Поделиться
DistKontrolUSB: практика удаленного администрирования токенов
Большую часть своей жизни я жил и работал в Москве. Занимался тем, что менял здоровье на деньги. Правда, на очень хорошие, поэтому под занавес пятого десятка купил квартиру в тихом приморском городке, далеко от столичной суеты и ежедневной нервотрёпки.
Особой необходимости в работе у меня не было. Дети уже стали самостоятельными настолько, что запросто могут содержать нас с женой. Да и скопить удалось прилично. Однако были три проблемы.
Работа в тихом городке
Во-первых, до пенсии неплохо хоть где-то формально числиться. Во-вторых, без работы скучно. В-третьих, даже небольшие деньги лишними никогда не бывают.
Однако в маленьком приморском городке работы для айтишника не было никакой, а ездить в областной центр мне совсем не хотелось. Так я стал ИП и занялся дистанционным обслуживанием компаний, которым было накладно содержать постоянного админа.
Буквально за пару недель я обзавёлся первыми клиентами — небольшими компаниями-мелкооптовиками. В штате 10-50 работников, главбух на аутсорсе, сервер с «1С» и одним общим для всех каталогом. Почту используют бесплатную, вопросами ИБ заморачиваются по минимуму. В-общем, достаточно типичный для нашей страны мелкий бизнес.
Иногда приходилось выезжать на место, но не часто. Большая часть задач вполне решалась дистанционно либо через TeamViewer, либо по телефону. Меня это устраивало, клиентов тоже.
Токены — головная боль
Например, надо срочно отправить счёт. Сотрудник вводит пароль, входит в «Диадок», загружает документ… Но подписать его не может — его коллега вчера сунул ключ себе в карман, а сегодня не пришёл на работу, поскольку с утра поехал утрясать какие-то вопросы с партнёром. Приходится отгружать товар без оплаты. Это означает, что деньги придут с большой задержкой — как известно, уже оказанная услуга услугой не считается.
Разумеется, меня в этом ни один заказчик не упрекал. Но почти все постоянно намекали, что было бы неплохо как-то раз и навсегда решить проблему с токенами техническими средствами, поскольку административными уже пытались, но безрезультатно.
Всё действительно сложно
Сначала задача показалась мне простой. Технология USB over IP существует достаточно давно — все токены подключены к одному устройству, а сотрудники работают с ними, как с локальными. Ничего не теряется, поскольку не покидает пределов офиса.
Осталось полчасика погуглить, найти решение подешевле и предложить заказчикам. Но ни тут-то было. Поразмыслив, я пришёл к выводу, что такой проект значительно сложнее, чем казался.
Прежде всего я выяснил, сколько токенов используют мои заказчики. Оказалось, от двух до одиннадцати. Стало быть, нужно такое решение одного производителя, чтобы удовлетворить всех, причём с небольшим запасом.
Почему одного производителя? Потому что мудрый Оккам умножения сущностей не приветствовал — от этого одни проблемы. Да и дешевле так выходит, как правило.
Поскольку айтишников на фултайме ни в одной конторе не было, самодельные и софтовые решения исключались. Делать, настраивать и чинить некому.
По масштабированию прекрасно подходят облака. Но цены у них откровенно кусаются. Например, сервис FlexiHub обойдётся заказчику более 10 тыс. рублей в месяц за 5 ключей, не считая стоимости хаба. И это без гарантий совместимости.
Но самое главное — сервисы требуют регулярной своевременной оплаты. У небольшой компании с этим могут быть проблемы. У неё не всегда есть возможность даже зарплаты сотрудникам заплатить вовремя. Задержка в неделю-другую — дело обыкновенное.
В-общем, нужна железка. Точнее, набор устройств с разным количеством портов. Как я писал выше: от двух до одиннадцати с небольшим запасом. Чтобы один раз купил и навсегда твоё.
Если ориентироваться на мировые бренды, то надо брать Digi AnywhereUSB. За 2 USB-порта — больше 20 тыс. рублей, за 14 портов — в районе 150 тыс. рублей. Для небольших компаний это явно дорого.
Конечная остановка — DistKontrolUSB
Перебирая варианты я пришёл к отечественному аппаратно-программному решению DistKontrolUSB. На нём и остановился. Причин этому несколько.
Прежде всего — цена. За концентратор на четыре порта мой мелкий клиент заплатит 26 тыс. рублей с хвостиком, а более крупным придётся выложить около 69 тыс. рублей, но за 16 портов. Дешевле западного аналога в два раза.
Второе достоинство отечественного разработчика — знание российской специфики. Младшая версия концентратора на 4 порта имеет ограниченную функциональность. В ней отсутствует авторизации для подключения к токенам, нет ограничений доступа и управления питанием портов.
Такой подход разумен, поскольку в небольших организациях все ключи по сути являются общими — достаточно одной авторизации для всего. На практике это означает, что даже если реализовать отдельный вход для каждого токена, то получится всего лишь замедление работы сотрудников на время дополнительной аутентификации. Да ещё и возникнет путаница в паролях, что рано или поздно всё равно закончится уменьшением количества пар «логин-пароль» до одной.
Что касается управления питанием портов, то при их небольшом количестве функция лишена смысла. Проще перезагрузить концентратор полностью. Или руками перевоткнуть зависший USB-ключ.
Таким образом, большинство моих клиентов, обходящихся 2-4 ключами, за относительно небольшую сумму получат надёжное устройство для дистанционной работы с токенами. Причём, без заведомо избыточной функциональности, за которую надо платить.
Третье достоинство — удобное удалённое управление концентратором через веб-интерфейс. Это особенно важно для более крупных организаций, которым подойдёт концентратор на 16 портов. Сотрудников там больше и без каких-то элементов ИБ не обойтись.
Допустим, по соображением безопасности требуется ограничить доступ к порту по IP-адресу, а к ключу — по логину и паролю. Через панель управления это делается мгновенно, причём в одном модуле. Надо всего два раза сдвинуть соответствующие «ползунки» и нажать на кнопу «Сохранить». Изменения сразу вступят в силу.
Проблема нахождения концов актуальна не только для очень крупных организаций, но и для моих клиентов. При помощи системного журнала программы управления концентратором DistKontrolUSB решение этой задачи облегчается. В журнале хранится вся информация о подключениях и отключениях, включая логин пользователя и IP-адрес, с которого было осуществлено подключение. Кстати, пару раз пригодилось.
Раз уж дело дошло до практики, то вот ещё один пример. Хоть правило «уходя гасите свет» существует, но выполняется не всегда. Один мой заказчик опасался, что в ночное время какой-нибудь хакер взломает концентратор и «наделает делов».
В настройках DistKontrolUSB было сформировано автоматическое задание, по которому устройство отключается в заданное время. А чтобы директор не волновался и спал спокойно он получает уведомление о выполнении на электронную почту.
Итоги
Проект по оптимизации работы с токенами я начал в январе 2021 г. Из семи предприятий, с которыми я работаю, три уже приобрели и успешно используют концентраторы DistKontrolUSB. В одной организации это запланировано на лето. Думаю, что и оставшиеся три до конца года примут положительное решение.
Тем более, что моя аргументация теперь основана не только на умозрительных аргументах, но и на практике эксплуатации. Поскольку теперь я что-то смыслю в торговле, то могу оперировать цифрами.
Например, дневная задержка в оплате счёта на один миллион стоит от 100 до 1000 рублей в зависимости от договора. С отчётностью ещё хуже — 5% от суммы налога. А это уже несколько тысяч даже для небольшой фирмочки. Причём, только прямого ущерба — о каких-то сорвавшихся сделках я даже не говорю.
Сумму убытков из-за подобных задержек владелец компании знает. Стоимость концентратора DistKontrolUSB — тоже. Срок окупаемости вычисляется без всякой высшей математики.
Насколько я могу судить, первопроходцы уже ушли в плюс. Даже те, кто приобрёл устройство на 16 портов.
Внимательный читатель заметит, что я ничего не написал про стоимость обслуживания. Исправляюсь — оно ничего не стоит. По крайней мере для моих клиентов, поскольку работы у меня не прибавилось.
Впрочем, вру. Мои клиенты уже начали рекомендовать меня своим знакомым. Я думаю, что по уровню заработка я тут потихоньку достигну своего бывшего московского уровня. Жалею, что не уехал из Москвы раньше.
Короткая ссылка
