Pokročilá síť Mesh VPN: Kompletní průvodce pro firmy

Informatec Digital » Zdroje » Pokročilá síť Mesh VPN: Kompletní průvodce pro firmy

Když se společnost rozroste a rozšíří do více kanceláří, cloudových serverů a vzdálených pracovníků , bezpečné a rychlé propojení všeho přestává být volitelné a stává se pro podnikání kritickým. Tradiční technologie point-to-point VPN postrádají flexibilitu a odolnost proti chybám, a právě zde přichází na řadu pokročilá mesh VPN.

Tento typ architektury umožňuje každému webu nebo zdroji provozu vytvořit přímé šifrované tunely se všemi ostatními lokalitami , čímž se zabrání úzkým hrdlům v jednom uzlu a nabídne se vysoká dostupnost, vylepšený výkon a bezproblémová integrace s moderními přístupy, jako je nulová důvěra nebo hybridní prostředí (on-premises + cloud). V tomto článku si rozebereme, jak tyto sítě fungují, jejich technické požadavky (IPsec, IKE, BGP, routery a firewally) a jak zapadají do současných mesh Wi-Fi řešení a spravovaných služeb.

Co je to pokročilá síť VPN typu mesh a jak se liší od ostatních modelů?

Pokročilá mesh VPN je topologie, kde každá lokalita vytváří VPN tunely s každou další lokalitou , takže komunikace mezi libovolnými dvěma body nezávisí na dostupnosti třetí strany nebo na tom, zda působí jako zprostředkovatel. Tato konfigurace je také známá jako plná mesh nebo decentralizovaná VPN.

Namísto klasického designu typu hub-and-spoke (všechna místa visí z centrálního uzlu) volí pokročilá síť distribuovanou architekturu , ideální v případech, kdy jsou zdroje rozptýleny na několika místech nebo když jsou požadovány odolné obchodní procesy, které fungují i ​​v případě, že jedno místo má problémy s připojením.

V typickém scénáři každý firewall nebo bezpečnostní zařízení – například Firebox na každém pracovišti – vytváří tunely IPsec k ostatním. Pokud dojde k výpadku centrály, pobočka a distribuční centrum nadále komunikují přímo přes VPN, aniž by musely procházet ústředím.

Tento přístup se velmi dobře hodí ke strategiím sítí s nulovou důvěrou (Zero Trust Network) , kde je zabezpečení navrženo za předpokladu, že jakákoli část sítě může selhat nebo být ohrožena, a kde je prioritou šifrování typu end-to-end, segmentace a odolnost.

Případy užití: od podniku s více pracovišti až po hybridní prostředí s cloudem

Velmi častým případem použití pokročilé mesh VPN je organizace s více lokalitami: například kolokační zařízení (Colo), firemní sídlo (Corp), distribuční centrum (Dist) a malá vzdálená kancelář (RMT). V této souvislosti potřebuje každá lokalita přímý a bezpečný přístup k prostředkům ostatních.

V tomto typu návrhu mohou na jednom z míst existovat unikátní zdroje (například kritický ERP systém v ústředí nebo podnikový souborový server ), takže spolehlivé propojení mezi všemi pracovišti je nezbytné. Čím více vzdálených poboček je přidáno, tím důležitější je, aby systém podporoval přidávání nových uzlů bez nutnosti překonfigurovat vše.

I když je většina zdrojů soustředěna na jednom místě, může dávat smysl klasická centralizovaná architektura . Pokud jsou však data a aplikace distribuovány nebo pokud existují obchodní procesy, které vyžadují přímou komunikaci mezi lokalitami (například neustálá synchronizace mezi logistickými centry), plně integrovaná síť nabízí větší flexibilitu a odolnost vůči chybám.

Obzvláště častým scénářem je kombinace místních sítí a cloudu , například připojením místních sítí k Azure prostřednictvím VPN Gateway a také vytvořením virtuálních připojení typu síť-virtuální síť (VNet-to-VNet). V těchto hybridních prostředích jsou klíčem k zajištění kontinuity služeb mesh topologie a pokročilé redundantní mechanismy.

Základní technické komponenty pokročilé sítě mesh VPN

Za označením „mesh VPN“ se skrývá řada velmi specifických technických komponent, které tuto magii umožňují. Obecně řečeno, mluvíme o pokročilých bezpečnostních funkcích VPN , jako je IPsec pro šifrování dat a IKE (Internet Key Exchange) pro výměnu klíčů a vyjednávání bezpečnostních parametrů mezi koncovými body.

V typické konfiguraci Fireboxu nebo jiné konfigurace firewallu nové generace každá lokalita definuje pobočkové brány a tunely , které se připojují k sítím ostatních lokalit. Například v organizaci se čtyřmi lokalitami bude mít každá lokalita tři pobočkové VPN brány a tři přidružené tunely (jeden ke každé z ostatních lokalit).

Konfigurace se obvykle spravuje pomocí specifických nástrojů (například Policy Manager ve Firewaru), kde si můžete prohlížet a upravovat jak brány poboček , tak i tunely VPN poboček , a také trasy tunelů potřebné pro přenos provozu mezi lokálními a vzdálenými podsítěmi.

Velmi důležitým detailem ve scénářích síťových sítí je použití agregovaných podsítí při definování tras tunelů namísto samostatného výpisu každé lokální sítě. Například tunel „Colo do RMT“ lze definovat tak, aby používal podsíť 172.16.0.0/16 reprezentující všechny interní sítě Colo (např. 172.16.1.0 a 172.16.2.0), takže jeden pár tras tunelů může pokrýt více segmentů, místo aby vyžadoval více tunelů.

To drasticky snižuje počet potřebných tunelových tras, zejména v malých kancelářích, které potřebují dosáhnout pouze omezené sady vzdálených podsítí. Pokud je však vyžadováno velmi přesné řízení provozu , lze definovat jednotlivé sítě, ale za cenu větší konfigurační a administrativní práce.

Požadavky na infrastrukturu: šířka pásma, hardware a spolehlivost

Pokročilá mesh VPN je ze své podstaty náročnější než jednoduché nastavení. Každý tunel zahrnuje procesy šifrování a zapouzdření , takže použitelná šířka pásma VPN bude vždy o něco menší než fyzická rychlost spojení.

Společnosti proto musí zajistit, aby propojení mezi lokalitami (optické kabely, MPLS, vysokokapacitní internet atd.) měla dostatečnou šířku pásma pro podporu šifrovaného provozu, který bude protékat tunely. To je obzvláště důležité v lokalitách, které disponují unikátními zdroji nebo které fungují jako komunikační uzly.

Stejně důležitý je typ bezpečnostního zařízení nasazeného v každém bodě (například Firebox vhodný pro velikost lokality; prostudujte si manuály a datové listy routeru ). Každý model nabízí specifickou maximální rychlost VPN a simultánní kapacitu tunelu, takže pokud se má předejít úzkým hrdlům, nedoporučuje se toto zařízení poddimenzovat.

V praxi počet VPN tunelů obvykle závisí na počtu lokálních a vzdálených sítí, které se mají připojit (jak je definováno v trasách tunelů). V typické kanceláři se výpočet přibližuje počtu lokálních sítí vynásobenému počtem vzdálených sítí, pokud se nepoužívají agregované podsítě.

Je také nezbytné zajistit spolehlivé připojení na místech hostujících kritické služby. Ačkoli síťová architektura toleruje selhání v izolovaném uzlu, pokud tento uzel obsahuje důležité aplikace nebo data, jakýkoli problém s připojením v tomto bodě povede k výpadkům služeb pro zbývající lokality.

IPsec, IKE a bezpečnostní profily: srdce VPN

Pokročilá síť VPN typu mesh se na úrovni protokolu spoléhá na kombinaci IPsec pro šifrování dat a IKE (Internet Key Exchange) pro výměnu klíčů a vyjednávání bezpečnostních parametrů mezi koncovými body.

IKE je protokol, který vytváří bezpečnostní asociaci (SA) mezi dvěma body, tj. vzájemnou dohodu o tom, jak bude provoz šifrován a ověřován. Aby VPN spolehlivě fungovala, musí se zásady IKE obou konců shodovat ve všech relevantních parametrech (metoda ověřování, šifrovací a ověřovací algoritmy, Diffie-Hellmanovy skupiny, doba trvání platnosti atd.).

V routerech, jako je Cisco RV110W, je definována politika IKE , která mimo jiné uvádí režim výměny (primární nebo agresivní), šifrovací algoritmus (DES, 3DES, AES-128, AES-192, AES-256), ověřovací algoritmus (MD5, SHA-1, SHA2-256), předsdílený klíč a skupinu Diffie-Hellman (například skupina 1 o 768 bitech, skupina 2 o 1024 bitech nebo skupina 5 o 1536 bitech).

Kromě zásad IKE jsou definovány zásady VPN , které určují, jaký provoz je v tunelu chráněn, jaké síťové identifikátory se používají pro lokální a vzdálené konce (jedna IP adresa nebo podsíť) a zda je zásada automatická (s vyjednáváním klíčů a parametrů IKE) nebo manuální (všechny klíče a SPI se konfigurují ručně na obou koncích).

Ruční zásady specifikují hexadecimální hodnoty pro příchozí a odchozí SPI, šifrovací klíče (Key-In a Key-Out) a algoritmy integrity (MD5, SHA1, SHA2-256), čímž zajišťují, že vzdálené zařízení používá přesně stejné hodnoty, aby bylo možné tunel správně navázat.

Pokročilé profily: „IPsec vyžadován“, „IPsec volitelný“ a vymazat provoz

V sofistikovanějších prostředích mesh sítí se kromě klasické konfigurace tunelů mezi lokalitami často vytvářejí i pokročilé profily připojení , které určují, kdy je použití IPsec povinné a kdy je povolen volný provoz.

Lze například definovat tři profily: jeden, kde je IPsec povinný (povolen je pouze šifrovaný provoz), druhý, kde je šifrování volitelné (v závislosti na cíli je akceptován buď šifrovaný, nebo prostý provoz) a třetí, který povoluje pouze nešifrovaný provoz . V systémech založených na ipsec.conf jsou tyto profily popsány pomocí bloků připojení (conn), které určují typ připojení (passthrough nebo transport), režim ověřování (např. rsasig s certifikáty), parametry odbočení v případě selhání (drop nebo passthrough) a odkazy na certifikáty a klíče RSA.

Typickým příkladem je průchozí připojení bez ověřování pro profil „Bez IPsec“, další transportní připojení s ověřováním pomocí podpisu RSA a zásadami ukončení v případě selhání pro profil „IPsec vyžadován“ a třetí transportní připojení s podpisy RSA, ale s permisivním chováním (průchozí připojení) v případě selhání pro profil „IPsec volitelný“.

Kombinace těchto profilů s vhodnými trasami umožňuje implementaci adaptivních bezpečnostních strategií , kde určité kritické toky musí být vždy šifrovány, zatímco jiné mohou cirkulovat v prostém textu ve vysoce důvěryhodných interních sítích nebo oportunisticky využívat IPsec, když to obě strany umožňují.

Podrobná konfigurace zásad VPN

Pro každou VPN politiku je kromě parametrů IKE nutné specifikovat, který provoz bude v tunelu zapouzdřen . Zdrojová a cílová síť se obvykle vybírají pomocí identifikátorů, jako je „Single“ (jeden hostitel) nebo „Subnet“.

Pokud je vybrána možnost „Jedna“, zásada se vztahuje na konkrétní IP adresu (například konkrétní server). Pokud je definována možnost „Podsíť“, zásada se vztahuje na rozsah adres určený kombinací IP adresy sítě a masky podsítě ; zařízení jsou chráněna sítí VPN, pokud jejich IP adresa spadá do tohoto rozsahu.

V případě automatizovaných zásad se kromě doby platnosti bezpečnostní asociace (v sekundách) vybírají šifrovací a integritní algoritmy a volitelně se povoluje Perfect Forward Secrecy (PFS) s další Diffie-Hellmanovou skupinou. To přidává vrstvu zabezpečení generováním nových klíčů relace, které nejsou závislé pouze na hlavním klíči.

V každém scénáři musí být zajištěno, aby se doby životnosti, šifrovací algoritmy, algoritmy integrity, skupiny PFS a dokonce i vybraná politika IKE na obou koncích tunelu shodovaly. V opačném případě vyjednávání selže nebo tunel zhroutí po vypršení platnosti SA a pokusu o opětovné vyjednání.

Profesionální routery často nabízejí další funkce, jako je detekce mrtvého uzlu (DPD) , která monitoruje, zda je uzel stále aktivní, a odstraňuje zastaralé položky, aby se uvolnily zdroje. DPD obvykle umožňuje upravit frekvenci kontrol a časový limit, než uzel bude považován za „mrtvého“.

Vysoká dostupnost v cloudu: Azure VPN Gateway v pokročilé síti

Když pokročilá síťová VPN připojuje místní sítě k infrastruktuře Azure , vstupuje do hry Azure VPN Gateway a její různé možnosti redundance. Ve výchozím nastavení se každá instance Azure VPN Gateway skládá ze dvou instancí v konfiguraci aktivního pohotovostního režimu.

V případě plánované údržby nebo nepředvídaných incidentů, pokud se aktivní instance stane nedostupnou, převezme ji záložní instance a tunely typu S2S (site-to-site) nebo V2N (virtual network-to-virtuální síť) se automaticky obnoví. U plánovaných výpadků trvá obnova obvykle 10–15 sekund; u neplánovaných selhání může trvat 1–3 minuty. U připojení klientů VPN typu P2S (point-to-site) se relace odpojí a uživatelé se musí znovu připojit.

Pro zlepšení dostupnosti připojení mezi lokální sítí a Azure lze zvolit několik schémat: použití více lokálních zařízení VPN (například s instalací dvou sítí VPN ), konfigurace instancí VPN Gateway v režimu aktivní-aktivní v Azure nebo kombinace obou pro dvojitou redundanci, která dokonale zapadá do topologie mesh.

U více místních zařízení VPN se z každého zařízení k bráně Azure vytvoří několik připojení S2S, čímž se pro každé zařízení definuje samostatná brána místní sítě s jedinečnou veřejnou IP adresou a adresou uzlu BGP . Pomocí protokolu BGP a mechanismu ECMP (Equal Cost Per Mechanism) je provoz distribuován paralelně mezi více aktivních tunelů.

V aktivním režimu Azure VPN Gateway má každá instance brány svou vlastní veřejnou IP adresu a vytváří tunel S2S IPsec/IKE s místním zařízením VPN, čímž vznikají dva tunely, které ve skutečnosti patří ke stejnému připojení. Z Azure se oba tunely používají současně, což zvyšuje dostupnost a umožňuje lepší distribuci provozu.

Kompletní síť mezi místním prostředím a Azure: dvojitá redundance

Nejrobustnější možností pro pokročilou síťovou VPN, která kombinuje cloudové a místní prostředí, je konfigurace duální redundance : aktivní brány v Azure a současně více zařízení VPN v místní síti. Výsledkem je jakási kompletní síť se čtyřmi tunely IPsec mezi virtuální sítí Azure a místním prostředím.

V tomto návrhu jsou všechny brány a tunely na straně Azure aktivní a provoz je distribuován mezi čtyři linky . Každý tok TCP/UDP obvykle z pohledu Azure sleduje stejný tunel, ale kombinované toky jsou distribuovány mezi všechny čtyři, což mírně zlepšuje celkový výkon a především poskytuje velmi vysokou odolnost vůči chybám.

Pro implementaci této topologie jsou vyžadovány dvě lokální síťové brány a dvě různá připojení pro dvě lokální VPN zařízení, vždy zálohovaná protokolem BGP , aby bylo možné simultánní připojení ke stejné místní síti prostřednictvím více připojení.

Stejný přístup lze použít pro připojení mezi virtuálními sítěmi v rámci Azure: v každé virtuální síti se vytvoří aktivní brány, které se vzájemně propojí, čímž se získají čtyři aktivní tunely mezi virtuálními sítěmi. V tomto případě je protokol BGP volitelný, pokud není nutné přes toto připojení směrovat tranzitní provoz.

Díky tomuto typu architektury přestávají cloudové sítě být pouhými satelity lokální sítě a stávají se plnohodnotnými uzly v síti VPN , což poskytuje velkou flexibilitu při přesunu pracovních zátěží, vyvažování aplikací a navrhování plánů kontinuity podnikání.

Mesh Wi-Fi a VPN: perfektní kombinace v podnikové síti

Koncept „mesh“ se neomezuje pouze na VPN. V oblasti Wi-Fi řešení jako eero a jeho technologie TrueMesh prokázaly, že použití více propojených přístupových bodů je vysoce efektivní způsob, jak eliminovat mrtvé zóny, minimalizovat výpadky a omezit obávané ukládání do vyrovnávací paměti v domácím a malém kancelářském prostředí.

Místo jediného Wi-Fi routeru, který se snaží pokrýt celý dům nebo kancelář, rozmístí síť mesh Wi-Fi více zařízení eero po celém prostoru, což klientům umožňuje vždy se připojit k nejbližšímu a nejstabilnějšímu přístupovému bodu . TrueMesh inteligentně přesměrovává provoz na základě faktorů, jako je fyzické rozložení uzlů, rušení ze sousedních sítí a zatížení připojených zařízení.

V závislosti na využití internetu se doporučují různé modely: eero 6+ jako cenově dostupný gigabitový systém, eero Pro 6E pro připojení až 2 Gb/s a mnoho simultánních zařízení nebo eero Max 7 pro pokročilé uživatele s Wi-Fi 7, stovkami zařízení a maximálním výkonem, a to jak kabelovým, tak bezdrátovým připojením.

Všechna tato zařízení jsou kompatibilní s hlavními poskytovateli internetu i mezi sebou navzájem, což umožňuje postupné rozšiřování nebo upgrade Wi-Fi sítě . Navíc dostávají automatické aktualizace softwaru s bezpečnostními záplatami a vylepšeními funkcí – což je klíčový bod, když je Wi-Fi primárním přístupovým bodem pro firemní VPN.

Digitální domov, zabezpečení a centralizovaná správa s eero

Kromě základní konektivity integrují moderní systémy eero funkce chytré domácnosti díky kompatibilitě s Thread, Zigbee a Matter (s Alexou jako ovladačem). V praxi to znamená, že mnoho zařízení chytré domácnosti se může připojit přímo k síti eero bez nutnosti dalších rozbočovačů.

Aplikace eero umožňuje konfigurovat zařízení Thread, například povolením této možnosti v Nastavení sítě → Thread , nebo využít Zigbee Hub integrací vašich účtů eero a Amazon v sekci Amazon Connected Home. Jakmile to uděláte, můžete přidat kompatibilní zařízení pomocí aplikace Alexa nebo libovolného reproduktoru Echo v síti.

Pro každodenní správu eero usnadňuje správu zařízení: můžete zařízení přiřadit jednotlivým profilům (například seskupit zařízení každého člena rodiny), použít plány pozastavení Wi-Fi (velmi užitečné pro omezení používání v určitých časech) a snadno přejmenovat každé zařízení tak, aby se dalo identifikovat, aniž byste se museli zbláznit.

Je také možné povolit upozornění , abyste dostávali upozornění, když se k síti připojí nové zařízení, a vytvořit samostatnou hostující síť s vlastním názvem a heslem, čímž se hlavní síť udrží izolovanější a lépe kontrolovaná.

V kombinaci s VPN službami – jako je například VPN přístup zahrnutý přes Guardian v rámci předplatného eero Plus – má uživatel k dispozici další vrstvu šifrování při připojování ze svého mobilního telefonu nebo tabletu k externím sítím, což dokonale doplňuje podnikové mesh VPN.

Další bezpečnostní služby: eero Plus a VPN pro koncové uživatele

Předplatné eero Plus přidává řadu pokročilých bezpečnostních funkcí zaměřených na koncové uživatele a malé organizace: vylepšenou ochranu, rodičovskou kontrolu, zálohování internetu a integraci se třemi známými aplikacemi: 1Password (správce hesel), Malwarebytes (ochrana před malwarem) a Guardian (služba VPN).

Díky filtrům obsahu mohou rodiče definovat omezení podle kategorií – nakupování, sociální média, chaty a zasílání zpráv, streamování – takže konkrétní zařízení mají přístup pouze k vhodnému obsahu. Tento typ kontroly funguje obzvláště dobře v prostředích, kde síť Wi-Fi mesh a firemní VPN sdílejí stejnou domácí infrastrukturu.

Funkce Záložní internet umožňuje zařízení eero automaticky se připojit k mobilnímu hotspotu nebo jiné dostupné síti, když dojde k výpadku primárního poskytovatele, a vy si můžete vybrat, která zařízení zůstanou během výpadku připojena, abyste optimalizovali dostupnou šířku pásma.

V oblasti osobní bezpečnosti nabízí integrace s Malwarebytes ochranu před online hrozbami až na třech kompatibilních zařízeních, zatímco 1Password usnadňuje bezpečnou správu a ukládání přihlašovacích údajů , což je nezbytné při práci s firemním VPN přístupem, administračními panely a cloudovými službami.

Guardian konečně nabízí VPN zaměřenou na koncové uživatele , přístupnou přímo z aplikace eero, která šifruje provoz ze zařízení (mobilu nebo tabletu) na internet, což je ideální pro připojení z veřejných nebo nedůvěryhodných sítí Wi-Fi. I když tento typ VPN nenahrazuje pokročilou firemní mesh síť, velmi dobře doplňuje ochranu koncových uživatelů.

VPN typu Site-to-site: pilíře robustního designu

V podnikovém kontextu je každá pokročilá síť VPN typu mesh v zásadě postavena z několika sítí VPN typu site-to-site . Aby byla tato připojení robustní a snadno se ovládala ve velkém měřítku, je nezbytné dbát na pět klíčových komponent.

Prvním je technologická bezpečnost ve firmách : používání robustních kryptografických algoritmů (AES se 128/192/256bitovými klíči, SHA-2), správná správa klíčů, PFS, DPD a osvědčené postupy pro posílení bezpečnosti na perimetrických zařízeních.

Druhým pilířem je snadná obsluha : konzistentní zásady napříč lokalitami, opakovaně použitelné konfigurační šablony, centralizované nástroje pro správu a monitorování a jasné procesy pro přidávání nových lokalit nebo změnu parametrů.

Za třetí je to jednoduchá a bezpečná škálovatelnost , což znamená možnost přidávat lokality bez nutnosti přepracovávat celou topologii, využívat techniky, jako je agregace podsítí, použití BGP pro dynamické směrování a automatizace nasazení.

Posledními dvěma pilíři jsou kontinuita provozu – zajištění toho, aby selhání uzlu nebo propojení nezpůsobilo izolaci lokalit – a flexibilní implementace , tj. možnost nasadit VPN v různých prostředích (on-premise, veřejný cloud, více cloudů) při zachování konzistentních bezpečnostních zásad.

Spravované VPN služby a specializované bezpečnostní produkty

Pro mnoho organizací, zejména těch, které nemají velký interní síťový a bezpečnostní tým, může být použití spravovaných VPN služeb velmi rozumným rozhodnutím. Tyto služby outsourcují část složitosti: návrh topologie, výběr hardwaru, konfiguraci zásad IPsec/IKE, nepřetržitý monitoring, reakci na incidenty a průběžnou údržbu.

Dodavatelé bezpečnostních řešení, jako je Fortinet, nabízejí specializované produkty a služby pro budování a správu sítí VPN typu „site-to-site“ a pokročilých mesh sítí, integrují firewally, SD-WAN, hloubkovou inspekci paketů, filtrování webu a další vrstvy ochrany. VPN tak přestává být pouhým „šifrovaným tunelem“ a stává se jednou ze součástí vícevrstvé bezpečnostní architektury.

Ve velkých sítích s desítkami nebo stovkami lokalit tato řešení drasticky snižují provozní zátěž: umožňují definovat globální zásady , nasazovat je na více zařízeních, spravovat certifikáty, aktualizace firmwaru a změny konfigurace orchestrovaným způsobem a získat centralizovaný přehled o stavu všech tunelů.

Ať už se rozhodnete pro interní správu nebo outsourcing služeb, klíčové je, aby síťová VPN držela krok s organizací: podporovala nová místa, nové cloudové služby, špičky v provozu a změny v bezpečnostních potřebách, aniž by se stala pro podnikání překážkou.

Návrh a provoz pokročilé mesh VPN zahrnuje kombinaci distribuované architektury napříč více lokalitami, pečlivou konfiguraci IPsec/IKE, strategií vysoké dostupnosti (jak lokálně, tak v cloudu), spolehlivého mesh Wi-Fi základu a v mnoha případech i dalších bezpečnostních a správních služeb. Integrací všech těchto prvků – od profilů „IPsec vyžadovaný/volitelný“ a redundance aktivní-aktivní až po BGP, řešení jako eero Plus a profesionální platformy firewallů – mohou organizace budovat bezpečné, škálovatelné a odolné sítě, které propojují kanceláře, domácnosti a cloudy bez obětování výkonu nebo flexibility.