Projektowanie i wdrażanie sieci WAN
Sieć rozległa jest niewidzialna, dopóki działa. Widać ją dopiero w momencie, w którym oddział przestaje raportować do ERP, kasy w sklepach nie autoryzują transakcji, a drugi zakład pracuje na ślepo. Projektujemy sieci WAN tak, żeby ten moment nie nastąpił, a jeśli łącze padnie, ruch przechodzi na zapasową ścieżkę, zanim ktokolwiek zdąży to zauważyć.
Błędy, które widzimy podczas audytów WAN
Audytujemy sieci rozproszone w polskich firmach od lat i te same problemy wracają niezależnie od branży. Prawie żaden z nich nie wynika ze złych decyzji. Wynikają z tego, że sieć rosła razem z firmą, a projekt powstał w czasach, gdy wszystkie systemy stały w jednej serwerowni.
Redundancja, która istnieje tylko w umowie
Dwa łącza, dwie faktury, jeden operator. Bardzo często jedno włókno, jeden kanał kablowy i jedna studnia telekomunikacyjna przed budynkiem. Na papierze jest to redundancja, w praktyce koparka pod płotem przerywa oba łącza jednocześnie. Pytamy zawsze o to samo: którędy fizycznie wchodzą łącza do budynku i czy ktoś to sprawdził, czy tylko założył. Redundancja bez rozdzielenia trasy fizycznej i dostawcy jest kosztem, nie zabezpieczeniem.
Adresacja IP, która blokuje rozbudowę
Każdy oddział powstawał osobno i każdy dostał tę samą adresację, najczęściej 192.168.1.0/24. Dopóki lokalizacje pracują niezależnie, nikomu to nie przeszkadza. Problem pojawia się przy łączeniu ich w jedną sieć: adresy się nakładają, więc ratunkiem staje się NAT na każdym tunelu. Po kilku latach dokumentacja sieci jest tabelą tłumaczeń adresów, a diagnostyka najprostszej awarii zajmuje godziny. Przeadresowanie na etapie projektu jest tanie, przeadresowanie działającej sieci rozproszonej jest osobnym projektem.
Tunele zestawione raz i zapomniane
Tunel site-to-site postawiony kilka lat temu przez kogoś, kto już w firmie nie pracuje. Klucze wpisane ręcznie, konfiguracja nieudokumentowana, monitoringu tunelu nie ma. Kiedy tunel wstaje i pada kilka razy dziennie, nikt tego nie widzi. Widać tylko skutek: aplikacja w oddziale działa wolno, a zgłoszenie trafia do helpdesku jako problem z aplikacją. Audyt takiego środowiska zaczynamy od odtworzenia listy tego, co w ogóle jest zestawione, bo nikt w firmie takiej listy nie ma.
Wszystko ma ten sam priorytet, czyli żaden
Backup do chmury, aktualizacje stacji roboczych, synchronizacja plików i rozmowa VoIP walczą o to samo łącze na równych prawach. Klient pokazuje nam umowę na 500 Mbit i pyta, dlaczego telekonferencje się rozpadają. Dlatego, że przepustowość nie jest tym samym co jakość transmisji. Bez polityk QoS i kontroli nad tym, co i o której godzinie wysyca łącze, każde zwiększenie przepustowości działa kilka miesięcy, a potem problem wraca w tej samej formie.
Cały ruch chmurowy przez centralę
Topologia hub-and-spoke zaprojektowana wtedy, gdy wszystkie systemy stały w serwerowni w centrali. Dziś większość ruchu z oddziału idzie do Microsoft 365, ale nadal jedzie tunelem do centrali, wychodzi do internetu tam i tą samą drogą wraca. Trasa dwa razy dłuższa niż potrzeba, podwójne obciążenie łącza centrali i opóźnienia, których nikt nie musi ponosić. Architektura WAN ma odpowiadać temu, gdzie dane są dzisiaj, nie temu, gdzie były dziesięć lat temu.
Brak własnych danych o jakości łączy
Firma płaci za SLA i nie ma niczym go zweryfikować. Zgłoszenie do operatora brzmi „mamy problemy z siecią", odpowiedź brzmi „po naszej stronie wszystko działa poprawnie" i na tym rozmowa się kończy. Bez ciągłego pomiaru latency, jittera, packet loss i utylizacji dla każdej lokalizacji nie da się ani udowodnić awarii, ani sensownie zaplanować rozbudowy. Monitoring nie jest dodatkiem do sieci WAN, jest warunkiem sprawowania nad nią kontroli.
NASZE PODEJŚCIE
Jak projektujemy sieci WAN
Sieć rozległa nie jest zbiorem łączy kupionych u operatorów. Jest warstwą, która decyduje o tym, czy rozproszona firma pracuje jak jedna organizacja, czy jak kilkanaście osobnych wysp. Projektujemy ją tak, żeby decyzje o trasie ruchu podejmował mechanizm, nie człowiek pod telefonem.
01
Pomiar
Baseline powstaje przed projektem, nie po wdrożeniu
Zaczynamy od zebrania danych, nie od rysowania topologii. Mierzymy latency, jitter, packet loss i utylizację dla każdej lokalizacji, ustalamy, jakie aplikacje generują ruch i w jakich godzinach. Bez tego projekt jest zbiorem założeń. Z tym mamy punkt odniesienia, który po wdrożeniu pokazuje, co dokładnie się zmieniło, i który przez kolejne lata służy do rozliczania operatorów z jakości usługi.
02
Redundncja
Dwa łącza, dwie technologie, dwie drogi fizyczne
Zapasowe łącze ma sens tylko wtedy, gdy nie dzieli z podstawowym niczego, co może zawieść. Dobieramy dwóch niezależnych operatorów, dwie różne technologie dostępu i sprawdzamy, którędy fizycznie łącza wchodzą do budynku. W lokalizacjach, gdzie drugi światłowód jest niedostępny albo nieopłacalny, rolę drugiej ścieżki przejmuje LTE lub 5G. Jedno łącze plus dobrze skonfigurowane 5G daje realnie więcej niż dwa łącza od tego samego operatora w jednej rurze.
03
SD-WAN
O trasie decyduje protokuł, nie kolejność łączy
Wdrażamy SD-WAN na Hillstone, czyli sieć, w której ruch jest kierowany na podstawie polityk, a nie statycznych tras. Sesja ERP i rozmowa VoIP dostają łącze o najlepszych parametrach w danym momencie, ruch mniej wrażliwy jedzie drugą ścieżką, a backup do chmury nie ma prawa wysycić łącza w godzinach pracy. Gdy jakość łącza spada poniżej progu, ruch przechodzi na ścieżkę zapasową w sekundy, bez zerwania sesji i bez zgłoszenia do helpdesku. To jest różnica między łączem zapasowym a rzeczywistym failoverem.
04
Architektura ruchu
Ruch chmurowy wychodzi lokalnie, tunel wozi tylko dane firmowe
Jeśli 70 procent ruchu z oddziału idzie do Microsoft 365, nie ma powodu wozić go tunelem do centrali i z powrotem. Konfigurujemy local breakout: ruch do zaufanych usług chmurowych wychodzi do internetu w oddziale, kontrolowany przez lokalny firewall z filtrowaniem i inspekcją, a tunelem jedzie tylko ruch do systemów firmowych. Łącze centrali przestaje być wąskim gardłem, a użytkownik w oddziale przestaje płacić opóźnieniem za topologię zaprojektowaną dekadę temu.
05
Bezpieczeństwo
Technologię tunelowania dobieramy do środowiska, nie do cennika
Pracujemy ze wszystkimi typami połączeń szyfrowanych: site-to-site, dostęp zdalny dla użytkowników, topologie hub-and-spoke i pełne mesh, tunele między chmurą a własnym centrum danych. Uwierzytelnianie budujemy na tym, co pasuje do środowiska: certyfikaty, integracja z katalogiem tożsamości, RADIUS jako jedna z możliwych dróg, nie jako cel sam w sobie. Zasada jest jedna i nie podlega negocjacji: uwierzytelniony użytkownik dostaje dostęp do konkretnych zasobów, nie do całej sieci.
06
Monitoring
Dane, które wygrywają rozmowę z operatorem
Każde łącze i każdy tunel są pod stałym monitoringiem w LibreNMS. Widzimy stan tuneli, jakość transmisji i utylizację w czasie rzeczywistym, z pełną historią. Gdy operator twierdzi, że po jego stronie wszystko działa poprawnie, mamy wykres pokazujący godzinę, czas trwania i skalę problemu. Sieć WAN bez pomiarów jest siecią, w której płacicie za SLA i nie macie żadnego sposobu, żeby je wyegzekwować.
SPRZĘT I TECHNOLOGIE
Na czym budujemy sieci WAN
Nie mamy jednego rozwiązania na wszystko. Mamy zestaw platform, które znamy od środka, i wiemy, gdzie kończą się ich możliwości
Firewall / NGFW / SD-WAN
Hillstone Networks
Nasz domyślny wybór na brzegu sieci, zarówno w centrali, jak i w oddziale. NGFW z IPS i inspekcją ruchu, SD-WAN z automatycznym failoverem i politykami per aplikacja, obsługa wielu łączy jednocześnie. Pełna funkcjonalność klasy enterprise bez modelu licencyjnego, który zjada połowę budżetu na sieć. Jedna konsola dla wszystkich lokalizacji zamiast dwudziestu urządzeń konfigurowanych osobno.
ROUTING I BRZEG SIECI
DCN Networking
Routery i switche brzegowe w lokalizacjach, gdzie potrzebna jest wydajna warstwa trzecia i integracja z siecią lokalną. Sprawdzają się w centrali, w centrum danych i w większych oddziałach, w których WAN styka się z rozbudowanym LAN-em.
TRZECIA ŚCIEŻKA
LTE i 5G jako łącze zapasowe
Wdrażamy dostęp komórkowy jako pełnoprawną ścieżkę zapasową, nie jako awaryjny modem w szufladzie. Osobny operator, osobna infrastruktura, niezależna od kabla w ziemi. W małych lokalizacjach 5G bywa dziś sensowniejsze ekonomicznie niż drugie łącze stałe, a w produkcji pozwala utrzymać krytyczną komunikację przy pełnej awarii dostępu przewodowego.
TECHNOLOGIA ŁĄCZY
MPLS nie jest martwy, ale rzadko jest dziś odpowiedzią
Powiemy to wprost, bo mało kto mówi. MPLS ma sens tam, gdzie potrzebne jest gwarantowane SLA na parametry transmisji, w komunikacji między centrami danych i w części środowisk OT. W typowej firmie wielooddziałowej jest dziś najczęściej drogim nawykiem, a te same efekty daje SD-WAN na dwóch łączach internetowych za wyraźnie mniejsze pieniądze. Model hybrydowy, w którym MPLS zostaje na krytycznych relacjach, a resztę obsługuje internet, jest w naszej praktyce najczęstszym sensownym kompromisem.
Monitoring sieci
LibreNMS
Monitoring łączy, tuneli i urządzeń brzegowych przez SNMP. Alerty na spadek jakości, nie tylko na całkowitą utratę łączności, historia zdarzeń, widoczność topologii. O problemie z łączem do oddziału wiemy przed kierownikiem tego oddziału.
ŚRODOWISKA ISTNIEJĄCE
Fortinet FortiGate
Pracujemy z Fortinetem tam, gdzie klient ma już wdrożone środowisko FortiGate albo konkretne wymagania integracyjne. Znane wewnętrznym zespołom bezpieczeństwa, sprawdzone w dużych wdrożeniach rozproszonych.
Metodyka
Jak modernizujemy WAN bez przestoju
Modernizacja sieci rozległej dotyczy jednocześnie wielu lokalizacji, więc improwizacja jest tu wykluczona. Pracujemy etapami, a każdy etap jest odwracalny.
Etap 1: Inwentaryzacja i pomiar
Odtwarzamy pełny obraz stanu obecnego: lista łączy z parametrami umownymi i rzeczywistymi, mapa wszystkich zestawionych tuneli, profil ruchu per lokalizacja i per aplikacja. Bardzo często to pierwszy moment, w którym firma widzi swoją sieć WAN w całości. Na tym etapie zwykle wychodzą też rzeczy, których nikt nie szukał: tunele do dostawców, o których nikt już nie pamiętał, i łącza opłacane za lokalizacje, których nie ma.
Etap 2: Brzeg równolegle i lokalizacja pilotażowa
Nowe urządzenia brzegowe konfigurujemy w laboratorium Devology na podstawie przetestowanych szablonów, nie na miejscu u klienta. W wybranej lokalizacji pilotażowej uruchamiamy je równolegle do istniejącego rozwiązania i przenosimy ruch dopiero po weryfikacji. Pilotaż odpowiada na pytania, na które projekt odpowiada tylko teoretycznie, i pozwala skorygować polityki, zanim wdrożenie obejmie wszystkie oddziały.
Etap 3: Migracja lokalizacja po lokalizacji
Kolejne lokalizacje przenosimy pojedynczo, w uzgodnionych oknach serwisowych, z Rollback Planem dla każdej z nich. Stare łącza i tunele wygaszamy dopiero po okresie stabilnej pracy nowych, nie w dniu przepięcia. Na koniec przekazujemy pełną dokumentację powykonawczą i zestaw danych porównawczych: parametry przed i po, dla każdej lokalizacji.
dla kogo
Z jakimi firmami pracujemy?
Sieć WAN staje się problemem wtedy, gdy liczba lokalizacji przestaje pozwalać na zarządzanie każdą osobno.
Firmy wielooddziałowe i sieci sprzedaży
Kilkanaście lub kilkadziesiąt lokalizacji, w każdej lokalny personel bez kompetencji sieciowych. Potrzebna jest architektura, w której nowa lokalizacja wchodzi do sieci na podstawie szablonu, a nie kilkudniowego projektu, i w której awaria łącza w jednym sklepie nie wymaga wyjazdu inżyniera.
Produkcja rozproszona i środowiska OT
Kilka zakładów raportujących do wspólnego ERP, zdalny dostęp serwisowy do maszyn, transmisja danych z hal produkcyjnych. Ruch OT wymaga innej separacji i innych priorytetów niż ruch biurowy, a dostęp zdalny dostawców maszyn jest w tych środowiskach jednym z najczęściej pomijanych ryzyk.
Środowiska hybrydowe: własne centrum danych i chmura
Część systemów lokalnie, część w chmurze publicznej, a ruch między nimi musi być szybki, szyfrowany i przewidywalny. Projektujemy połączenia między środowiskami tak, żeby wydajność aplikacji nie zależała od tego, po której stronie akurat leżą jej dane.
Firmy po migracji do Microsoft 365
Najczęstszy scenariusz, w którym stara topologia przestaje działać. Systemy wyszły do chmury, a sieć nadal kieruje cały ruch przez centralę. Zmiana architektury ruchu daje tu zwykle większą poprawę niż jakakolwiek dopłata do przepustowości.
Praca zdalna i hybrydowa w skali całej firmy
Setki użytkowników łączących się z zewnątrz do systemów firmowych. Model, w którym zalogowany pracownik widzi całą sieć, jest w tej skali niemożliwy do obrony. Budujemy dostęp oparty na tożsamości i uprawnieniach do konkretnych zasobów.
Podmioty objęte NIS2
Dla podmiotów kluczowych i ważnych łączność między lokalizacjami jest elementem ciągłości działania, a nie kwestią komfortu. Dobrze zaprojektowana sieć WAN, z redundancją, monitoringiem, kontrolą dostępu i dokumentacją, spełnia te wymagania jako naturalną konsekwencję poprawnego projektu, nie jako osobny projekt zgodnościowy.
ZAKRES USŁUG
Co wchodzi w zakres usługi
Uruchomienie sieci u klienta nie jest dla nas końcem projektu, to początek jej cyklu życia. Pracujemy w modelu kompleksowym.
Discover & Design: audyt, pomiary i projekt
Audyt istniejącej infrastruktury WAN, pomiar rzeczywistych parametrów łączy, mapowanie zależności aplikacyjnych. Doradzamy w doborze operatorów i technologii dostępu, wskazujemy, co w obecnych umowach nie ma uzasadnienia technicznego, i możemy rozmawiać z operatorem po Waszej stronie jako strona techniczna. Umowy negocjujecie Wy, my dostarczamy argumenty. Projekt powstaje w dwóch warstwach: HLD dla kadry zarządzającej i architektów oraz LLD dla administratorów, z adresacją, politykami routingu, konfiguracją tuneli, progami failoveru i parametrami QoS.
Operate & Optimize: managed WAN
Monitoring łączy i tuneli, reakcja na spadki jakości, kontakt z operatorami przy awariach, weryfikacja SLA na podstawie własnych danych. Aktualizacje oprogramowania urządzeń brzegowych, śledzenie podatności CVE, korekty polityk QoS w miarę zmian w ruchu. Umowa SLA z gwarantowanymi czasami reakcji albo pełny model Managed Services, zależnie od tego, ile odpowiedzialności chcecie zatrzymać u siebie.
Deploy: wdrożenie etapami
Prekonfiguracja urządzeń w laboratorium Devology przed wysyłką do lokalizacji. Uruchomienie równoległe i pilotaż, potem migracja lokalizacja po lokalizacji w uzgodnionych oknach serwisowych. Rollback Plan dla każdego etapu. Zmiany, które wymagają przerwy, planujemy tak, żeby dotyczyły jednej lokalizacji, nie całej firmy.
Dokumentacja powykonawcza jako standard
HLD, LLD, mapa łączy i tuneli, dane kontaktowe i numery umów operatorskich, runbooki dla helpdesku. Sieć WAN bez dokumentacji jest siecią, w której każda zmiana w oddziale wymaga archeologii. Nie zostawiamy po sobie tylko sprzętu, zostawiamy porządek i pełną przejrzystość.
Porozmawiajmy o Twojej sieci
Ocenimy stan obecny, zmierzymy realne parametry łączy i wskażemy, co wymaga zmiany w pierwszej kolejności, a co może poczekać. Bez oferty, dopóki nie wiemy, czego naprawdę potrzebujecie.
// FAQ
Najczęściej zadawane pytania
-
Czym różni się sieć WAN od sieci LAN?
LAN łączy urządzenia w jednej lokalizacji i działa na infrastrukturze, którą kontrolujecie w całości. WAN łączy lokalizacje między sobą i zawsze opiera się na łączach zewnętrznych, na które nie macie wpływu. Dlatego w projekcie WAN kluczowe są rzeczy, które w LAN-ie są drugorzędne: wybór operatorów, redundancja ścieżek, pomiar jakości transmisji i polityki decydujące o tym, którędy jedzie konkretny ruch.
-
Czy SD-WAN zawsze się opłaca?
Nie. W firmie z dwiema lokalizacjami i stabilnymi łączami dobrze skonfigurowane tunele IPsec z monitoringiem załatwiają sprawę i nie ma powodu dopłacać za warstwę zarządzania. SD-WAN zaczyna się realnie zwracać od kilku lokalizacji w górę, przy wielu łączach na lokalizację i przy ruchu wrażliwym na jakość transmisji. Powiemy wprost, jeśli w Waszym przypadku nie ma uzasadnienia.
-
MPLS czy Internet VPN?
W większości środowisk dziś Internet VPN z SD-WAN, bo za te same pieniądze daje więcej przepustowości i większą elastyczność. MPLS zostawiamy tam, gdzie naprawdę potrzebne jest gwarantowane SLA na parametry transmisji: krytyczne relacje między centrami danych, część środowisk OT, transmisja o twardych wymaganiach opóźnieniowych. Model hybrydowy jest najczęstszym rozsądnym rozwiązaniem.
-
Czy pomożecie wybrać operatora?
Tak, w zakresie technicznym. Wskazujemy, jakie łącza i jakie parametry są w Waszym przypadku uzasadnione, weryfikujemy oferty pod kątem tego, co realnie dostaniecie, i możemy uczestniczyć w rozmowach z operatorem jako strona techniczna. Nie prowadzimy negocjacji handlowych i nie jesteśmy pośrednikiem w sprzedaży łączy. Umowę podpisujecie Wy, na podstawie argumentów, które przygotowujemy.
-
Czy da się zmodernizować WAN bez przestoju w pracy firmy?
Tak i tak to robimy. Nowe urządzenia uruchamiamy równolegle do istniejących, ruch przenosimy po weryfikacji, a lokalizacje migrujemy pojedynczo. Przerwy, jeśli są konieczne, dotyczą jednej lokalizacji i trwają minuty, w uzgodnionym oknie serwisowym. Każdy etap ma przygotowany Rollback Plan.
-
Ile trwa wdrożenie w kilkunastu lokalizacjach?
Zależy od dostępności łączy, bo to zwykle najdłuższy element. Sam etap pomiarowy i projektowy to kilka tygodni, wdrożenie techniczne w jednej lokalizacji to zazwyczaj jeden dzień. Realny harmonogram układamy pod terminy uruchomienia łączy przez operatorów, a nie pod nasze możliwości.
-
Czy przejmiecie opiekę nad siecią WAN zbudowaną przez kogoś innego?
Tak. Zaczynamy od audytu i odtworzenia dokumentacji, bo najczęściej jej nie ma albo jest nieaktualna. Oceniamy, co działa, co jest ryzykowne i co wymaga zmiany natychmiast. Czasem wystarczy kilka poprawek, monitoring i porządek w konfiguracji, bez przebudowy architektury. Dopiero po audycie rozmawiamy o modelu opieki.
-
Czy LTE i 5G to poważne łącze zapasowe, czy proteza?
Poważne, jeśli jest tak zaprojektowane. Osobny operator, osobna infrastruktura, urządzenie brzegowe traktujące ten dostęp jako pełnoprawną ścieżkę z własnymi politykami, monitoring pokrycia w lokalizacji. Modem w szufladzie na wypadek awarii to proteza. Skonfigurowany dostęp 5G z automatycznym przełączeniem ruchu to redundancja.
-
Od czego zacząć, jeśli nie wiemy, co dokładnie nie działa?
Od rozmowy i pomiaru. Opisujecie środowisko i objawy, my proponujemy audyt z pomiarami, który zamienia „sieć czasem zwalnia" w konkretne dane: gdzie, kiedy, jak często i z jakiego powodu. Oferta bez tego etapu jest zgadywaniem.
//blog
Aktualności
Proxy to pośrednik w ruchu sieciowym. Serwer, przez który przechodzą żądania, zamiast
Czym jest wirtualizacja?Wyobraź sobie, że jeden komputer może uruchomić wiele „wirtualnych” systemów
W świecie ciągle zmieniających się technologii, Twoja firma potrzebuje nie tylko nowoczesnych
