Жабық желіде Cisco Smart Licensing: лицензияларды есепке алу және тіркеу

Мәселе: жабық желіде Smart Licensing жұмысын жүргізу

Жабық желіде Cisco Smart Licensing дегеніміз — құрылғылар периметр ішінде жұмыс істеп, Cisco бұлтына тікелей қосыла алмайтын жағдай. Көбіне бұл жай ғана «интернет жоқ» емес, қауіпсіздік талаптары: шығыс трафик жоқ, прокси жоқ, сыртқы домендер DNS арқылы ашылмайды, ал кез келген деректермен алмасу бекітілген шлюздер мен рәсімдер арқылы өтеді.

Smart Licensing-тің мәні — жабдық белгілі бір уақыт аралығында функцияларды пайдалану құқығын растап, пайдалану туралы (consumption) мәліметтерін есеп жүйесіне жібереді. Бұл лицензияларға сәйкестікті сақтау мен құрылғыларда қандай функциялар қосылғанын көруге көмектеседі. Ашық желіде бұл автоматты түрде порталмен синхрондаудан көрінеді; жабық контурда дәл осы алмасу проблемаға айналады.

Шектеулерге байланысты әдетте туындайтын сұрақтар: құрылғыны интернетсіз қалай тіркеу, аудит үшін есептерді қалай жинау, бұлтқа қосылмай-ақ сәйкестікті қалай растау және жабдық ауыстырғанда есепті қалай жоғалтпау.

Практикада жабық контурда төрт мәселені шешу керек: бастапқы тіркеу, тұрақты есеп беру, сәйкестікті бақылау (compliance) және контур мен сыртқы әлем арасындағы деректер алмасу процесінің айқын болуы (егер ол бар болса).

Мысал ретінде: мемлекеттік органда желі сыртқы сегмент пен қорғалған контурға бөлінген. Қорғалған контурдағы желілік жабдықта DNS, прокси және интернетке шығатын ережелер жоқ. Солай бола тұра IT-қызмет лицензиялар есепке алынғанын, құрылғылар тіркелгенін және аудит сұрағанда есептерді көрсете алатынын дәлелдеу керек. Мұндай талаптарға сәйкес Smart Licensing-тің интернетсіз нұсқасы таңдалады.

Cisco Smart Licensing есеп жүйесінің құрылымы

Cisco Smart Licensing — құқықтар мен жазылымдарды орталықтандырылған түрде есептейтін модель, құрылғылар қажетті лицензияларға ие екендігін растауды жүзеге асырады. Қалыпты желіде бұл Cisco бұлт порталы арқылы орындалады, бірақ логика жабық контур үшін де ұқсас.

Жүйенің негізі — Smart Account. Бұл сатып алынған лицензиялар, пайдалану ережелері мен операция тарихы сақталатын «қорап». Оның ішінде әдетте Virtual Account жасалады — филиалдар, жобалар, жүйе түрлері (желі, қауіпсіздік, ЦОД) немесе холдинг ішіндегі тапсырыс берушілер бойынша есепті жеңілдететін «папкалар». Осылай қай жерде қандай лицензия қолданылып жатқанын көру мен топтар арасында лицензияларды шатастырмай ауыстыру оңайырақ болады.

Smart Licensing көбінесе функцияларға немесе жазылымдарға байланған лицензиялары бар құрылғылар мен бағдарламалық қамтылымдарға қатысты: қазіргі IOS XE жүретін маршрутизаторлар мен коммутаторлар, сымсыз желі контроллерлері, кейбір қауіпсіздік платформалары және бөлек бағдарламалық компоненттер мен сервис жазылымдары.

Синхрондау кезінде құрылғы (немесе локалдық делдал) тіркеу статусын, қосылған функциялар мен лицензия деңгейлерін, тұтыну есептегіштерін және сәйкестік оқиғаларын жібереді (мысалы, лицензия жетіспеуі немесе конфигурация өзгерісі).

Smart Licensing — әрбір қорапқа «лицензия файлын» орнату емес; бұл — қанша құқық сатып алынғаны мен инфрақұрылымда қанша шын мәнінде қолданылып жатқанын есепке алу мен бақылау туралы.

Жабық контурларға арналған нұсқалар

Желі изоляцияланған кезде сұрақ әдетте Smart Licensing қолдануға бола ма дегеннен гөрі, есепті қалай растайтынымызға көшеді: үзіліссіз бе, кестелі ме әлде тек өзгерістер болғанда ма. Жабық контурда Cisco Smart Licensing әдетте үш схемаға түсуі мүмкін, әрқайсысының қауіпсіздік пен ыңғайлылық арақатынасы әртүрлі.

1. Тез-тез емес деректер алмасу сеанстары (интернет тұрақты емес). Қауіпсіздік саясаты контурдан файлдарды уәкілетті қызметкер шығарып алуға рұқсат етсе жарайды. Бұл офлайн тіркеу және құрылғыда есеп/сұрауларды қалыптастыру, оларды «таза» машинаға тасымалдап сыртқы порталға жүктеу, кейін жауап файлын кері әкеліп қолдану.

2. Контур ішіндегі локалдық сервис. Құрылғылар осында орталық лицензиялау нүктесі сияқты хабарласады. Бұл вариантты тұрақты есеп пен қолмен тасымалдауды азайтқысы келгендер таңдайды. Жабық орталарда әдетте Cisco SSM On-Prem қарастырылады: ол периметр ішінде қалады және байланыс арналарын бақылау талаптарына оңай сай келуі мүмкін.

3. Таралған орындарға Satellite моделі. Әр жерде немесе аймақта лицензиялар үшін «прокси» пайда болады, ал сыртқа синхрондау сирек әрі басқарылатын түрде болады.

Таңдау үшін жеткілікті төрт сұраққа жауап алу: файлдарды қолмен тасымалдауға рұқсат бар ма және ол қалай құжатталады, үзіліссіз есеп керек пе әлде айына/тоқсан сайынғы тексеру жеткілікті ме, лицензия сервисін қатты периметр ішінде ұстау талабы бар ма және қанша орын бар және олардың байланысы қаншалықты тұрақты.

Егер реттеуші адам факторын және кез келген «тасымалдағыштарды» қоспауды талап етсе — локалдық сервис таңдап алынады. Ал инфрақұрылымға минималды өзгеріс жеткілікті болса — офлайн алмасудан бастау және рәсімді аудит үшін формализациялау оңайырақ.

Нұсқа 1: файлдарды қолмен тасымалдау арқылы офлайн тіркеу

Бұл нұсқа құрылғылар аз және өзгерістер сирек болса жарайды: бірнеше маршрутизатор, коммутатор немесе тоқсан сайын ғана түрленетін кластер. Мұндай жағдайда Cisco Smart Licensing-ті контурда бөлек серверсіз жүргізуге болады, бірақ кейбір әрекеттер қолмен орындалады.

Бастамас бұрын база дайындаңыз: жауапты тұлғалар мен рөлдерді анықтау, инвентаризация жинау (сериялық нөмірлер, модельдер, ПО нұсқалары, күтілетін лицензиялар), файл алмасудың сақтау тәртібін (біртұтас папка, атаулар, күн журналдары) ұйымдастыру және файлдарды контурлар арасында қалай тасымалдайтынын алдын ала келісу.

Принцип қарапайым: жабық контурдағы құрылғы тіркеу немесе растау сұрауын жасайды, сіз файлды ашық контурда шығарып аласыз, жауапты аласыз, оны кері әкеліп құрылғыға қолданасыз. Сол тәсілді мерзімді есеп беру үшін де қолданады.

Артықшылықтары: контурда бөлек инфрақұрылым қажет емес және көбіне ақпараттық қауіпсіздікпен келісімі оңай, өйткені ешқандай шығыс қосылым жоқ. Кемшіліктері: қол еңбегі көп, қателесу қаупі жоғары (қате файл, дата немесе құрылғы), және құрылғылар саны көбейгенде масштабталмайды.

Мысал: мемлекеттік органда маңызды сегментте екі құрылғы бар, лицензия бойынша өзгерістер тек жоспарлы жаңартуларда болады. Онда офлайн файл алмасуды таңдау жиі өзара тиімді компромисс болады: желіге талаптар минималды, бірақ тәртіп пен мұқият архив қажет.

Нұсқа 2: контурда Cisco SSM On-Prem орнату

Cisco SSM On-Prem — Smart Licensing есеп қызметінің локалдық нұсқасы, оны өз желіңізде орнатады. Ол құрылғылардан есептерді қабылдап, тұтынудың жергілікті реестрін ұстайды және интернет жоқ жерде тәртіпті сақтауға көмектеседі. Құрылғылар көп және есеп беру тұрақты болуы қажет кезде бұл жиі ыңғайлы шешім.

Бұл ондай жағдайларға сай: онда жүздеген желілік құрылғы, бірнеше әкімшілік командалар және бір бақылау нүктесі керек: кім қанша лицензия тұтынатынын, қай жерде артықшылық немесе жетіспеушілік барын және апта ішінде не өзгергенін көру үшін.

Жүйені енгізер алдында сайттың базалық талаптарын тексеріңіз: журналдарға арналған диск және болжамды ресурстарға ие бөлек сервер немесе VM, қалпына келтіру жоспары (бэкап/снимкалар және процедура), ішкі инфрақұрылымның тұрақтылығы (DNS, NTP, құрылғыларға маршрутизация) және ішкі аудит үшін журналдар мен есептерді сақтау. Сондай-ақ қызмет көрсету терезелері мен жаңартулар үшін жауапкершілікті бекіту маңызды.

Қауіпсіздік тұрғысынан алдын ала кім SSM On-Prem-ды әкімшілендіретінін, тіркеу кілттері/токендері қалай сақталатынын, бэкаптар қалай қорғалғанын және кім қалпына келтіру құқығына ие екенін анықтап алу керек; өзгерістерді журналдау және бекіту тәртібі де маңызды.

Мысал: орталық ЦОД және бірнеше сегменттері бар мемлекеттік органда SSM On-Prem қорғалған серверлік аймақта орнатылады, ал әр түрлі сегменттердегі құрылғылар ішкі ішкі желілік ережелер бойынша оған есеп жібереді. Бұл қолмен жұмысты азайтады және лицензия бойынша тексеруді жеңілдетеді.

Нұсқа 3: таралған орындар үшін Smart Licensing Satellite

Smart Licensing Satellite — бір орталықтан гөрі бірнеше аймаққа тараған инфрақұрылыққа жарайтын шешім. Құрылғылар сыртқы сервистерге емес, жақын тұрған Satellite-қа хабарласады. Бұл жағдайда Cisco Smart Licensing жабық контурда басқарылатын түрде орындалады.

Қашықтағы нысандар үшін бұл шешім екі себеппен ыңғайлы. Біріншіден, тіркеу және құрылғыларды байлау контурда жүреді — әрбір нод үшін файлдарды қолмен тасымалдаудың қажеті азаяды. Екіншіден, есеп бір жерде жиналғандықтан қай жерде лицензия таусылғанын немесе құрылғы ұзақ уақыт есеп жібермегенін тез көруге болады.

Сыртқа синхрондауды әдетте қауіпсіздік саясаты мен аудит талаптарына сәйкес кесте бойынша жасайды: апта сайын немесе ай сайын, кейде одан да сирек. Жауапты адамды алдын ала тағайындау маңызды: орталық әкімші немесе ИБ маңызындағы рөл синхрондау пакетін бақылай алады.

Ризықтар стандартты: синхрондау кешіктірілсе есептер ескіріп, сәйкессіздіктер пайда болады; уақыт пен сағаттық белдеулер маңызды — құрылғылар мен Satellite-та уақыт қате болса статус түсініксіз болады; есеп тәртібіне сай болмаған жағдайда жаңа құрылғыларды немесе жойылғандарды ұмытуға болады.

Мысал: бір мемлекеттік органда екі үлкен нысан және бес қашық объект бар. Satellite орталық контурда орнатылады, филиалдар ішкі есептерді жібереді, айына бір рет жауапты тұлға синхрондау пакетін сыртқа шығарады. Бұл жағдайда қолмен әрекеттер азайып, парк өскенде қателер саны төмендейді.

Егер контурды және регламенттерді жобалауда көмек керек болса (кім қаншалықты жиі синхрондайды, есеп қалай жүргізіледі), жүйелік интегратор пилот кезеңінде қосылып, рәсімдерді құжаттап бере алады.

Қадамдық: интернетсіз есептеу мен тіркеуді қалай ұйымдастырамыз

Дайындық

Жабық контурда Cisco Smart Licensing бастамас бұрын не есептелетінін анықтаңыз. Инвентаризация жинаңыз: құрылғы моделі, сериялық нөмірі, ПО нұсқасы, қазіргі лицензия режимі және нақты қосылған функциялар мен деңгейлер.

Содан кейін жұмыс моделін таңдаңыз: толық офлайн файл тасымалы, Cisco SSM On-Prem периметр ішінде немесе бірнеше орынға Satellite. Сверка жиілігін анықтаңыз (айына бір рет немесе тоқсан сайын) және желі «тыныш» болуы мүмкін рұқсат етілген уақыт аралығын бекітіңіз.

Рөлдерді бекітіңіз. Әдетте қажет: есептің иесі (ережелер мен есеп үшін жауапты), желі орындаушысы (деректерді алады және файлдарды қолданады) және файлдарды рұқсат етілген шлюз арқылы тасымалдайтын адам. Рөлдер анықталмаса есеп тез чатқа ұқсайтын хаосқа айналады.

Барлық модельдер үшін негізгі тәртіп:

• инвентаризация жүргізіп, тіркеулер статусын тексеру;
• таңдалған схеманы орнатып (офлайн-процесс, On-Prem немесе Satellite) және сверка күнтізбесін бекіту;
• рұқсаттарды және жауапкершілікті анықтап, архив сақтау орнын белгілеу;
• бастапқы тіркеу мен бірінші сверка өткізіп, айырмашылықтарды жою;
• есеп форматтарын және растайтын құжаттарды сақтау ережелерін бекіту.

Тұрақты есеп

Бастапқы іске қосқаннан кейін процесті қарапайым ұстаңыз: бір есеп форматы, бір сақтау орны, әр цикл үшін бір жауапты адам. Егер контурда қатаң регламентация болса (мемлекеттік орган сияқты), алдын ала қандай файлдарды шығару, олардың қалай белгіленуі және кімнің тапсыруы керектігін келісіп алыңыз. Бұл жоғалған растамалар мен түсініксіз статустар санын азайтады.

Қалай таңдау жасауға болады: қарапайым шешім матрицасы

Жабық контурда белсенділікті тек тіркеу емес, оны қолдауға кететін күш те маңызды. Cisco Smart Licensing үшін әдетте қанша құрылғы, өзгеріс жиілігі және бақылау талаптары шешім қабылдауға әсер етеді.

Таңдау матрицасы

Егер құрылғылар аз және өзгерістер сирек болса — қолмен офлайн жиі ең жылдам шешім. Оның минусы — қол операцияларын өткізіп алу оңай және сәйкестік суреті тез ескіріп қалады.

Құрылғылар көп болса және сәйкестікті тұрақты бақылау қажет болса — Cisco SSM On-Prem таңдау ақылға қонымды: қол жұмысы азайып, ағымдағы статусты ұстап тұру оңайырақ. Таралған орындар үшін Satellite ыңғайлы: орталық есеп сақталады, ал филиалдарда файлдарды жеке тасымалдаудың қажеті азаяды.

Жауап беру жеңіл болуы үшін мына төрт сұраққа жауап беріңіз: ай сайын қанша өзгеріс болады, ай сайын есеп пен журнал керек пе, қанша орын бар және жерде адам бар ма, және ішкі контурда қызметтейтін сервер/VM бар ма. Аптасына өзгерістер көп болса немесе онша емес онда қолмен әдіс уақытыңызды «жеп» жіберуі мүмкін.

Жабық контурда жиі кездесетін қателіктер және тұзақтар

Көп жағдайда лицензия мәселелері техникалық емес, есеп жүргізудегі әдеттегі қателіктерден туындайды. Жабық контурда кішігірім қате — қате сериялық нөмір немесе жоғалған сұрау файлы — тез «мерзімі өткен» статусқа әкеліп, артық келісулерді қажет етеді.

Ең жиі қате — инвентаризациясыз бастау. Модельдер, сериялық нөмірлер, ПО нұсқалары және лицензия режимдері нақты көрсетілуі керек. Егер кейбір құрылғылар бір режимде, ал басқалары басқа режимде болса, офлайн рәсімдер кезінде не есептелетінін шатастыру оңай.

Екінші тұзақ — жауапты адамның және артефакттар сақталатын орынды анықтамау. Қолмен файл алмасу кезінде (сұраулар, растамалар, есептер) кім тасымалдайтыны, файлдар қайда сақталатыны, қалай тексерілетіні нақты болуы тиіс. Әйтпесе файл «қайда-то кеткен» болып, тексерісте табылмауы мүмкін.

Үшінші мәселе — орталарды араластыру. Тесттік пен өндірістік ортаны бір Virtual Account-та пайдалану жиі кездеседі. Нәтиже — лицензиялар қате тіркеледі және түзету бірнеше күн алады.

Тағы бір типтік қателік — синхрондаудың жиілігін қате таңдау. Локалдық сервис тым сирек жаңартылса, құрылғылар «қате» статустар көрсетеді, ал тым жиі болса — артық операциялық жүктеме мен регламенттік сәттерде сәтсіздіктер пайда болуы мүмкін.

Соңында, локалдық компонент қолдансаңыз — төзімділікті ұмытпаңыз. SSM On-Prem немесе Satellite болса, резервтік көшіру мен қалпына келтіру жоспары болмаса, тіркеу тарихын жоғалту оңай.

Минимум ретінде бекіту керек:

• модельдер, SN, ПО нұсқалары және рөлдер көрсетілген біртұтас құрылғы реестрі;
• процесс иесі және оның орнына ауысатын адам (демалыс/ауру) анықталған;
• файлдар мен алмасу артефакты үшін атау ережелері мен сақтау орны;
• синхрондаудың күнтізбесі және статустарды тексеру регламенті;
• бэкаптар және тексерілген қалпына келтіру сценарийі.

Мысал: екі орында лицензия есеп жүйесі

Мысал ретінде негізгі ЦОД пен резервтік орын бар мемлекеттік органды қарастырайық. Тікелей интернетке шығуға тыйым салынған, бағдарлама мен лицензия бақылауы қатаң. Инфрақұрылымда шамамен 30 Cisco желілік құрылғысы бар және өзгерістер айына бір рет шамасында.

Осындай жағдайда көбіне офлайн файл алмасуы қолданылады: ИБ талаптарына тез үйлеседі және контурда бөлек лицензия серверін ұстауды қажет етпейді. Бұл Cisco Smart Licensing жабық контурда қолданылатын типтік жол, егер негізгі міндет — есептің дәлелденуі және архивтің реті болса.

Рөлдер қарапайым бөлінеді. Желілік админ құрылғылардағы өзгерістер үшін және қажетті файлдарды шығару үшін жауап береді. Лицензия бойынша маман немесе ИТ-қызметтің есеп жүргізушісі инвентаризацияны ұстап, растамаларды сақтайды және ай сайынғы сверка жасайды. ИБ қызметкері файлдарды рұқсат етілген шлюз арқылы тасымалдауды және архивтеуді бақылайды.

Цикл төмендегідей өтеді:

• құрылғы қосылды немесе жаңа сервис іске қосылды;
• құрылғыда Smart Licensing сұрауы/есебі жасалды;
• келісілген офлайн арна арқылы файл ашық контурға шығарылды;
• сырттан жауап файл алынған соң оны қайта әкеліп құрылғыға қолданылды;
• реестр жаңартылып, айлық пакет архивтелді.

Нәтижесінде ай сайын өзгерістер тізімі, қажетті лицензиялар, оларды растау файлдары және архив орны болады. Бұл тексерістерді жеңілдетеді және сатып алу жоспарын жасауды оңайлатады.

Іске қосудан бұрын қысқа чек-лист

Cisco Smart Licensing-ті жабық желіде қосар алдында бір-екі сағаттық тексерістен өту пайдалы — көп жағдайда ол есептің ұқсамайтынын және «артық» тұтыну қайдан шыққаны жөніндегі таластарды бірнеше күннен айлардан сақтайды.

Тексеру:

• инвентаризация расталды ма: құрылғылар тізімі, олардың рөлдері (ядро, қолжетімділік, периметр), ПО нұсқалары және орнатылған лицензиялар нақты сәйкес пе;
• тіркеу моделі таңдалды және әрекет тәртібі түсінікті: қолмен офлайн, локалдық Cisco SSM On-Prem немесе Satellite, синхрондау жиілігі;
• артефакттарды сақтау орны анықталды: файлдар, операция журналдары, тіркеу растамалары, рұқсаттар;
• иелер тағайындалды және бэкаптар жасалады: кім тіркеу файлдарының қауіпсіздігі үшін жауапты және қарама-қайшылық туындаған жағдайда шешім қабылдайтын тұлға;
• ауыстыру сценарийі дайын: RMA немесе жабдықты жаңарту кезінде не істеу керек, лицензияларды қалай тасымалдау және тарихты сақтау.

Егер кемінде бір тармақ «ауада қалса», тоқтап, ережені жазып алған дұрыс. Жабық контурда басты тәуекел — тіркеуді кейін дәлелдей алмау, не нені және не үшін өзгерткені туралы түсініксіздік.

Келесі қадамдар: енгізу, қолдау және есеп тәртібі

Бастапқы аудиттен бастаңыз: қандай құрылғылар мен ПО нұсқалары орнатылғанын, қандай лицензиялар сатып алынғанын, PAK/келісімшарттар қайда сақталатынын және процесс иесінің бар-жоғын анықтаңыз. Осы сатыда қай модель сіздің контурға сай келетінін шешіңіз: бір реттік офлайн алмасу, Cisco SSM On-Prem периметрде немесе бірнеше орындарға Satellite. Көп жағдайда «Cisco Smart Licensing жабық желіде» техникалық емес мәселеге — есеп ұстаудың тәртібіне тіреледі.

Тексерістерден аман өту және ішкі бақылауды жеңілдету үшін артефакттарды бір жерде ұстаңыз: құрылғылар реестрі (сериялық нөмірлер, рөлі, орындары, жауапты тұлғалар), лицензиялар реестрі (SKU, саны, мерзімі, сатып алу дерегі), операция журналы (тіркеулер, тасымалдар, қайтарулар, ауыстырулар), файл алмасу және есеп архиві, бекітілген регламент (рұқсаттар, синхрондау жиілігі, инциденттерге әрекет ету).

Егер On-Prem немесе Satellite жоспарласаңыз — сервер қоры мен резервтік жоспарды алдын ала бағалаңыз: таңдалған өнімге қажетті ресурстар, сақтық көшіру және ақау жағдайындағы әрекет жоспары. Жабық контурларда екі қағиданы бастан енгізген дұрыс: қолжетімділіктерді бөлуді (рөлдерді нақты бөлу) және тұтынуды тұрақты тексеруді.

Егер енгізу және қолдауға серіктес керек болса, GSE.kz (gse.kz) жүйелік интеграторы инфрақұрылымды құруға, жүйелік интеграцияға және 24/7 техникалық қолдауды ұйымдастыруға көмектесе алады — осылайша есеп бір адамға тәуелді болмайды және жабдық немесе команда өзгергенде оңай сақталады.