Technote
Så bygger du ett nätverk som kan uppgraderas under drift
När säkerhetsuppdateringar inte längre kan vänta på nästa servicefönster behöver nätverket kunna förändras medan verksamheten pågår. Det ställer nya krav på arkitektur, redundans och de plattformar organisationen väljer.
I vår tidigare artikel, Nätverket kan inte längre vänta på nästa servicefönster, beskrev vi en växande utmaning: tiden mellan att en sårbarhet blir känd och att den kan utnyttjas krymper. Att vänta veckor eller månader med en kritisk säkerhetsuppdatering blir därför allt svårare att acceptera.
Men för många organisationer är problemet ännu större: verksamheten tillåter inget servicefönster.
Hur säkrar du nätverket utan att stoppa verksamheten?
Vad gör du när verksamheten inte kan stängas ned för att nätverket ska uppgraderas? På ett akutsjukhus, en flygplats, en produktionsanläggning eller ett logistikcenter är nätverket en del av själva verksamheten. Ett avbrott kan påverka allt från medicinteknisk utrustning och produktionssystem till övervakning och kommunikation.
Organisationen riskerar att hamna i ett dilemma. Att vänta med säkerhetsuppdateringen ökar cyberrisken. Att genomföra den kan öka verksamhetsrisken. Men det behöver inte vara ett val mellan de två. Tekniken finns, men behöver bli en del av nätverksarkitekturen.
Gör uppgraderingsbarhet till en del av arkitekturen
Traditionellt har patchning framför allt hanterats som en driftfråga. Uppgraderingen planeras, ett servicefönster bokas och verksamheten informeras. När uppdateringar inte kan vänta fungerar inte den modellen. I stället behöver du ställa en annan fråga redan när nätverket utformas:
Hur bygger vi infrastrukturen så att den kan uppgraderas utan att verksamheten stannar?
Det förändrar vilka krav som ställs på nätverket. Redundans måste fungera när en komponent tas ur drift. Hårdvara och mjukvara behöver stödja rätt uppgraderingsmekanismer. Trafiken måste kunna ta alternativa vägar, och även accessnätet och det trådlösa nätverket behöver ingå i strategin.
Tekniken för detta är inte ny. Utmaningen är snarare att kombinera rätt tekniker till en arkitektur som är byggd för kontinuerlig drift och förändring.
ISSU minskar behovet av omstarter
Ett exempel är ISSU, In-Service Software Upgrade.
På plattformar som stödjer ISSU kan mjukvara uppgraderas utan att hela systemet behöver startas om och utan att pågående trafikflöden behöver brytas. Tekniken har länge varit viktig i datahallar med höga tillgänglighetskrav, men samma princip är relevant i andra verksamhetskritiska nätverk.
För dig som IT-beslutsfattare är det inte förkortningen som är viktigast. Det avgörande är att möjligheten att uppgradera under drift påverkas av de teknikval du gör långt innan nästa kritiska sårbarhet upptäcks.
Rätt hårdvara, mjukvaruversioner, licenser och nätverksdesign behöver finnas på plats. Det går inte att utgå från att möjligheten enkelt kan läggas till den dag behovet uppstår.
EVPN/VXLAN ger trafiken alternativa vägar
Samma resonemang gäller själva nätverksarkitekturen. I traditionella nät kan en uppgradering innebära trafikomläggningar, att nätverksprotokoll behöver anpassa sig till nya trafikvägar och förändringar i nätverkstopologin. Ju fler beroenden som finns, desto större blir risken för påverkan.
Med en väl designad nätverksarkitektur baserad på EVPN/VXLAN förändras förutsättningarna. Med rätt redundans kan trafik fortsätta via alternativa vägar medan enskilda noder tas ur drift och uppgraderas.
Gör uppgraderingar till en del av den löpande driften
I stället för att uppgradera stora delar av nätverket samtidigt under ett avgränsat servicefönster kan delar av infrastrukturen uppgraderas parallellt med driften. Uppgraderingen blir då i högre grad en del av det dagliga arbetet.
Men det finns fortfarande en viktig begränsning.
Accessnätet avgör hur långt du kan komma
Redundans fungerar bra när trafiken har flera möjliga vägar. Problemet uppstår längst ut i nätverket. En produktionsmaskin, kamera eller medicinteknisk enhet är ofta bara ansluten till en switch. Om den switchen måste startas om spelar det ingen roll hur redundant resten av nätverket är. Enheten tappar ändå sin anslutning.
Accessnätet sätter därför ofta gränsen för hur långt organisationen kan komma med uppgraderingar under drift.
xFSU minskar påverkan även i accessnätet
Cisco xFSU, Express Fast Software Upgrade, är ett exempel. Tekniken är utvecklad för att minska den påverkan en mjukvaruuppgradering av en switch får på anslutna klienter.
Traditionellt innebär en uppgradering att switchen behöver startas om. Då försvinner anslutningen för samtliga klienter under omstarten. Med xFSU kan större delar av dataplanet, den del av switchen som vidarebefordrar trafiken, fortsätta fungera under uppgraderingen. Avbrottet för anslutna klienter kan därför bli betydligt mindre.
Förmågan är dock beroende av rätt plattform och rätt design. Ställ därför frågan redan vid nästa generationsskifte eller upphandling, inte först när en kritisk säkerhetsuppdatering måste genomföras.
Glöm inte det trådlösa nätverket
Om den trådlösa miljön har planerats med tillräcklig täckning och överlapp kan accesspunkter uppgraderas i grupper genom AP Rolling Upgrade. När en grupp accesspunkter uppgraderas kan klienterna flyttas till närliggande accesspunkter. När den första gruppen är tillbaka fortsätter uppgraderingen med nästa.
Det förutsätter att radioplaneringen ger klienterna alternativa accesspunkter att ansluta till. Annars finns det ingenstans för dem att ta vägen under uppgraderingen. God tillgänglighet skapas alltså i designfasen, inte under själva patchningen.
Fyra frågor du som IT-beslutsfattare bör ställa
Det här innebär inte att varje organisation behöver införa varje teknik. Däremot bör uppgraderingsbarhet bli ett uttalat krav när nätverket moderniseras.
Fyra frågor blir särskilt viktiga:
- Var kräver nätverket fortfarande ett avbrott för att kunna uppgraderas, och i vilka delar av verksamheten är sådana avbrott acceptabla?
- Har vi verklig redundans, även när enskilda komponenter tas ur drift?
- Stödjer våra plattformar och licenser uppgraderingar med minimal påverkan?
- Utformar vi nästa nätverksinvestering för att möta de krav på säkerhetsuppdateringar som vi kommer att ha om tre till fem år?
Svaren visar var verksamheten fortfarande är beroende av servicefönster.
Bygg för både tillgänglighet och förändring
IT-infrastruktur har länge utformats för hög tillgänglighet. Nästa steg är att också göra den möjlig att förändra under drift.
Ett nätverk kan vara mycket stabilt så länge ingen förändring görs, men ändå vara svårt att uppgradera utan avbrott. I en verklighet där säkerhetsuppdateringar behöver genomföras allt snabbare räcker inte det.
ISSU, EVPN/VXLAN, xFSU och AP Rolling Upgrade löser olika delar av problemet. Tillsammans illustrerar de samma princip:
Nätverket behöver vara byggt för att kunna förändras medan det används.
Kylattackerna visar en större brist i vår cybersäkerhet
Manipulerade kylsystem i svenska matbutiker visar hur kända svagheter i uppkopplad teknik kan få fysiska konsekvenser. Vad hindrar oss från att agera på risker vi redan känner till – och hur bygger vi…
Om författaren
Andreas Di Zazzo
Consultant | CCIE
Andreas Di Zazzo är en av Sveriges främsta experter inom trådlösa nätverk och autentiseringslösningar. Han innehar Ciscos högsta teknikcertifiering CCIE både inom Wireless och Routing & Switching.
