AppDirector อุปกรณ์ Load Balance แนวหน้าอีกตัวของวงการ

เอ่ยถึงอุปกณณ์ Load Balance แล้ว ผมเชื่อว่าหลายๆท่านที่ทำงานในระดับ Corporate คงจะนึกไปถึง F5 เป็นอันดับแรก เพราะยี่ห้อนี้ทำตลาดมานาน และใน Gartner Quadrant ก็อยู่ในตำแหน่งที่เรียกว่าสูงปรี๊ด นำชาวบ้านเป็นช่วงตัว

แต่ในวันนี้ผมจะขอแนะนำให้รู้จักกับ Radware AppDirector ซึ่งเป็นอุปกรณ์ประเภท Load Balance อีกตัวหนึ่ง ซึ่งแม้ว่าจะตามทาง F5 อยู่ แต่เมื่อดูในหลายๆส่วนแล้ว ตัว AppDirector เองก็สามารถทำงานออกมาให้ได้ผลลัพธ์ตามที่ต้องการได้เหมือนกันกับตัวเอ้แห่งวงการ

ในการ Manage อุปกรณ์ เราสามารถทำได้ผ่าน Web Base, CLI เหมือนอุปกรณ์ทั่วๆไป แต่ที่ถือเป็นจุดเด่นของอุปกรณ์จาก Radware คือ Insight ซึ่งเป็นซอฟท์แวร์ Manage จากทาง Radware เอง โดยเราสามารถ Manage อุปกรณ์ได้พร้อมกันทีละหลายๆตัวผ่านทาง Insight

การทำ Health Check ต่างๆ AppDirector เองก็สามารถทำได้ดี แม้ในกรณี Logic ยากๆ เช่นมี 64 Condition เราก็ยังสามารถใช้ Health Check ของ AppDirector เซตขึ้นมาได้ ในส่วนของ Method ก็มีหลากหลาย และสามารถเพิ่ม Method ใหม่ๆได้เอง เช่น กาารตรวจสอบพอร์ตเฉพาะของซอฟท์แวร์ในองค์กร

การ Backup Configuration ใน AppDirector ทำได้ค่อนข้างง่าย และตรงไปตรงมา ไฟล์ Backup ที่ได้จะเป็น Text File ซึ่งเป็น Command ที่สามารถ Copy and Paste ลงไปได้จาก CLI เลย (จุดนี้จะคล้ายกับ Juniper Firewall ที่ Backup ได้ Text File เช่นเดียวกัน)

ในการอัปเกรด Software ของอุปกรณ์ก็ทำมาได้ง่ายเช่นเดียวกัน สามารถจัดการผ่าน Web Base ได้เลย หรือจะทำผ่าน CLI ก็ได้ นอกจากนี้ยังมี Software Repository ให้เราเลือก Software Version ที่จะใช้ได้อีก

การตั้ง VIP สามารถตั้งได้โดยเลือกตามพอร์ตที่ต้องการ หรือจะใช้แบบ Any เลยก็ทำได้ (อารมณ์ประมาณ VIP, MIP ใน Juniper)

การ Redirection สามารถทำได้หลายวิธี เช่น DNS Redirection

สำหรับการ Support อันถือเป็นหัวใจอีกอย่างของผู้ใช้ระดับ Corporate ทาง Radware ก็ทำได้ดี ทั้งจากทางบุคคลากรเอง หรือการ Support จากหน้าเว็บผู้ผลิต มีการอัปเดต Hot Fix ต่างๆสม่ำเสมอ การทำ Document จัดว่าทำได้ดี และมีการปรับปรุงบ่อยพอสมควร

จากประสบการณ์ที่เคยทำมาทั้ง F5 และ AppDirector คงต้องออกตัวเลยว่าไม่ได้เชียร์ใครเป็นพิเศษ หากจะวัดกันจริงๆ คงต้องยอมรับว่าการทำงานโดยรวม F5 ค่อนข้างจะทำได้หลากหลายมากกว่า ซึ่งก็อาจจะต้องแลกมาด้วยราคาทีสูงกว่า สำหรับ AppDirector แม้จะไม่ได้มี Feature หลากหลายเท่า F5 แต่ในด้านของการใช้งานเฉพาะด้านบางอย่างแล้ว ตัว AppDirector ก็ทำได้ดีเช่นเดียวกันครับ

Websense อีกหนึ่ง Web Filtering คุณภาพ

วันนี้ขอแนะนำซอฟท์แวร์ประเภท Web Filtering ซักเล็กน้อย

เนื่องจากบริษัทนี้ได้ก้าวหน้าจนซื้อ SurfControl ซึ่งเป็น Web Filtering Engine ของ Juniper Netscreen Firewall ที่จัดว่าเป็นอุปกรณ์ชิ้นโปรดอีกอันหนึ่งของผมไปซะแล้ว (เดือดร้อนต้องไปอัปเกรด Netscreen ให้ชาวบ้านอีก)

Websense เป็นซอฟท์แวร์ประเภท Web Filtering ที่จัดได้ว่าเป็นกลุ่มผู้นำในปัจจุบัน (อ้างอิงจาก Gartner Quadrant) เรียกว่าคู่คี่กับทาง BlueCoat ทีเดียว

จุดดีของ Websense นั้นมีหลายอย่างทีเดียว ขอไล่เรียงตามความประทับใจนะครับ

1. มี Policy Server ตั้งแยกได้ ทำให้ง่ายต่อการ Manage และหากมันล่ม ผู้ใช้ก็ยังทำงานได้อยู่ เพียงแต่ขะไม่โดน Filter เท่านั้น ตรงจุดนี้จะออกแบบมาคล้ายกับ TippingPoint IPS ที่ไปปุ๊บปล่อยปั๊บ
2. User Interface ในการคอนฟิกเข้าใจได้ง่ายมาก สามารถีโมทเข้ามาจัดการได้ผ่านทาง Web Browser ธรรมด๊า ธรรมดา
3. สามารถ Integrate เข้ากับชาวบ้านได้มากมาย แต่ที่ทำบ่อยๆเป็น ISA เลยเข้าใจว่ามันทำมาคู่กับ ISA ซะงั้น
4. Database ท่านใหญ่พอสมควร เลยบล๊อคได้เยอะ แถมซอยย่อยเป็นหลาย Category ให้ ก็นับว่าสะดวกดี (แต่รู้สึกฐานข้อมูลเว็บประหลาดๆในไทยจะอัปเดตไม่เท่า BlueCoat นะ)

หลังจากจุดดีแล้ว ก็ขอแนะนำจุดที่ฮาซะหน่อย

1. เราสามารถ Manage ผ่าน Web Browser ธรรมดาได้ก็จริง แต่หากผิดเวอร์ชันที่มันซัพพอร์ตไปซักนิด กดตั้งอะไรจะ Error ตลอดศก เช่น มันแนะนำให้เป็น Firefox 3.0 พอเอา 3.5 ไปเล่นกับมัน เอ๋อสนิท
2. อย่าได้เปลี่ยนไอพี Policy Server ตามอำเภอใจ เพราะเปลี่ยนปุ๊บ เดี้ยวปั๊บ เข้า Manage ไม่ได้ ต้องแก้ร่วมๆสิบจุดกว่ามันจะมา และหากแก้ไม่ครบ งานนี้มี Error หนักอีกตะหาก
3. คิดม่าออก ลองเล่นดู หากพลาดมาจะรู้ว่างานเข้าเป็นไง

การทำ Static NAT บน Juniper

วันนี้มาอัปบล๊อคกันแบบมีสาระหน่อยครับ

.

การทำ Static NAT ถือเป็นเรื่องจำเป็นมากในกรณีที่เราต้องการให้ผู้ใช้ภายนอก

เข้ามาใช้งาน Server ที่อยู่ใน DMZ หรือ Trust Zone

การทำ Static NAT ใน Juniper เมื่อเทียบกับ Checkpoint อาจจะดูยุ่งยากกว่าเล็กน้อยครับ

เพราะใน Checkpoint คลิกที่ Host Object แล้วใส่ NAT IP ไปก็จบแล้ว

แต่ใน Juniper จะต้องไปเซต Interface ก่อน แล้วมาทำ Policy ต่ออีก

และหากเพิ่งเริ่มทำอาจจะงงๆได้เพราะมันจะไม่ได้เขียนว่า NAT ด้วยล่ะเอ้อ

.

Static NAT ใน Juniper จะเรียกว่า MIP หรือ Mapped IP Addresses

การทำงานจะเป็นดังรูปครับ

Juniper MIP (Static NAT)

ว่าแล้วก็ส่งต่อ Command ไปครับ

set interface ethernet1 zone trust
set interface ethernet1 ip 10.1.1.1/24
set interface ethernet1 nat
set interface ethernet2 zone untrust
set interface ethernet2 ip 1.1.1.1/24

set interface ethernet2 mip 1.1.1.5 host 10.1.1.5 netmask 255.255.255.255 vrouter trust-vr

อื่นๆเกี่ยวกับ MIP

1. MIP จะเก็บอยู่ใน Global Zone
2. เมื่อทำ MIP เวลา Server จะ Initiate Connection มันจะออกไปเป็น IP ของ MIP เลย ไม่สามารถใช้งาน NAT Policy อื่นๆได้ ดังนั้นในกรณีนี้จะเป็นปัญหาเรื่อง Security ทันที เพราะเท่ากับว่าตัว Server ภายใน DMZ หรือ Trust Zone ไม่ได้ถูกซ่อน IP จริงๆของตัวเองเอาไว้เมื่อติดต่อกับ Untrust Zone ดังนั้นหากกังวลเรื่องนี้คงจะต้องใช้วิธี NAT แบบอื่นแทน เช่น VIP ครับ

สำหรับวันนี้ขอตัวก่อนนะครับ วันหลังมีโอกาสจะแวะเอา Tips เล็กๆน้อยๆมาฝากอีกครับ

ประเภทของ Firewall ในปัจจุบัน

สวัสดีครับ วันนี้มาแนววิชาการซักนิด

วันนี้จะขอเล่าเรื่อง Firewall สักเล็กน้อยครับ

อยากจะมาแบ่ง Firewall ออกเป็นประเภทตามลักษณะการติดตั้งสักเล็กน้อย

เพราะหากแบ่งตามลักษณะการทำงาน Firewall ในปัจจุบันคงได้อยู่ประเภทเดียวกันเกือบหมด

.

หากแบ่งตามที่ผมว่า อาจจะแบ่งออกได้เป็น 2 ประเภทใหญ่ๆคือ

1. Software Firewall ประเภทนี้ก็ตรงตัวเลยคือเป็น Firewall ที่เป็นซอฟท์แวร์ เวลาใช้งานก็ติดตั้งบนเครื่อง Server ทั่วไปได้เลย อาจจะเป็น PC ธรรมดาๆก็ได้ ยกตัวอย่างเช่น ISA Server, Checkpoint, IPTABLES
2. Appliance Firewall ประเภทนี้ผู้ผลิตจะติดตั้ง Firewall ลงมาบน Hardware ของตัวเองเลย ไม่สามารถติดตั้งบนเครื่องธรรมดาทั่วไปได้ ยกตัวอย่างเช่น Juniper, Checkpoint (เจ้านี้ทำมาหลายแบบครับ), Fortigate, Stonegate

.

มาว่ากันเรื่องข้อดีของ Software Firewall กันก่อนเลยครับ

1. สามารถใช้ฮาร์ดแวร์อะไรก็ได้มาติดตั้ง ขอแค่ให้มีแรงรันมันได้เป็นพอ
2. บางเจ้าแจกให้ใช้กันฟรี
3. ราคาของอุปกรณ์ไม่แพงมากเหมือน Appliance
4. หากมีประสบการณ์ การ Tune Up จะเล่นได้มากมาย
5. มักจะไม่หยุมหยิมในเรื่องของ License ที่บางเจ้าที่ทำ Appliance ชอบแยก Feature อต่ละอย่างมาขายเป็น License
6. มี Knowledge Base มากมาย

ข้อดีของ Appliance Firewall

1. มีความเสถียรสูง เพราะ OS ที่ใช้ผ่านการ Tuning มาเรียบร้อยแล้ว
2. มีความปลอดภัยสูง เพระา OS ที่ใช้โดน Hardening มาอย่างดี
3. เวลามีปัญหา รีเซตและมักจะรอด
4. การ Support จากคนขายค่อนข้างดีแทบทุกเจ้า เนื่องจากอุปกรณ์ราคาแพง และต้องอยู่กันยาวนาน
5. เวลาคอนฟิกได้จะดูหล่อมาก เนื่องจากของประเภทนี้มี Knowledge อยู่ในวงจำกัด แต่หากไม่ได้ เตรียมขี้เหร่ออกจากไซต์

เดี๋ยววันหน้าจะมาต่อให้ฟังอีกทีนะครับ วันนี้มีงานด่วน ขอลาไป่อน สวัสดีครับ

Windows มี Bug เยอะจริงหรือ

แต่ไหนแต่ไรมาผมค่อนข้างจะเชื่อมาโดยตลอดว่า Windows เป็นซอฟท์แวร์ที่ Bug เยอะที่สุด

เพื่อนๆ พี่ๆน้องๆของผมก็คิดเช่นนั้นเหมือนกัน

.

ครั้งหนึ่งผมเคยอ่านจากเว็บที่รวบรวมข้อมูล Vulnerability เพื่อเปรียบเทียบ Proxy Server

คู่เปรียบเทียบคือ BlueCoat และ ISA

ผลคือ ISA มี Vulnerability หรือช่องโหว่ในการจู่โจมมากกว่า

จากข้อมูลนี้ยิ่งตอกย้ำความเชื่อของผมขึ้นไปอีกว่า Windows ซึ่งผลิตจาก Microsoft เช่นเดียวกับ ISA น่าจะเป็นซอฟท์แวร์ที่มี Bug มากเช่นเดียวกัน

.

.

แต่ในช่วงเวลาไม่นานที่ผ่านมา ผมได้พบกับ Bug ที่ไม่น่าเชื่อกับ Firewall ระดับ Top ของ Gartner Quadrant

ทั้งสองตัวเป็น Bug ในระดับของการใช้งาน ประมาณว่าเซตค่าทั้งในหน้า User Interface และ CLI แล้ว แต่ใช้ไม่ได้ตามที่เซตไว้ (ซึ่งใช้ได้ในเวลาต่อมาเมื่อติดตั้ง Hotfix แล้ว โดยไม่มีการปรับ Configuration ใดๆเพิ่มเติม)

ผลลัพธ์ที่เกิดขึ้นค่อนข้างแย่เพราะทำให้การทำงานที่เป็นส่วนหลักๆใช้ไม่ได้

และกว่าจะออก Hotfix ก็ผ่านมาเป็นเดือนๆ

.

เมื่อนำมาเทียบกับฝั่ง Microsoft ซึ่งมีทั้ง Bug และ Vulnerability อยู่เสมอ

แต่จากประสบการณ์ของผมเอง ผมไม่เคยเจอ Bug ในประเภทเซตแล้วทำไม่ได้มาก่อน

ส่วน Vulnerability มีกันอยู่แล้วในซอฟท์แวร์ทุกตัว คนใช้มากก็มีมาก

แต่ทาง Microsoft เท่าที่ผมพบ จะมี Response กับสิ่งเหล่านี้ค่อนข้างเร็ว

.

จากเหตุการณ์นี้ผมเลยเข้าใจเลยว่า

จริงๆแล้ว Bug ของ Windows ก็ไม่ได้เลวร้ายอะไรเลยครับ…

รับสอน Windows Server, Active Directory, Exchange, ISA และอุปกรณ์ Network มากมาย

วันนี้ขอนอกเรื่องจากเรื่องเล่ามาโฆษณานิดหนึ่งนะครับ

รับสอนของต่างๆดังนี้นะครับ

Windows Server 2008 (Active Directory)

Exchange Server 2007

ISA Server 2006

และอื่นๆอีกมากมาย

รายละเอียดตามนี้เลยครับ

http://www.izitcer.com/?page_id=29

.

.

สอนโดย Engineer (SI – System Integrator) ที่ยังทำงานทั้งด้าน Design และ Configuration ครับ ^^

สนใจติดต่อได้ตามรายละเอียดด้านบนครับ

ห่างหายไปนาน ยังสบายดีไม่ได้ไปไหนครับ

สวัสดีผู้อ่านทุกท่านที่ได้แวะเข้ามาครับ (จะมีซักกี่คนล่ะนี่ T.T)

หลังจากที่ได้หยุดยาวช่วงปีใหม่ ก็ต้องมา Implement งาน Global Load Balance ต่อให้จบ

ถือเป็นงานยาวแบบมาราธอนเลย

เพราะทำไปทำมาผมต้องเข้าไปเกี่ยวข้องกับระบบเกือบจะทุกอย่าง

ทั้ง Firewall, Switch, Router, รวมทั้ง Infrastructure อื่นๆที่เกี่ยวข้องอีก

เรียกได้ว่าเหนื่อยมากๆเลย แต่ก็สนุกมาก และดีใจที่ได้มีโอกาสทำครับ

.

.

หลังจากนี้ไปจะแวะเข้ามาอัปบล็อคให้บ่อยขึ้นนะครับ

ขอให้ผู้อ่านทุกท่านมีสุขภาพแข็งแรง มีความสุขกันตลอดปีครับ

.

ขอบคุณที่แวะมากันนะครับ

สอบ Certificate ตอน MCITP (Microsoft Certified IT Professional)

มาพบกันอีกครั้งนะครับกับเรื่องของ Certificate วันนี้เราจะมาดู MCITP กัน

MCITP หรือ Microsoft Certified IT Professional เป็น Certificate รุ่นใหม่จากทาง Microsoft เช่นเดียวกับ MCTS ครับ

แต่ในส่วนของ MCITP จะมีการสอบมากกว่าหนึ่งวิชา ส่วนใหญ่แล้วจะเป็นวิชาที่เป็น Product เดียวกันหมด ยกเว้นบางอย่างเช่น MCITP: Enterprise Administrator ที่ต้องสอบทั้ง Windows Server 2008 และ Windows Client (Windows Vista หรือ Windows 7 ก็ได้ครับ)

สำหรับ MCITP หากเทียบกับของเดิมอย่าง MCSE หรือ MCSA คงจะเทียบกันลำบากหน่อย

เพราะจุดประสงค์หรือแนวคิดในการสอบของ Certificate สองเจเนอเรชันนี้ต่างกันพอสมควร MCSE และ MCSA จะมีการบังคับสอบทั้ง Server และ Client รวมทั้งวิชาเฉพาะอย่าง ISA หรือ Exchange ด้วยจึงจะได้มา

แต่สำหรับ MCITP เราสามารถสอบเฉพาะ Product สายที่เราถนัดเท่านั้นก็ได้ เช่น

MCITP: Server Administrator สำหรับคนทำงานด้าน Windows Server 2008

MCITP: Enterprise Messaging Administrator สำหรับคนทำงานด้าน Exchange Server 2008

MCITP: Database Administrator 2008 สำหรับคนทำงานด้าน Database Admin บน SQL Server 2008

MCITP: Database Developer 2008 สำหรับคนทำงาน Database Developer หรือ Programmer ที่ทำงานบน SQL Server 2008

หากดูในส่วนนี้จะเห็นว่า Certificate ในเจเนอเรชันนี้จะทำให้ผู้สอบ Certificate สามารถสอบเฉพาะด้านที่ตนถนัดได้ง่ายกว่าเดิมครับ

.

.

สำหรับวันนี้ผมขอลาไปก่อนเท่านี้นะครับ พบกันโอกาสหน้าครับ

เมื่อวาน Network วันนี้ Programming พรุ่งนี้ล่ะ อะไรดี

หลังจากที่เมื่อวานทำ Health Check ของ Global Load Balance ซึ่งซับซ้อนมาก

มี Condition ตอนแรกถึง 2 ยกกำลัง 6 ต่อ 1 ไซต์ หรือ 64 Condition

แต่พอนำความรู้ด้าน Network + Math + Anlysis เข้ามาช่วย เลยเหลืออยู่ที่ 2 ยกกำลัง 3 หรือ 8 Condition เท่านั้น

นับว่าลดภาระไปได้เยอะเลย และสุดท้าย Global Load Balance ก็ทำงานได้ตามที่คิดซะที (แต่ยังทดสอบไม่ครบ)

อย่างไรก็ตาม ต้องถือว่าวางใจได้ระดับหนึ่งแล้ว

.

.

วันนี้มีโอกาสได้ไปเรียนรู้เพิ่มเติมเรื่อง Database Intregation

ภาษาที่ใช้จะออกแนวๆ VB ซะมาก

ในอดีตผมเคยเขียนโปรแกรมมาก่อน (Programmer น่ะแหละพี่น้อง)

แต่สุดท้ายมาเอาดีด้าน Network เป็น System Administrator แล้วมาเป็น System Engineer ไปในที่สุด

วันนี้ด้วยความจำเป็นบางอย่าง ผมต้องกลับมาเรียนรู้ Programming อีกครั้ง

ยอมรับเลยครับว่าไม่ง่ายเท่าไหร่ แต่ก็ไม่ยากจนเกินไปนัก

แต่สิ่งที่เป็นอุปสรรคคือ แต่ในแต่ไรมา ผมไม่ได้ยุ่งกับ Database เท่าไหร่เลย

ดังนั้นวันนี้เรื่อง Syntax หรือ Logic ผมผ่านฉลุย

แต่พอมา Database ตายสนิทครับท่าน…

.

.

พรุ่งนี้มีอีกวัน ต้องเข้าใจมันให้ได้เลย ^^

ไชโยๆ วันนี้แววดีออก Health Check จะทำได้แล้ว

หลังจากเมื่อวานเครียดเล็กน้อยถึงมากที่สุด (เอ๊ะ ยังไง)

เนื่องมาจากการทำ Health Check ที่ไม่รู้ว่าทำ Boolean Logic อย่างไรบ้าง

แต่วันนี้ในที่สุดก็ทำได้ซะที ต้องขอขอบคุณทุกท่านที่ช่วยเหลือมากๆเลย

.

.

ตอนนี้ผ่านมาหลายอาทิตย์แล้ว การ Implement ระบบยังไม่ได้เริ่ม

เพราะ Design Phase & Testing Phase กินเวลาไปมาก

แต่ผมกลับชอบนะ เพราะเมื่อใดก็ตามที่เราให้ความสำคัญกับการ Design และ Testing มากๆ

เวลาที่ไปทำที่ไซต์งานจริง สิ่งที่ผมพบคืองานนั้นๆมักจะเสร็จได้เร็วกว่าที่คิดไว้

โดยเฉพาะปัญหาต่างๆจะแก้ได้เกือบหมด เพราะเจอมาเยอะแล้วในตอน Testing

ดังนั้นในอนาคต หากผมได้มีโอกาสทำโปรเจกต์ใดก็แล้วแต่

สิ่งที่ผมอยากได้ที่สุดคงหนีไม่พ้นเวลาในการ Design และ Testing ล่ะครับ…