Od rozbudowy biura do centralnego zarządzania dostępem do sieci

Pierwsze w Polsce wdrożenie ZTNA na przełącznikach Extreme Networks

Klient: grupa brokerska działająca na rynku ubezpieczeń i reasekuracji

Rozbudowa powierzchni biurowej klienta rozpoczęła się jako projekt infrastrukturalny: nowa część biura wymagała podłączenia do istniejącej sieci LAN i WLAN. W trakcie analizy okazało się jednak, że samo dołożenie kolejnych elementów nie rozwiąże ważniejszego problemu - rosnącej złożoności środowiska sieciowego.

ANDRA zaprojektowała i wdrożyła rozwiązanie, które połączyło nową część biura z dotychczasową infrastrukturą, a jednocześnie uporządkowało sposób zarządzania dostępem do sieci. W nowym środowisku dostęp użytkowników - zarówno przewodowy, jak i bezprzewodowy - jest przydzielany automatycznie na podstawie tożsamości oraz zdefiniowanych polityk ZTNA.

Według informacji potwierdzonej przez producenta było to pierwsze w Polsce wdrożenie technologii ZTNA na przełącznikach Extreme Networks.

Rozbudowa biura jako punkt wyjścia do uporządkowania dostępu do sieci

Klient uruchamiał nową, większą powierzchnię biurową w tym samym budynku. Istniejąca infrastruktura sieciowa działała, ale była rozwijana etapami i opierała się na komponentach różnych producentów. To utrudniało centralne zarządzanie, zwiększało złożoność administracyjną i ograniczało możliwości spójnego zarządzania dostępem.

Dotychczasowy model dostępu wymagał większej liczby ręcznych działań. Administrator musiał przypisywać dostęp m.in. na podstawie adresu MAC urządzenia oraz konfiguracji konkretnego portu przełącznika. Wraz z rozwojem biura taki model stawał się coraz trudniejszy w utrzymaniu i bardziej podatny na błędy konfiguracyjne.

Celem projektu było więc nie tylko uruchomienie sieci w nowej części biura, ale także uporządkowanie sposobu zarządzania dostępem.

Nowa infrastruktura z centralnym zarządzaniem dostępem

ANDRA zaprojektowała i wdrożyła aktywną część infrastruktury sieciowej dla nowej powierzchni biurowej. Nowa sieć została połączona z dotychczasową infrastrukturą klienta, tak aby użytkownicy mogli korzystać ze spójnego środowiska komunikacyjnego w całej organizacji.

W ramach projektu uruchomiono:

• 5 przełączników Extreme Networks skonfigurowanych jako jednolite środowisko przełączające dla nowej części biura,
• 10 punktów dostępowych WLAN,
• klaster zapór sieciowych FortiGate zabezpieczający dostęp do Internetu,
• mechanizm ZTNA (Universal ZTNA - UZTNA, obecnie Extreme Platform One Security) dla dostępu przewodowego i bezprzewodowego do sieci lokalnej,
• integrację z istniejącym tenantem Microsoft Entra ID.

Najważniejszą zmianą było przesunięcie punktu ciężkości z konfiguracji zależnej od urządzenia i miejsca podłączenia na model oparty na tożsamości użytkownika. Po podłączeniu do sieci użytkownik jest identyfikowany z wykorzystaniem poświadczeń Microsoft Entra ID, a następnie otrzymuje dostęp zgodny ze swoim profilem uprawnień i zdefiniowanymi politykami.

Etapowe wdrożenie bez zakłóceń pracy biura

Projekt został przeprowadzony etapowo, z uwzględnieniem ciągłości pracy biura.

Najpierw nowa powierzchnia została dołączona do istniejącej infrastruktury sieciowej. Następnie, w weekendowym oknie serwisowym, przełączono dostęp do Internetu ze starego firewalla na nowy klaster zapór FortiGate.

Zmiany konfiguracyjne były prowadzone z przygotowaną ścieżką powrotu do wcześniejszych ustawień. Pozwoliło to ograniczyć ryzyko zakłóceń w przypadku niepowodzenia konfiguracji lub konieczności wycofania zmian.

Gotowość rozwiązania do pracy operacyjnej została potwierdzona po testach funkcjonalnych wykonanych po stronie klienta i po jego akceptacji.

Gdy nie ma gotowego scenariusza

Projekt wymagał wypracowania ścieżki wdrożeniowej dla nowego scenariusza technologicznego. Zespół ANDRA nie pracował według gotowego, powtarzalnego scenariusza wdrożeniowego. Część konfiguracji wymagała opracowania właściwego modelu działania, testowania założeń i współpracy z Extreme Networks w obszarach wymagających wsparcia po stronie producenta.

Istotnym elementem była także integracja mechanizmów dostępu z Microsoft Entra ID oraz przygotowanie konfiguracji dla użytkowników zewnętrznych, np. pracowników innych oddziałów korzystających czasowo z tej lokalizacji.

Mniej ręcznej konfiguracji, więcej kontroli nad dostępem

Po wdrożeniu klient zyskał spójniejsze i łatwiejsze w zarządzaniu środowisko sieciowe w nowej części biura. W praktyce oznaczało to:

• automatyczne przydzielanie dostępu do sieci przewodowej i bezprzewodowej na podstawie tożsamości użytkownika,
• centralne zarządzanie politykami dostępu UZTNA,
• ograniczenie zależności uprawnień od fizycznego miejsca podłączenia urządzenia,
• integracja nowej części biura z istniejącą infrastrukturą sieciową,
• zabezpieczenie dostępu do Internetu przez klaster zapór FortiGate,
• przygotowanie środowiska z rezerwą licencyjną na dalszy rozwój.

Najważniejszą zmianą nie była sama dostawa nowych urządzeń, lecz uporządkowanie modelu dostępu: od konfiguracji zależnej od portów i urządzeń do dostępu przydzielanego według polityk i tożsamości użytkownika.

Od projektu po wsparcie powdrożeniowe

ANDRA odpowiadała za:

• analizę założeń i potrzeb klienta,
• dobór architektury oraz technologii,
• dostawę urządzeń,
• instalację i konfigurację przełączników, punktów dostępowych oraz firewalli,
• konfigurację polityk UZTNA,
• integrację z Microsoft Entra ID,
• migrację dostępu do Internetu na nowy klaster firewalli,
• dokumentację powdrożeniową,
• podstawowe przeszkolenie administratorów,
• bieżące wsparcie techniczne po uruchomieniu.

Komentarz klienta:

„Rozbudowa biura była dla nas okazją do uporządkowania sposobu zarządzania dostępem do sieci. Zależało nam na rozwiązaniu, które nie tylko obsłuży nową powierzchnię, ale też ograniczy złożoność administracyjną i zwiększy kontrolę nad dostępem użytkowników. Wdrożenie zostało przeprowadzone bez zakłóceń dla pracy biura, a nowy model dostępu ułatwia nam zarządzanie infrastrukturą i daje większą przewidywalność w codziennej administracji.”

Komentarz Extreme Networks:

„Koncepcja Zero Trust od dawna nie schodzi z ust analityków cyberbezpieczeństwa, jednak praktyka pokazuje, że płynne przejście od teorii do wdrożenia to wciąż ogromne wyzwanie. Zrealizowany projekt idealnie odzwierciedla to, co przyświecało nam przy projektowaniu rozwiązania Universal ZTNA: radykalne uproszczenie zarządzania. Zamiast żmudnej konfiguracji opartej na fizycznych portach i urządzeniach, sieć po prostu podąża za tożsamością użytkownika. Sukces pierwszego w Polsce wdrożenia UZTNA na naszych przełącznikach wymagał partnera, który do innowacji podchodzi z odwagą, pewnością i wysoką sprawnością. Zespół ANDRA udowodnił, że posiada te cechy, dostarczając nowoczesną, gotową na przyszłość sieć, bez najmniejszych zakłóceń w codziennej pracy biura.” - Piotr Szołkowski, Principal Systems Engineer, Extreme Networks