristici smart comune echipamentelor Cisco Board Pro/Room Kit EQ/Room Bar/Room Bar Pro:



Se pot controla perifericele camerei, cum ar fi luminile, separatoarele de cameră și draperiile, utilizând tableta de control &#8211; Cisco Room Navigator (necesită integrare cu un modul 3rd party extern prin intermediul API-urilor personalizabile)



Webex Assistant: utilizatorii se pot alătura la întâlniri prin comenzi vocale preluate de un asistent virtual cu funcții AI 



AI-Powered Noise Removal: Eliminare a zgomotului cu ajutorul AI



People Focus: oferă o opțiune inteligentă a aspectului video prin care se elimina spațiul în exces de la podea și tavan



People Count: Sistemul poate număra persoanele din cameră permițând realizarea de analize pentru o planificare mai bună a resurselor



Senzori: Se pot măsura temperatura, umiditatea, zgomotul și lumina din camere atunci când terminalele sunt asociate cu o tabletă de control &#8211; Cisco Room Navigator. 



Digital signage – vă permite să afișați conținut personalizat cu scopul de a oferi informații importante pentru angajați și/sau oaspeți

Descoperă noutățile echipamentelor Cisco pentru colaborare audio-video

Colaborare

Nu cu mult timp în urmă, pionierii rețelisticii creionau caracteristicile &#8222;Epocii de piatră&#8221; a networking-ului definind conceptele de Spanning Tree Protocol și VLAN. Cum lumea este într-o continuă evoluție, nu a durat mult până la tranziția către &#8222;Epoca de bronz&#8221;, inginerii desăvârșiți primind titulatura de &#8222;IP Magedon&#8221; pentru că stăpâneau protocoalele de rutare și desenau rețelele pe distanțe geografice mari (WAN). Rețelele au devenit din ce în ce mai mari, făcând din serviciile de Internet și Intranet din interiorul companiilor un atribut din ce în ce mai căutat. Se pune astfel în discuție problema scalabilității din punct de vedere management operațional al rețelelor și, bineînțeles, problema securității acestora.



Networking-ul tranzitează odată cu aceste nevoi către epocile de &#8222;Renastere și Programabilitate&#8221;. Apar concepte precum controllerele centralizate, separarea planurilor, programabilitate sau underlay versus overlay. În zilele noastre ne aflăm la granița dintre aceste două epoci, iar acest lucru, din punct de vedere al rețelelor WAN, se traduce prin includerea mecanismelor software în zona de networking și discutăm astfel despre soluții de tip Software Defined Wide Area Network, pe scurt SDWAN.



Soluția Cisco pentru SDWAN ia naștere în anul 2017, odată cu achiziția companiei Viptela. Tehnologia Viptela a fost înglobată în soluțiile de rutare state-of-the-art deja existente în&nbsp;portofoliul Cisco, conturându-se astfel o nouă generație de rețele WAN, bazate pe conceptul de &#8222;intuitive-networks&#8221; (rețele intuitive), rețele care se adaptează constant condițiilor de trafic, oferă posibilitatea de automatizare și înglobează nativ mecanismele de securitate atât de necesare în contextul climatului cibernetic actual.



Istoric vorbind, cea mai scalabilă arhitectură de WAN era reprezentată prin implementarea tehnologiei DMVPN. Mecanismele de administrare ce presupuneau conectarea pe fiecare echipament în parte și legarea administratorilor de linia de comandă, conturează nevoia unei centralizări, proces prin care să se poată realiza managementul întregii infrastructuri. În SDWAN, managementul se realizează printr-un așa-numit &#8222;Single Pane of Glass&#8221;, o consolă centralizată prin care se pot configura noi feature-uri, dar se pot și vizualiza toate datele despre echipamentele administrate, în vederea eficientizării procesului de depanare.



Pentru depanare, inginerii se confruntă desori cu probleme de funcționalitate a aplicațiilor. Pe zona de transport, zona care este de obicei asigurată de către un provider de servicii, pot apărea modificări ale parametrilor de întârziere și jitter (variația întârzierii), precum și pierderi de pachete (eng. latency, jitter și loss). Soluția Cisco ține cont de acești parametri în scopul alterării rutării de pachete, în timp real. Astfel, pentru aplicațiile susceptibile, spre exemplu, la întârzieri (VoIP, Video etc.), în cazul în care una dintre legăturile de WAN nu îndeplinește parametrii impuși, traficul pentru acea aplicație se va re-ruta automat pe o altă conexiune de WAN. În scenariul ideal în care toate conexiunile de WAN îndeplinesc parametrii impuși, traficul se va balansa pe toate circuitele, acest lucru realizându-se de asemenea în mod automat, fără intervenția administratorului.



Istoric vorbind, cea mai scalabilă arhitectură de WAN era reprezentată prin implementarea tehnologiei DMVPN. Mecanismele de administrare ce presupuneau conectarea pe fiecare echipament în parte și legarea administratorilor de linia de comandă, conturează nevoia unei centralizări, proces prin care să se poată realiza managementul întregii infrastructuri. În SDWAN, managementul se realizează printr-un așa-numit &#8222;Single Pane of Glass&#8221;, o consolă centralizată prin care se pot configura noi feature-uri, dar se pot și vizualiza toate datele despre echipamentele administrate, în vederea eficientizării procesului de depanare.



Pentru depanare, inginerii se confruntă desori cu probleme de funcționalitate a aplicațiilor. Pe zona de transport, zona care este de obicei asigurată de către un provider de servicii, pot apărea modificări ale parametrilor de întârziere și jitter (variația întârzierii), precum și pierderi de pachete (eng. latency, jitter și loss). Soluția Cisco ține cont de acești parametri în scopul alterării rutării de pachete, în timp real. Astfel, pentru aplicațiile susceptibile, spre exemplu, la întârzieri (VoIP, Video etc.), în cazul în care una dintre legăturile de WAN nu îndeplinește parametrii impuși, traficul pentru acea aplicație se va re-ruta automat pe o altă conexiune de WAN. În scenariul ideal în care toate conexiunile de WAN îndeplinesc parametrii impuși, traficul se va balansa pe toate circuitele, acest lucru realizându-se de asemenea în mod automat, fără intervenția administratorului. Scalabilitatea configurării rețelelor SDWAN provine din valorificarea conceptului de Plug-and-Play cee ace se traduce prin realizarea centralizată a configurării, configurare care mai apoi se se distribuie către routere în momentul conectării acestora la rețea. De fapt, configurarea prezentă la nivel central este segregată în template-uri, aspect ce permite reutilizarea unei singure configurări pe mai multe device-uri, îmbunătățindu-se astfel trasabilitatea și procesul de depanare. Din punct de vedere al arhitecturii, soluția SDWAN poate fi văzută ca un &#8222;fabric&#8221; în interiorul căruia există mai multe roluri separate pentru fiecare tip de device. De fapt, aceste funcții se mapează pe planurile din cadrul unui router ce face parte dintr-o rețea clasică – management, control și date. În SDWAN, singurul plan care intră sub jurisdictia routerului este planul de date. Astfel, traficul interesant dintre două locații deservite de două routere diferite, va tranzita data plane-ul celor două echipamente. Din punct de vedere al rutării, tabelele de rutare ale device-urilor sunt populate utilizând planul de control, prin intermediul controller-ului ce poartă numele de vSmart. Acesta are rolul de a agrega update-urile de rutare de la toate echipamentele din rețea și de a le transmite către celelalte routere. vSmart poate fi privit ca fiind omologul route reflector-ului din cadrul protocolului BGP. Managementul infrastructurii se realizează prin intermediul controller-ului ce poartă numele de vManage. Se atinge astfel și cel de-al treilea plan, adică planul de management din cadrul fabric-ului. Ultimul plan este planul de orchestrare. Acesta are rolul de a asigura &#8222;îmbarcarea&#8221; (eng. on-boarding) inițială a routerelor în fabric și este asigurat de către controllerul ce poartă numele de vBond.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="988" height="700" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2023/07/sdwan_1_e2aa21218e.png" alt="" class="wp-image-1788" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/07/sdwan_1_e2aa21218e.png 988w, https://wp.arcticstream.ro/wp-content/uploads/2023/07/sdwan_1_e2aa21218e-300x213.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2023/07/sdwan_1_e2aa21218e-768x544.png 768w" sizes="auto, (max-width: 988px) 100vw, 988px" /></figure>



Securitatea reprezintă în general un subiect ce trebuie tratat cu maxima responsabilitate. Principiul de &#8222;layered security&#8221; este aplicat cu succes în SDWAN, conturându-se trei direcții de interes în interiorul fabric-ului. În prima fază, așa cum reiese din paragraful anterior, înrolarea routerelor în fabric-ul de SDWAN se realizează prin vBond, folosind un model de whitelisting, model ce presupune înrolarea în rețea numai a device-urilor ale căror serie și certificate digital corespund cu lista încărcată în prealabil de către administrator. Conexiunea se inițiază dinspre routere către vBond, controller ce verifică SN-ul și datele din certificatul prezentat de către router, iar mai apoi validează cererea echipamentului de a intra în fabric. În planul de date, traficul dintre routere este securizat nativ, folosindu-se protocolul IPSEC, protejându-se astfel datele utile transmise prin fabric. Cel de-al treilea layer de securitate este reprezentat de securizarea traficului din planurile management și control prin intermediul protocoalelor DTLS sau TLS.



Având în vedere complexitatea arhitecturală și operațională a rețelelor din zilele noastre, precum și necesitatea de a securiza cât mai bine datele și infrastructura de comunicații, soluția Cisco SDWAN reușește să ofere simplitate în configurare și administrare, respectând totodată cele mai bune practici din industrie în ceea ce privește securitatea cibernetică.

Cisco SDWAN- o nouă paradigmă în lumea rețelelor WAN

<h2 class="wp-block-heading">Extinderea arhitecturii Cisco SD-WAN in AWS</h2>



Cisco SD-WAN oferă o arhitectură scalabilă în cloud, securizată și proiectată pentru a satisface nevoile complexe ale rețelelor WAN moderne prin trei domenii cheie: optimizarea avansată a aplicațiilor, securitatea multi-stratificată și integrarea în cloud.



 Interconectarea dintre Cisco SD-WAN și AWS Transit Gateway aduce următoarele beneficii:



• Provizionarea automată și ușoară a conectivității către punctul de intrare AWS cel mai optim pentru centrul de date, filialele și locațiile centrale ale clienților.



 • Telemetrie pentru aplicații și date în și din AWS, în scopuri de raportare și facturare.



 • Rutare dinamică, selectare a mai multor căi și comportament de failover determinist prin utilizarea protocolului de gestionare a suprapunerii (Overlay Management Protocol &#8211; OMP) și a politicilor de rețea extensibilă și securizată SD-WAN (Secure Extensible Network &#8211; SEN) proprietare Cisco.



• Hub-uri regionale care interconectează mai multe Gateway-uri de Tranzit AWS și regiuni AWS prin intermediul SEN.



 • Scalarea lățimii de bandă a rețelei private virtuale (VPN) de la 1,2 Gbps până la 50 Gbps utilizând metoda de rutare cu cost egal multiplu (Equal Cost Multi Path &#8211; ECMP).



Cu AWS Transit Gateway, nu este nevoie de un VPC de tranzit pentru a încheia mai multe conexiuni VPN de la ruterele virtuale vEdge cloud din VPC-ul SD-WAN la VGW (Virtual Private Gateway) în fiecare VPC- spoke.



 Astfel, filialele se conectează prin infrastructura AWS și se pot interconecta cu workload-urile AWS.



<h2 class="wp-block-heading">Conectarea Branch-ului la AWS – SD-WAN VPC, TGW, și atasarea VPN-ului</h2>



În arhitectura de referință, ruterele virtuale vEdge cloud ale filialei încheie tuneluri securizate proprietare Cisco SD-WAN de la filială peste internet sau prin intermediul conexiunii directe AWS Direct Connect de la centrul de date către o pereche de rutere vEdge cloud într-un VPC SD-WAN pe AWS. Ruterele virtuale vEdge cloud încheie tuneluri VPN IPSec standard de la ruterele SD-WAN către AWS Transit Gateway ca atașamente VPN.



Diagrama de mai jos prezintă un exemplu. În acest exemplu, există două VPC-uri de aplicație adiționale atașate la AWS Transit Gateway. Filiala/centrul de date poate comunica cu sarcinile de lucru din VPC- urile de aplicație, dar sarcinile de lucru din VPC-uri nu ar trebui să comunice între ele. Acesta este un caz de utilizare pentru segmentare.



Pentru a obține conectivitatea dorită, au fost configurate trei tabele de rute diferite pe AWS Transit Gateway. Tabela de rute1 este asociată cu un VPC de aplicație; tabela de rute2 este asociată cu celălalt VPC și tabela de rute3 este asociată ca atașament VPN cu VPC-ul SD-WAN.



Rutele IP din tabelele de rute AWS Transit Gateway asociate cu VPC-urile de aplicație sunt învățate din VPC-ul SD-WAN folosind propagarea rutei. Rutele din tabela de rute asociată cu VPC-ul SD-WAN sunt propagate static.



În plus, pe tabela de rute a VPC-ului, este configurată o rută statică pentru fiecare VPC de aplicație, având ca următor salt tgw-xxxx pentru rutele non-locale. Similar, pe tabela de rute a VPC-ului SD-WAN, este configurată o rută implicită statică care indică igw-xxxx ca următor salt.



Rutele între VPC-ul SD-WAN și filială sunt învățate prin intermediul protocolului OMP (Overlay Management Protocol) al Cisco SD-WAN. Prin redistribuirea rutelor BGP în OMP, rețeaua SD-WAN devine conștientă de infrastructura AWS. Opțiunile tradiționale de filtrare a rutelor, cum ar fi hărțile de rute, pot fi utilizate pentru a face redistribuirea mai granulară.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="695" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/resize-1687782340465960823Picture8.png" alt="" class="wp-image-1181" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/resize-1687782340465960823Picture8.png 624w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/resize-1687782340465960823Picture8-269x300.png 269w" sizes="auto, (max-width: 624px) 100vw, 624px" /></figure>



<h2 class="wp-block-heading">Reunind toate elementele</h2>



Diagrama de mai jos rezumă conceptele de arhitectură menționate mai sus, așa cum au fost implementate într-un mediu de producție. AWS Transit Gateway, AWS Transit VPC și întreaga rețea SD-WAN au fost implementate automat cu ajutorul Cisco vManage. De acolo, AWS Transit Gateway a fost extins către VPC-urile existente AWS Spoke (aplicații). Un VPC suplimentar de securitate, care găzduiește firewall-uri Cisco FTDv, a fost adăugat manual pentru inspecție E-W și N-S. Un alt VPC a fost creat pentru diferite echipamente de securitate de rețea (în special gestionarea firewall-ului).



În același timp, Cisco SD-WAN a fost de asemenea extins în Azure, unde se află AD (Active Directory).



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="624" height="524" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Picture9.gif" alt="" class="wp-image-1183"/></figure>



Surse:



<ul class="wp-block-list">
<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/design-your-firewall-deployment-for-internet-ingress-traffic-flows/">https://aws.amazon.com/blogs/networking-and-content-delivery/design-your-firewall-deployment-for-internet-ingress-traffic-flows/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/scaling-network-traffic-inspection-using-aws-gateway-load-balancer/">https://aws.amazon.com/blogs/networking-and-content-delivery/scaling-network-traffic-inspection-using-aws-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/integrate-your-custom-logic-or-appliance-with-aws-gateway-load-balancer/">https://aws.amazon.com/blogs/networking-and-content-delivery/integrate-your-custom-logic-or-appliance-with-aws-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/best-practices-for-deploying-gateway-load-balancer/">https://aws.amazon.com/blogs/networking-and-content-delivery/best-practices-for-deploying-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-aws-gateway-load-balancer-supported-architecture-patterns/">https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-aws-gateway-load-balancer-supported-architecture-patterns/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/centralized-inspection-architecture-with-aws-gateway-load-balancer-and-aws-transit-gateway/">https://aws.amazon.com/blogs/networking-and-content-delivery/centralized-inspection-architecture-with-aws-gateway-load-balancer-and-aws-transit-gateway/</a></li>



<li><a href="https://aws.amazon.com/blogs/apn/centralized-traffic-inspection-with-gateway-load-balancer-on-aws/">https://aws.amazon.com/blogs/apn/centralized-traffic-inspection-with-gateway-load-balancer-on-aws/</a></li>
</ul>

Multi-Cloud Network Architecture-2

<h2 class="wp-block-heading">High Level Design</h2>



<h3 class="wp-block-heading">Cerințe</h3>



Infrastructura IT descrisă în acest articol a fost construită de la zero cu câteva obiective în minte:



<ul class="wp-block-list">
<li>Să profite de cele mai noi și cele mai bune tehnologii disponibile, deoarece nu există constrângeri provenite din lucruri vechi</li>



<li>Să se bazeze pe principii și tehnologii de securitate testate și dovedite</li>



<li>Să fie cât mai flexibilă posibil (adaugarea și ștergerea de lucruri noi după necesitate, scalarea în sus și în jos fără modificări semnificative de design)</li>



<li> Să fie foarte disponibilă, dar fără a irosi resursele</li>
</ul>



Obiectivele de business, totuși, devin constrângeri de design conflictuale atunci când analizăm detaliile. Să reformulăm nevoile:



<ul class="wp-block-list">
<li> Integrarea mai multor medii cloud (AWS datorită funcționalităților, Cisco SD-WAN datorită rețelelor securizate și flexibile de filiale, Azure datorită gestionării punctelor terminale, a securității și a instrumentelor de productivitate)</li>



<li>Segmentarea logică, adică separarea mediilor de aplicații în cloud-ul AWS, din motive de securitate</li>



<li>Inspecția traficului între mediile de aplicații AWS înșiși (numit trafic E-W) și între mediile de aplicații și Internet (numit trafic N-S), de asemenea, din motive de securitate</li>



<li>Păstrarea unor aparate de securitate mai capabile (față de cele native în cloud)</li>



<li>Scalabilitate fără modificări semnificative de design</li>



<li>Disponibilitate ridicată și echilibrare a load-ului</li>
</ul>



Cel mai dificilă problemă în acest context este securitatea și disponibilitatea ridicată a mediilor de aplicații utilizând appliance-uri de securitate 3rd party pentru segmentare și inspecție a traficului. Centralizarea inspecției cu Gateway Load Balancer (GWLB) și Transit Gateway (TGW) de la AWS este concepută pentru a rezolva această problemă.



Cealaltă problemă este o rețea WAN scalabilă și rezistentă, care are acces atât la AWS, cât și la resursele Azure, și oferă, de asemenea, o cale alternativă între resursele AWS și Azure, în scopul simplificării rutării. Soluția Cisco SD-WAN se integrează bine atât cu TGW de la AWS, cât și cu Virtual WAN de la Azure.



<h2 class="wp-block-heading">Centralizarea inspecției cu Gateway Load Balancer și Transit Gateway de la AWS</h2>



<h3 class="wp-block-heading">Concepte de bază</h3>



Cu doar un an în urmă, nu exista o modalitate ușoară de a implementa, scala și oferi o disponibilitate ridicată pentru echipamentele virtuale de rețea 3rd party în AWS.&nbsp;



Amazon a lansat VPC ingress routing, facilitând rutarea traficului către instanțe specifice EC2 într-o VPC, dar încă lipsea capacitatea de a vizat un load balancer și puncte terminale de interfață VPC într-o tabelă de rutare a VPC-ului. Prin combinarea unui gateway transparent și a unui load balancer, noul Gateway Load Balancer (GWLB) de la AWS îndeplinește această cerință.



Dispozitivele virtuale de rețea stau in-line cu traficul de rețea și inspectează fluxurile de trafic de intrare și ieșire. Acest tip de inserție transparentă are multe denumiri, cum ar fi service chaining, bump in the wire sau virtualizarea funcțiilor de rețea (NFV).



Un Gateway Load Balancer (GWLB) este un serviciu gestionat (sau un plan de control) care facilitează clienților să implementeze și să administreze o flotă de appliance-uri virtuale de rețea scalabile în mod orizontal într-un mod transparent în scopuri precum inspecția de securitate, conformitatea, controalele de politică și alte servicii de rețea.



Un Gateway Load Balancer Endpoint (GWLBE) este o componentă al planului de date al GWLB și oferă o modalitate clienților de a plasa puncte terminale de interfață VPC într-o implementare centralizată și distribuită într-un mod flexibil. Un GWLBE este similar cu AWS PrivateLink, care vă permite să plasați serviciul dvs. în mai multe conturi și VPC-uri fără a pierde controlul și administrarea centralizate.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="513" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Picture1-1024x513.jpg" alt="" class="wp-image-1141" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture1-1024x513.jpg 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture1-300x150.jpg 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture1-768x385.jpg 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture1.jpg 1430w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



O adresă IP elastică este o adresă IPv4 statică și publică concepută pentru cloud-computing dinamic, fiind accesibilă de pe Internet. O adresă IP elastică este alocată unui cont AWS și poate fi înregistrată cu DNS-ul public.



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="506" height="347" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2023/06/transit-gateway.jpg" alt="" class="wp-image-1158" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/06/transit-gateway.jpg 506w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/transit-gateway-300x206.jpg 300w" sizes="auto, (max-width: 506px) 100vw, 506px" /></figure>



Un Gateway de Tranzit AWS oferă o configurație de tip hub și spoke pentru conectarea rețelelor VPC și a rețelelor on-premises ca un serviciu complet gestionat. Nu este necesar un VPN overlay și AWS gestionează disponibilitatea ridicată și scalabilitatea. Gateway-ul de Tranzit controlează modul în care traficul este rutat între toate rețelele spoke conectate utilizând tabele de rutare. Acest model hub și spoke simplifică gestionarea și reduce costurile operaționale deoarece VPC-urile se conectează doar la instanța Gateway-ului de Tranzit pentru a accesa rețelele conectate. Gateway-ul de Tranzit este un resursă regională și poate conecta mii de VPC-uri în aceeași regiune AWS.



Unele echipamente de rețea, cum ar fi firewall-urile de tip stateful, necesită vizibilitate asupra tranzacției bidirecționale a fluxului de rețea pentru a evalua traficul valid și a detecta amenințări sau atacuri potențiale. Pentru aceste scenarii, rutarea asimetrică poate împiedica eficacitatea stateful. În mod implicit, Gateway-ul de Tranzit AWS încearcă să izoleze traficul în cadrul zonei de disponibilitate de unde a pornit traficul. Deși acest comportament este optim pentru majoritatea arhitecturilor, nu este ideal pentru implementările centralizate de firewall stateful care se extind pe mai multe zone de disponibilitate. Poate introduce rutarea asimetrică, ceea ce poate duce la întreruperi ale traficului. Pentru a rezolva această problemă, Gateway-ul de Tranzit AWS suportă acum appliance mode. Acest mod asigură rutarea traficului bidirecțional către aceleași atașamente VPC, cunoscută și sub numele de rutare simetrică. Aceasta elimină necesitatea soluțiilor complexe de rezolvare a problemei, cum ar fi sursa-NAT, pentru a forța traficul să revină la aparatul corect.



<h2 class="wp-block-heading">Modele pentru Inspectare Inline &#8211; Trafic N/S și E/W </h2>



Clienții care implementează echipamente inline se încadrează în mod obișnuit în una dintre următoarele modele arhitecturale:&nbsp;



<ul class="wp-block-list">
<li> O singură VPC cu conectivitate nord/sud </li>



<li>Multe VPC-uri cu conectivitate centralizată nord/sud </li>



<li>Multe VPC-uri cu conectivitate centralizată est/vest </li>



<li>O singură VPC cu conectivitate est/vest între subneturi în aceeași VPC </li>
</ul>



Termenii nord/sud și est/vest sunt utilizați de ani de zile în rețelele tradiționale și mediile de date pentru a descrie fluxul de trafic. Nord/sud se referă în general la traficul care părăsește rețeaua sau centrul de date și descrie cel mai frecvent traficul care vine de la sau merge către Internet. Est/vest se referă la traficul care circulă între resursele din cadrul centrului de date sau rețelei.&nbsp;



Cu modelul cu un singur VPC cu conectivitate nord/sud, se poate alege să se centralizeze sau să se distribuie planul de control și să se mențină un plan de date distribuit. Nu este necesar un Gateway de Tranzit.



Single VPC, Distributed Control and Data Plane (GWLB and GWLBE)



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="684" height="318" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2023/06/Picture1-1.jpg" alt="" class="wp-image-1159" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1-1.jpg 684w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1-1-300x139.jpg 300w" sizes="auto, (max-width: 684px) 100vw, 684px" /></figure>



Single VPC, Centralized Control Plane (GWLB), Distributed Data Plane (GWLBE)



<figure class="wp-block-image aligncenter size-full"><img loading="lazy" decoding="async" width="535" height="428" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2023/06/Picture2.jpg" alt="" class="wp-image-1161" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture2.jpg 535w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture2-300x240.jpg 300w" sizes="auto, (max-width: 535px) 100vw, 535px" /></figure>



Atunci când mai multe VPC-uri necesită o conectivitate centralizată nord/sud, funcționalitatea inline bump-in-the-wire este mutată într-un VPC centralizată. Acest lucru este realizat în mod obișnuit cu ajutorul AWS Transit Gateway pentru a controla separarea atribuțiilor între conturile care efectuează funcționalitatea inline și VPC-urile auxiliare care găzduiesc aplicațiile. În acest model, atât funcționalitatea planului de control, cât și a planului de date sunt centralizate.



Many VPC’s, Centralized Control and Data Plane, North/South traffic (GWLB and GWLBE plus TGW)



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="415" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2023/06/Picture3-1024x415.jpg" alt="" class="wp-image-1163" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture3-1024x415.jpg 1024w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture3-300x122.jpg 300w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture3-768x311.jpg 768w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture3.jpg 1430w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



Configurația cu un singur VPC care necesită funcționalitatea est-vest între subrețelele din același VPC nu este acceptată, deoarece VPC-ul nu permite definiția rutelor mai specifice decât alocarea CIDR a VPC-ului într-o tabelă de rute a VPC-ului. Din acest motiv, o tabelă de rute a VPC-ului nu permite redirecționarea traficului prin intermediul unui appliance dacă sursa și destinația se află în același VPC. Există o excepție de la această regulă și se aplică tabelelor de rutare edge. O tabelă de rutare edge permite traficului să intre într-un VPC de la o Poartă de internet prin intermediul unui Gateway Load Balancer.



Pentru același motiv, este important să se ia în considerare plasarea funcțiilor inline pentru sarcini de lucru destinate internetului. Dacă se utilizează un Gateway NAT AWS sau instanțe NAT autogestionate, GWLBE trebuie să fie amplasat între gateway-ul de internet și resursa cu expunere publică directă. Pentru traficul care vine de pe internet, funcționalitatea inline sau GWLBE nu poate fi plasată după NAT și între instanțele private, deoarece ar necesita o rută mai specifică în cadrul tabelului de rute al VPC-ului.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="510" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Picture5-1024x510.jpg" alt="" class="wp-image-1149" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5-1024x510.jpg 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5-300x149.jpg 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5-768x382.jpg 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture5.jpg 1430w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



<h2 class="wp-block-heading">Modele pentru Inspectarea Inline &#8211; Luând în considerare starea firewall-ului</h2>



Rutarea asimetrică este un termen care descrie situația în care solicitarea unui client către un server parcurge o cale de rețea diferită față de răspunsul serverului. Dacă calea de retur asimetrică trimite pachetul printr-un firewall diferit, traficul valid ar putea fi respins din cauza urmăririi conexiunilor &#8211; un component de bază al firewall-urilor stateful. Un firewall stateful urmărește o conexiune sau un flux de rețea pe întreaga durată a unei tranzacții (cum ar fi conexiunile TCP de la pachetul SYN inițial la notificarea FIN finală). Pentru ca un firewall să urmărească o conexiune eficient, rețeaua trebuie să se asigure că pachetele sunt trimise către aceeași instanță de firewall în ambele direcții (de la client la server și de la server la client). Dacă, din orice motiv, un flux activ este rutat către un firewall care nu urmărește starea fluxului, pot apărea pierderi nedorite de pachete.



În mod implicit, AWS Transit Gateway aplică un algoritm de rutare foarte specific, optimizat pentru a menține afinitatea cu zona de disponibilitate. Deși acest lucru este ideal pentru performanță și disponibilitate, poate provoca probleme pentru arhitecturile de firewall centralizate. Acest lucru este valabil în special în cazul modelului de arhitectură centralizată est-vest, în care sursa și destinația pot fi în două zone de disponibilitate diferite.



Cu modul Appliance al AWS Transit Gateway, este posibil să se specifice atașamente care să direcționeze fluxurile de rețea din aceeași zonă de disponibilitate, indiferent de direcția fluxului și de zona de disponibilitate din care a pornit. Modul Appliance al AWS Transit Gateway asigură rutarea simetrică a fluxurilor de rețea către aceeași zonă de disponibilitate și aparat de rețea. Este necesară conectarea unui singur AWS Transit Gateway la VPC-ul Appliance pentru a garanta stabilitatea fluxurilor, deoarece gateway-urile AWS Transit nu împărtășesc informații despre starea fluxului între ele.



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="555" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/Picture7-1024x555.jpg" alt="" class="wp-image-1151" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture7-1024x555.jpg 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture7-300x163.jpg 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture7-768x416.jpg 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/Picture7.jpg 1430w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



<h2 class="wp-block-heading">Modele pentru inspecția în linie &#8211; Elastic Load Balancer</h2>



<figure class="wp-block-image aligncenter size-large"><img loading="lazy" decoding="async" width="1024" height="492" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2023/06/Picture1_a5dad686e2-1024x492.png" alt="" class="wp-image-1173" srcset="https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1_a5dad686e2-1024x492.png 1024w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1_a5dad686e2-300x144.png 300w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1_a5dad686e2-768x369.png 768w, https://wp.arcticstream.ro/wp-content/uploads/2023/06/Picture1_a5dad686e2.png 1430w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



Până acum, Endpointurile Gateway Load Balancer (GWLB) erau inserate în mod transparent în trafic ca un &#8222;bump-in-the-wire&#8221; folosind rutarea în subrețea VPC și o rută de intrare IGW (Internet Gateway). Endpointurile GWLB erau create în subrețele individuale &#8211; câte una per Zonă de Disponibilitate. Aceste endpointuri ofereau o cale către un VPC separat care găzduia GWLB și echipamentele de securitate ale 3rd&nbsp;party.



În primul rând, am direcționat traficul către Endpointul GWLB corespunzător. De acolo, a fost trimis în mod transparent către GWLB și apoi către firewall-urile de la terți. După ce traficul a fost inspectat, se întorcea la Endpointul GLWB. Acum, poate continua către Elastic Load Balancer care găzduiește serviciul. Aceasta este ultima componentă necesară.



Surse:



<ul class="wp-block-list">
<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/design-your-firewall-deployment-for-internet-ingress-traffic-flows/">https://aws.amazon.com/blogs/networking-and-content-delivery/design-your-firewall-deployment-for-internet-ingress-traffic-flows/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/scaling-network-traffic-inspection-using-aws-gateway-load-balancer/">https://aws.amazon.com/blogs/networking-and-content-delivery/scaling-network-traffic-inspection-using-aws-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/integrate-your-custom-logic-or-appliance-with-aws-gateway-load-balancer/">https://aws.amazon.com/blogs/networking-and-content-delivery/integrate-your-custom-logic-or-appliance-with-aws-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/best-practices-for-deploying-gateway-load-balancer/">https://aws.amazon.com/blogs/networking-and-content-delivery/best-practices-for-deploying-gateway-load-balancer/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-aws-gateway-load-balancer-supported-architecture-patterns/">https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-aws-gateway-load-balancer-supported-architecture-patterns/</a></li>



<li><a href="https://aws.amazon.com/blogs/networking-and-content-delivery/centralized-inspection-architecture-with-aws-gateway-load-balancer-and-aws-transit-gateway/">https://aws.amazon.com/blogs/networking-and-content-delivery/centralized-inspection-architecture-with-aws-gateway-load-balancer-and-aws-transit-gateway/</a></li>



<li><a href="https://aws.amazon.com/blogs/apn/centralized-traffic-inspection-with-gateway-load-balancer-on-aws/">https://aws.amazon.com/blogs/apn/centralized-traffic-inspection-with-gateway-load-balancer-on-aws/</a></li>
</ul>

Multi-Cloud Network Architecture-1

Directiva NIS



Directiva NIS (Network and Information Security) a fost primul act legislativ al Uniunii Europene uniform in toate statele membre privind securitatea cibernetica. Scopul acestei directive a fost implementarea unui nivel comun ridicat de securitate cibernetica in toate aceste tari.



In contextul cresterii amenintarilor de securitate in urma proceselor de digitalizare si a situatiei geopolitice actuale, implementarea directivei NIS1 s-a dovedit a fi dificila si fragmentata in fiecare stat.



Astfel, directiva NIS2, care a intrat in vigoare la 16 ianuarie anul curent, vine sa extinda spectrul de aplicare in materie de sectoare si entitati si aduce noi clarificari la nivel de raportari ale incidentelor si sanctiuni. Statele membre au 21 de luni sa o transpuna la nivel de legislatie nationala si astfel companiile vor trebui sa respecte prevederile directivei incepand cu toamna anului 2024. Desi pare a fi destul timp pana atunci, este important ca firmele sa se pregateasca din timp cu complianta, in functie de politicile de securitate cibernetica si de nivelul actual de pregatire.



Mai exact, care sunt modificările introduse de Directiva 2 NIS în comparație cu Directiva 1 NIS?



1. Modalitati imbunatatite de supraveghere si executare a prevederilor: O lista de sanctiuni a fost introdusa, incluzand amenzi pentru incalcarea directivelor de managementul riscului si obligatiile de raportare&nbsp;



2. Crearea unei organizatii pentru a facilita coordonarea administrarii incidentelor de securitate la nivel de UE (EU-CyCLONe): Acest organism va ajuta la cooperarea intre statele membre privind descoperirea de noi vulnerabilitati&nbsp;



3. Managementul riscului de securitate cibernetica: Intarirea cerintelor referitoare la masurile luate in cazul incidentelor de securitate, managementul de criza, procedurile si politicile in descoperirea si dezvaluirea vulnerabilitatilor, bune practici de constientizare si instruire in materie de securitate cibernetica a angajatilor, utilizarea criptarii, politici de control al accesului si managementul asset-urilor.



Domenii de activitate vizate



Directiva NIS2 acopera mai multe industrii si sectoare de activitate decat cea initiala, ingloband astfel pe cele incluse initial in NIS:



<ul class="wp-block-list">
<li>Sanatatea</li>



<li>Infrastructura digitala</li>



<li>Transport</li>



<li>Apa</li>



<li>Energie</li>



<li>Banci si servicii financiare</li>



<li>Furnizori de servicii digitale </li>
</ul>



In plus se adauga:



<ul class="wp-block-list">
<li> Furnizori de comunicatii electronice, retele sau servicii</li>



<li> Furnizori de servicii digitale precum platforme de retele sociale si servicii de hosting Data Center</li>



<li> Apa reziduala si gestionarea deseurilor</li>



<li> Industria alimentara</li>



<li> Administratia Publica</li>



<li> Servicii de Posta si Curierat</li>



<li> Industria Spatiala</li>



<li> Fabricarea </li>
</ul>



Lista detaliata, cu explicatiile aferente fiecarui sector, o puteti gasi in textul complet al <a href="https://eur-lex.europa.eu/legal-content/RO/TXT/PDF/?uri=CELEX:32022L2555&amp;from=EN" target="_blank" rel="noreferrer noopener">directivei in limba romana</a>.



În concluzie,



Expertii Arctic Stream va stau la dispozitie pentru evaluarea posturii de securitate cibernetica a companiei dumneavoastra si recomandarea de bune practici si solutii adecvate pentru obiectivele de business pe care le aveti. De asemenea, divizia de training poate oferi cursuri specializate pe zona de constientizare a riscurilor, precum si in zona de proceduri de raspuns la incidente.&nbsp;



Alte referinte:&nbsp;



<a href="https://ec.europa.eu/newsroom/dae/redirection/document/72155" target="_blank" rel="noreferrer noopener">Factsheet NIS Infrastructure</a>



<a href="https://www.europarl.europa.eu/RegData/etudes/BRIE/2021/689333/EPRS_BRI(2021)689333_EN.pdf" target="_blank" rel="noreferrer noopener">NIS2 Briefing</a>

Directiva NIS2-ce este si ce presupune pentru companiile vizate?

In acest blog post ne propunem sa sumarizam cursurile pe care intentionam sa le sustinem in primele 9 luni ale anului 2023. Datele sunt estimative. Pentru detalii referitoare la curriculum si pret, va invitam sa consultati sectiunea Cursuri.&nbsp;



1. Bunele practici in abordarea si implementarea solutiilor de securitate cibernetica &#8211; 3-5 Aprilie&nbsp; Descriere: Un curs de intelegere a securitatii cibernetice, cu detalierea conceptelor precum zero trust, tipuri de atacuri, security design, criptografie, cyber kill chain, incident response SOC. Pe langa partea teoretica, cursul include exemple practice de configurare pe statii windows, exemple de red/blue teams attacks, detectie de device vulnerabilities etc. Durata: 3 zile Prerequisites: nivel elementar de intelegere al retelelor Curs teoretic + exercitii laborator hands-on 2. Cisco Firepower – instalarea, configurarea si optimizarea platformei – Mai 2023&nbsp; Descriere: Cursul este destinat administratorilor de retea sau specialistilor in securitate care configureaza si opereaza platformele Cisco Firepower. Cursul include metodologie practica de instalare, configurare si troubleshooting al platformei Cisco Firepower, folosind Cisco Firepower Management Center.&nbsp; Durata: 3 zile&nbsp; Prerequisites: notiuni de securitate echivalente CCNA Security&nbsp; Curs teoretic + lab hands-on 3. Designul si configurarea securitatii cibernetii pentru retelele industriale – Iunie 2023&nbsp; Descriere: Cursul va parcurge tipuri de atacuri in retelele de tip industrial, arhitecturi recomandate pentru segmentare, tehnologii si platforme pentru protejarea acestor tipuri de retele (e.g. Cisco Cybervision, ISA 3000)&nbsp; Durata: 3 zile&nbsp; Prerequisites: Networking basics, intelegerea elementara a retelelor de tip industrial&nbsp; Curs teoretic + lab hands-on Cisco Cybervision 4. CCNA bootcamp &#8211; Iunie 2023 sau la cerere, minim 7 participanti&nbsp; Descriere: Un curs concentrat de 5 zile pentru pregatirea in vederea obtinerii certificarii CCNA R&amp;S.&nbsp; Durata: 5 zile&nbsp; Prerequisites: nivel elementar de intelegere a retelelor&nbsp; Curs teoretic + laboratoare 5. Notiuni avansate de routing &amp; switching &#8211; Mai 2023&nbsp; Descriere: Cursul va parcurge notiuni avansate de routing si switching (echivalent CCNP level). Vor fi discutate concepte precum BGP, VRF, MPLS precum si bune practici de design in retelele LAN si WAN.&nbsp; Durata: 5 zile&nbsp; Prerequisites: echivalent CCNA R&amp;S, cunostinte si experienta de operare a retelelor&nbsp; Curs teoretic + laboratoare 6. Securitatea retelelor – Iulie 2023&nbsp; Descriere: Un curs care acopera notiunile din curricula CCNA Security (algoritmi criptare, IPSEC, tipuri de VPN, securizarea accesului la retea, GRE).&nbsp; Durata: 3 zile&nbsp; Prerequisites: notiuni elementare de retelistica si security&nbsp; Curs teoretic + laboratoare 7. Curs Cisco ISE: implementare si bune practici – Sept 2023&nbsp; Descriere: Cursul este destinat administratorilor de retea sau specialistilor in securitate care configureaza si opereaza platforma Cisco ISE. Cursul include metodologie practica pentru operarea Cisco ISE in cele mai intalnite use case-uri (AAA, Tacacs, Remote Access VPN, Wireless guest, 802.1x etc) .&nbsp; Durata: 3 zile&nbsp; Prerequisites: notiuni elementare de retelistica si security&nbsp; Curs teoretic + laboratoare 8. Curs Cisco Secure Email &amp; Secure Web – operare si administrare &#8211; Sept 2023&nbsp; Descriere: Cursul este destinat administratorilor de retea sau specialistilor in securitate care configureaza si opereaza platformele de Email si Web security (Cisco Secure Email si Cisco Secure Web, fostele ESA/WSA).&nbsp; Durata: 5 zile&nbsp; Prerequisites: nivel mediu de cunoastere al retelelor si elementelor de securitate&nbsp; Curs teoretic + laboratoare 9. WLC Catalyst 9800 Cisco – instalare, configurare si administrare – Iunie/Iulie 2023&nbsp; Descriere: Cursul este destinat administratorilor de retea care opereaza retele wireless bazate pe controllerul Cisco Catalyst 9800. In cadrul cursului se vor prezenta elementele de configurare a unei retele wireless, incluzand partea de autentificare si integrare cu servere radius precum ISE, notiuni de optimizare pentru medii de densitate mare de utilizatori.&nbsp; Durata: 3 zile&nbsp; Prerequisites: nivel mediu de cunoastere al retelelor wireless, elemente de radiofrecventa, cunostinte de baza de securitatea retelelor&nbsp; Curs teoretic + laboratoare 11. Cisco Application Centric Infrastructure – instalarea, configurarea si administrarea solutiei &#8211; Iulie 2023&nbsp; Descriere: Cursul este destinat administratorilor de retea care opereaza retele de tip software defined in datacenter, specific Cisco ACI. Cursul va include atat partea teoretica, cat si laboratoare practice de configurare si operare a platformei, precum si elemente de troubleshooting.&nbsp; Durata: 3 zile&nbsp; Prerequisites: nivel mediu de cunostinte de retelistica si elemente specifice datacenter&nbsp; Curs teoretic + laboratoare 12. Curs Cisco SD-WAN – instalare, configurare si administrarea solutiei – Mai/Iunie 2023&nbsp; Descriere: Cursul este destinat administratorilor de retea care opereaza retele de tip software defined WAN, specific Cisco Viptela SD-WAN. Cursul va include atat partea teoretica, bune practici de design, cat si laboratoare hands-on de configurare si operare a platformei, precum si elemente de troubleshooting.&nbsp; Durata: 3 zile&nbsp; Prerequisites: nivel mediu de cunostinte de retelistica&nbsp; Curs teoretic + laboratoare

Calendarul de cursuri 2023

Tipuri de trafic și arhitecturi în centrele de date



Într-un Data Center, traficul de rețea poate fi caracterizat fie nord-sud, fie est-vest. Traficul nord-sud, pe de-o parte, caracterizează pachetele de date dintre un endpoint (ex.: un server) și un utilizator care circulă între centrul de date și o locație externă acestuia. Acest tip de trafic a fost predominant în vremurile timpurii ale internetului. Pe de alta parte, traficul est-vest descrie traficul de date care circulă într-un centru de date de la un server la un alt server. Virtualizarea hardware și Internet of Things (IoT) sunt două concepte care au condus, în ultima perioadă de timp, la creșterea acestui tip de trafic. În prezent aproximativ 70% din traficul dintr-un centru de date circulă pe direcția est-vest, adică de la un server la altul.



Traficul nord-sud se preteaza într-un design format din trei niveluri – core, distribuție și acces, design întâlnit în centrele de date tradiționale. În acest scenariu, un pachet traversează nivelul de core, este rutat către switch-ul de distribuție iar pe urmă este forwardat către switch-ul de acces unde este conectat serverul destinație. Astfel majoritatea pachetelor traverseaza 3 hop-uri, ceea ce face latența destul de predictibilă.



În ultimii ani, traficul în interiorul aceluiași centru de date, adică trafic de la est la vest, a început să devină tot mai comun și, astfel, a devenit noul standard. Cea mai mare problema cu design-ul tradițional format din trei niveluri este că, traficul fiind preponderent de la server la server, acesta nu mai traversează doar trei hop-uri, ci patru, cinci sau chiar mai multe hopuri, adaugand astfel latență suplimentară pe fiecare flow, crescând riscul de bottleneck-uri sau pachete dropate.



Într-un centru de date modern, recomandarea este de a avea o arhitectură pe doar două niveluri, adică un nivel cu switch-uri tip spine (asemenea unor switch-uri din nivelul core) și alt nivel cu switch-uri tip leaf (asemenea unor switch-uri din nivelul acces). Aceasta se pretează mult mai bine pentru traficul între servere în cadrul aceluiași centru de date, având avantajele următoare:



&nbsp;&#8211; reziliență – fiecare switch tip leaf se conectează la fiecare switch tip spine, STP nu este necesar iar fiecare link va putea fi folosit;



&nbsp;&#8211; latență scăzută – un maxim de două hop-uri pentru pachetele de la est la vest, rezultând astfel la o latență predictibilă;&nbsp;



&#8211; performanță crescută – uplink-uri active-active permit traficului să se transmită pe link-ul cel mai puțin congestionat;



&nbsp;&#8211; scalabilitate.&nbsp;



De menționat că acest tip de arhitectură poate fi implementat atât în rețelele tradiționale cât și în cele software-defined, iar în ultima perioadă tot mai multe companii migrează infrastructura lor tradițională, fie că este cea de WAN sau cea de Data Center, către rețele de tip Software-Defined Networking (SDN).



Dar înainte de toate, ce sunt rețelele tip software-defined și care sunt avantajele acestora?



<figure class="wp-block-image aligncenter size-large is-resized"><img loading="lazy" decoding="async" width="1024" height="576" src="https://vps-27a21c4e.vps.ovh.net:8888/wp-content/uploads/2024/10/ACI2-1024x576.jpg" alt="" class="wp-image-1127" style="width:633px;height:auto" srcset="https://wp.arcticstream.ro/wp-content/uploads/2024/10/ACI2-1024x576.jpg 1024w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/ACI2-300x169.jpg 300w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/ACI2-768x432.jpg 768w, https://wp.arcticstream.ro/wp-content/uploads/2024/10/ACI2.jpg 1152w" sizes="auto, (max-width: 1024px) 100vw, 1024px" /></figure>



Avantajele rețelelor definite de software



Rețelele SDN au pătruns atât în zona de Data Center (într-o proporție de 64%), dar și în zona de WAN (58%), zona de LAN și zona de acces rețea (40%) conform site-ului <a href="https://www.cisco.com/c/en/us/solutions/software-defined-networking/overview.html#~what-is-sdn" target="_blank" rel="noreferrer noopener">cisco.com</a>. Indiferent de zona de implementare, acestea livrează o rețea centralizată, flexibilă și mai usor de administrat, formată dintr-unul sau mai multe contollere (elementul de core dintr-o arhitectura SDN) și un set de API-uri.



Diferența cheie între rețelele tip SDN și cele tradiționale o reprezintă infrastructura: o rețea SDN este software-based, iar o rețea traditională este hardware-based. O rețea SDN este mult mai flexibilă decât o rețea tradițională deoarece, control plane-ul fiind software-based, permite administratorilor să controleze rețeaua, să execute configurații, să provizioneze resurse sau să o monitorizeze dintr-o interfață grafică centralizată.&nbsp;



Cisco Application Centric Infrastructure, sau Cisco ACI, este o soluție SDN pentru centre de date adoptată de multe companii. Aceasta prezintă un mod diferit de monitorizare și operare a rețelelor față de cele tradiționale.&nbsp;



Ce face această soluție să fie atât de puternică și atractivă?



Cisco ACI



Cisco ACI convertește toate switch-urile într-un așa zis fabric, echivalentul unui switch gigant. Scopul principal al unui fabric de Data Center este rutarea traficului pe calea cea mai optima de la un server &#8211; fie virtual, fie fizic – către o destinație, aplicând, în același timp, următoarele tipuri de servicii:



&#8211; de optimizare a traficului;&nbsp;



&#8211; de telemetrie (care nu se rezuma doar la clasicii counteri pe port);&nbsp;



&#8211; de aplicare a unor reguli de securitate.&nbsp;



Creierul unei soluții ACI o reprezintă controller-ul APIC (Application Policy Infrastructure Controller), prin intermediul căruia, administratorul crează și aplică politici în întreaga rețea. În eventualitatea pierderii conectivitații cu unul sau toate controllerele, rețeaua ramâne în continuare funcțională.&nbsp;



Unul din avantajele unei solutii ACI este faptul că managementul se face centralizat din APIC, prin intermediul unei interfețe grafice sau via REST API, procesul de configurare fiind intuitiv, comparativ cu rețelele tradiționale unde era necesară logarea administratorului pe fiecare echipament, administrarea făcându-se box by box. În cazul ACI, controllerele APIC împing configurația către switch-uri, nefiind necesară intervenția manuală a unui administrator care ar duce astfel la o viteza operațională scazută. La care se adaugă și riscul erorilor umane, acesta fiind eliminat deoarece APIC-ul nu acceptă comenzi greşite de configurare.&nbsp;



În ACI, taskuri precum configurarea unui număr mare de switch-uri sau adăugarea unui switch nou în rețea se face mult mai simplu decât într-o rețea tradițională, doar prin intermediul câtorva click-uri, fără să fie necesară logarea în linia de comandă. Astfel deployment-ul de fabric și de configurații se face dintr-un singur punct centralizat de management. Troubleshooting-ul este mult mai rapid, rezultând într-o reducere considerabilă a timpului de diagnosticare şi remediere a problemelor, sistemul asigurând monitorizarea permanentă a întregii infrastructuri.&nbsp;



Arhitectura ACI este foarte scalabilă. Astfel, dacă este necesară mai multă bandă se pot adăuga mai multe switch-uri tip spine. Dacă este nevoie de un număr mai mare de porturi, se pot adăuga mai multe switch-uri tip leaf. Aceste switch-uri se integrează în soluție automat, preluând configurația deja existentă din APIC.&nbsp;



Prin intermediul APIC-ului se obține vizibilitate în întreaga rețea dintr-o singură aplicație grafică – vizibilitate end-to-end asupra traficului dintre mașinile virtuale.&nbsp;



Cisco ACI se integrează și cu echipamente de securitate, permițând inserția de firewall-uri sau IPS-uri între grupuri logice formate din mai mai multe servere. Astfel se va asigura că traficul est-vest, între servere, și traficul nord-sud, acela dintre utilizatori și aplicații, este securizat. Soluția permite și integrarea cu soluții third-party precum VMware, oferind posibilitatea de a crea direct din interfața grafică a APIC-ului port-grupuri în vCenter. Astfel, partea de network este împinsă până la mașina virtuală, nu doar până la hipervizor, reducând astfel timpul de configurare.&nbsp;



Specialistii Arctic Stream au implementat migrari la solutii de tip ACI in Datacenter in companii de diferite dimensiuni, observand toate avantajele mentionate mai sus, in materie de automatizare, scalabilitate si management facil. Daca sunteti interesati, contactati-ne pentru o discutie la office@arcticstream.ro .

Cisco ACI-avantajele unei arhitecturi de tip Software Defined in Data Center

Datacenter

Ce este Log4j?



Log4j este una din cele mai populare librarii de logging folosite online si ofera dezvoltatorilor de software o metoda de a urmari activitatea pentru o varietate de motive – troubleshooting, auditare si tracking de date. Fiind o librarie open-source si gratuita, este integrata in foarte multe aplicatii Java existente. 



De ce este vulnerabilitatea periculoasă?



Log4Shell este vulnerabilitatea descoperita saptamana trecuta, care permite unui atacator, daca o exploateaza, sa ruleze cod pe serverele afectate, si de exemplu sa importe malware care ar putea compromite aplicatia complet sau sa faca extractie de date. Vulnerabilitatea este expusa atunci cand aplicatia salveaza un set de caractere in log, fapt care o face usor de declansat si exploatat. 



Serviciile de cloud, platforme de network management, jocuri video sunt doar cateva exemple de aplicatii si servicii care folosesc libraria log4j. Apache Software Foundation, organizatia care a dezvoltat log4j a publicat patchul de securitate, insa procesul de update al tuturor aplicatiilor va mai dura, timp in care atacatorii inca scaneaza internetul in cautarea aplicatiilor fara patch aplicat. 



Cum detectăm dacă avem aplicații afectate și cum ne putem proteja aplicațiile? 



Exista deja dezvoltate aplicatii open-source care pot scana aplicatiile posibil vulnerabile si care pot detecta folosirea versiunii afectate de librarie log4j. Deasemenea, majoritatea vendorilor de firewall au publicat semnaturi de IPS pentru depistarea comportamentului cunoscut in prezent ca fiind malitios. 



Pentru mai multe informatii, recomandam urmatoarele articole: [<a href="https://www.linkedin.com/pulse/why-log4j-exploit-so-serious-vinny-parla/">https://www.linkedin.com/pulse/why-log4j-exploit-so-serious-vinny-parla/</a> ](<a href="https://www.linkedin.com/pulse/why-log4j-exploit-so-serious-vinny-parla/">https://www.linkedin.com/pulse/why-log4j-exploit-so-serious-vinny-parla/</a> ) si [<a href="https://blog.talosintelligence.com/2021/12/apache-log4j-rce-vulnerability.html">https://blog.talosintelligence.com/2021/12/apache-log4j-rce-vulnerability.html</a>](<a href="https://blog.talosintelligence.com/2021/12/apache-log4j-rce-vulnerability.html">https://blog.talosintelligence.com/2021/12/apache-log4j-rce-vulnerability.html</a>)