Gamme de solutions de gestion des adresses IP Infoblox Intégrées et automatisées pour une visibilité, un contrôle et une conformité en temps réel

Transcription

1 LIVRE BLANC Gamme de solutions de gestion des adresses IP Infoblox Intégrées et automatisées pour une visibilité, un contrôle et une conformité en temps réel

2 Introduction à la gestion des adresses IP Le terme «gestion des adresses IP» (IPAM) fait référence à la gestion des tâches d'allocation, d'administration, de génération de rapports et de suivi de l'espace IP public et privé, des équipements IP et des données associées. Les entreprises déploient généralement des systèmes et processus qui interagissent avec l'infrastructure DNS et DHCP dans le but de proposer des fonctionnalités IPAM. Bien que l'ipam automatisée ait déjà fait ses preuves, de nombreux services informatiques continuent de recourir à des processus manuels, à des feuilles de calcul ou à des outils développés en interne pour gérer les adresses IP. La procédure classique d'allocation d'une nouvelle adresse IP à une imprimante peut comporter plusieurs phases impliquant différents services. Une simple demande peut ainsi nécessiter des heures de travail et des jours d'attente, le temps pour les différents intervenants du processus d'accomplir les tâches qui leur incombent, augmentant par là-même les risques potentiels d'erreurs humaines et d'interruption du réseau. Architecture : Planifier et allouer Aperçu : Analyser et assurer le suivi Opérations : Mettre en service et utiliser Figure 1 : Cycle de vie IPAM. La gamme de solutions IPAM d'infoblox automatise et simplifie la gestion des adresses IP, réduit les coûts d'exploitation réseau et élimine les erreurs de configuration et les temps d arrêt associés. Ce livre blanc traite de l'importance d'une solution IPAM automatisée et donne un aperçu de la façon dont la gamme de solutions IPAM d'infoblox satisfait les exigences clés des entreprises modernes en la matière. 1 LIVRE BLANC Gamme de solutions de gestion des adresses IP Infoblox

3 Pourquoi la gestion des adresses IP est-elle importante? Le caractère critique des réseaux TCP/IP continue de croître au fil du temps. L'extension de la taille d'adressage dans l'espace IPv6, la croissance de la virtualisation, l'extrême rapidité de la mise en service d'une infrastructure virtuelle, l'avènement du Cloud computing et de l'informatique mobile et la prolifération extrême des matériels IP tels que les téléphones IP, caméras et lecteurs RFID sont autant d'éléments annonciateurs d'une ère prochaine où la quasi-totalité de l'activité des entreprises (de l'accès aux bâtiments à l'émission d'appels téléphoniques) sera gérée par le réseau IP. À mesure que les réseaux deviennent plus dynamiques, leur complexité s'accroît et la gestion des adresses IP se complexifie. Le recours à des processus manuels et à des feuilles de calcul pour l'ipam s'avère désormais inadapté et aboutit à une hausse des coûts d'exploitation, à une disponibilité réduite des services informatiques, à des interruptions réseau plus fréquentes et à un rallongement de la durée de résolution des problèmes. Pour preuve irréfutable : les déséconomies d'échelle attestent de l'obsolescence des processus IPAM et des outils actuels Une récente étude menée par Computerworld révèle que les coûts annuels d'ipam augmentent à mesure que les réseaux des entreprises s'étoffent. Cette déséconomie d'échelle en matière de coûts d'ipam est la preuve la plus évidente que les solutions conventionnelles (feuilles de calcul, outils développés en interne ou systèmes IPAM de première génération) ne sont pas en mesure de faire face à l'ampleur et au dynamisme des réseaux modernes. La section ci-dessous met en lumière quelquesunes des problématiques soulevées par les approches conventionnelles. $10 $9,86 $9 $8,68 $8 8,10 $ en moyenne $7 $7,46 Les coûts par adresse IP augmentent pour tous les équipements avec l'ajout de chaque dispositif IP <1,000 9,999 >10,000 Taille du réseau (adresses IP) Figure 2 : Résultats de l'étude menée par Computerworld révélant que les coûts IPAM augmentent avec la taille du réseau. Le manque de délégation et de gestion du flux de processus limite la flexibilité de l'entreprise et allonge les délais d'exécution Les processus manuels associés aux tâches IPAM exigent habituellement une parfaite maîtrise lors de l'exécution et de la configuration des systèmes DNS et DHCP, ainsi que des droits d'accès suffisants pour apporter les changements. Pour des raisons de sécurité, de responsabilité et de conformité, seul un petit nombre d'employés des 2

4 services informatiques est autorisé à effectuer ces modifications. Cette disponibilité limitée des effectifs engendre un goulot d'étranglement au niveau du traitement des requêtes IPAM, ce qui augmente le temps d'accès au service. Les responsables des services informatiques sont en outre submergés par la gestion des tâches quotidiennes alors qu'ils pourraient se consacrer à des projets plus stratégiques. Enfin, le niveau élevé de la courbe d'apprentissage et le niveau d'expertise requis rendent difficile tout remplacement ou redéploiement des administrateurs IPAM actuels. Une solution IPAM automatisée et efficace permet de déléguer les tâches de gestion IPAM courantes à des débutants ou au centre d'assistance lui-même, tout en préservant la sécurité et l'intégrité de la configuration. Les erreurs de configuration et le manque de surveillance automatisée sont à l'origine d'importantes interruptions du réseau Même les tâches IPAM de routine peuvent être source d'erreurs et aboutir à des temps d arrêt lorsque l'action à effectuer comporte un nombre élevé de tâches manuelles et requiert un niveau d'expertise élevé. Dans un environnement classique, la simple attribution d'une adresse IP à un nouveau serveur peut impliquer l'intervention de 3 services et comporter 15 étapes différentes. Une erreur commise à l'une de ces étapes peut aboutir à l'interruption des services. En outre, l'absence de surveillance automatisée des services tels que le DHCP peut entraîner des problèmes majeurs et des interruptions du réseau. Par exemple, une plage DHCP peut être rapidement à court d'adresses IP. Toutefois, l'administrateur n'en est informé que lorsque les utilisateurs commencent à se plaindre de l'indisponibilité du réseau. Ainsi, un temps considérable est perdu à identifier et tenter de résoudre le problème. Pendant ce temps, les utilisateurs n'ont pas accès au réseau, ce qui nuit considérablement à leurs activités économiques. Le manque de visibilité sur les données DNS et DHCP complique la résolution des problèmes La plupart des solutions DNS et DHCP n'offrent aucune visibilité sur les données IPAM. Les fonctionnalités de génération de rapports sont faibles, pour ne pas dire inexistantes, ce qui complique considérablement l'identification de l'origine des problèmes relatifs aux adresses IP. Des conflits d'adresse IP dus à des équipements non autorisés peuvent survenir sur le réseau, par exemple des routeurs connectés aux réseaux d'entreprise qui mettent en péril la sécurité. Le manque d'informations sur la connectivité physique réduit le niveau de sécurité des réseaux et complique les opérations de dépannage L'absence de vue globale, à l'échelle de l'entreprise, permettant de suivre l'utilisation des ports réseau et d'identifier les équipements connectés peut occasionner certaines difficultés, notamment : 1. Il est difficile d'assurer la sécurité et de réaliser des d'audits : le manque d'informations relatives à la localisation des équipements connectés empêche l'application des règles de sécurité en cas de détection d'un équipement à risque. En outre, l'absence de suivi d'audit permettant de déterminer l'emplacement de connexion d'un équipement sur le réseau rend délicate toute recherche sur les incidents de sécurité. 2. La résolution des problèmes nécessite de localiser les équipements manuellement : la résolution des incidents touchant le réseau impose d'identifier et de localiser les équipements situés sur celui-ci. Évaluer l'impact sur le réseau du retrait d'un commutateur pour maintenance est difficile. Les procédures de localisation manuelle sont laborieuses et réduisent l'efficacité des équipes informatiques en augmentant les délais de résolution. 3 LIVRE BLANC Gamme de solutions de gestion des adresses IP Infoblox

5 L'automatisation de l'ipam permet de réduire les coûts d'exploitation du réseau et d'en améliorer considérablement la disponibilité. Les équipes informatiques peuvent ainsi se concentrer sur des projets plus stratégiques pour le développement de l'entreprise, plutôt que de se consacrer au seul maintien de son activité. Vous trouverez dans la section ci-dessous une description de la gamme de solutions IPAM d'infoblox et de quelques-uns de leurs avantages et fonctionnalités uniques. Présentation détaillée de la gamme de solutions IPAM d'infoblox Infoblox répond à tous les besoins en matière d'adresse IP avec sa gamme de produits IPAM clé en main : la gamme de produits Trinzic IPAM comprend le produit IPAM de base (faisant partie du module Trinzic DDI) la version Express pour les petites entreprises des modules complémentaires pour la virtualisation VMware IPAM pour les environnements serveurs Microsoft Les résultats des tests réalisés par Tolly Group montrent que IPAM Automation for VMware d'infoblox permet de : Réduire de 50 % les délais de mise en service et déploiement en environnement VMware. Réduire les besoins de main d'œuvre et les risques d erreurs, ce qui optimise le coût global de possession. Découvrir plus rapidement les systèmes virtuels et les données du réseau pour faciliter le suivi, l'inventaire et, le cas échéant, la résolution des problèmes. Les résultats des tests complémentaires réalisés par Tolly Group montrent que la solution IPAM pour les serveurs Microsoft DNS et DHCP d'infoblox est amortie entre 3 à 6 mois et permet aux entreprises de réduire leurs coûts d'exploitation liés aux réseaux de à dollars sur trois ans. La gamme de solutions IPAM d'infoblox automatise et simplifie la gestion des adresses IP pour renforcer la fiabilité du réseau et rationaliser la main d œuvre et les actions. Dans la suite de ce livre blanc, nous analyserons en détail toutes les fonctionnalités qui constituent le cœur même de la solution IPAM automatisée d'infoblox. Présentation des fonctionnalités d'infoblox IPAM Les fonctionnalités IPAM de base de tous les produits de la gamme de solutions IPAM d'infoblox sont intégrées au logiciel Infoblox NIOS et incluent une suite complète de fonctions prenant en charge l'allocation et la gestion d'adresses et la génération de rapports. Contrairement aux solutions classiques, dans lesquelles les fonctionnalités d'ipam «s'appuient sur» les serveurs DNS et DHCP, la solution Infoblox, qui ne nécessite aucun logiciel ou équipement supplémentaire, offre des avantages considérables tels qu'une visibilité en temps réel sur les données IPAM très dynamiques, une haute disponibilité, une fonctionnalité intégrée de reprise après sinistre, la possibilité d'effectuer les mises à niveau logicielles d'un simple clic et une interface d'une simplicité et d'une efficacité remarquables. 4

6 Interface utilisateur graphique basée sur le Web pour une gestion simplifiée Les fonctionnalités Infoblox IPAM sont accessibles via une interface Web intuitive nommée IP Address Manager (Gestionnaire des adresses IP). Ce module convivial vous permet non seulement de réaliser des tâches IPAM en toute sécurité et sans erreur de configuration, mais il vous fournit aussi une représentation visuelle de votre réseau et de son état. Quelques-uns des éléments clés du gestionnaire d'adresses IP sont présentés ci-dessous : Tableau de bord Le tableau de bord du gestionnaire d'adresses IP est un portail permettant d'accéder aux fonctionnalités IPAM. Il peut être personnalisé en fonction des besoins spécifiques de l administrateur et des responsabilités qui lui incombent. Avec ses widgets, le tableau de bord offre un aperçu du statut actuel du réseau, des adresses IP, des services, du statut de la découverte réseau, etc. Il permet en outre d'accéder facilement aux fonctions les plus fréquemment utilisées. Vous pouvez facilement créer et ajouter des widgets au tableau de bord, un peu comme dans igoogle ou MyYahoo. Chaque administrateur peut accéder uniquement aux données et fonctionnalités pour lesquelles il possède les autorisations d'accès requises, telles que définies dans le rôle correspondant. Par exemple, l'administrateur DHCP d'une agence régionale ne peut accéder qu'aux données réseau de l'agence et aux fonctions qui y sont associées. Près de 90 % des tâches IPAM quotidiennes peuvent être effectuées directement depuis le tableau de bord, sans avoir à accéder à d'autres écrans. Figure 3 : Le tableau de bord du gestionnaire d'adresse IP offre une vue d'ensemble rapide du réseau et permet d'accéder aux tâches IPAM les plus courantes. Smart Folders pour l'organisation des données IPAM Les Smart Folders permettent d'organiser et de classer facilement les réseaux, un peu à la manière dont les listes de lecture dynamiques d'itunes offrent la possibilité d'organiser très simplement une bibliothèque musicale en constante évolution. Combinés aux attributs extensibles qui permettent à l'administrateur de définir et d'affecter des propriétés personnalisées aux objets, les Smart Folders vous aident à visualiser les données IPAM de façon hiérarchique et à les manipuler. L'administrateur peut, par exemple, définir un attribut personnalisé appelé «asset-id» dont la syntaxe sera «devicetype-dept-xxxx», et l'associer avec toutes les adresses IP statiques. Avec un Smart Folder doté d'un attribut «asset-id» commençant par «HP_Printer», il pourra ensuite consulter le statut de toutes les imprimantes HP en cliquant simplement sur le dossier en question. Les Smart Folders peuvent être organisés de façon hiérarchique. Par exemple, vous pouvez créer un dossier regroupant tous les 5 LIVRE BLANC Gamme de solutions de gestion des adresses IP Infoblox

7 réseaux américains qui contiennent des réseaux d'agences régionales. Une agence régionale peut contenir des dossiers correspondant à différents types d'équipements ou à tout autre attribut personnalisé. Les Smart Folders sont dynamiques. Par exemple, lorsqu'un nouvel équipement est ajouté ou retiré du réseau, il est automatiquement ajouté ou retiré de tous les Smart Folders associés. Figure 4 : Smart Folders pour l'organisation et la visualisation des données IPAM. Net Map simplifie l'allocation de nouveaux réseaux Net Map est une innovation Infoblox en attente de brevet qui vous informe, sous forme graphique, de l'état de tous les réseaux définis sur une plage donnée. Net Map vous permet d'identifier en un clin d'œil les réseaux disponibles et utilisés, ainsi que le statut d'utilisation de chacun. Un curseur permet également d'allouer de nouveaux réseaux et de redimensionner ceux existants. Figure 5 : Net Map offre une vue globale des réseaux et permet de les allouer et de les redimensionner. 6

8 Il est en outre possible d'ajouter de nouveaux réseaux et de modifier les existants, directement dans la carte. Grâce à cette fonctionnalité, les utilisateurs peuvent créer plus rapidement de nouveaux réseaux, sans avoir à effectuer de calculs complexes. La fonctionnalité de zoom avant et arrière de Net Map permet de visualiser directement les détails relatifs aux réseaux de petite taille, sans avoir à passer d'un réseau à un autre. Cette fonctionnalité est comparable aux outils de zoom avant et arrière disponibles dans Google Maps, qui permettent aux utilisateurs d'effectuer un zoom avant pour afficher de petites ruelles, puis arrière pour visualiser tout un quartier. Les «Vues réseau» prennent en charge le chevauchement des espaces d'adressage Le système Infoblox IPAM peut prendre en charge deux ou plusieurs plages d'adresses qui se chevauchent au sein du système. Cette fonctionnalité spéciale et utile constitue l'un des atouts essentiels du système IPAM. Elle est fréquemment utilisée pour gérer des réseaux créés à la suite d'opérations de fusion et d'acquisition. Lors de ces opérations, les équipes informatiques ne réorganisent normalement pas l'ensemble du réseau. Par conséquent, si les deux entités fusionnées utilisaient les mêmes plages d'adresses sur leurs réseaux respectifs, une adresse identique se retrouve utilisée par plusieurs équipements. Le système Infoblox IPAM fait facilement face à cette situation très courante au moyen de la fonctionnalité Vues réseau. Celle-ci permet à l'administrateur de conserver deux ou plusieurs réseaux logiquement distincts qui se chevauchent, tout en continuant d'utiliser Infoblox IPAM pour gérer les deux. Figure 6 : IP Map offre un aperçu rapide de toutes les adresses IP d'une plage et l'accès aux fonctionnalités IPAM permettant de manipuler les adresses IP. À mesure que les entreprises croissent et se développent, de façon organique ou par le biais d'acquisitions, elles doivent faire preuve de flexibilité dans la configuration de leur réseau DHCP. La fonctionnalité Fractionner/Regrouper les réseaux permet à une entreprise de s'adapter facilement à la nature dynamique des réseaux actuels. Fractionner les réseaux permet à l'administrateur de subdiviser facilement, rapidement et précisément un réseau et de faire en sorte que les sous-réseaux ainsi créés héritent de la configuration du réseau parent. La fonctionnalité Regrouper/ 7 LIVRE BLANC Gamme de solutions de gestion des adresses IP Infoblox

9 Développer les réseaux est unique car elle permet à l'administrateur de regrouper de petits réseaux en un plus grand, tout en préservant les données de configuration, en particulier les adresses fixes, les plages dynamiques, etc. IP Map pour la visualisation et l'allocation des adresses IP IP Map permet de visualiser le statut de toutes les adresses IP d'un réseau. Chaque petit carré représenté dans IP Map correspond à une adresse IP. D'un simple coup d'œil sur les cases blanches, l'administrateur peut connaître le nombre d'adresses disponibles. Les adresses IP utilisées mais non mises en service dans le système IPAM sont représentées par des cases jaunes, tandis que celles qui correspondent, suite à la découverte réseau, à des données en conflit avec le contenu de la base de données (en cas d'adresses MAC différentes, par exemple) sont représentées par des cases rouges. La représentation visuelle fournie par IP Map est bien plus parlante que la représentation classique sous forme de liste ou d'arborescence. En outre, de nombreuses tâches courantes comme l'allocation ou la réservation d'adresses IP, l'ajout d'enregistrements DNS, etc., peuvent être réalisées directement dans IP Map. Infoblox IP Map permet également de modifier les adresses et leur statut, pour par exemple convertir un bail DHCP attribué dynamiquement en une adresse DHCP fixe ou un objet Infoblox Host. Cette fonctionnalité permet notamment aux administrateurs de déployer de nouveaux équipements sur le réseau selon un flux de processus courant : En autorisant les équipements du réseau tels que les serveurs, ordinateurs de bureau, imprimantes et téléphones IP à obtenir automatiquement des paramètres d'adresse IP avec le protocole DHCP ; En affichant les baux DHCP dans la console IMAP, en cliquant sur l'entrée voulue, puis en convertissant le bail en adresse DHCP fixe ou en objet Infoblox Host. Des assistants pour éviter les erreurs de configuration Les tâches IPAM courantes peuvent être accomplies facilement avec l'aide d'assistants intuitifs. Ces assistants permettent d'éviter les erreurs de configuration et de déléguer en toute sécurité des tâches de configuration à des employés débutants, non spécialistes de la configuration DNS ou DHCP. Le gestionnaire d'adresses IP inclut des assistants conçus pour vous aider à ajouter des réseaux, des hôtes, des enregistrements DNS, une adresse IP réservée, etc. Figure 7 : Assistant Ajouter un réseau DHCP permettant de simplifier l'allocation des réseaux. 8

10 Un flux de processus dont l'administration est basée sur les rôles simplifie la délégation des tâches IPAM L'administration basée sur les rôles permet aux administrateurs autorisés de mener à bien les tâches concrètes spécifiques qui leur sont dévolues. Le logiciel Infoblox NIOS permet de créer des rôles administratifs qui pourront être affectés à différents administrateurs. La définition d'un rôle administratif peut s'effectuer sur la base de critères flexibles : par exemple, les administrateurs DHCP du centre de données de Phoenix ou ceux des systèmes d'impression du monde entier, etc. Après avoir défini un rôle, vous pouvez associer des comptes d'administrateur à des rôles spécifiques. Les fonctionnalités IPAM du logiciel NIOS reconnaissent les autorisations associées à ces rôles et vous permettent d'agir en conséquence. Par exemple, si un administrateur autorisé à affecter des adresses IP statiques utilise la fonction Adresse IP disponible suivante pour affecter une adresse IP à une imprimante, les caractéristiques de l'adresse renvoyée seront conformes aux autorisations dont bénéficie le rôle de l'administrateur. De même, lorsque l'administrateur affecte un nom et une adresse IP à la nouvelle imprimante, la vérification de la syntaxe du nom d'hôte est activée pour s'assurer que le nom choisi est conforme aux règles d'appellation définies par l'administrateur central. La fonctionnalité Flux de processus d'infoblox permet d'adapter Infoblox IPAM au flux normal de processus des services informatiques. Cette fonctionnalité permet aux débutants de l'équipe de modifier la configuration réseau et de soumettre automatiquement ces modifications à l'examen des administrateurs réseau qui les approuveront ou les refuseront. Les modifications approuvées Figure 8 : Flux de processus Infoblox IPAM en action. sont rassemblées dans des zones temporaires où elles peuvent être examinées et testées avant leur publication dans l'environnement de production. La combinaison des fonctionnalités Flux de processus et Administration basée sur les rôles offre un moyen puissant de déléguer les tâches IPAM complexes à d'autres services sous la supervision technique des propriétaires d'ipam. Par exemple, une interface personnalisée peut être fournie aux membres du centre d'assistance pour leur permettre d'allouer des adresses IP depuis un groupe spécifique d'adresses, sous la surveillance de l'équipe réseau. Dernier point, mais non des moindres, toutes les modifications administratives sont soigneusement consignées et peuvent faire l'objet d'audit. Découverte du réseau pour rechercher et gérer les équipements sur votre réseau La fonction de découverte réseau permet aux administrateurs de rechercher des équipements actifs sur les réseaux et d'alimenter la base de données IPAM avec les informations détectées durant le processus. Le processus de découverte collecte diverses informations sur les équipements connectés, notamment l'adresse MAC, le nom NetBIOS, le système d'exploitation et l'heure de la dernière découverte. La fonction de découverte est accessible directement depuis le tableau de bord. Les données découvertes apparaissent dans IP Map, d'où elles peuvent être directement utilisées. 9 LIVRE BLANC Gamme de solutions de gestion des adresses IP Infoblox

11 Figure 9 : Le widget de découverte réseau permet de visualiser le statut du processus. À l'issue d'une découverte, l'administrateur peut effectuer les actions suivantes : Ajouter de nouveaux équipements à la base de données IPAM : la fonction de découverte réseau offre un moyen rapide d'ajouter au système IPAM des équipements non gérés, ce qui évite aux administrateurs d'avoir à saisir ces informations manuellement. Résoudre les conflits entre le système IPAM et l'état réel du réseau : si le système IPAM offre une vision du système, mais que l'utilisation réelle des adresses IP sur le réseau est différente (par exemple, si le système IPAM indique qu'une adresse IP fixe doit avoir une adresse MAC donnée, alors qu'en réalité elle en a une autre), la fonction de découverte réseau fera ressortir cette anomalie sous forme d'un conflit que l'administrateur pourra corriger. Découvrir les équipements non autorisés sur le réseau : l'administrateur découvre régulièrement des équipements non autorisés sur leur réseau, ce qui présente un risque pour la sécurité. Dans ce cas, le rapport IPAM indiquera la présence d'un équipement non géré. Récupérer les adresses IP inutilisées : le processus de découverte réseau d'infoblox indique à quel moment une adresse IP a été découverte pour la dernière fois. Cette information permet de déterminer si une adresse IP peut ou non être récupérée et réutilisée. Rechercher des informations de connectivité des équipements : le boîtier Infoblox NetMRI TM complète les données IPAM en synchronisant des informations supplémentaires (emplacement de l équipement, commutateur, port, VLAN, etc.) dans le système Infoblox IPAM. Grâce à ce complément d'information, les ingénieurs réseau peuvent associer rapidement une adresse IP à un VLAN et à un port de commutation afin d'identifier les problèmes potentiels et de les résoudre. Les applications de cette fonctionnalité sont multiples. Par exemple, il est possible de bloquer rapidement les équipements infectés sur le réseau en cas d'attaque de virus ou de ver, ou de localiser et supprimer rapidement un équipement non autorisé détecté via le processus de découverte d'infoblox. 10

12 Le boîtier NetMRI recueille les informations suivantes pour chaque adresse IP et MAC de la base de données Infoblox IPAM : nom, port, description et statut du commutateur, nom et numéro du VLAN, duplex/ vitesse du port, statut actuel de la liaison, première et dernière heures de détection. La fonctionnalité de découverte réseau d'infoblox permet aux administrateurs de lancer une analyse du réseau à partir de boîtiers, membres du Grid, situés à distance ou au-delà des pare-feu. Cette option présente un avantage certain par rapport aux autres offres disponibles sur le marché. En outre, la fonctionnalité de découverte réseau d'infoblox met en œuvre différents procédés, tels que les protocoles ICMP et TCP ou les conventions d'appellation NetBIOS, pour permettre aux administrateurs de collecter des données comme les adresses IP et MAC, noms NetBIOS, version du système d'exploitation et date de la dernière découverte d'un objet sur le réseau. Bénéficiant ainsi d'un contrôle total des méthodes de découverte utilisées, les administrateurs peuvent facilement lancer, suspendre ou annuler le processus de détection. Inutilisé Conflit Non géré Objet DNS Réservation / adresse fixe Hôte absent du DNS / DHCP IP sélectionnée Plage DHCP Plage d'exclusion DHCP Figure 10 : Affichage dans IP Map des conflits d'adresse IP détectés. Surveillance IPAM et création de rapports pour la sécurité, la conformité et la résolution des problèmes La génération de rapports précis sur l'utilisation des adresses IP constitue un facteur essentiel au maintien d'un réseau auditable, sécurisé et sans interruption de service. Infoblox NIOS propose une gamme de fonctionnalités de génération de rapports permettant de dresser un tableau exact de la configuration réseau actuelle et des informations historiques. En plus des Smart Folders et de la recherche dynamique, la solution NIOS comporte les fonctionnalités clés suivantes pour la génération de rapports. Historique des baux DHCP La fonctionnalité Infoblox DHCP Lease History (Historique des baux DHCP) permet aux administrateurs de suivre les adresses et de créer des rapports en fonction d'une multitude de paramètres : statut de l'adresse IP (dynamique, fixe, disponible, réservé/ désactivé), noms d'hôte, adresse MAC et informations sur les baux DHCP, y compris la date/heure des baux, la durée restante du bail, l'heure du dernier renouvellement et la libération forcée des adresses IP. 11 LIVRE BLANC Gamme de solutions de gestion des adresses IP Infoblox

13 Figure 11 : Suivi historique des baux DHCP. Historique des connexions de port En conjuguant la solution NetMRI d'infoblox à la base de données IPAM, les administrateurs peuvent savoir sur quel port de commutation un équipement s'est connecté au cours d'une période donnée. Cette fonctionnalité s'avère très utile lors des enquêtes liées aux incidents de sécurité. Génération de rapports sur les tendances DNS et IPAM pour le diagnostic précoce des problèmes Ces deux rapports sont très utiles pour identifier au plus tôt d'éventuels problèmes réseau et en limiter ainsi les conséquences. Dans la figure ci-dessous illustrant l'activité du protocole DHCP, il est possible d'observer des creux entre les pics d'activité DHCP. Ce type de comportement peut survenir lorsqu'un réseau connaît des interruptions régulières, en cas par exemple de redémarrage incessant d'un routeur sans fil, suite à un problème. Figure 12 : Suivi du trafic DHCP. 12

14 Le rapport des requêtes DNS vous aide à déceler une activité inhabituelle, comme une attaque DNS sur le réseau. Figure 13 : Suivi des tendances des réponses aux requêtes du DNS. Génération de rapports d'audit administrateur En cas de délégation des tâches administratives, il est essentiel de pouvoir suivre tous les changements apportés par les administrateurs et de créer les rapports correspondants. Tous les changements apportés par les administrateurs sont consignés en détail dans un journal d'audit central, ce qui permet d'effectuer toutes sortes de recherches et d'exporter les données. Les super-utilisateurs peuvent lancer des rapports sur le journal d'audit pour identifier le ou les auteurs des modifications à un objet donné et la date du changement en question, ou pour fournir à chaque administrateur la liste de toutes les modifications effectuées avec les dates, les heures et les informations détaillées correspondantes. Ces informations sont particulièrement utiles dans le cas des enquêtes de conformité. Génération de rapports statistiques IPAM et d'alertes de seuil DHCP L'application de visualisation des statistiques IPAM permet aux administrateurs d'allouer des plages d'adresses IP plus efficacement en affichant le nombre d'adresses IP statiques et dynamiques utilisées, ainsi que le pourcentage d'utilisation, pour chaque réseau affecté à un boîtier Infoblox. En cas de dépassement des seuils DHCP, des alertes peuvent être émises via s et interruptions SNMP afin que les administrateurs puissent prendre des mesures préventives (réallocation des réseaux, par exemple). Les seuils inférieurs jouent également un rôle important dans la détection d'anomalies sur le réseau. Par exemple, si un réseau composé intégralement de téléphones IP renvoie soudain un seuil DHCP de type «Low water», cela indique que les baux de certains téléphones n'ont pas été renouvelés et qu'un problème est survenu avec les téléphones ou sur le réseau de téléphonie IP. Figure 14 : Suivi et surveillance de l'utilisation du pool DHCP. 13 LIVRE BLANC Gamme de solutions de gestion des adresses IP Infoblox

15 Fonctionnalités supplémentaires pour faciliter l'administration et l'automatisation Adresse IP disponible suivante La fonctionnalité Adresse IP disponible suivante permet de générer la prochaine adresse IP non utilisée sur un réseau donné. Cette fonctionnalité facilite l'affectation d'adresses IP fixes à des équipements réseau comme les imprimantes, les caméras de sécurité, etc. Elle allège les tâches de gestion en permettant de rechercher une adresse IP non utilisée et en l'affectant à un équipement. De plus, le risque de conflit ultérieur avec un autre équipement est réduit, le système IPAM ne permettant pas d'attribuer une même adresse IP à un autre équipement. Vérification de la cohérence des données Le logiciel Infoblox effectue automatiquement plusieurs niveaux de vérification pour assurer la cohérence des données. Avec un «objet Host», l'administrateur peut synchroniser des enregistrements de zones DNS «forward» et «reverse» afin de maintenir la cohérence des données. Infoblox dispose également d'un outil flexible de vérification des noms d'hôte qui permet aux administrateurs de développer des modèles personnalisés pour les noms d'hôte ou de choisir parmi trois modèles par défaut. Le modèle est ensuite appliqué à une zone afin que les exigences puissent être adaptées à différentes zones. Le logiciel vérifie aussi le format des adresses IP ou de tout autre champ structuré. Le système empêche notamment la saisie de données non valides. Groupes d'enregistrements partagés Les groupes d'enregistrements partagés (GEP) permettent aux administrateurs de créer des groupes d'enregistrements DNS, puis de les associer à différentes vues et zones. Lorsqu'un enregistrement partagé est modifié, il est mis à jour de manière dynamique dans toutes les vues et zones associées. Une icône unique permet d'identifier les enregistrements partagés dans la vue du groupe correspondant et dans la vue de la zone DNS ordinaire. Une icône unique permet également d'identifier les zones comportant des enregistrements partagés. La fonctionnalité Groupes d'enregistrements partagés simplifie et accélère la gestion des enregistrements de ressources. Modèles de groupes du serveur de noms La fonctionnalité Modèles de groupes du serveur de noms simplifie la configuration initiale et la gestion continue du cycle de vie d un GRID. Par exemple, lorsque vous ajoutez une nouvelle zone DNS, celle-ci peut être créée, mappée à plusieurs boîtiers (comme les serveurs de noms), configurée avec des paramètres de zone spécifiques, et même importée depuis un serveur DNS existant, sans avoir à modifier les boîtiers individuels. Modèles réseau L'utilisation de modèles pour les réseaux permet aux entreprises d'automatiser et de normaliser la création de configurations DHCP au sein de leurs réseaux. Par exemple, si une entreprise souhaite utiliser une configuration identique pour chaque nouvelle agence ou magasin, elle peut élaborer un modèle comprenant des adresses fixes, des plages DHCP, des plages d'exclusion, des options DHCP, et tout ce qui peut être configuré pour le DHCP. Lors de la création d'un réseau, l'administrateur peut choisir un modèle ; toutes les informations relatives au réseau seront alors préremplies en fonction du modèle choisi. Les modèles réseau peuvent englober un nombre indifférent de modèles de plage DHCP et d'adresse DHCP fixe. 14

16 Modèles de plages et d'adresses fixes Les modèles de plages et d'adresses fixes permettent également de simplifier la gestion DHCP. Les utilisateurs ont la possibilité de créer des plages DHCP et des adresses fixes à partir de modèles prédéfinis. Ceci permet une utilisation plus homogène des plages d'adresses IP au sein de l'entreprise et facilite la résolution des problèmes relatifs au réseau. Il est par exemple possible de définir un modèle d'adresse fixe standard pour les imprimantes comportant des options personnalisées et des durées de bail DHCP. Il est également possible de définir un modèle de plage DHCP pour les téléphones utilisant la VoIP avec des options DHCP personnalisées adéquates. Affectation de propriété à la volée Avec la technologie Infoblox Grid, les administrateurs peuvent définir un boîtier du GRID comme entité principale ou secondaire pour une zone DNS ou désigner le propriétaire d'une plage et d'un réseau DHCP. Toutes les données sont répliquées automatiquement sur les boîtiers desservant les données. Synthèse Les fonctionnalités IPAM sont devenues incontournables sur les réseaux d'entreprise modernes, en particulier au vu de la complexité croissante des réseaux actuels, de la prolifération des équipements, de l'extension de la taille d'adressage dans l'espace IPv6, de la rapidité de mise en service de l'infrastructure virtuelle, etc. Toutefois, en raison du coût et de la complexité des logiciels IPAM classiques, de nombreuses entreprises n'ont pas pu déployer de telles solutions. Infoblox IPAM offre une solution globale, conviviale et automatisée bâtie sur les bases solides du système d'exploitation Infoblox NIOS. Avec la gamme de solutions IPAM d'infoblox, les entreprises sont à même de réduire leurs coûts d'exploitation réseau, d'améliorer la sécurité du réseau et d'accroître la disponibilité des services, tout en se concentrant sur des projets plus stratégiques visant à développer leur activité. Annexe A Principaux avantages technologiques offerts par Infoblox Infoblox IPAM s'appuie sur le système d'exploitation NIOS. Le système d'exploitation NIOS, utilisant la technologie Grid, procure les principaux avantages suivants par rapport aux autres solutions IPAM disponibles dans le commerce. Intégration aux données DNS et DHCP via la base de données intégrée Infoblox gère les données IPAM et les configurations serveur DNS et DHCP au moyen d'une base de données distribuée en temps réel. Les serveurs utilisant les protocoles DNS et DHCP ont été perfectionnés pour accéder directement à la base de données en lecture et en écriture afin de garantir la précision et la distribution de toutes les données en temps réel. La base de données Infoblox bloxsdb stocke l'adresse IP et les données DNS dans une structure appelée «objet Host» qui modélise les équipements tels qu'ils existeraient sur un réseau. Les autres systèmes traitent l'adresse IP et les données DHCP, d'une part, et les données DNS, d'autre part, comme deux entités distinctes. Dans la plupart des cas, un équipement IP possède un nom d'hôte, une adresse IP et une adresse MAC. Il peut également avoir des noms d'alias pour faciliter l'appellation. Pour identifier les équipement par leur nom plutôt que par leur adresse IP (ou pour identifier le nom d'un équipement par son adresse IP), des enregistrements «forward» DNS (A) et «reverse» DNS (PTR) sont configurés sur les serveurs DNS. En outre, les adresses DHCP fixes associées à un équipement spécifique sont configurées pour toujours recevoir la même adresse IP basée sur l'adresse MAC de l équipement. Toutes ces informations se rapportant à un même équipement, il est recommandé de ne pas utiliser les informations définissant 15 LIVRE BLANC Gamme de solutions de gestion des adresses IP Infoblox

17 une adresse IP dans plusieurs enregistrements. Il y aurait un risque d'erreur si les informations stockées dans un enregistrement donné étaient modifiées sans que les données correspondantes, stockées dans d'autres enregistrements, le soient aussi. Ceci peut se produire lorsque les mises à jour DNS dynamiques par des clients du réseau sont autorisées. L'objet Infoblox Host regroupe toutes les informations relatives à un même équipement dans un enregistrement unique afin que tous les éléments liés à l'objet en question restent synchronisés. La base de données Infoblox est une représentation fidèle de chaque équipement hôte. Plutôt que de conserver des configurations distinctes dans lesquelles les informations sont dupliquées en classifications DNS, DHCP et IPAM, chaque entrée est ajoutée une seule fois. Cette méthode permet de générer et de conserver automatiquement dans le système des enregistrements dérivés de type A, CNAME ou PTR. Lorsqu'une requête provient du DNS ou du DHCP, la réponse de la base de données au sujet de l'objet est construite à partir des informations du modèle Host, évitant ainsi tout risque d'incohérence dû à des instances de données non synchronisées. Transparence des mises à niveau logicielles Les mises à niveau sont souvent le point faible de tous les systèmes informatiques étendus. La mise à niveau de certains systèmes IPAM est une opération complexe pouvant impliquer la mise à niveau de l'application IPAM, de la base de données, du système d'exploitation du serveur, de l'agent distant et du logiciel de serveur DNS/ DHCP. Il est impératif de s'assurer de la compatibilité de chaque version spécifique de chacun des composants. La mise à niveau exige également que l'entreprise bénéficie d'un accès à tous les systèmes, avec les autorisations nécessaires pour effectuer la mise à niveau. Ceci n'est pas toujours une mince affaire si l'entreprise possède des dizaines, voire des centaines, de serveurs. En fait, la complexité du processus de mise à niveau est telle que certains utilisateurs préfèrent conserver la même version d'un logiciel pendant des années. L'absence de mise à niveau du système IPAM et des équipements ou services réseau clés associés peut donner lieu à des problèmes de sécurité. Une nouvelle version du logiciel peut être diffusée à tous les boîtiers Infoblox du Grid. L'opération s'effectue en deux étapes : distribution du code, puis mises à niveau. Il est également possible de revenir à des versions précédentes du matériel et de sauvegarder et restaurer de manière centralisée l'ensemble des données et des configurations d'un Grid Infoblox. Fiabilité des procédures de sauvegarde et de restauration des données, et de la reprise après sinistre Les données IPAM des Grids Infoblox sont en tout point identiques à celles utilisées sur le réseau à un moment donné. En outre, les équipements de sauvegarde des Grids Infoblox, appelés «Master Candidates», contiennent toujours une réplique exacte des données qui font autorité sur le Grid Master. Pour basculer vers un site de reprise après sinistre, il convient simplement de «promouvoir» un remplaçant comme Grid Master. Contrairement aux systèmes classiques, les boîtiers membres sont automatiquement redirigés vers le nouveau master, sans aucune intervention manuelle côté client. Le processus s'effectue en quelques secondes seulement, la synchronisation est quasi immédiate et les serveurs distants ne connaissent aucune interruption de services. Cette approche unique et sans interruption, combinant sauvegarde et restauration des données en temps réel et basculement transparent, fait d'infoblox le système de récupération le plus rapide du marché. En local, les boîtiers Infoblox peuvent être configurés sous forme de paires à haute disponibilité afin de garantir la continuité de services même en cas de défaillance d'un boîtier. 16

18 SIÈGE SOCIAL : 3111 Coronado Drive Santa Clara California USA SIÈGE FRANCE : 168 avenue charles de Gaulle Neuilly sur Seine France emea-seur@infoblox.com (sans frais pour les États-Unis et le Canada) info@infoblox.com Infoblox Inc. Tous droits réservés. infoblox-whitepaper-ip-address-management-mai2013