О Малом и Среднем... Торговые сети

Вдохновленные реакцией читателей на предыдущий пост об ИТ-инфраструктуре HR-агентства мы решили продолжить тему "О Малом и Среднем..." описанием инфраструктуры абстрактной "Торговой сети". По большому счету нет серьезных отличий между ИТ-инфраструктурами сети аптек, сети салонов косметики, сети товаров повседневного спроса, алкогольных салонов или сети магазинов автозапчастей. Не спорим, есть нюансы, но на данном уровне абстракции эти отличия непринципиальны.
Главное понятие, объединяющее все эти разновидности бизнеса - "Сеть", т.е. группа взаимосвязанных территориально удаленных торговых точек, что в свою очередь, с точки зрения ИТ-инфраструктуры декомпозируется в "телекоммуникационную сеть", образующую основу инфраструктуры этой модели бизнеса.
Для простоты, понимая, что Малому и Среднему бизнесу проблематично поддержать другие архитектуры, мы будем рассматривать только централизованную сетевую архитектуру где все каналы связи сводятся в единый центр, так называемый Головной Офис. Также мы немного затронем вариант когда все внешние, по отношению к Головному офису, магазины и офисы соединены еще и между собой, образуя кольцевые маршруты для резервирования каналов связи. Но давайте все по порядку, сначала максимально просто опишем объекты инфраструктуры. В этот раз мы немного изменим группировки объектов инфраструктуры, чтобы точнее соответствовать разным видам "Торговых сетей" и легче было воспринимать материал.

Торговая сеть(ИТ-инфраструктура)

1. Ядро - глобальный объект инфраструктуры объединяющий основные финансовые, учетные и управленческие системы бизнеса состоящий из:
1.1  ERP - часть ядра, обеспечивающая операционный и складской учет, взаимодействие с контрагентами, логистику и т.д.
1.2 Бухгалтерия - часть ядра реализующая финансовый, налоговый учет и процессы финансового управления, кадровый учет и отчетность

1.3 Контроль - часть ядра реализующая функции взаимодействия согласно требованиям регуляторов, фискализацию, эквайринг и т.п. в соответствии с конкретным видом деятельности  

2. Сеть - объект инфраструктуры обеспечивающий обмен информации, в соответствии с бизнес-процессами состоящий из трех глобальных групп:
2.1 Сеть интернет -
2.1.1 Доступ сотрудников к ресурсам сети интернет, В2В взаимодействие, веб-сайт и электронная коммерция
2.1.2 Электронная почта, удаленный доступ для мобильных сотрудников
2.1.3 Взаимодействие с регуляторами и контролирующими органами

2.2 Внутренняя сеть -
2.2.1 Сегментированная сеть обеспечивающая контролируемый доступ сотрудников к системам "Ядра" инфраструктуры
2.2.2 Внутренние ресурсы хранения и обработки информации, корпоративная почта, документооборот
2.2.3 Виртуальные частные сети обеспечивающие контролируемый доступ из Внешней сети к ресурсам Внутренней сети и к системам "Ядра"

2.3 Внешняя сеть -
2.3.1 Внутренние сети магазинов и удаленных офисов, являющиеся внешние по отношению к Головному офису
2.3.2 Технологические сервисы, IP-телефония, видеоконференции используемые для взаимодействия с Головным офисом
2.3.3 Внешние сервисы требующие для своей работы доступ из внутренней сети(веб-сайт, В2В и электронная коммерция)

3. Разное - глобальный объект инфраструктуры объединяющий сопутствующие информационные системы и рабочие места, непосредственно не участвующие в бизнес-процессах, но влияющие на внутренние организационные процессы. Например системы видео-наблюдения, телефонии, контроля доступа, охранные системы, трекеры  автоперевозки и т.п.

Довольно нетипичное описание сети связано с желанием сократить описательную часть и вывести на один уровень абстракции ИТ и информационную безопасность, совместив в описании схему эшелонированной защиты информации, построенной таким образом, чтобы любой маршрут информации из внешней сети магазинов в Головной офис и обратно сопровождался 2-3 переходами с анализом и фильтрацией трафика.

- Что Проект Collax.ME может предложить?

Как и в случае с HR-агентством, в части "Ядра" Проект Collax.ME может помочь в организации технологий непрерывности и бесперебойности, разместив бизнес приложения в виде виртуальных машин в отказоустойчивый, высокодоступный кластер виртуализации Collax V-Cube+. Однако в случае с Торговой сетью экономия на уровне первоначальных затрат может исчисляться пятизначными цифрами в валюте, только за счет сокращения количества физических серверов на которых должны быть размещены приложения "Ядра" и их резервные копии.
 
И вот теперь самое интересное, с нашей точки зрения - "Сеть"!
Для Торговых сетей объект ИТ-инфраструктуры "Сеть" один из самых важных. Не имеет смысла надежность и работоспособность приложений "Ядра" если по какой либо причине территориально удаленный магазин не может соединиться с "Ядром" в Головном офисе. Причин может быть множество, и не все они зависят от владельцев Малого или Среднего бизнеса, например банальное отключение электроэнергии в результате природных явлений, пожаров или наводнений. Но совершенно непростительна, на наш взгляд, ситуация когда в самый пик посещаемости магазина перестают работать кассы из-за отсутствия связи с Головным офисом или, что особенно обидно, кассы перестают принимать безналичную оплату. Мы в курсе про асинхронную передачу и в курсе про off-line режим работы, но так как речь идет об абстрактной модели Торговой сети, то мы вынуждены анализировать только online вариант ибо его статистически больше применяют современные Торговые сети. Конечно же можно построить территориально распределенную сеть на базе оборудования известных брендов со своей AS(автономной системой) и динамическими маршрутами, проложить "серую" оптику и т.д. Да, мы и сами так делали :) Но это бюджет совсем не Малого и Среднего бизнеса. По секрету, только никому не говорите: - даже торговые сети сотовых операторов не всегда строятся по Enterprise стандартам.


Рассмотрим минималистическую модель Торговой сети, когда Головной Офис и Магазин1 находятся в одном помещении, а Магазин2 территориально удален. Если сравнивать предыдущий рисунок, то в глаза сразу бросается оранжевая "Внешняя сеть" перекочевавшая в облако "Внутренней сети". Как мы писали выше, необходимо думать об информационной безопасности и соответственно необходимо обеспечить эшелонирование защиты, что в случае с объединенным Головным офисом и Магазином1 придется реализовать на одной площадке.

Для начала нам нужно понять как обеспечить резервирование каналов интернет, которые будут использованы для связи с Магазином 2. Простая вроде бы задача для крупной компании:

покупай пару хороших, уровня предприятия, брендовых маршрутизаторов поддерживающих Active-Active режим высокодоступности(HA) в Головной офис и еще пару midle-класса для Магазина 2. Только никак не вяжутся затраты на оборудование для маршрутизации доступа в интернет в 30-50 тысяч долларов с понятием Малый и Средний бизнес. Хотя можно воспользоваться UTM(унифицированное управление угрозами) решениями известных брендов, что сократит затраты примерно в половину, но потребует дальнейшего развития инфраструктуры в межсегментной части Внешний и Внутренней сетей, в том числе и на проприетарном программном обеспечении,  что в итоге нивелируется совокупной стоимостью решения. Мы знаем об использовании  UTM известного бренда в Крупной Торговой сети федерального уровня(около 2000 торговых точек) и знаем об использовании бесплатной домашней версии UTM известного бренда в крупной Торговой сети с сотней магазинов - во всех случаях ни о надежности, ни о высокодоступности или низкой стоимости технического сопровождения говорить не приходится.

Возвращаясь к теме резервирования каналов интернет, Проект Collax.ME реализует эту задачу простым и элегантным образом. Благодаря

Collax GmbH разрабатывающей свои решения со свойственной немецкой скрупулезностью, скоростные параметры переключения сетевых интерфейсов в продуктах Collax находятся на уровне аппаратных маршрутизаторов известных брендов. Балансировка и агрегация сетевых интерфейсов, виртуализация сетевых функций - одно из сильных наших мест, а глубокая интеграция с механизмами управления идентификацией, ролевыми схемами управления правами доступа и групповыми сетевыми политиками позволяет построить весь объект "Сеть" ИТ-инфраструктуры только на продуктах Collax. Собственно настройка каналов интернет и всю функциональность объекта "Интернет" реализуется с помощью Collax Security Gateway

Объект инфраструктуры "Внутренняя сеть" реализуется с помощью Collax Business Server, обеспечивая весь необходимый функционал от регистрации и управления учетными данными пользователей до резервного копирования и восстановления. Доступ к объекту "Интернет" из объекта "Внутренняя сеть" происходить на основании групповых политик, сетевых политик с фильтрацией трафика Матричным межсетевым экраном- простым и наглядным решением

визуализации правил фильтрации. "Внешняя сеть" в Головном офисе реализуется на уровне физического сегментирования и опять же терминируется Матричным межсетевым экраном и наследуемыми политиками.  Обратите внимание, что мы создаем систему фильтрации трафика в объекте "Интернет", в объекте "Внутренняя сеть" и в объекте "Внешняя сеть", тем самым реализуя разные уровни, эшелонирование, защиты информации. Закончив в Головном офисе переходим в территориально удаленный Магазин2, где нам также нужно организовать сеть "Интернет" с резервированием каналов связи и построить "Внешнюю сеть" из которой через сеть "Интернет" с помощью частных виртуальных сетей(VPN) нужно настроить доступ к объекту "Внутренняя сеть" Головного офиса. Все это также как в Головном офисе реализуется с помощью Collax Security Gateway и не вызывает сложностей. Частные виртуальные сети настраиваются исходя из описания

объектов и состоят из четырех каналов которые отражают потоки информации в разрезе объектов инфраструктуры. Естественно в каждом канале может быть не одна частная виртуальная сеть. Хорошей практикой считается создание частной виртуальной сети под каждое приложение требующее удаленного доступа, агрегация или логическая группировка в каналы реализуется по мере необходимости. Однако нужно помнить, что частные виртуальные сети используют криптографию и сильно нагружают процессор, снижая общую производительность системы.

По мере роста предприятия, открытия новых Магазинов, складов или офисов и развития коммуникаций в Головном офисе, можно ничего не меняя подключить Магазины между собой в так называемое кольцо, добавив еще один уровень резервирования маршрутов связи.

Подводя итог: Минимальная торговая сеть в нашей реализации состоит из кластера виртуализации  Collax V-Cube+ для приложений "Ядра", из Collax Business Server формирующего пользовательское пространство во внутренней сети и из двух Collax Security Gateway один из которых установлен в Головном офисе, а второй в Магазине2. 

Стоимость? :) 

Нужно отметить, что все решения Collax изначально разработаны для массового удаленного администрирования, значительно снижающее временные и ресурсные затраты на обслуживание, мониторинг и сопровождение. Встроенный Nagios, специально разработанный Spotlight, совершенная система управления конфигурациями, а решение для анализа и отчетности на базе ELK-стека позволяет формировать необходимую управленческую и техническую отчетность.