חסכון בעלויות מחשוב ותקשורת – היבטים טכניים ותכנוניים

מבוא

אחד הנושאים החשובים בתכנון מערכות מחשוב, ובכלל זה תקשורת ואבטחת מידע, הינו נושא העלויות, כלומר איך נשלם  על מה שאנחנו צריכים ולא יותר מזה. לנושא זה יש היבטים רבים נוספים – שרידות וזמינות המערכות, אבטחת מידע, מהירות עבודה ועוד. במאמר זה אני רוצה להביא מספר היבטים שיעזרו בתכנון נכון, יעיל וחסכוני יותר של מערכות מחשוב בארגון, עם דגש על רשתות התקשורת.

הערה: כל הדוגמאות שאביא בהמשך הינן דוגמאות אמיתיות, מסיבות מובנות ללא פרטים מזהים, והיכן שנדרש שינתי במעט את הדוגמא מבלי לפגוע בנקודה העיקרית.

לתכנן למה שצריך, לא למה שמוכרים לנו

לפני מספר שנים, הגעתי לחברה קטנה בתל אביב, עם כשלשים עובדים, כאשר רובם עובד מהבית, וכחמישה עבדים נמצאים במשרד בו זמנית. הסיבה שקראו לי כי חשבונות התקשורת שלהם עברו את ה- 30 אלף ₪ לחודש, והם ניסו להבין על מה הם משלמים. מסתבר שאחת מספקיות התקשורת מכרו להם שני FWs בגיבוי חם ביניהם במשרד, שני FWs בגיבוי חם אצל ספק התקשורת, שני קווים של 300Mbps אל ספק התקשורת, שטח אכסון אצל הספק, ולהוסיף לחגיגה עוד שני קווי אינטרנט סימטריים של 100Mbs כל אחד (לפני כמה שנים זה עוד היה מאוד יקר). בקיצור "חגיגה" של 35-40 אלף ₪ לחודש על חשבונם..

דוגמא נוספת, לפני מספר חודשים, ברשת מסוימת, רכשו קווי שני קווי תמסורת של 100Mbps לסניפים, כאשר בכל סניף יש 4-5 מחשבים שעובדים בטרמינל. מה שאומר שעובר צריכה של 7-8Mbps  במקרה הקיצוני, נלקחו קווים ברוחב פס גבוה עשרות מונים מהנדרש, ובנוסף לכך, את המצלמות והטלפוניה חיברו על קווים נפרדים..

דוגמא נוספת מלקוח אחר, חפני מספר שנים חויב הלקוח ל"הפרדת רשתות" עקב חוקי הגנת הפרטיות. ההצעות שקיבל היו להתקין FWs  בכל אחד מעשרת הסניפים של הרשת. הפתרון היה הגדרות פשוטת שלש ACLs בנתבי הקצה, עם אתראות ב- SYSLOG במקרה של ACL Violations. חסכון של עשרות אלפי דולרים באמצעות הגדרות פשוטות בנתבים.

לפני הרבה שנים (כשהיו עוד קווי 2Mbps..), רשת סוכני תיירות שעבדו בטרמינלים (Microsoft TS) היו מחוברים למרכז המחשוב בקווי 2Mbps. כמובן שהיו "קפיאות", במיוחד שפתחו תמונות וסרטונים. הספק של החברה ניצל את ההזדמנות ודחף להם (אין לי מילה אחרת לתאר את זה..)  מערך אכסון במאות אלפי ₪, כי "ה- Storage כבר ישן וזאת הבעיה" כדבריהם. כמובן שהבעיה לא נפתרה, אבל הכסף כבר הושקע.

אני יכול להביא כאן עשרות דוגמאות ויותר. המסקנה מכולם – תכנון. ואם אתם לא שקטים לגבי מה שמוכרים לכם – תתייעצו עם חברים עם מערכות מחשוב דומות, תתייעצו עם איש מקצוע, תבדקו ספקים מתחרים, ובעיקר תפעילו הגיון בריא. נגיע לזה בהמשך.

תכנון, תכנון ועוד פעם תכנון.

בתכנון של מערכות מחשוב, יש מספר היבטים: עבודה יעילה ומהירה, שרידות זמינות המערכות וכמובן עלויות. בנוסף כמובן יש גם את נושא אבטחת המידע שגם עליו נדבר. בואו נראה כל אחד מהם.

עבודה יעילה ומהירה של היישומים – יישומים צריכים לעבוד מהר. נקודה. כאשר משתמשים עובדים על המחשב, מקלידים משהו ומחכים זמן לא סביר, נפגשים ב- Zoom, Teams או יישומים דומים ומקבלים "קפיאות" על המסך, לוקח עשרות שניות לשמור מסמך או רואים מתנתקים מהאפליקציה, יש בעיה. והבעיה בד"כ לא קשורה לרשת. מניסיוני, רוב הבעיות הינן בעיות אפליקטיביות, לאחר מכן בעיות חומרה, ורק בסוף בעיות תקשורת. כשיש בעיה, תבדקו לעומק מה הסיבה. יותר רוחב פס, שרתים חזקים יותר או שירות ענן כזה או אחר לא בהכרח יפתור את הבעיה.

שרידות וזמינות המערכת. נושא קריטי אבל לתכנן בהגיון. דוגמא פשוטה – ברשת של חנויות, עם מספר קופות, קו DSL עם גיבוי סלולרי בפחות ממאה ₪ לחודש (בשירות IPVPN) לחנות יספיק בהחלט. אם אתם בית תוכנה שמחובר ל- DC מרוחק, 2 קווים משני ספקים שונים, וגם חיבור דרך האינטרנט, וכמובן ציודים כפולים בשרידות ביניהם. תכנתים מושבתים עולים הרבה כסף.

מה לגבי שרידות שרתים? כאן זה ענין של ניהול סיכונים. ברמה ראשונה, תחזיקו שרת חליפי כבוי. במידה ונפלו השרתים הראשיים, תוך מספר שעות יהיה אפשר להפעיל שרת חלופי ולהמשיך לעבוד (כמובן כאשר יש גיבוי לנתונים אבל ניקח את זה כמובן מאליו..). אם כה שעות של השבתה זה בעייה, מפעילים שרת עם כל התוכנות זמינות, ואד ההעברה תיקח פחות משעה, ואם הזמינות קריטית אפשר גם שרתים בזמינות מלאה, באתרים מרוחקים ו/או עם שירות ענן ראשי או גיבוי. הכול אפשרי אבל זמינות עולה כסף, וככל שעולים ברמת הזמינות העליות עולות, אם זמינות של כמה שעות תעלה X, זמינות של פחות משעה תעלה 2Xף ורציפות עבודה תעלה לפחות 5X. הסיכוי לתקלה הינו מאוד נמוך עד אפסי, אבל אם הנזק הוא קטסטרופה אז להשקיע 5X. לא להשקיע אם לא צריך.

מה לגבי עלויות?  יש לתכנן ולרכוש מה שצריך, לא מה שמוכרים לנו. רוחב פס? למדוד מה צריכים, כמעט תמיד ימכרו לנו הרבה יותר ממה שצריך. שירותי מיוחדים? לוודא מה השירות אומר מעבר לשם המסחרי (Branding..), להשוות ולקנות בזול. מציעים לכם שירות WDM כי "ה- Delay נמוך יותר מקו רגיל"? זה נכון, אבל Delay של 0.5mS, 2mS או 5mS זה כמעט תמיד לא משנה, ושירות WDM יעלה פי כמה מקו Ethernet עם אותו רוחב פס. מוכרים לכם ש- "סיב אופטי יותר מהיר" או ש- "קו תמסורת יותר מהיר"?  קשקוש. סיב אופטי כול כמובן להעביר כמות גדולה בהרבה של מידע מקו נחושת, אבל ברוב היישומים 100Mbps Download על קו VDSL ייתן לכם בדיוק את אותם ביצועים כמו קו תמסורת סימטרי של 100Mbps שעולה בערך פי עשר ממנו.

אבטחת מידע

אבטחת מידע היא קריטית לכל ארגון, אבל חשוב להבין – לא כל פתרון יקר הוא בהכרח הפתרון המתאים לכם. להלן מספר דוגמאות.

FWs – קל מאוד "להתפתות" ולרכוש FWs יקרים מאוד, אבל: לארגון שצריך רק גישה לאינטרנט, אם אתם ארגון קטן/בינוני עם עד כמה מאות משתמשים וקו אינטרנט של 200-300Mbps, וכל מה שה- FW עושה זה גישה לאינטרנט, FW בסיסי כמו צ'קפוינט 1555 עם כל ההגנות ברוחב פס של עד 600Mbps (או מיצרן אחר שווה ערך) יעשה את העבודה בעלות של סביבות 1500$

דוגמא נוספת – אפשר לתכנן לפי תנועה רגילה באתר, ואפשר לפי תנועה מקסימלית. אם למשל התנועה הרגלה שמתוכננת לעבור דרך ה- FW הינה 1Gbps, ואתם ראים פעם או מספר פעמים ביום קפיצה ל- 5Gbps, תבדקו ממה זה נובע. FW ל- 5Gbps יעלה הרבה יותר מ- FW ל- 1Gbps, ואם הקפיצה בתעבורה לא דורשת ניטור ב- FW (למשל גיבוי), או מספיקה בדיקה פשוטה יותר, נוכל לחסוך עשרות אחוזים במחיר.

ודבר אחרון – העלות הגבוהה ב-FWs  היא כמובן ברישוי. לדוגמא, ל- FW שמגן על שרתים (DC-FW) נדרש רישוי פשוט יותר מ- FW שמגן על יציאה לאינטרנט (Perimeter FW). רישוי לגיבוי Active-Active יקר לעיתים משמעותית מרישוי לגיבוי- Active-Passive שברב המקרים מספיק לארגון שלכם. ויש עוד סוגים רבים של רישוי עבור הגנות שונות, גישה מרחוק, וכד'. בקיצור, לא לזרוק כסף על מה שלא צריכים.

הגנה על יחידות קצה (EDR/XDR) – לפני מספר שנים עשיתי בדיקה של רשת מסוימת, עם כ- 1000 יחידות קצה, שבדקו אפשרות לרכוש הגנה נוספת למחשבים (כ- 800 מחשבים). העלות הייתה כ- 20$ לחודש ליחידה, וכפול מספר המחשבים עלות שנתית של כ- 190,000$. הכנתי טבלת אקסל עם התכונות העיקריות הנדרשות להגנה על יחידו קצה, ובעמודות רשמתי את המוצרים שכבר נרכשו (וברובם לא הוטמעו) באותה חברה. מסתבר שרואים את הדברים מול העיניים, הרוב המוחלט של התכונות כבר היו קיימות, והיה צריך רק להפעיל אותן בתוכנת שכבר נרכשו.

NAC, מיקרו סגמנטציה ו"חיות" אחרות

סגמנטציה משמעותה חלוקת הרשת לאזורים עם הגנה ביניהם. הגנה יכולה להיות באמצעות VLANs ו/או ACLs במתגים, ויכולה גם להיות באמצעות FWs, ובכמה רמות של רישוי.

מיקרו סגמנטציה משמעותה בנוסף גם ניטור של Flows ברשת, אנליטיקה של מעבר נתונים, חסימת Flows לא מוכרים ועוד. מיש כמה מוצרים טובים מאוד לנושא, אולם המחירים מאוד יקרים, וההטמעה מורכבת, ארוכה ויקרה, ותחשבו טוב לפני שנכנסים להרפתקה כזאת.

לגבי נושא ה- Network Access Control (NAC) או בקרת גישה לרשת, גם כאן מוצר חשוב, אבל לא זול, מורכב להטמעה, ותבדקו טוב מה קונים.

ובכלל כשאתם "חושדים" במורכבות הפתרון שמציעים לכם, תמיד תבקשו לכלול במחיר גם הטמעה מלאה (כשאתם תגדירו תוכנית בדיקות). ההטמעה, אם עושים אותה כמו שצריך, במקרים רבים תעלה לפחות כמו הרישוי.

במאמר הקרוב נדבר על תכנון ומימוש Security Operation Center, יביא אותו קלוד ביטל, מי שהקים מערכי SOC ברמה מדינתית וארגונית בארץ ובעולם.

תכנון תקציבי וניהול סיכונים
באופן כללי, אל תקנו מה שלא צריכים. לדוגמא, בצ'יפ שישמש לבניית מתגי תקשורת (מרוול, ברודקום ואחרים) יש כמה אלפי תכונות, במתג עצמו יהיו כמה מאות תכונות, ובהפעלת המתג ישתמשו בכמה עשרות מהן. אז זה שיש למתג מאות אפשרויות לא יעזור לכם, חשובה האמינות.

יש לפעמים נטייה לקנות את המוצר "הכי טוב", "הכי חכם"  ו-"הכי מתקדם". בהרבה מקרים זה יהיה המוצר הכי מורכב והכי לא עובד. כמה מקרים אתם מכירים למשל ש מערכות בקרה שהפכו לפילים לבנים? רכיב אבטחה שמתקינים ולא מגדיים כמו שצריך ולא מאבטחים כלום? מניסיון לא מעט.

באבטחת מידע, אבטחה טובה היא תוצאה של תכנון לפי הצרכים האמיתיים של הארגון. עלויות האבטחה צריכות להתאים לגודל ולמאפייני הארגון – אין צורך להיכנס להוצאות מיותרות רק כדי "להרגיש בטוחים".

לתכנון תקציבי נכון ניתן להיכנס לאתר של חברת סנסקום, העוסקת בבתכנון כלכלי ועסקי בנושאים אלו.

סיכום

לסיכום, לפני שאתם משקיעים סכומים גדולים במחשוב, ובכלל זה תקשורת ואבטחת מידע, תבדקו, תתייעצו, ואם משהו נראה לכם לא סביר תתייעצו. תקבלו מספר הצעות (3-4 מספיק בד"כ) – גם אם אחד הספקים מנסה "לדחוף" לכם דברים שלא צריכים, רוב הספקים הגונים ומקצועיים ברמה סבירה, ויתנו לכם פתרון מתאים. תתייעצו – אם זה עם יועץ חיצוני, עם ספק הבית שלכם שמכיר גם לקוחות אחרים ויכול לבדוק בשבילכם, אינטרנט, ובעיקר תפעילו הגיון בריא ואל תוציאו כספים על מה שלא צריך.