רשת קמפוס מודרנית בארגון פיננסי: כך בונים תשתית מאובטחת, חכמה ומותאמת לגידול עתידי בעידן ה-Zero Trust

הקדמה
המעבר לעולמות עבודה היברידיים, שילוב התקני IoT, והעלייה החדה בדרישות רגולציה ואבטחת מידע – כל אלו דורשים מארגונים גישה חדשה לתכנון תשתיות רשת. בפרט, כשמדובר בארגון פיננסי גדול הפועל בפריסה רחבה, דרישות אלה מקבלות משנה תוקף.
במקרה שלפנינו, אירגון פיננסי גדול בישראל פנה לאואזיס בבקשה להקים רשת קמפוס חדשה, שתשרת אלפי עובדים ומכשירים תוך הבטחת ביצועים, יציבות ואבטחה ברמה הגבוהה ביותר. הפרויקט כלל מעבר מגישה מסורתית לרשת פנימית מבודדת – לגישה מודרנית של Zero Trust, עם רשת "אינטרנט קפה" פתוחה, תוך חציצה חכמה בין המשתמש לאפליקציות הארגוניות.

אתגרי הרשת הקיימת

• המיפוי הראשוני שבוצע העלה שורה של בעיות:
• ציוד תקשורת ממספר יצרנים – חוסר אחידות, ריבוי ממשקים וניהול ידני.
• עלויות תחזוקה גבוהות וקושי להרחיב את הרשת בהתאם לצרכים.
• תשתיות Wi-Fi ו-Wired מופרדות, ללא נראות וניהול מרכזי.
• מודל אבטחה ישן שלא תואם את תפיסת Zero Trust.

בעולם שבו כל מכשיר וכל משתמש הוא נקודת קצה פוטנציאלית לאיום, לא ניתן להסתפק בפתרונות חלקיים או במערכות ניהול מפוצלות.

תכנון מחדש – פתרון הוליסטי מבית Arista

כדי לענות על כלל האתגרים, תוכנן פתרון כולל שכלל את כל שכבות הרשת, החל מה-Data Plane ועד ל-NAC ולמערכת הניהול:

תשתית EVPN-VXLAN
המעבר מתשתית L2 קלאסית לרשת מבוססת EVPN-VXLAN אפשר גמישות תפעולית, יציבות וסקיילביליות:

• VXLAN עוטף תעבורת L2 בתוך IP, ומאפשר יצירת רשתות Overlay מבודדות.
• EVPN אחראי על Control Plane של כתובות MAC/IP, עם שיפור ביעילות, פחות flooding ויותר שליטה.
• מנגנוני הפרדה (VNI) תומכים ב-Multi-tenancy מלא.
• ניתוב L3 מובנה בתוך הרשת ללא תלות בראוטר חיצוני.

בהשוואה לרשת L2 Legacy, הפתרון הציע:

• יכולת סקייל משמעותית יותר
• ניהול יעיל יותר של תעבורה
• מניעת Loops ללא שימוש ב-STP
• אבחנה ברורה בין סגמנטים

פתרון Wi-Fi 7 מתקדם

• שימוש בטכנולוגיית Wi-Fi מהדור השביעי – קצב העברה גבוה, זמני תגובה קצרים, ותמיכה בכמות משתמשים גדולה.
• נקודות גישה עם Application Visibility, ניתוח תעבורה ואכיפת מדיניות בזמן אמת.
• שימוש ב-UPSK (Unique Pre-Shared Key) לאבטחה פרטנית לכל משתמש.
• נדידה חכמה בין APs – ללא צורך ב-controller פיזי.

פתרון NAC בענן – Arista AGNI

היסטורית, פרויקטי NAC נחשבו למורכבים ועתירי משאבים. Arista מציגה גישה חדשה:

• פתרון מבוסס ענן, עם אינטגרציה ל-Azure AD, Okta ועוד.
• אימות מבוסס תעודות דיגיטליות – גם למשתמשים וגם למכשירים.
• הקצאת הרשאות לפי תפקידים (RBAC) – בהתאם למדיניות הארגונית.
• ניהול מבוזר של זהויות ונקודות קצה בצורה אחודה.

מערכת ניהול מרכזית – CloudVision as-a-Service
הפלטפורמה העננית של Arista איחדה את כלל שכבות הרשת – Switching, Wi-Fi, NAC:

• ניהול תצורות מבוסס תבניות (Templates) עם CloudVision Studios.
• אוטומציה של תהליכי הקמה, ניטור ותחזוקה.
• קבלת נתוני sFlow בזמן אמת לזיהוי אנומליות ואופטימיזציה של ביצועים.
• ממשק אחד לכל הרכיבים – מפשט את העבודה גם לצוותים עם מיומנות בסיסית.

התאמה לצרכים הארגוניים
הפתרון שסופק תאם לדרישות הייחודיות של הארגון:

• אבטחה משופרת – בקרת גישה הדוקה, Zero Trust, ניטור תעבורת קצה.
• סקיילביליות עתידית – יכולת לשלב סניפים נוספים ומכשירים נוספים במהירות.
• תפעול נוח – ניהול מרוכז, פחות טעויות אנוש, חוויית משתמש עקבית.
• עמידה ברגולציה – כל רכיב ברשת נגיש לניטור, תיעוד ודיווח.

תוצאות והתרשמות מהפרויקט
הפרויקט הוטמע בהצלחה מלאה, תוך עמידה בלוחות זמנים, ללא חריגות תקציב, ובשיתוף פעולה מלא עם צוותי הלקוח.
בין היתר:

• קוצרו זמני טיפול בתקלות
• שופרה זמינות השירותים
• שודרגה חוויית המשתמש
• הוגדלה שליטת צוותי IT
• שופרה אבטחת המידע ברשת באופן משמעותי

מסקנות ולקחים

1. Zero Trust אינו טרנד – אלא סטנדרט חדש לארגונים מודרניים.
2. ניהול אחוד ואוטומציה הם הבסיס להפחתת טעויות תפעול.
3. Wi-Fi ו-NAC אינם רכיבים נפרדים – אלא חלק בלתי נפרד מה-DNA של הרשת.
4. השקעה בתכנון חוסכת משאבים יקרים בשלבי ההטמעה והתחזוקה.

סיכום
פרויקטים מסוג זה מדגימים כיצד תשתית רשת חכמה – בשילוב מומחיות הנדסית וליווי צמוד – יכולה להפוך את הרשת הארגונית ממקור בעיות לגורם מאפשר.
במקרה הזה, השילוב בין טכנולוגיה מתקדמת, תכנון אסטרטגי, ושיתוף פעולה בין כל השותפים (הלקוח, Arista, ואואזיס) הניב תוצאה יוצאת דופן – רשת מוכנה לאתגרי ההווה והעתיד, שמספקת לארגון תשתית צמיחה יציבה ובטוחה.
"זו לא רק רשת מתקדמת – זו תשתית שלמה שמחברת בין אבטחה, ביצועים וניהול חכם. עבורנו זו הייתה הוכחה חיה שכשהטכנולוגיה והאנשים עובדים יחד – אין גבול למה שאפשר להשיג."

איתי לוי,
מהנדס תקשורת ואבטחת מידע, אואזיס טכנולוגיות