Rețea de agenții de turism: infrastructură în cloud cu RDS, Zero Trust și SIEM

O rețea de agenții de turism cu cinci filiale — patru în Moldova și una în România — și-a mutat infrastructura de servere în cloud-ul nostru și ne-a încredințat administrarea ei. Turismul este sezonier: vârful de încărcare cade pe perioadele cu cerere mare, când mai mulți manageri lucrează simultan în sistemul de evidență, în mesagerie, pe resursele de fișiere și comunică cu clienții. O cădere de infrastructură în acele momente înseamnă pierderi directe și rezervări compromise.

Înainte de migrare, infrastructura era fragmentată: o parte locală, o parte la furnizori locali, fără un SLA unic, fără o identitate corporativă între filiale și fără o imagine centralizată a securității. Pentru angajații din România și pentru cei care lucrează frecvent la distanță conexiunea era și incomodă, și nesigură.

Sarcina — construirea unui mediu IT corporativ unic în cloud, suport pentru lucrul simultan a celor ~60 de angajați, acces ușor și sigur din birouri și din afara lor, și acoperirea cerințelor de audit și securitate printr-o colectare centralizată a evenimentelor.

Migrarea serverelor în cloud și proiectarea de la zero a unei arhitecturi unice de acces și securitate pentru 5 filiale:

• Hosting cloud al serverelor în infrastructura noastră, cu SLA propriu, backup și monitorizare — fără dependență de hardware-ul din birouri.
• Identitate unică prin Active Directory pentru toți cei ~60 de angajați, politici comune și GPO pentru configurarea sesiunilor.
• Fermă terminală — trei servere RDS în spatele Connection Broker, balansare de încărcare și toleranță la căderea oricăruia dintre noduri.
• Server de fișiere cu drepturi separate pe filiale și departamente, snapshot-uri și backup-uri regulate.
• Server 1C alături de ferma RDS — latență minimă client-bază, suport regulat, teste de restaurare.
• Acces hibrid pentru angajați: din birouri — printr-un canal securizat, la distanță — prin Zero Trust VPN sau prin interfața web cu autentificare în doi pași, fără client VPN.
• SIEM pe toate serverele — colectare centralizată a evenimentelor de securitate, alertare și audit.

Platforma cloud

Toate serverele clientului sunt găzduite în cloud-ul nostru. Asta dă un SLA predictibil, resurse transparente (CPU/RAM/discuri), snapshot-uri și izolare de rețea. Canalele de comunicare între servere și birouri sunt pe fibră, redundante — esențial la vârful sezonier.

Active Directory

S-a desfășurat un domeniu corporativ separat. AD este sursa unică pentru conturi: un singur login dă angajatului acces la sesiunile terminale, la resursele de fișiere, la 1C și la portalul web. Prin GPO se distribuie setările standard ale sesiunilor, politicile de parole, restricțiile pentru lansarea de software extern.

Ferma RDS cu Connection Broker

Trei servere terminale sunt unite într-o singură fermă, în fața ei — RDS Connection Broker. La autentificare, Broker-ul îndreaptă utilizatorul către nodul cel mai puțin încărcat; la căderea oricăruia din cele trei servere, sesiunile se redistribuie pe cele rămase, fără pierderea funcționalității fermei. Capacitatea actuală — circa 60 de utilizatori simultan; scalarea se face prin adăugarea unui nod, fără modificări la client.

Server de fișiere și 1C

Server de fișiere — directoare comune cu drepturi pe filiale și departamente, snapshot-uri regulate și o copie independentă în depozitul nostru centralizat de backup. Serverul 1C este configurat pentru sarcină, operațiile regulate (teste de integritate, reindexare, curățarea tabelelor temporare) rulează după program, copiile de rezervă ale bazei sunt verificate prin restaurare.

Acces din birouri și din afara lor

Angajații se conectează în trei moduri, în funcție de situație:

• Din birouri — direct la fermă printr-un canal securizat dintre birou și cloud.
• Din afara biroului prin Zero Trust VPN — client cu verificarea stării dispozitivului și a contextului conectării; accesul se acordă per-aplicație, fără deschiderea întregii rețele interne.
• Prin interfața web cu 2FA — portal de browser cu autentificare în doi pași. Util pentru conexiuni scurte de pe un dispozitiv străin sau o tabletă, fără instalarea unui client VPN.

SIEM și audit

Controllerii de domeniu, nodurile RDS, serverul de fișiere, serverul 1C și serviciile de acces de margine sunt conectate la un SIEM central. Se colectează evenimente de securitate — autentificări, modificări de grupuri, încercări de acces la fișiere, sesiuni anomale. Pentru evenimente critice este configurată alertarea către tura de gardă. Asta dă o imagine reală, nu „pe hârtie”, a securității și acoperă cerințele de audit pentru operațiunile cu datele personale ale clienților.

Rezultat

• 60 de utilizatori simultan din cinci filiale din Moldova și România lucrează într-o infrastructură unică, sub un singur SLA.
• Vizibilă creștere a vitezei de lucru față de mediul fragmentat anterior: sesiunea terminală cu 1C pe aceeași platformă elimină latențele client-server peste WAN.
• Acces hibrid sigur — birou, lucru la distanță, web cu 2FA — fără a deschide spre exterior mai mult decât este necesar.
• Audit complet prin SIEM pe toate serverele și punctele de intrare, gata pentru verificări și incidente.
• Scalare fără durere: capacitatea fermei crește prin adăugarea unui nod, capacitatea serverelor de fișiere și 1C — prin majorarea resurselor VM, fără reconfigurare la clienți.