BEST PRACTICES WHITEPAPER. Best Practices für ein erfolgreiches IP Address Management (IPAM)

Transkript

1 BEST PRACTICES WHITEPAPER Best Practices für ein erfolgreiches IP Address Management (IPAM)

2 Einleitung Netzwerke in Unternehmen und Rechenzentren werden immer komplexer. Bisherige Tools reichen für die Verwaltung nicht mehr aus. Grund für diese Entwicklung sind neue Technologien und netzwerkintensive Arbeitsweisen, wie z. B. Virtualisierung oder BYOD (Bring your own device). Folglich steigt der Bedarf an einem exakten, dynamischen IP Address Management (IPAM). Fakt ist: Die IP-Adresse ist der einzige Identifikator, an dem sich alles im Netzwerk eindeutig erkennen lässt. Ob physisch oder virtuell jedes Netzwerk-Objekt muss eine eigene IP-Adresse haben. Zugleich definiert der IP-Adressraum ein Netzwerk als solches. Infoblox setzt bei der Nutzung und Verwaltung von IP-Adressen neue Maßstäbe mit einer IPAM-Lösung, die zusätzliche Informationen einbindet. IT-Abteilungen und das gesamte Unternehmen gewinnen damit zentrale Transparenz über alle Netzwerk-Ressourcen. Zentral erfolgt auch die Verwaltung jeder einzelnen Netzwerk-Ressource. Damit schreibt Infoblox das Konzept des IP-Ressourcen-Managements neu. Dieses Whitepaper geht genauer auf die zusätzlichen Informations-Layer ein, um die Sie Ihre IPAM-Datenbank mit der Infoblox-Lösung erweitern können. Vorgestellt werden optimale Verfahren zum Anreichern der Lösung mit genaueren Daten. Sie erfahren, wie Unternehmen durch dieses Mehr an Details einen zentralen Überblick über Netzwerk-Informationen, virtuelle und physische Geräte erhalten. Ebenfalls werden die damit verbundenen Vorteile für erfolgskritische Aufgaben, Störungsbehebung und bestimmte Gruppen vor Ort, die auf diese Informationen zugreifen müssen, beleuchtet. Modernes IP Address Management (IPAM) Heutzutage muss eine IPAM-Lösung weit mehr leisten als nur das Nachverfolgen und Zuweisen von IP-Adressen. Angesichts wachsender Netzwerke wird die Nachverfolgung unterschiedlichster Geräte-Daten im Netzwerk immer komplexer. Zwar steigt auch die Fülle an neu vorgestellten IT-Tools zum Erkennen von Netzwerk-Geräten, doch eine Zentralisierung der Informationen findet nicht statt. Die Folge ist, dass niemand weiß, ob die Daten wirklich stimmen und aktuell sind. In einigen Fällen mehren sich die Abweichungen, weil Daten unterschiedlich erfasst und nachverfolgt werden. Und oft sind diese Daten nicht für andere IT-Bereiche zugänglich. Von Transparenz kann nicht die Rede sein. Die mit Abstand größte Herausforderung bei der IP-Adressverwaltung besteht heutzutage in der Schaffung einer zentralen Übersicht. Nur so lassen sich Netzwerk-Elemente in nahezu Echtzeit verfolgen und verwalten. Weitere Anforderung: Diese Schaltzentrale muss die ständigen Erweiterungen, Wechsel und Änderungen effizient unterstützen. Jedes Mal, wenn eine virtuelle Maschine (VM) bereitgestellt wird oder ein Tablet das WLAN verlässt, ändert sich die IP-Adresszuweisung und die IPAM-Datenbank muss aktualisiert werden. 1 BEST PRACTICES WHITEPAPER Best Practices für ein erfolgreiches IPAM

3 Was wird gebraucht? Die Schaffung eines zentralen Repository aller netzwerkbezogenen Informationen mit IP-Adressen und Hosts ist heutzutage ein Muss. Nur so lässt sich die Kontrolle über das Netzwerk beibehalten. Das Problem mit herkömmlichen Tools ist, dass für fast jede Gerätekategorie ein anderes Tool oder System benötigt wird: ein System zum Nachverfolgen von virtuellen Maschinen, ein System zum Nachverfolgen von WLAN-Nutzern, ein System zum Nachverfolgen von Windows-Servern, ein System zum Nachverfolgen von Linux-Rechnern die Liste ist endlos. Unternehmen von heute brauchen ein einziges Repository, mit dem alle wichtigen Daten über Netzwerke, Hosts, Server, dynamische Clients und virtuelle Umgebungen nachverfolgt und synchronisiert werden. Können Netzwerk-Teams all diese Informationen durchsuchen und die sich ständig verändernde Netzwerk-Landschaft schnell nachverfolgen, lassen sich Störungen umgehend beheben. Dazu enthält die IPAM-Datenbank für jede Netzwerk- Ressource auch geschäftliche Daten. Sie erhalten damit ein logisches Netzwerk-Abbild, das die tatsächlich vorhandenen IT-Ressourcen unternehmensweit widerspiegelt. Ableiten des Gesamtbilds Bei der Zuweisung von IP-Adressen geht es Netzwerk-Administratoren nicht nur um die Nutzung des IP-Adressraums. Auch die Art der Ressource, die jeder IP-Adresse zugewiesen wurde, ist von Interesse. Aus Unternehmenssicht ist die IP-Adresse an sich von keiner Bedeutung. Wichtig für das Unternehmen sind dagegen die Ressourcen und Dienste, die hinter einer IP-Adresse stecken. Mit Infoblox IPAM sehen Administratoren alle wichtigen Metadaten für eine Netzwerk-Ressource, wie z. B. Hostname, Gerätetyp oder Standort. Wird die gleiche Logik unternehmensweit angewandt, kennen auch andere Gruppen die geschäftliche Funktion einer Ressource, die sie für ihren Aufgabenbereich brauchen. Folgende Informationen stehen z. B. zur Verfügung: Server-Team Gerätetyp Gerätename Hardware Betriebssystem Installierte Software oder Dienste Funktion Security-Profil Netzwerk-Team IP-Adresse Netzwerk, Gateway und Netzmaske Netzwerkname VLAN Switch Port und Schnittstelle Schnittstellen-Durchsatz und Duplex 2

4 Routineaufgaben oder Gerätetechnik Hardware-Komponenten Lizenzstatus Support-Informationen Wartungsverträge mit Auslaufterminen Zuständige oder Kontaktdaten Abschreibungen/Lebenszyklus Informationen zu Ticketing oder Genehmigungen Einsatzbereich (Produktion, Tests, Entwicklung, Backup usw.) Zuletzt im Netzwerk gesehen Eine zentrale, autoritative Ressourcen-Datenbank mit klar definierten Metadaten mit denen jeder im Unternehmen etwas anfangen kann ist ein gewaltiger Fortschritt hin zu einem Netzwerk-Management, das Ressourcen nach geschäftlichen Prämissen verwaltet. Alles unter einem Hut Infoblox arbeitet mit einer patentierten Datenbank, die so genannte Extensible Attributes verwendet. Diese erweiterten Attribute bringen unterschiedlichste Daten von Geräten, Netzwerken und Diensten zusammen. Sie erhalten so eine zentrale Übersicht, die das Netzwerk-Management enorm erleichtert. Infoblox IPAM kann weit mehr als nur IP-Adressen verwalten: Alles, was in der IP-Datenbank erfasst ist, lässt sich um zusätzliche Informationen anreichern. Das bedeutet für Administratoren: Alle Daten eines Netzwerk- Elements können durchsucht, sortiert und exportiert werden. Ein einfaches Beispiel: Sie suchen nach allen Netzwerk-Elementen, bei denen für das erweiterbare Attribut Stadt der Wert München eingegeben wurde. Als Suchergebnis sehen Sie alle DNS-Einträge, feste Adressen und sogar die Netzwerk-Administratoren, -Architekten und -Techniker, für die dieses Attribut vergeben wurde. Diese Art der Informationszuweisung deckt alles ab. In der Praxis bedeutet das: Mit der Infoblox-Lösung lassen sich Inventar- und Troubleshooting- Aufgaben deutlich schneller erledigen, und Unternehmen können ihre Daten gemäß ihrer Organisationsstruktur und ihrer Anforderungen darstellen. Als Grundlage für die Infoblox- Lösung dienen die Protokolldaten. Diese Daten können unternehmensweit als DNS- und DHCP-Einträge bezogen oder auch als CSV-Tabellen oder mit anderen Ad-hoc-Verfahren importiert werden. Integrierte Funktionen wie Infoblox DHCP Fingerprinting ergänzen die Daten von Hosts und Clients, die sich mit dem Netzwerk verbinden. Nach dem Importieren und Zuweisen dieser Daten zur Attributstruktur lassen sich weitere Discovery-Aufgaben für die Datenprüfung und -aktualisierung konfigurieren. Administratoren behalten so den Überblick selbst über heutige hochdynamische Netzwerke. Protokolldaten Der Großteil der grundlegenden IPAM-Informationen ist bereits in den Protokolldaten in Form von DNS- und DHCP-Einträgen vorhanden. Hier muss man das Rad nicht neu erfinden. Mit DNS- und DHCP-Informationen als Ausgangsbasis lässt sich meist der Löwenanteil der unternehmensweiten IP-Adressen gut erfassen. Ein integrierter Zugriff auf Protokolldaten erleichtert die laufende Pflege einer IPAM-Datenbank. Aktualisierte DNS- und DHCP-Daten werden so automatisch übernommen. Auch wenn das System-Team einen neuen Server mit DNS-Eintrag bereitstellt oder das Netzwerk-Team ein neues DHCP-Netzwerk anlegt, werden die IP-Adressdaten in der IPAM-Datenbank erfasst. IP-Adresse und Name sind die Informationen, die am häufigsten über Netzwerk-Hosts gesucht und verfolgt werden. Sie sind daher die beste Ausgangsbasis, um Objekte in die Datenbank aufzunehmen. 3 BEST PRACTICES WHITEPAPER Best Practices für ein erfolgreiches IPAM

5 DHCP Fingerprinting für aussagekräftigere IP-Daten Es werden nicht nur DHCP-Eckdaten gesammelt, zusätzlich wird auch noch eine Analyse der Packets vorgenommen. Mit der Analyse der DHCP-Informationen lassen sich dynamische Hosts in Ihrem Netzwerk leichter wiederfinden, können identifiziert sowie gemäß gemeinsamer Kriterien benannt werden. Sendet ein Client eine DHCP Discovery oder ein Request-Paket, verarbeitet Infoblox die Anfrage und erstellt einen Fingerabdruck für diesen Client-Typ. Dies wird ein wichtiger Teil der Gesamtdaten, die über Hosts im Netzwerk nachverfolgt werden. Und Sie erhalten ein Mittel, um Zugriffsrichtlinien am Netzwerk-Rand durchzusetzen. Das Ganze basiert auf dem Prozess, mit dem die Infoblox-Lösung weitere Informationen für die IPAM-Datenbank erfasst, wie z. B. Client DHCP Discovery oder Request Messages. DHCPDISCOVER Optionssequenz 1,15, 3, 6, 44, 46, 47, 31, 33, 121, 249, 43 DHCPOFFER DHCPOFFER DHCPDISCOVER Optionssequenz 1, 3, 6, 15, 119, 78, 79, 95, 252 Abbildung 1: Device Fingerprinting zum Durchsetzen von Netzwerk-Zugriffsrichtlinien Abbildung 2: Die Kombination aus DHCP Fingerprinting und MAC-Adresse wurde geändert ein potenzielles Risiko, das näher untersucht werden muss. 4

6 DHCP Fingerprinting bietet auch Verfahren, um Änderungen des digitalen Fingerabdrucks zu erkennen und zu verfolgen. So kann das System gefälschte MAC-Adressen (MAC Spoofing) im Netzwerk identifizieren. MAC Spoofing ist eine der einfachsten Möglichkeiten, sich den Zugriff auf Netzwerke zu erschleichen: Der Angreifer fälscht die MAC-Adresse eines vorhandenen Netzwerk-Clients, um sich dann getarnt mit dem Netzwerk zu verbinden. Können aber Kombinationen von DHCP Fingerprinting und MAC-Adresse nachverfolgt werden, erkennt das System, wenn sich das zugewiesene Fingerprinting geändert hat. Das Speichern solcher Paare aus MAC-Adresse und Fingerprinting verhindert den Zugriff und somit einen möglichen Angriff innerhalb der Netzwerk-Grenzen. Infoblox Dashboard Widgets liefern Administratoren jederzeit einen schnellen Überblick über aktive Geräte im Netzwerk und schlüsseln genau auf, welche Netzwerk-Elemente für welchen Zweck gebraucht werden. Die Administration lässt sich exakt nach Rollen festlegen. Benutzer können definieren, welche Widgets das System nach dem Anmelden angezeigt, damit gleich zu Arbeitsbeginn alle wichtigen Daten vorliegen. Abbildung 3: Die DHCP-Fingerprinting-Daten werden übersichtlich in einem Dashboard Widget angezeigt. Extensible Attributes Extensible Attributes sind Informationskategorien oder Metadaten, die sich auf Objekte in der Infoblox-Lösung beziehen. Durch Hinzufügen und Pflegen dieser erweiterbaren Attribute lassen sich Host-Daten aus verschiedenen Unternehmensgruppen zusammenführen, um Informationen über Hosts aus unterschiedlichen Unternehmensbereichen zu ergänzen. Infoblox bietet mehr als das traditionelle, IP-zentrische IPAM, und die Attribute können im Ermessen des Anwenders jeder Art von Objekt in der Netzwerk-Architektur zugewiesen werden. 5 BEST PRACTICES WHITEPAPER Best Practices für ein erfolgreiches IPAM

7 Abbildung 4: Zwei Extensible Attributes wurden dem Netzwerk /24 hinzugefügt: Das VLAN hat die Nummer 144, die Stadt ist San Francisco, CA. Wie in Abbildung 4 zu sehen, können die Werte für Extensible Attributes Benutzern z. B. als Dropdown-Liste angezeigt werden. Auch eignen sich vordefinierte Datenformate jeder Art wie Datum, -Adresse, Ganzzahlen oder beliebige Textfolgen. Jedes erweiterbare Attribut kann so konfiguriert werden, dass die Angabe für einen Objekttyp erforderlich, empfohlen oder optional ist. Beispielsweise kann das Attribut VLAN als Pflichtfeld für neue IPv4-Netzwerke angelegt werden, damit Benutzer ohne Angabe der erforderlichen VLAN-Informationen das erstellte IPv4-Netzwerk nicht speichern können. Vererben von Extensible Attributes Eine andere Methode zum schnellen Anwenden von Extensible Attributes sind Vererbungsmechanismen. Wird ein IPAM-Objekt wie ein Netzwerk erstellt, können Benutzer wahlweise Objekte anlegen, die ihre Attribute vererben. Auf diese Weise werden die Attribute für alle Child-Objekte gleichzeitig angewendet. So wird sichergestellt, dass alle unter einem Parent erstellten Objekte die gleichen Attribute erhalten. Gehört ein Netzwerk z. B. zu der Kategorie Stadt und befindet sich in Denver, müssen Benutzer dieses Attribut nicht manuell zu jedem DHCP-Bereich, festen Adressen oder Host-Objekten in diesem Netzwerk hinzufügen. 6

8 Abbildung 5: Vererben von Extensible Attributes Smart Folder Smart Folder bieten eine leistungsstarke Möglichkeit, um Informationen aus dem Infoblox Grid zu organisieren. IPAM-Daten lassen sich nach ihren immanenten Werten oder nach Extensible Attributes kategorisieren. Um Smart Folder zu verwenden, brauchen Sie zwar keine Extensible Attributes, allerdings bieten diese Attribute auch für Smart Folder starke Vorteile. Ein Smart Folder ist ein logischer Container, der wie eine Playlist anhand von Metadaten funktioniert. Sie geben z. B. ein Kriterium (Metatag) wie Filmmusik aus den 80ern vor und Ihre Playlist wird entsprechend zusammengestellt. Beispielsweise kann ein Administrator Smart Folder nach Netzwerk-Region anlegen und diese dann weiter nach Stadt und Netzwerk-Nutzung unterteilen. Die Screenshots in Abbildung 6 zeigen verschiedene Ansichten des gleichen Datenbestands. Abbildung 6: Beispiele für Smart Folder, die Extensible Attributes verwenden. 7 BEST PRACTICES WHITEPAPER Best Practices für ein erfolgreiches IPAM

9 CSV-Import Die DNS- und DHCP-Dienste von Infoblox erfassen zwar Protokolldaten und Fingerprinting-Informationen von Geräten automatisch, aber oft gibt es im Unternehmen noch weitere Informationen zu Netzwerk-Geräten von anderen Gruppen. Die Infoblox- Lösung kann all diese Daten über Netzwerk-Geräte abdecken. Sie erhalten so eine einzige autoritative Datenbank mit sämtlichen Informationen. Für die Migration und den Import dieser weiteren Daten gibt es das Infoblox CSV Import Tool. Dieser zusätzliche Informationsgehalt von Netzwerk-Daten verbessert den Gesamtüberblick. Solche CSV-Importe liefern weitere Informationen über neue und vorhandene Hosts. Abbildung 7: Mehr Transparenz im Netzwerk: Mit der Infoblox-Lösung können Netzwerk- Administratoren Kommentare hinzufügen. Hinzufügen von Netzwerk-Discovery-Daten Allerdings enthalten Protokolldaten und CSV-Importe nicht alle IPAM-Daten, die ein Unternehmen für eine vollständige Übersicht benötigt. Es gibt Hosts ohne DNS und DHCP, die sich nur schwer finden lassen. Zusätzliche Attribute steigern den Wert einer autoritativen Datenbank mit Informationen, die über die Protokolldaten hinausgeht. Infoblox bietet verschiedene Discovery-Methoden wie Netzwerk-Discovery und Discovery von virtuellen Maschinen (VM). Doch am stärksten profitieren Sie von Ihrer IPAM-Lösung, wenn Sie die Discovery-Daten mit Infoblox Network Insight erweitern. Network Insight führt eine hocheffiziente Discovery durch, die sich exakt für Ihre Anforderungen anpassen lässt. Sie erhalten eine maßgeschneiderte Feinabstimmung für maximale Effizienz: Bis ins kleinste Detail können Sie festlegen, was bei der Discovery erfasst und in vorhandene DDI-Workflows integriert werden soll. Mit Network Insight lassen sich auch fehlende Hosts und Adresskonflikte entdecken sowie Netzwerk-Device-Informationen sammeln. Vorhandene Einträge in der IPAM-Datenbank werden dadurch sinnvoll erweitert. 8

10 Erweitertes IPAM mit Infoblox Network Insight Mit nur einer einzigen Quelle für Netzwerk-Infrastruktur- und IPAM-Daten können Sie Workflows effizienter bereitstellen. Network Insight erweitert die IPAM-Lösung von Infoblox, indem Infrastruktur-Gerätedaten und IP Address Management integriert werden. Die Erfassung und Korrelation dieser Daten schafft eine bisher unerreichte Transparenz. Netzwerk-Administratoren können so Informationen leicht erfassen, analysieren und Maßnahmen ergreifen wie z. B.: Reduzieren der durchschnittlichen Reparaturzeit (MTTR, Mean Time to Repair) Ausschließen von Netzwerk-Problemen als Ursache Überprüfen von Entwürfen Erkennen von Fehlern Verbessern der Betriebseffizienz durch einen nahtlosen Workflow für Geräte, IP-Adressen und Switch-Ports Verringern von Sicherheitsbeeinträchtigungen und Dienstausfällen Erkennen von Rogue-Geräten Management von bislang nicht verwalteten Netzwerken und Geräten mit der IPAM-Datenbank Die physischen und virtuellen Appliances von Network Insight sind Teil des Infoblox Grids, einem einheitlichen System. Sie verfügen über eine einzige Schaltzentrale für nahtlose Updates, integrierte Security und Ausfallsicherheit. Integrierte Discovery-Daten Durch die Integration von Network Insight in DDI (DNS/DHCP/IPAM) wird die Discovery zum festen Workflow-Bestandteil von Administratoren. Die Discovery erfolgt aktiv und berücksichtigt die Art der Verbindung. Beispielsweise nutzt Infoblox auch Standard-Gateways für die automatische Erkennung, damit der Discovery- Prozess möglichst effizient wird. Verschiedene Discovery-Techniken sind notwendig, um alle Geräte und zugehörige Gerätedaten zu erfassen. Infoblox Network Insight bietet mehrere Möglichkeiten der Erkennung von Netzwerk-Komponenten, die Sie auf intelligente und effiziente Weise nutzen können. Das Scannen von Netzwerken ist eine gängige Methode: Mit Technologien wie PingSweep wird das Netzwerk nach verbundenen Geräten durchsucht. Die Infoblox-Lösung kann zwar auch Pings für Netzwerk-Scans nutzen, bevorzugt wird aber die Verwendung von effizienteren, verlässlicheren Tools wie eine SNMP-basierte Discovery mit Layer-2- und Layer- 3-Geräten. Diese Methoden sind weniger intrusiv, funktionieren besser mit großen Adressräumen wie IPv6 und leisten auch dann gute Dienste, wenn lokale Firewalls ein Scannen verhindern. Auch fließen hiermit die Informationen aus Routern und Switches zu verbundenen Geräten in die IPAM-Daten ein. Die Erfassung und Korrelation dieser Daten schafft in Microsoft-Umgebungen eine bisher unerreichte Transparenz mit aussagekräftigen Daten. 9 BEST PRACTICES WHITEPAPER Best Practices für ein erfolgreiches IPAM

11 Abbildung 8: Infrastruktur-Geräte im ACME-Netzwerk Abbildung 9: Aufschlüsselung der mit Discovery entdeckten Gerätedaten Infoblox DDI automatisiert Netzwerk-Dienste für die Cloud Von allen Lösungen auf dem Markt unterstützt Infoblox die meisten Plattformen, wenn es um die Verwaltung von DNS und DHCP und die Integration von IP-Adressen in Private-Cloud-Plattformen geht. Private Clouds erfreuen sich deshalb wachsender Beliebtheit, weil sie eine flexible, skalierbare Bereitstellung von IT-Diensten erlauben. Das bedeutet in der Praxis: Unternehmen mit Private Clouds müssen nicht nur Anwendungen und Dienste schnell hinzufügen und entfernen, sondern auch Arbeitslasten einfach zwischen physischen Standorten verschieben sowie in mandantenfähigen Architekturen ausführen können. Auch müssen die zugrunde liegenden Netzwerke ausfallsicher sein. Zwar sind viele dieser Prozesse für Server und Speicher heutzutage stark automatisiert, doch Netzwerk-Dienste werden weiterhin größtenteils manuell verwaltet. Der Einsatz von Private Clouds wird dadurch kompliziert und langsam. Infoblox DDI automatisiert Netzwerk-Dienste für die Einbindung von Private Clouds. Unnötige Verzögerungen bei der Bereitstellung werden so vermieden. Statt in Stunden oder Tagen wie bei manuellen Prozessen sind virtuelle Maschinen (VMs) mit IP-Adressen und DNS-Einträgen in wenigen Minuten bereitgestellt. Diese IP-Adressen können wiederhergestellt und erneut verwendet. Auch lassen sich DNS-Einträge automatisch bereinigen, wenn VMs nicht mehr benötigt werden. 10

12 Infoblox DDI kann mit folgenden sieben Cloud-Plattformen, Orchestratoren und Produkten integriert werden: VMware: vcenter Orchestrator, vcloud Director (vcd) und vcloud Automation Center (vcac) Microsoft: System Center Orchestrator und Virtual Machine Manager (VMM) HP: Operations Orchestration und Cloud Service Automation (CSA) Cisco: Cisco Intelligent Automation for Cloud (CIAC) BMC: Atrium Orchestrator und Cloud Lifecycle Manager CA: CA Process Automation und Auto Suite for Cloud (ASC) ElasticBox: ElasticBox Enterprise Edition Transparenz, Steuerung und zentrale Verwaltung Die Lösung bietet ein zentrales, einheitliches IP Address Management (IPAM) von physischen, virtuellen und Cloud-Umgebungen. Durch die hohe Verfügbarkeit werden Rechenzentren praktisch ausfallsicher und die Uptime wird verbessert. Auch sinken die Betriebskosten und IT-Teams können mit weniger Ressourcen mehr schaffen. Mit der Infoblox-Lösung erhalten Sie eine zentrale Sicht auf mehrere Rechenzentren. Diese Transparenz erleichtert nicht nur das Nachverfolgen von VMs in jedem Rechenzentrum und das Erkennen von Problemen, sondern verringert auch die durchschnittliche Reparaturzeit (MTTR). Auch können VMs anhand von Metadaten klassifiziert werden. Dadurch können Ressourcen besser verfolgt werden und die Gesamteffizienz des Rechenzentrums wird gesteigert. Da Infoblox IPAM zum Infoblox Grid gehört, ist die Lösung hochverfügbar, zuverlässig und skalierbar. Die Daten für die Infoblox-Integration werden im Grid gespeichert. Sie erhalten damit eine bislang unerreichte Ausfallsicherheit weil es keine einzelnen Fehlerpunkte gibt. Alles im Blick Vorteile der Transparenz Wenn Sie alle Netzwerk-Komponenten kennen, lassen sich Ressourcen schnell identifizieren. Fragen zum Standort, Zuständigkeiten oder andere wichtige Punkte sind leicht zu klären. Administratoren können zwischen graphischen Darstellungen und Listenansichten wählen, mit denen die Ressourcen-Verwaltung und die erneute Zuweisung von Attributen gleichermaßen intuitiv funktioniert. Ein transparenter, lückenloser Überblick über das gesamte Netzwerk umfasst mehr als nur IP-Adressen und Namen nämlich sämtliche Informationen über praktisch alle Organisationsbereiche im Unternehmen. Genau durch diese Kombination unterschiedlichster Informationen erhalten Sie mit Infoblox IPAM ein realistisches Gesamtbild. Abbildung 10 zeigt, wie Informationen über die Unternehmensstruktur und das Netzwerk für die gleichen Hosts angewendet werden. So lässt sich nach auslaufenden Wartungsverträgen, bestimmten Gerätetypen oder auch Herstellerund Modellinformationen suchen. 11 BEST PRACTICES WHITEPAPER Best Practices für ein erfolgreiches IPAM

13 Abbildung 10: Integrierte Gerätdaten in der IPAM-Listenansicht Befinden sich alle Daten an einer einzigen Stelle, kann jedes Team im Unternehmen leicht auf Informationen zugreifen. Sie geben einfach einen Wortteil, Suchbegriffe oder eine Beschreibung ein und das IPAM-System findet alles, was in Frage kommt. Beispielsweise kann ein Benutzer nur den Teil eines Namens wie San bei Global Search eingeben. Das System durchsucht dann jedes verfügbare Feld und zeigt alles an, was es gefunden hat sei es eine Netzwerk-Region, der Teil eines Hostnamens, ein Kommentar oder ein Benutzername. Durch Hinzufügen von Smart Foldern können IPAM-Daten noch intelligenter genutzt werden, um Probleme proaktiv zu erkennen. Zum Beispiel können Benutzer Netzwerke nach VLAN-Nummer und -Nutzung organisieren und mit Smart Foldern zusammenfassend darstellen. So lässt sich schnell die Einhaltung von Richtlinien prüfen wie z. B.: Alle Sprachnetze sollen VLAN 200 und das dritte Oktett der IP-Adresse verwenden. (Für das Netzwerk wäre das dann = 257.) Abbildung 11 veranschaulicht das an WLAN-Netzwerken in Denver, die nicht den Unternehmensstandard für VLAN-Zuweisungen verwenden. Abbildung 11: Falsch vergebener VLAN-Name im VLAN /24 12

14 Mit Smart Foldern lassen sich auch IPAM-Daten zusammenstellen, um Störungen schneller zu beheben. Beispiel: Eine Benutzerin ruft beim Helpdesk an, weil sie sich nicht mit dem WLAN in Denver, Colorado verbinden kann. Das Helpdesk-Team kann jetzt mit entsprechend organisierten Smart Foldern schnell sehen, dass für Denver in Colorado das WLAN /23 zugewiesen ist. Durch Klicken lässt sich die IPAM-Ansicht erweitern, um zu prüfen, ob alle DHCP-Bereiche vergeben oder wie viele aktive DHCP-Leases noch offen sind. Das Helpdesk-Team kann sogar von dieser Ansicht zum Systemprotokoll wechseln. So lässt sich schnell klären, ob Fehlermeldungen für den DHCP-Server vorliegen oder ob die Benutzerin zwar eine DHCP-Lease erhalten hat, aber ein IP-Konflikt mit einem anderen Gerät besteht, das die IP-Adresse unberechtigt verwendet. Dieser Konflikt kann gleich an Ort und Stelle im IPAM-System gelöst werden. Abbildung 12: Smart Folder-Daten Nutzung und Pflege Infoblox bietet eine exakte rollenbasierte Verwaltung bis zur Objektebene. Administratoren können dadurch Benutzern nur die Zugriffsrechte auf Daten einräumen, die sie für ihre Aufgabe wirklich brauchen. Erhalten Benutzer keinen Zugriff auf Zonen und Netzwerke, sondern nur auf bestimmte Objekttypen, wird die Arbeit besser über mehrere Teams verteilt. Die Aufsicht liegt aber weiterhin bei erfahreneren IT-Experten oder Core-Administratoren. Mit nur einer einzigen, zentralen IPAM-Datenbank können Administratoren gefahrlos Gruppen und einzelnen Benutzern Lesezugriff geben. Benötigte Informationen über Netzwerk-Elemente sind dadurch schnell abrufbar ein großer Vorteil für z. B. das Helpdesk oder Support- Techniker. Durch Authentifizierungs- und Autorisierungsoptionen für vorhandene Netzwerk-Elemente wie Active Directory, LDAP, RADIUS, TACACS und OCSP bedienen sich Administratoren der vorhandenen Benutzerstruktur. Die Verwaltung erfolgt dabei über eine abgespeckte Benutzeroberfläche. So lassen sich diese Gruppen leicht den rollenbasierten Gruppen in Infoblox zuweisen. Das Ganze basiert auf den vorhandenen IPAM-Daten. Administratoren können so gezielt diesen Gruppen begrenzten Zugriff einräumen, abgestimmt auf deren Aufgabenbereich. 13 BEST PRACTICES WHITEPAPER Best Practices für ein erfolgreiches IPAM

15 Über Infoblox Workflows kann denjenigen Benutzern, die für die alltäglichen Änderungen verantwortlich sind, ein entsprechender Zugriff gegeben werden, die endgültige Verantwortung für die Ausführung der Änderungen verbleibt allerdings bei der IT-Leitung. Durch Schaffung einer Genehmigergruppe (Approver Group) und indem man Gruppen gestattet, ihre eigenen Daten zu verwalten, können hochqualifizierte IT-Experten ihre Zeit sinnvoller nutzen und sich auf erfolgskritische Netzwerk- Aufgaben konzentrieren. Bei genehmigungspflichtigen Änderungen werden diese Entscheidungsträger per informiert. Sie bestimmen, wann die Ausführung erfolgen soll, damit diese richtlinienkonform ist. Werden Gruppenberechtigungen an das vorhandene IPAM geknüpft, könnte in unserem Beispiel eine Gruppe mit Schreibzugriff (RW) auf das IPv4-WLAN in Denver angelegt werden, während alle anderen nur Lesezugriff (RO) erhalten. Abbildung 13: Auswählen eines Objekts für Gruppenberechtigungen 14

16 Warum Infoblox besser ist Mit der Infoblox-Datenbank können Sie verwaltete und gruppierte Objekte übergreifend über ALLE Daten und importierten Informationen suchen. Sie erhalten eine einzige Stelle für alle Host-Daten. Dadurch vereinfacht Infoblox die Netzwerk-Verwaltung auf beispiellose Weise. Im Gegensatz zu den meisten Lösungen kann Infoblox IPAM weit mehr als nur IP-Adressen verwalten. Aus gutem Grund: Nicht immer kennen Administratoren die IP-Adressen von gesuchten Objekten. Mit der Infoblox-Lösung können deshalb auch Netzwerk-Elemente anhand anderer Suchkriterien identifiziert werden. Auch kann Infoblox IPAM die Daten aus Fremdlösungen importieren oder integrieren. Werden z. B. Geräte im Einzelhandel mit einer Tabelle verwaltet, können Sie diese Daten direkt importieren. Alle Datenfelder bleiben dabei erhalten und werden in erweiterbare Attribute so genannte Extensible Attributes umgewandelt. Verwendet ein Unternehmen eine proprietäre ERP-Software, können Administratoren über die Infoblox API die IPAM-Datenbank aktualisieren, wenn neues Inventar die IP-Adresslandschaft verändert. Ein gutes Beispiel dafür, wie eine einzige, zentrale Übersicht über alle Arten von Netzwerk- und Client-Informationen sinnvoll genutzt werden kann. Damit aber eine IPAM-Lösung wirklich effektiv arbeitet, muss die Korrektheit der Daten stets gewährleistet sein. Mit Discovery-Funktionen für die Netzwerk-Überwachung und einer speziellen Discovery für virtuelle Maschinen (VMs) und Network Insight können Sie sich darauf verlassen, dass die Daten in Infoblox IPAM aktuell und korrekt sind. Verbessern von Routineaufgaben Ein präzises, vollständiges IP Address Management ist natürlich eine schöne Sache. Aber die Infoblox-Lösung bietet noch mehr: ein System, das Routineaufgaben und Troubleshooting gleichermaßen erleichtert. Benutzer können die IPAM-Daten unterschiedlichst nutzen, um die Produktivität zu steigern und den Aufwand für Störungsbehebung und Support zu verringern. Sicherheit und Benutzerfreundlichkeit stehen dabei stets an erster Stelle. Datenkonsistenz Die Infoblox-Lösung kann Richtlinien für die Dateneingabe durchsetzen, damit IPAM- Daten korrekt erfasst werden. So wissen Sie sicher, dass die Datenqualität gewahrt bleibt, wenn Ihr Unternehmen wächst. Beispielsweise können Benutzer bei jedem neuen DNS-Eintrag nach einer Ticket-Nummer gefragt, der Administrator per informiert und auf die Zustimmung einer anderen Gruppe gewartet werden. Auch können Sie mit der Infoblox-Lösung z. B. für jedes neu hinzugefügte IPv6-Netzwerk vorgeben, dass Benutzer den physischen Standort, die Stadt, die Netzwerk-Nutzung usw. angeben müssen. Um Eingabefehler zu vermeiden, werden Extensible Attributes als Dropdown-Liste vorgegeben ein enormer Vorteil gegenüber Textfeldern, die beliebige kreative Einträge zulassen. Diese Durchsetzungsrichtlinien gewährleisten Konsistenz auch für neu hinzukommende IPAM-Daten. 15 BEST PRACTICES WHITEPAPER Best Practices für ein erfolgreiches IPAM

17 Erkennen und Lösen von Konflikten Infoblox IPAM kann nicht nur Ressourcen zuweisen und nachverfolgen, sondern auch Konflikte zwischen Zuweisung und Installation anhand von Live-Daten aus dem Netzwerk erkennen. Dafür gibt es eine Fülle an Methoden wie Netzwerk-Discovery, Protokolldaten oder Discovery von virtuellen Maschinen (VMs) um nur einiges zu nennen. Beispiel: Ein Administrator weist dem Windows-Server-Team drei IP-Adressen zu. Mit verschiedenen Discovery-Methoden stellt er dann aber fest, dass das Server- Team nur zwei davon verwendet hat und eine dritte IP-Adresse, die dem Team aber nicht zugewiesen wurde benutzt hat. Ein weiteres Beispiel ist die unberechtigte Verwendung des Netzwerk-Adressraums. Wie bereits bei der Netzwerk-Discovery erwähnt, können Administratoren auch die IP-Adressen sehen, die derzeit verwendet, aber weder zugewiesen noch genehmigt wurden. Hier kann die Server-Konfiguration falsch sein. Aber was noch wichtiger ist: Damit sind Netzwerk-Konflikte vorprogrammiert. Mit Infoblox IPAM lassen sich solche Zuweisungskonflikte leicht finden und beheben. Troubleshooting Network Insight von Infoblox bietet Informationen über physische Verbindungen, was die Störungsbehebung erheblich verkürzt. Leider kommt es oft vor, dass Netzwerk- Verbindungsdaten nicht mehr aktuell sind oder erst gar nicht erfasst wurden. Netzwerk- Administratoren sind dann von den Kommentaren in Konfigurationsdateien abhängig. Fehlen diese, müssen Verbindungen bei jedem Problem manuell nachverfolgt werden und zwar jedes Mal. Infoblox IPAM liefert nicht nur die Verbindungsdaten, sondern auch alle anderen Metadaten. Für Administratoren bedeutet das eine erhebliche Arbeitserleichterung, weil Probleme schnell mit einer einzigen, übersichtlichen Benutzeroberfläche eingekreist werden können. Beispielsweise meldet jemand, dass eine IP-Adresse massiven Datenverkehr im Netzwerk erzeugt. Der Administrator sucht dann einfach in der Infoblox-Lösung nach der IP-Adresse und sieht sich den verbundenen Switch-Port, das zugehörige VLAN und die Metadaten an. Daran lässt sich z. B. erkennen, dass es sich um eine Registrierkasse mit Windows XP Embedded in Las Vegas handelt, die derzeit in einer Testumgebung der F&E-Abteilung läuft. Weitere Beispiele Ein Ticket wird eröffnet, weil alle Canon-Drucker des Modells XY eine gefährliche Sicherheitslücke haben und gepatcht werden müssen. In einem weltweiten Unternehmen dürfte das vier bis fünf verschiedene Gruppen beschäftigen, bis alle installierten und eingesetzten Drucker gefunden sind. Mit Infoblox IPAM genügt eine simple Abfrage mit Global Search: Gesucht wird nach allen Objekten, für die als Hersteller Canon und das Modell XY angegeben wurde. Der Administrator sieht darauf alle Standorte und wer für welches Gerät zuständig ist. Jetzt muss er nur noch die regionalen Teams anweisen, den Patch auszuführen. Das gesamte F&E-Inventar muss aufgelistet werden, weil die Abteilung abgestoßen wird. Dafür muss der Administrator schnell alle Geräte sowie die Netzwerk-Infrastruktur der Forschungsabteilung lückenlos identifizieren. Statt ein Team vor Ort abzustellen, um mit Tabellen, lokalen Datenbanken und dem Asset-Management-System dieser Netzwerk-Gruppe den Ist-Zustand festzustellen, können Administratoren einfach nach allen Objekttypen mit den Attributen F&E suchen. Schnell haben sie so die komplette Liste mit allen Objekten zusammen ob Server, Netzwerk-Geräte oder Desktops, die beim Verkauf der F&E-Abteilung berücksichtigt werden müssen. 16

18 Zukunftssichere Lösung IP-Adressraum auf einen Blick Infoblox Map View macht rasch sichtbar, wie Netzwerk-Zuordnungen gehandhabt werden. Schwellenwerte können festgelegt werden, damit Benutzer vorab alarmiert werden, wenn ein DHCP-Bereich an seine Grenzen stößt. So lassen sich IP-Zuordnungen proaktiv ganz nach Bedarf erfüllen. IP-Netzwerk auf einen Blick Abbildung 14: IPAM-Netzwerk-Plan Mit Infoblox NetMap lässt sich das zugewiesene Netzwerk visuell darstellen, um bei Bedarf Platz für neue Netzwerke finden. Sie können über das GUI-Tool direkt in der Netzwerk- Übersicht Regionen intuitiv auswählen und zuweisen. Es gibt Tools zum Zoomen und Auswählen und Farbcodes, um die Auslastung zu zeigen. Noch nie war die Netzwerk- Zuweisung so einfach wie mit Infoblox. Abbildung 15: NetMap zeigt einen Gesamtüberblick über den zugewiesenen Adressraum. 17 BEST PRACTICES WHITEPAPER Best Practices für ein erfolgreiches IPAM

19 Zusammenfassung Infoblox DDI bietet einen erheblichen Vorteil für das IP Address Management (IPAM), weil die Lösung weit mehr kann als nur Adressräume und IP-Adressen zuzuweisen. Infoblox IPAM ist ein Tool für das Management aller IP-Netzwerk-Ressourcen. Sie erhalten eine Schaltzentrale für alle Netzwerk-Daten und Funktionen, die den hohen Informationsgehalt gezielt nutzen und die Produktivität von IT-Teams drastisch steigern. Infoblox IPAM ermöglicht Unternehmen das Sammeln von Netzwerk-Daten aller Art von Protokolldiensten, Importen und Netzwerk-Discovery bis hin zu benutzergenerierten Metadaten. Aus diesen Daten wird eine autoritative Datenbank aufgebaut, die die Grundlage für fundierte Entscheidungen bildet. Mit logischen Containern den Smart Foldern sorgt die Infoblox-Lösung dafür, dass die richtigen Daten schnell und einfach für Erweiterungen, Wechsel, Änderungen und Störungsbehebungen abrufbar sind. Mit der Automation von virtuellen Umgebungen, auditfähigen Workflows und einer exakten rollenbasierten Verwaltung fördert die Lösung die Zusammenarbeit von IT- und Support-Teams. Über Infoblox Mit Hauptsitz in Santa Clara, Kalifornien, stellt Infoblox (NYSE:BLOX) grundlegende Netzwerk-Technologie bereit, um Anwender, Endgeräte und Netzwerke optimal miteinander zu verbinden. So können Kosten reduziert und Sicherheit, Verfügbarkeit sowie Genauigkeit verbessert werden. Mehr als Unternehmen und Service Provider weltweit nutzen die Lösungen von Infoblox, um ihre Netzwerke automatisiert und effizient zu steuern. Weitere Informationen unter 18

20 UNTERNEHMENSZENTRALE (gebührenfrei in den USA und Kanada) EMEA ZENTRALE info-emea@infoblox.com DEUTSCHLAND BÜRO +49 (0) sales-emeacentral@infoblox.com Infoblox Inc. Alle Rechte vorbehalten. infoblox-best-practices-whitepaper-erfolgreiches-ipam-feb2015