Spojenie pobočiek sa začína pri práci ľudí
Keď pracovník pobočky otvorí objednávku, vytlačí dodací list a zavolá kolegovi do centrály, používa niekoľko navzájom závislých služieb. Dobré prepojenie preto začína otázkou, čo má človek vedieť dokončiť aj pri poruche. Až potom prichádza výber liniek, sieťových zariadení a spôsobu správy.
LAN je miestna sieť v prevádzke. WAN zabezpečuje komunikáciu medzi vzdialenými lokalitami. Site-to-site VPN vytvára chránené prepojenie sietí cez inú sieť, typicky internet; vzdialený prístup jednotlivca je samostatný scenár. VPN však nenahrádza internetovú prípojku ani rozhodnutie, ktoré zariadenia a služby spolu smú komunikovať.
Najskôr služby, potom tunely
Spíšte aplikácie, dátové úložiská, tlačiarne, telefóniu a prihlásenie používateľov. Pri každej službe určte miesto prevádzky, vlastníka a potrebné spojenia. Pomôže jednoduchý prehľad: pobočka potrebuje účtovný server v centrále, cloudový e-mail cez internet a lokálnu tlačiareň. Presmerovanie všetkej prevádzky cez centrálu posudzujte podľa reálnych požiadaviek aplikácií, kapacity a pravidiel ochrany.
Pre každú lokalitu naplánujte adresné rozsahy, smerovanie a pravidlá firewallu. Rovnaké IP rozsahy v rôznych pobočkách môžu prepájanie skomplikovať. Omada napríklad dokumentuje automatický aj manuálny IPsec: automatický variant spája lokality so spravovanými bránami v rovnakom kontroléri, manuálny pracuje s konfiguráciou oboch partnerov. Podporu konkrétnych funkcií overte podľa modelu, firmvéru a verzie správy.
Čo zostane miestne a čo bude spoločné
Centralizácia zjednodušuje správu spoločných dát, no vytvára závislosť od prenosovej cesty. Lokálne služby zasa potrebujú údržbu, zálohy a pravidlá synchronizácie. Rozhodnutie nemusí byť rovnaké pre sklad, kanceláriu a predajňu. Osobitne preverujte DNS, teda preklad názvov na adresy, prideľovanie adries cez DHCP a overovanie identity. Funkčný tunel ešte neznamená, že sa aplikácia alebo používateľ úspešne prihlási.
Microsoft pri doménových prostrediach Windows upozorňuje na závislosť DNS od dostupnosti WAN. Návrh preto overte aj cez tri praktické otázky:
- Ktoré úlohy pobočka dokončí bez centrály a ktoré musí bezpečne prerušiť?
- Kde vznikajú nové dáta počas výpadku a ako sa po návrate spojenia zosúladia?
- Kto rozhodne o náhradnom postupe a oznámi pracovníkom obnovenie služby?
Hlas a oprávnenia potrebujú vlastné pravidlá
Telefonovanie cez SIP zahŕňa signalizáciu aj prenos zvuku. Pri návrhu sledujte oneskorenie, kolísanie oneskorenia a straty paketov; samotná rýchlosť prípojky nevystihuje kvalitu hovoru. Pravidlá firewallu, NAT a prípadné SBC nastavujte podľa konkrétnej ústredne a operátora. Napríklad 3CX požaduje vypnutie SIP ALG a overenie konfigurácie vlastným kontrolným nástrojom; tento postup nemožno bez preverenia prenášať na každé riešenie.
Prepojené pobočky nemusia mať neobmedzený vzájomný prístup. Oddeľte pracovné zariadenia, hostí, správu a ďalšie prevádzkové systémy. Povoľujte potrebné služby a používateľské oprávnenia prideľujte podľa pracovných rolí. Administrátorské účty a prístupy dodávateľov majú mať určeného vlastníka, rozsah a spôsob odobratia.
Obnova musí mať overiteľný postup
Záložnú linku posudzujte spolu s napájaním, smerovačom a cestou operátora. Dve prípojky nemusia znamenať dve nezávislé trasy. Pri skúške odpojte primárnu cestu a overte aplikácie, DNS, prihlasovanie aj hovory; následne skontrolujte návrat na bežnú prevádzku. Vopred dohodnite prípustné prerušenie a stratu dát pre jednotlivé služby.
Dokumentácia má obsahovať schému, adresné rozsahy, pravidlá prístupu, zálohy konfigurácií, zodpovednosti a poradie obnovy. Po každej zmene ju aktualizujte. Práve aktuálny postup umožní servisnému tímu rozlíšiť výpadok linky, tunela a aplikácie a obnovovať služby v poradí, ktoré dáva prevádzke zmysel.