Prepojenie IT naprieč viacerými pobočkami

Viac pobočiek sa prepája buď cez site-to-site VPN, ktorá využíva existujúce internetové pripojenie každej pobočky, alebo cez prenajatú linku s garantovanou šírkou pásma. Pre väčšinu malých a stredných firiem postačuje čisto nastavená VPN cez stabilné firemné pripojenia a je lacnejšia. Prenajatá linka sa oplatí, keď medzi pobočkami nepretržite prúdi veľký objem dát alebo keď výpadok spojenia nie je ekonomicky únosný. Rozhoduje to, čo medzi pobočkami skutočne beží, nie ich počet.

VPN alebo prenajatá linka: čo sa hodí pre váš prevádzku?

Site-to-site VPN šifruje spojenie medzi dvoma pobočkami cez bežný internet – každá pobočka potrebuje len stabilnú internetovú linku a firewall, ktorý spoľahlivo vybuduje VPN tunel. Šírka pásma je taká dobrá, aká je podkladová internetová prípojka, a pri výpadku poskytovateľa internetu na jednej pobočke padne aj tunel. Prenajatá linka je naproti tomu vyhradené pripojenie s garantovanou šírkou pásma, nezávislé od toho, čo práve robia iní zákazníci toho istého poskytovateľa. Stojí viac, no poskytuje predvídateľnú latenciu – dôležitú pre aplikácie závislé na rýchlych odozvách, napríklad terminálové relácie na centrálnom ERP serveri alebo telefónia medzi viacerými pobočkami. Na bežnú výmenu dát, e-mail a prístup k centrálnym súborovým úložiskám spravidla postačuje VPN.

• Site-to-site VPN pre väčšinu prípadov: lacné, rýchlo zriadené, postačujúce pre e-mail, prístup k súborom a bežné aplikácie
• Prenajatá linka, keď je trvalo potrebná vysoká a garantovaná šírka pásma, napríklad pri veľkých objemoch dát z výroby
• Latenčne citlivé aplikácie ako telefónia či terminálové relácie najprv otestovať, až potom rozhodnúť o type pripojenia
• Internetové pripojenie na každej pobočke je základom VPN – slabá linka na jednej pobočke spomaľuje celé spojenie

Centrálne alebo lokálne služby: kde by mali bežať servery a softvér?

Druhé zásadné rozhodnutie je, kde ležia samotné služby. Centrálne znamená: server alebo cloudová inštancia na jednej pobočke alebo u hostingového poskytovateľa, ku ktorej pristupujú všetky ostatné pobočky cez spojenie. Lokálne znamená: každá pobočka má vlastné systémy, ktoré fungujú aj bez spojenia s ostatnými pobočkami. Oboje má svoje miesto a v praxi ide väčšinou o kombináciu. Systémy nevyhnutné pre bežnú prevádzku danej pobočky – napríklad riadenie výroby, pokladničný systém v obchode alebo terminál na dochádzku – by mali byť navrhnuté tak, aby prežili krátky výpadok spojenia pobočky, v prípade potreby s lokálnym medziukladaním dát, ktoré sa neskôr zosynchronizujú. Systémy, pri ktorých je krátky výpadok únosný – centrálne ERP, e-mail, súborové úložisko – môžu bez rizika bežať centrálne.

• Prevádzkovo kritické, lokálne procesy (výroba, pokladňa, kontrola prístupu) by mali na danej pobočke prežiť krátky výpadok WAN
• Centrálne systémy ako ERP, e-mail či súborový server môžu závisieť od spojenia pobočky, ak je krátky výpadok únosný
• Zálohy nikdy neuchovávať výlučne na tej istej pobočke ako samotné dáta – druhá pobočka alebo externé úložisko je povinnosťou
• Pri výbere nového softvéru vopred zistiť, či vyžaduje trvalý centrálny prístup, alebo umožňuje offline prevádzku na pobočke

Čo sa stane na pobočke, keď vypadne spojenie s ostatnými?

Táto otázka by mala mať odpoveď pre každú pobočku samostatne, skôr než sa objaví v praxi. Pobočka bez spojenia s centrálou potrebuje lokálne funkčný internet, vlastné lokálne rozlišovanie DNS a – podľa charakteru prevádzky – lokálne uložené dáta pre najdôležitejšie procesy. Tam, kde by bol výpadok obzvlášť bolestivý, sa oplatí redundantné pripojenie: druhá internetová linka od iného poskytovateľa alebo mobilné záložné pripojenie, ktoré automaticky preberie funkciu, ak hlavná linka vypadne. Dôležitejší než samotná technika je nácvik: failover, ktorý nikdy nebol testovaný, v praxi zvyčajne funguje horšie, než sa očakávalo.

Pribúda nová pobočka: čo treba technicky vyriešiť pri akvizícii

Pri prevzatí alebo akvizícii sa vlastná, postupne vybudovaná infraštruktúra stretáva s cudzou – s vlastným adresným priestorom, vlastnými zariadeniami a často vlastnou IT históriou. Najväčšou chybou je jednoducho pripojiť novú pobočku cez VPN k existujúcej sieti bez toho, aby sa vopred preverilo, čo tam skutočne beží. Rozsahy IP adries sa môžu prekrývať, čo vedie ku konfliktom, hneď ako sa obe siete prepoja. Zariadenia a softvér na novej pobočke môžu prinášať staršie, neisté konfigurácie, ktoré si nechcete bez kontroly priniesť do vlastnej siete. Preto na začiatku vždy stojí zoznam skutočného stavu, potom čisté oddelenie sietí s jasne definovanými, kontrolovanými prechodmi – a až keď tieto prechody fungujú, postupná integrácia namiesto jednorazového veľkého zlúčenia.

• Pred pripojením: overiť rozsahy IP adries oboch sietí na možné prekrytia
• Zariadenia a systémy na novej pobočke zaevidovať ešte pred pripojením k existujúcej sieti
• Prvé pripojenie cez kontrolované, obmedzené spojenie namiesto otvoreného plného prístupu
• Integráciu plánovať postupne: najprv e-mail a centrálne systémy, kritické alebo nejasné staršie systémy nakoniec

Ako by malo byť postavené adresovanie naprieč viacerými pobočkami?

Bod, ktorý sa pri prvom prepojení pobočiek často zanedbá, je jednotná schéma adresovania. Ak firma rastie organicky, každá pobočka časom dostane vlastnú sieť, často podľa schémy, ktorá bola práve po ruke – s dôsledkom, že sa rozsahy adries prekrývajú, hneď ako sa majú pobočky prepojiť, alebo že nikto hneď nepovie, ktorý rozsah adries patrí ktorej pobočke a akej funkcii. Jasne štruktúrovaná schéma, z ktorej je pobočka aj funkcia čitateľná priamo z adresy, výrazne uľahčuje neskoršie hľadanie chýb, pravidlá firewallu aj pripájanie ďalších pobočiek. Kto tento krok preskočí pri dvoch pobočkách, zaplatí za to pri tretej či štvrtej dodatočnou prácou, ktorej sa dalo ľahko vyhnúť troškou plánovania vopred.

Ako môžu pobočky pracovať s rovnakými údajmi namiesto vlastných zoznamov?

Keď je sieťové spojenie stabilné, často zostáva iný problém: každá pobočka pracuje s vlastnými zoznamami. Interné objednávky medzi prevádzkami idú e-mailom, zásoby vidno len na mieste a pre mesačný report niekto zbiera čísla z viacerých tabuliek. Vedenie firmy potom nevidí aktuálny stav, ale stav posledného súhrnu.

• Postupy naprieč pobočkami, ako interné objednávky alebo presuny zásob, viesť v jednom spoločnom systéme
• Programy jednotlivých pobočiek prepojiť cez rozhrania namiesto preposielania údajov e-mailom
• Reporty vytvárať zo spoločnej databázy namiesto ručného spájania tabuliek
• Vyhľadávanie s pomocou umelej inteligencie naprieč dokumentmi a údajmi všetkých pobočiek nastaviť až vtedy, keď sú tieto údaje centrálne a usporiadané

Pri viacerých pobočkách vzniká aj otázka, kde investícia do IT prinesie výsledok najskôr. Pobočka so slabou linkou alebo bez otestovaného failoveru má zvyčajne prednosť pred novým softvérom, pretože každé ďalšie zlepšenie stojí na tomto spojení.

Ako NDVDL preberá prepojenie viacerých pobočiek

NDVDL si pred návrhom spojenia pozrie každú pobočku samostatne: linku, firewall, lokálne systémy, rozsahy adries a postupy, ktoré od siete závisia.

1. 01Inventúra na každej pobočke vrátane rozsahov adries, liniek, lokálnych systémov a stavu dokumentácie
2. 02Písomný návrh k typu pripojenia, schéme adries, zabezpečeniu proti výpadku a poradiu realizácie
3. 03Realizácia pobočku po pobočke s otestovaným failoverom pred pripojením ďalšej pobočky
4. 04Priebežná prevádzka a údržba firewallov, VPN tunelov a siete na všetkých pobočkách s jednou stálou kontaktnou osobou a spoločnou dokumentáciou

Sieť tak zostáva prehľadná aj pri tretej či štvrtej pobočke a akvizícia začína overeným plánom, nie otvoreným tunelom do vlastnej siete.