Configuratiebeheer: Whitepaper over beste praktijken
Inhoud
Inleiding
Het beheer van de configuratie is een inzameling van processen en hulpmiddelen die netwerkconsistentie bevorderen, netwerkverandering volgen, en bijgewerkte netwerkdocumentatie en zicht verstrekken. Door best practices voor configuratiebeheer te ontwikkelen en te onderhouden, kunt u verschillende voordelen verwachten zoals verbeterde netwerkbeschikbaarheid en lagere kosten. Dit zijn onder meer:
-
Lagere ondersteuningskosten door een daling van reactieve ondersteuningskwesties.
-
Lagere netwerkkosten door apparaat, kring, en gebruiker het volgen hulpmiddelen en processen die ongebruikte netwerkcomponenten identificeren.
-
Verbeterde netwerkbeschikbaarheid dankzij een daling van de kosten voor reactieve ondersteuning en een verbeterde tijd voor het oplossen van problemen.
We hebben de volgende problemen gezien die het gevolg zijn van een gebrek aan configuratiebeheer:
-
Onvermogen om de invloed van gebruikers op netwerkwijzigingen te bepalen
-
Verhoogde reactieve ondersteuningskwesties en lagere beschikbaarheid
-
Meer tijd voor het oplossen van problemen
-
Hogere netwerkkosten als gevolg van ongebruikte netwerkcomponenten
Dit best practice-document biedt een processtroomschema voor de implementatie van een succesvol configuratiebeheerplan. We zullen de volgende stappen in detail bekijken: standaarden creëren, documentatie bijhouden en standaarden valideren en controleren.
Proces Flow op hoog niveau voor configuratiebeheer
In het onderstaande schema wordt aangegeven hoe u de kritieke succesfactoren kunt gebruiken, gevolgd door prestatie-indicatoren om een succesvol configuratiebeheerplan te implementeren.
Standaarden aanmaken
Het creëren van standaarden voor netwerkconsistentie helpt netwerkcomplexiteit te verminderen, de hoeveelheid ongeplande downtime en blootstelling aan gebeurtenissen die van invloed zijn op het netwerk. Voor een optimale netwerkconsistentie bevelen we de volgende standaarden aan:
Software voor versiecontrole en -beheer
Software-versiecontrole is de praktijk van het implementeren van consistente softwareversies op vergelijkbare netwerkapparaten. Dit verbetert de kans op validatie en testen van de gekozen softwareversies en beperkt de hoeveelheid softwaredefecten en interoperabiliteitsproblemen in het netwerk aanzienlijk. Beperkte softwareversies verminderen ook het risico van onverwacht gedrag met gebruikersinterfaces, commando- of managementoutput, upgradegedrag en functiegedrag. Dit maakt het milieu minder complex en gemakkelijker te steunen. Over het algemeen verbetert de controle van de softwareversie netwerkbeschikbaarheid en helpt lagere reactieve steunkosten.
Opmerking: Soortgelijke netwerkapparaten worden gedefinieerd als standaardnetwerkapparaten met een gemeenschappelijk chassis dat een gemeenschappelijke dienst levert.
Voer de volgende stappen uit voor controle van de softwareversie:
-
Bepaal apparaatclassificaties op basis van chassis, stabiliteit en nieuwe functievereisten.
-
Doel individuele softwareversies voor gelijksoortige apparaten.
-
Software versies testen, valideren en als piloot kiezen.
-
Documenteer succesvolle versies als standaard voor soortgelijke apparaatclassificatie.
-
Stel of upgrade consequent alle gelijkaardige apparaten aan standaardsoftwareversie op.
IP-adresseringsnormen en -beheer
IP-adresbeheer is het proces van het toewijzen, recyclen en documenteren van IP-adressen en subnetten in een netwerk. IP-adresseringsstandaarden definiëren subnetgrootte, subnettoewijzing, toewijzingen van netwerkapparaten en dynamische adrestoewijzingen binnen een subnetbereik. Aanbevolen IP-adresbeheerstandaarden verminderen de mogelijkheid om subnetten te overlappen of te dupliceren, niet-samenvatting in het netwerk, dubbele IP-adresapparaattoewijzingen, verspilde IP-adresruimte en onnodige complexiteit.
De eerste stap naar succesvol IP-adresbeheer is het begrijpen van de IP-adresblokken die in het netwerk worden gebruikt. In veel gevallen moeten netwerkorganisaties vertrouwen op RFC 1918
-adresruimte, die niet internetadresseerbaar is, maar kan worden gebruikt om toegang tot het netwerk te krijgen in combinatie met Network Address Translation (NAT). Nadat u de adresblokken hebt gedefinieerd, wijst u deze op een manier toe aan de gebieden van het netwerk die een samenvatting bevordert. In veel gevallen moet u deze blokken verder onderverdelen op basis van het aantal en de grootte van subnetten binnen het gedefinieerde bereik. U moet standaardsubnetgrootten definiëren voor standaardtoepassingen, zoals de bouw van subnetgrootten, WAN-koppelingssubnetgrootten, loopback-subnetgrootte of WAN-sitesubusgrootte. U kunt dan subnetten voor nieuwe toepassingen uit een subnetblok binnen een groter summier blok toewijzen.
Neem bijvoorbeeld een groot ondernemingsnetwerk met een campus aan de oostkust, een campus aan de westkust, een binnenlands WAN, een Europees WAN en andere belangrijke internationale sites. De organisatie wijst aaneengesloten, klasseloze IP-interdomeinrouting (CIDR)-blokken toe aan elk van deze gebieden om IP-samenvatting te bevorderen. De organisatie bepaalt vervolgens de subnetgrootte binnen die blokken en wijst subsecties van elk blok toe aan een bepaalde IP-subnetgrootte. Elk belangrijk blok of de gehele IP-adresruimte kan worden gedocumenteerd in een spreadsheet met toegewezen, gebruikte en beschikbare subnetten voor elke beschikbare subnetgrootte binnen het blok.
De volgende stap is standaarden te maken voor IP-adrestoewijzingen binnen elk subnetbereik. Routers en Hot Standby Router Protocol (HSRP) virtuele adressen binnen een subnetwerkkader kunnen de eerste beschikbare adressen binnen het bereik worden toegewezen. Aan switches en gateways kunnen de volgende beschikbare adressen worden toegewezen, gevolgd door andere vaste adrestoewijzingen en ten slotte dynamische adressen voor DHCP. Bijvoorbeeld, alle gebruikers subnets kunnen /24 subnets met 253 beschikbare adrestoewijzingen zijn. De routers kunnen worden toegewezen de .1 en .2 adressen, en het HSRP adres toegewezen het .3 adres, switches .5 door .9, en de DHCP-bereik van .10 door .253. Welke standaarden u ook ontwikkelt, ze moeten worden gedocumenteerd en opgenomen in alle documenten van het netwerkengineeringplan om een consistente implementatie te helpen garanderen.
Naamgevingsconventies en DNS/DHCP-toewijzingen
Een consistent, gestructureerd gebruik van naamgevingsconventies en DNS voor apparaten helpt u het netwerk op de volgende manieren te beheren:
-
Maakt een consistent toegangspunt tot routers voor alle netwerkbeheerinformatie met betrekking tot een apparaat.
-
Vermindert de mogelijkheid voor dubbele IP-adressen.
-
Creeert eenvoudige identificatie van een apparaat dat plaats, apparatentype, en doel toont.
-
Verbetert het voorraadbeheer door een eenvoudigere methode te verstrekken om netwerkapparaten te identificeren.
De meeste netwerkapparaten hebben één tot twee interfaces voor het beheer van het apparaat. Dit kan een in-band of out-of-band Ethernet-interface en een console-interface zijn. U moet naamgevingsconventies bouwen voor deze interfaces met betrekking tot het apparaattype, de locatie en het interfacetype. Op routers raden we sterk aan de loopback-interface te gebruiken als de primaire beheerinterface, omdat deze via verschillende interfaces kan worden benaderd. U dient ook loopback interfaces te configureren als het IP-bronadres voor traps, SNMP- en syslog-berichten. Individuele interfaces kunnen dan een naamgevingsconventie hebben die het apparaat, de locatie, het doel en de interface identificeert.
We raden ook aan om DHCP-bereiken te identificeren en ze toe te voegen aan de DNS, inclusief de locatie van de gebruikers. Dit kan een deel van het IP-adres of een fysieke locatie zijn. Een voorbeeld zou "dhcp-bldg-c21-10"aan "dhcp-bldg-c21-253" kunnen zijn, die IP adressen in gebouw C, tweede verdieping, bedradingskast 1 identificeert. U kunt ook de exacte subnetverbinding gebruiken voor identificatie. Nadat een naamgevingsconventie is gemaakt voor apparaten en DHCP, hebt u tools nodig om items te volgen en beheren, zoals Cisco Network Registrar.
Standaardconfiguratie en -beschrijvingen
De standaardconfiguratie is van toepassing op protocol- en mediaconfiguraties, evenals algemene configuratieopdrachten. Beschrijvers zijn interfaceopdrachten die worden gebruikt om een interface te beschrijven.
Het is raadzaam standaardconfiguraties te maken voor elke apparaatclassificatie, zoals een router, LAN-switch, WAN-switch of ATM-switch. Elke standaardconfiguratie moet de opdrachten voor globale, media- en protocolconfiguratie bevatten die nodig zijn om de netwerkconsistentie te handhaven. De configuratie van media omvat ATM, Frame Relay of Fast Ethernet-configuratie. De protocolconfiguratie omvat standaard IP-routingprotocolconfiguratieparameters, gemeenschappelijke QoS-configuraties (Quality of Service), gemeenschappelijke toegangslijsten en andere vereiste protocolconfiguraties. Globale configuratieopdrachten zijn van toepassing op alle soortgelijke apparaten en omvatten parameters zoals serviceopdrachten, IP-opdrachten, TACACS-opdrachten, vty-configuratie, banners, SNMP-configuratie en Network Time Protocol (NTP)-configuratie.
Beschrijvers worden ontwikkeld door een standaardformaat te maken dat op elke interface van toepassing is. De beschrijver omvat het doel en de plaats van de interface, andere apparaten of plaatsen die aan de interface worden aangesloten, en kringsherkenningstekens. Beschrijvers helpen uw ondersteuningsorganisatie om de omvang van problemen met betrekking tot een interface beter te begrijpen en maken een snellere oplossing van problemen mogelijk.
We raden aan om standaard configuratieparameters in een standaard configuratiebestand te houden en het bestand naar elk nieuw apparaat te downloaden voorafgaand aan protocol- en interfaceconfiguratie. Daarnaast dient u het standaard configuratiebestand te documenteren, inclusief een uitleg van elke globale configuratieparameter en waarom dit belangrijk is. Cisco Resource Manager Essentials (RME) kan worden gebruikt voor het beheer van standaardconfiguratiebestanden, protocolconfiguratie en descriptoren.
Procedures voor upgrade van configuratie
Upgradeprocedures helpen ervoor te zorgen dat software- en hardwareverbeteringen soepel verlopen met minimale uitvaltijd. Upgradeprocedures omvatten verificatie van leveranciers, installatiereferenties zoals releaseopmerkingen, upgrademethodologieën of -stappen, configuratierichtlijnen en testvereisten.
De procedures voor upgrades kunnen aanzienlijk variëren, afhankelijk van de netwerktypen, apparaattypen of nieuwe softwarevereisten. Individuele vereisten voor router- of switch-upgrades kunnen binnen een architectuurgroep worden ontwikkeld en getest en in elke wijzigingsdocumentatie worden vermeld. Andere upgrades, waarbij hele netwerken betrokken zijn, kunnen niet zo eenvoudig worden getest. Voor deze upgrades zijn mogelijk een grondigere planning, betrokkenheid van de leverancier en extra stappen nodig om succes te garanderen.
U dient upgradeprocedures te maken of bij te werken in combinatie met een nieuwe software-implementatie of een geïdentificeerde standaardrelease. De procedures moeten alle stappen voor de upgrade definiëren, documentatie van de leverancier van de referentie met betrekking tot het bijwerken van het apparaat, en testprocedures verschaffen voor het valideren van het apparaat na de upgrade. Zodra verbeteringsprocedures worden bepaald en gevalideerd, zou de verbeteringsprocedure in alle veranderingsdocumentatie moeten worden van verwijzingen voorzien aangewezen aan de bijzondere verbetering.
Oplossingssjablonen
U kunt oplossingssjablonen gebruiken om standaard modulaire netwerkoplossingen te definiëren. Een netwerkmodule kan een bedradingskast, een WAN-veldkantoor of een toegangsconcentrator zijn. In elk geval moet u de oplossing definiëren, testen en documenteren om ervoor te zorgen dat soortgelijke implementaties op precies dezelfde manier kunnen worden uitgevoerd. Dit zorgt ervoor dat toekomstige veranderingen zich op een veel lager risiconiveau voor de organisatie voordoen, aangezien het gedrag van de oplossing goed gedefinieerd is.
Creëer oplossingssjablonen voor alle implementaties en oplossingen met een hoger risico die meer dan eens zullen worden geïmplementeerd. De oplossingssjabloon bevat alle standaard hardware-, software-, configuratie-, bekabeling- en installatievereisten voor de netwerkoplossing. Specifieke details van de oplossingssjabloon worden als volgt getoond:
-
Hardware- en hardwaremodules zoals geheugen, flitser, voeding en kaartlay-out.
-
Logische topologie, inclusief poorttoewijzingen, connectiviteit, snelheid en mediatype.
-
Softwareversies, inclusief module- of firmware-versies.
-
Alle niet-standaard, niet-apparaatspecifieke configuratie, inclusief routingprotocollen, mediaconfiguraties, VLAN-configuratie, toegangslijsten, beveiliging, switchingpaden, overspannende boomparameters en andere.
-
Out-of-band beheervereisten.
-
Kabelvereisten.
-
Installatievereisten, inclusief omgevingen, voeding en racklocaties.
Merk op dat de oplossingssjabloon niet veel vereisten bevat. Specifieke vereisten zoals IP-adressering voor de specifieke oplossing, naamgeving, DNS-toewijzingen, DHCP-toewijzingen, PVC-toewijzingen, interfacebeschrijvers en andere moeten worden behandeld door algemene configuratiebeheerpraktijken. Meer algemene eisen, zoals standaardconfiguraties, wijzigingsbeheerplannen, procedures voor het bijwerken van documentatie of procedures voor het bijwerken van het netwerkbeheer, moeten worden behandeld in de algemene praktijken voor configuratiebeheer.
Documentatie behouden
We raden aan om het netwerk en de wijzigingen die zich in het netwerk in bijna realtime hebben voorgedaan, te documenteren. U kunt deze exacte netwerkinformatie gebruiken voor probleemoplossing, apparatenlijsten van netwerkbeheertools, inventaris, validatie en audits. We raden het gebruik van de volgende kritieke succesfactoren voor netwerkdocumentatie aan:
Huidige inventaris van apparaat, link en eindgebruiker
Met de huidige inventarisgegevens van apparaten, koppelingen en eindgebruikers kunt u de inventaris en bronnen van het netwerk, de gevolgen van problemen en de gevolgen van de netwerkwijziging volgen. De mogelijkheid om netwerkinventaris en resources met betrekking tot gebruikersvereisten te volgen, helpt ervoor te zorgen dat beheerde netwerkapparaten actief worden gebruikt, biedt informatie die nodig is voor audits, en helpt om apparaatbronnen te beheren. De eindgebruiker-relatiegegevens bieden informatie om wijzigingsrisico's en gevolgen te definiëren, evenals de mogelijkheid om problemen sneller op te lossen en op te lossen. De inventarisdatabases van apparaten, koppelingen en eindgebruikers worden doorgaans ontwikkeld door veel toonaangevende serviceproviderorganisaties. De toonaangevende ontwikkelaar van software voor netwerkinventarisatie is Visionael Corporation . De database kan tabellen bevatten voor soortgelijke apparaten, koppelingen en klantgebruikers/servergegevens, zodat u de impact voor de eindgebruiker gemakkelijk kunt begrijpen wanneer een apparaat is uitgeschakeld of er zich netwerkwijzigingen voordoen.
Configuratie-versiecontrolesysteem
Een configuratie versie control systeem handhaaft de huidige lopende configuraties van alle apparaten en een vastgesteld aantal vorige lopende versies. Deze informatie kan worden gebruikt voor probleemoplossing en configuratie of wijzigingsaudits. Wanneer het oplossen van problemen, kunt u de huidige lopende configuratie bij vorige het werk versies vergelijken helpen begrijpen als de configuratie op om het even welke manier met het probleem verbonden is. We raden aan om drie tot vijf eerdere werkversies van de configuratie te behouden.
Logboek voor TACACS-configuratie
Om te identificeren wie configuratie wijzigingen heeft aangebracht en wanneer, kunt u TACACS-logboekregistratie en NTP gebruiken. Wanneer deze services zijn ingeschakeld op Cisco-netwerkapparaten, worden de gebruikersnaam en tijdstempel toegevoegd aan het configuratiebestand op het moment dat de configuratie wordt gewijzigd. Deze stempel wordt vervolgens gekopieerd met het configuratiebestand naar het configuratieversie controlesysteem. TACACS kan dan fungeren als afschrikmiddel voor onbeheerde veranderingen en een mechanisme bieden om veranderingen die zich voordoen naar behoren te controleren. TACACS is ingeschakeld met het Cisco Secure-product. Wanneer de gebruiker zich aanmeldt bij het apparaat, moet hij/zij de TACACS-server authenticeren door een gebruikersnaam en wachtwoord in te voeren. NTP is gemakkelijk ingeschakeld op een netwerkapparaat door het apparaat te richten op een NTP-hoofdklok.
Documentatie over netwerktopologie
De documentatie van de topologie helpt bij het begrip en de steun van het netwerk. U kunt het gebruiken om ontwerprichtlijnen te bevestigen en het netwerk voor toekomstig ontwerp, verandering, of het oplossen van problemen beter te begrijpen. De topologiedocumentatie moet zowel logische als fysieke documentatie omvatten, met inbegrip van connectiviteit, adressering, mediatypen, apparaten, racklay-out, kaarttoewijzingen, kabelrouting, kabelidentificatie, aansluitpunten, voedingsinformatie en informatie over circuitidentificatie.
Het handhaven van topologiedocumentatie is de sleutel tot succesvol configuratiebeheer. Om een omgeving te creëren waarin onderhoud van topologische documentatie kan plaatsvinden, moet het belang van de documentatie worden benadrukt en moet de informatie beschikbaar zijn voor updates. We raden sterk aan om topologiedocumentatie bij te werken wanneer er zich netwerkwijzigingen voordoen.
De documentatie van de netwerktopologie wordt doorgaans onderhouden met behulp van een grafische toepassing zoals Microsoft Visio . Andere producten zoals Visionael bieden superieure mogelijkheden voor het beheer van topologie-informatie.
Standaarden voor validering en controle
De de prestatiesindicatoren van het configuratiebeheer verstrekken een mechanisme om netwerkconfiguratienormen en kritieke succesfactoren te bevestigen en te controleren. Door een programma voor procesverbetering voor configuratiebeheer te implementeren, kunt u de prestatie-indicatoren gebruiken om consistentieproblemen te identificeren en het algehele configuratiebeheer te verbeteren.
We raden aan een cross-functioneel team te creëren om het succes van het configuratiebeheer te meten en de configuratiebeheerprocessen te verbeteren. De eerste doelstelling van het team is het implementeren van prestatie-indicatoren voor configuratiebeheer om problemen met configuratiebeheer te identificeren. We zullen de volgende prestatie-indicatoren voor configuratiebeheer in detail bespreken:
Na het evalueren van de resultaten van deze audits, initieer een project om inconsistenties te repareren en dan de oorspronkelijke oorzaak van het probleem te bepalen. Mogelijke oorzaken zijn een gebrek aan documentatie over standaarden of een gebrek aan een consistent proces. U kunt de documentatie van standaarden verbeteren, training implementeren of processen verbeteren om verdere inconsistentie in de configuratie te voorkomen.
Wij raden maandelijkse controles aan, of mogelijk driemaandelijks als alleen validatie nodig is. Bekijk eerdere audits om te bevestigen dat problemen uit het verleden zijn opgelost. Zoek naar algemene verbeteringen en doelen om vooruitgang en waarde aan te tonen. Meting maken om de hoeveelheid inconsistenties in netwerkconfiguratie met een hoog risico, een middelgroot risico en een laag risico weer te geven.
Configuratie-integriteitscontroles
De integriteitscontrole van de configuratie dient de algemene configuratie van het netwerk, de complexiteit en consistentie ervan en potentiële problemen te evalueren. Voor Cisco-netwerken raden we het gebruik van de Netsys-configuratievalidatietool aan. Deze tool voert alle apparaatconfiguraties in en maakt een configuratierapport dat huidige problemen identificeert zoals dubbele IP-adressen, protocolmismatches en inconsistentie. De tool meldt alle problemen met connectiviteit of protocollen, maar voert geen standaardconfiguraties in voor evaluatie op elk apparaat. U kunt configuratiestandaarden handmatig bekijken of een script maken dat standaardconfiguratieverschillen rapporteert.
Apparaat-, protocol- en mediacontroles
Apparaat, protocol en media audits zijn een prestatie indicator voor consistentie in softwareversies, hardware apparaten en modules, protocol en media, en naamgevingsconventies. De audits moeten eerst eventuele niet-standaard problemen identificeren, die moeten leiden tot configuratie-updates om de problemen op te lossen of te verbeteren. Evalueer algemene processen om te bepalen hoe ze kunnen voorkomen dat suboptimale of niet-standaard implementaties plaatsvinden.
Cisco RME is een hulpmiddel voor configuratiebeheer dat kan controleren en rapporteren over hardwareversies, modules en softwareversies. Cisco ontwikkelt ook uitgebreidere media- en protocolaudits die inconsistentie met IP, DLSW, Frame Relay en ATM zullen melden. Als er geen protocol- of mediacontrole is ontwikkeld, kunt u handmatige audits gebruiken, zoals het bekijken van apparaten, versies en configuraties voor alle soortgelijke apparaten in een netwerk, of door steekproefsgewijze controles van apparaten, versies en configuraties.
Herziening van standaarden en documentatie
Deze prestatie-indicator beoordeelt netwerk- en normendocumentatie om te verzekeren dat de informatie nauwkeurig en actueel is. De audit dient onder meer betrekking te hebben op het herzien van de huidige documentatie, het aanbevelen van wijzigingen of aanvullingen en het goedkeuren van nieuwe normen.
U dient de volgende documentatie elk kwartaal te bekijken: standaardconfiguratiedefinities, oplossingssjablonen inclusief aanbevolen hardwareconfiguraties, huidige standaardsoftwareversies, upgradeprocedures voor alle apparaten en softwareversies, topologiedocumentatie, huidige sjablonen en IP-adresbeheer.
Feedback