Има контролер – няма проблеми: как лесно да поддържате работата на безжичната мрежа

През 2019 година консултантската компания Miercom проведе независима технологична оценка на Wi-Fi 6 контролерите Cisco Catalyst от серия 9800. За това изследване беше изградена тестова платформа от контролери и точки за достъп Wi-Fi 6 от Cisco, и беше извършена оценка на техническото решение в следните категории:

• Наличност;
• Сигурност;
• Автоматизация.

Резултатите от изследването са представени по-долу. От 2019 година функционалността на контролерите Cisco Catalyst от серия 9800 е била значително подобрена – тези аспекти също са отразени в настоящата статия.

За други предимства на технологията Wi-Fi 6, примери за внедряване и области на приложение можете да прочетете тук..

Преглед на решението

Wi-Fi 6 контролери Cisco Catalyst от серия 9800

Серията безжични контролери Cisco Catalyst от серия 9800 на базата на операционната система IOS-XE (която също се използва за свитчи и маршрутизатори Cisco) се предлага в различни варианти.

По-високият модел контролер 9800-80 поддържа пропускателна способност на безжичната мрежа до 80 Gbit/s. Един контролер 9800-80 поддържа до 6000 точки за достъп и до 64 000 безжични клиенти.

Средният модел – контролер 9800-40 – поддържа пропускателна способност до 40 Gbit/s, до 2000 точки за достъп и до 32 000 безжични клиенти.

В допълнение към тези модели, в конкурентния анализ беше включен и безжичният контролер 9800-CL (CL означава Cloud). Моделът 9800-CL работи в виртуални среди на хипервизори VMWare ESXI и KVM, а неговите характеристики зависят от ресурсите, предоставени за виртуалната машина на контролера. В максималната конфигурация контролерът Cisco 9800-CL, както и по-високият модел 9800-80, поддържа мащабируемост до 6000 точки за достъп и до 64 000 безжични клиенти.

При провеждането на изследването бяха използвани точки за достъп Cisco Aironet AP от серия 4800, поддържащи работа на честоти 2,4 и 5 GHz с възможност за динамично превключване в режим dual 5-GHz.

Тестов стенд

В рамките на тестването беше изградена платформа от два безжични контролера Cisco Catalyst 9800-CL, работещи в клъстер, и точки за достъп Cisco Aironet AP от серия 4800.

Като клиентски устройства бяха използвани лаптопи на компании Dell и Apple, както и смартфон Apple iPhone.

Тестване на наличността

Достъпността се определя като способността на потребителите да получават достъп до система или услуга и да я използват. Високата достъпност предполага непрекъснат достъп до система или услуга, независимо от определени събития.

Високата достъпност беше тествана в четири сценария, като първите три сценария са предсказуеми или планирани събития, които могат да се проведат по време на работно или извънработно време. Четвъртият сценарий е класическият отказ, който представлява непредсказуемо събитие.

Описание на сценария:

• Поправка на грешки – микроактуализация на системата (bugfix или security patch), позволяваща да се коригира съответната грешка или уязвимост без цялостно обновление на системния софтуер;
• Функционално обновление – добавяне или разширяване на текущата функционалност на системата чрез инсталиране на функционални актуализации;
• Пълно обновление – обновление на образа на софтуера на контролера;
• Добавяне на точка за достъп – добавяне на нов модел точка за достъп в безжичната мрежа без необходимост от пренастройка или актуализация на софтуера на безжичния контролер;
• Неуспех – отказ на безжичния контролер.

Поправка на грешки и уязвимости

Често при много конкурентни решения инсталацията на актуализации изисква пълно обновление на софтуера на системата на безжичния контролер, което може да доведе до непланирани прекъсвания. В случая с решението от Cisco актуализациите се инсталират без прекъсване на работния процес. Актуализациите могат да бъдат инсталирани на всяка от компонентите, докато безжичната инфраструктура продължава да работи.

Самата процедура е достатъчно проста. Файлът с актуализация копира в папката за начален зареждане на един от безжичните контролери на Cisco, след което чрез графичен интерфейс или команден ред се потвърдява операцията. Освен това, чрез графичен интерфейс или команден ред може да се анулира и изтрие актуализацията, също без прекъсване на работата на системата.

Функционално обновление

Функционалните софтуерни обновления се прилагат за активиране на нови функции. Едно от тези подобрения е обновлението на базата данни с приложения. Този пакет беше инсталиран в контролерите Cisco като тест. Както при корекциите, така и функционалното обновление може да се прилага, инсталира или премахва без прекъсвания или спиране на системата.

Пълно обновление

В момента пълното обновление на софтуерния образ на контролера се извършва по същия начин, както и функционалното, тоест без прекъсвания. Въпреки това, тази възможност е налична само в клъстерна конфигурация, когато има повече от един контролер. Пълното обновление се извършва последователно: първо на един контролер, после на втория.

Добавяне на нов модел на точка за достъп

Свързването на нови точки за достъп, които преди не са били използвани с актуалния софтуерен образ на контролера, към безжичната мрежа е доста честа операция, особено в големи мрежи (летища, хотели, производствени мощности). Доста често в решенията на конкуренцията тази операция изисква обновление на системния софтуер или рестартиране на контролерите.

При свързване на нови точки за достъп Wi-Fi 6 към клъстера от контролери Cisco Catalyst серия 9800 подобни проблеми не се наблюдават. Свързването на новите точки към контролера се извършва без обновления на софтуера на контролера и този процес не изисква рестартиране, така че не влияе на безжичната мрежа.

Неуспех на контролера

В тестова среда са използвани два контролера (Активен / Резервен) Wi-Fi 6 и точката за достъп има директна свързаност към двата контролера.

Един безжичен контролер е активен, а другият съответно резервен. При неуспех на активния контролер управлението поема резервният контролер, и неговият статус се променя на активен. Тази процедура се извършва без прекъсване за точката за достъп и Wi-Fi за клиентите.

Сигурност

В този раздел се разглеждат аспектите на осигуряване на сигурността, която в безжичните мрежи е изключително актуална задача. Сигурността на решението се оценява по следните характеристики:

• Разпознаване на приложения;
• Проследяване на потока на трафика (Flow tracking);
• Анализ на криптирания трафик;
• Откриване и предотвратяване на прониквания;
• Средства за удостоверяване;
• Средства за защита на клиентските устройства.

Разпознаване на приложения

Сред разнообразието от продукти на пазара на корпоративен и индустриален Wi-Fi, съществуват разлики в това, колко добре продуктите идентифицират трафика по приложения. Продуктите от различни производители могат да идентифицират различен брой приложения. В същото време, много от приложенията, които са посочени в конкурентните решения като възможни за идентификация, по същество са уебсайтове, а не уникални приложения.

Има още една интересна характеристика на разпознаването на приложения: решенията се различават значително по точността на идентификацията.

Като имаме предвид всички проведени тестове, можем отговорно да заявим, че решението за Wi-Fi-6 на Cisco разпознава приложения много точно: бяха точно идентифицирани Jabber, Netflix, Dropbox, YouTube и други популярни приложения, както и уеб услуги. Освен това, решенията на Cisco могат по-дълбоко да анализират пакетите данни с помощта на DPI (Deep Packet Inspection).

Следене на потоци от трафик

Беше проведен още един тест, за да се установи, дали системата може точно да следи и докладва за потоците данни (например, за премествания на големи файлове). За да проверим това, през мрежата беше изпратен файл с размер 6,5 мегабайта по протокол за предаване на файлове (FTP).

Решението на Cisco напълно се справи с задачата и успя да проследи този трафик благодарение на NetFlow и своите хардуерни възможности. Трафикът беше открит и идентифициран незабавно с точно количество прехвърлени данни.

Анализ на криптиран трафик

Трафикът на потребителските данни все по-често се криптира. Това се прави, за да се защити от следене или прихващане от злонамерени лица. Но заедно с това хакерите все по-често използват криптиране, за да скрият злонамерен софтуер и да извършват други съмнителни операции, като Man-in-the-Middle (MiTM) атаки или, например, атаки с използване на кейлогинг.

Повечето предприятия проверяват част от криптирания трафик, първо го декриптират с помощта на защитни стени или системи за предотвратяване на прониквания. Но този процес отнема много време и не е в полза на производителността на мрежата като цяло. Освен това, след декриптиране, тези данни стават уязвими за любопитни погледи.

Контролерите Cisco Catalyst 9800 успешно решават задачата за анализ на криптиран трафик с помощта на други средства. Решението се нарича Encrypted Traffic Analytics (ETA). ETA е технология, която няма аналог в решенията на конкурентите и която открива злонамерен софтуер в криптирания трафик без необходимост от декриптиране. ETA е основна функция на IOS-XE, която включва Enhanced NetFlow и използва разширени поведенчески алгоритми за откриване на злонамерени модели на трафик, скриващи се в криптирания трафик.

ETA не декриптира съобщения, а събира профили на метаданни за криптираните потоци на трафика – размери на пакетите, времеви интервали между пакетите и много друго. След това метаданните се експортират в записи на NetFlow v9 в Cisco Stealthwatch.

Ключовата функция на Stealthwatch е постоянното наблюдение на трафика и създаването на базови показатели за нормалната мрежова активност. С помощта на метаданните от криптирания поток, изпратени от ETA, Stealthwatch прилага многостепенно машинно обучение за откриване на поведенчески аномалии в трафика, които могат да сочат към подозрителни събития.

Миналата година компанията Cisco привлече Miercom за независима оценка на решението Cisco Encrypted Traffic Analytics. По време на тази оценка Miercom изпрати известни и неизвестни заплахи (вируси, троянски коне, програми за изнудване) в криптиран и некриптиран трафик през големи мрежи с ETA и без ETA, за да определи заплахите.

За тестване беше стартиран злонамерен код и в двете мрежи. В двата случая подозрителната активност постепенно беше откривана. В мрежата с ETA заплахите бяха открити 36% по-бързо в началото, отколкото в мрежата без ETA. С напредването на времето ефективността на откриването в мрежата с ETA започна да се увеличава. В крайна сметка, след няколко часа работа, в мрежата с ETA успешно бяха открити две трети от активните заплахи, което е два пъти повече от аналогичното число в мрежата без ETA.

Функционалът на ETA е добре интегриран със Stealthwatch. Заплахите се оценяват по тежест, показват се с подробна информация и с опции за действие след потвърждение. Заключение – ETA работи!

Откриване и предотвратяване на нахлувания

Сега Cisco разполага с още един ефективен инструмент за сигурност — Cisco Advanced Wireless Intrusion Prevention System (aWIPS): механизъм за откриване и предотвратяване на заплахи за безжични мрежи. Решението aWIPS работи на нивото на контролерите, достъпните точки и софтуера за управление Cisco DNA Center. Процесът на откриване, предупреждение и предотвратяване на заплахи обединява анализ на мрежовия трафик, информация за мрежовите устройства и топологията на мрежата, методи на база сигнатури и откритие на аномалии, което в крайна сметка осигурява висока точност и предотвратяване на угрозите за безжичната мрежа.

Пълната интеграция на aWIPS в мрежовата инфраструктура позволява непрекъснато наблюдаване на безжичния трафик както в проводими, така и в безжични мрежи и използването му за автоматичен анализ на потенциални атаки от много източници, за да се определи и предотврати максимално комплексно възможни атаки.

Средства за удостоверяване

В момента освен класическите средства за удостоверяване в решенията Cisco Catalyst от серия 9800 е налична поддръжка на WPA3. WPA3 е последната версия на WPA, представляваща комплект от протоколи и технологии за удостоверяване и криптиране за Wi-Fi мрежи.

WPA3 използва метода на simultanеното удостоверяване на равноправни елементи (SAE — Simultaneous Authentication of Equals) за осигуряване на най-надеждната защита на потребителите от опити за подбиране на пароли от трети лица. Когато клиентът се свързва с точката за достъп, той извършва обмен на SAE. В случай на успех всеки от тях ще създаде криптографски надежден ключ, от който ще бъде получен ключът за сесия, а след това преминават в състояние на потвърждение. След това клиентът и точката за достъп могат да преминат в състояния на потвърждение всеки път, когато е необходимо да се генерира ключ за сесия. Методът използва пряка секретност, при която злоумышленикът може да хакне един ключ, но не и всички останали ключове.

Тоест SAE е построен така, че злонамерен потребител, който прихваща трафика, има само един опит да познае паролата, преди прихванатите данни да станат безполезни. За да организира дългосрочно подбиране на пароли, ще е нужно физическо достъп до точката за достъп.

Средства за защита на клиентските устройства

Основният инструмент за защита на клиентите в безжичните решения на Cisco Catalyst серия 9800 в момента е Cisco Umbrella WLAN – облачна услуга за мрежова сигурност, която работи на ниво DNS с автоматично откриване на известни и нови заплахи.

Cisco Umbrella WLAN осигурява защитено интернет свързване за клиентските устройства. Това се постига чрез филтриране на съдържанието, т.е. чрез блокиране на достъпа до ресурси в интернет в съответствие с политиката на предприятието. По този начин се осигурява защита на клиентските устройства в интернет от зловреден софтуер, рансъмуер и фишинг. Прилагането на политиките се основава на 60 непрекъснато обновявани категории съдържание.

Автоматизация

Съвременните безжични мрежи са много по-гъвкави и сложни, затова традиционните методи за конфигуриране и извличане на информация от безжичните контролери не са достатъчни. На мрежовите администратори и специалистите по информационна сигурност им трябват инструменти за автоматизация и анализ, което подтиква производителите на решения за безжични мрежи да предлагат такива инструменти.

За решаване на тези задачи в безжичните контролери Cisco Catalyst серия 9800, наред с традиционния API, е предвидена поддръжка на протокола за конфигурация на мрежата RESTCONF / NETCONF с езика за моделиране на данни YANG (Yet Another Next Generation).

NETCONF е протокол, основан на XML, който приложенията могат да използват за запитвания за информация и за промяна на конфигурацията на мрежови устройства, като безжични контролери.

В допълнение към тези методи, в контролерите Cisco Catalyst серия 9800 е реализирана възможност за получаване, избор и анализ на данни за потока на информация чрез протоколите NetFlow и sFlow.

За осигуряване на безопасност и моделиране на трафика, възможността за проследяване на конкретни потоци е ценен инструмент. За решаване на тази задача е реализиран протоколът sFlow, който позволява улавяне на два пакета от всеки сто. Въпреки това, понякога това може да е недостатъчно за анализ и адекватно проучване и оценка на потока. Следователно, алтернатива е NetFlow, реализиран от Cisco, който позволява 100% събиране и експортиране на всички пакети в конкретния поток за последващ анализ.

Другата функция, която е налична само в хардуерната реализация на контролерите, позволяваща автоматизация на работата на безжичната мрежа в контролерите Cisco Catalyst серия 9800, е вградената поддръжка на езика Python като надстройка за използване на скриптове директно на самия безжичен контролер.

И накрая, за операции по мониторинг и управление в контролерите Cisco Catalyst серия 9800 е поддържан утвърденият с времето протокол SNMP версии 1, 2 и 3.

Така че, в ключа на автоматизацията решений Cisco Catalyst серия 9800 напълно отговарят на съвременните изисквания на бизнеса, предлагайки както нови и уникални, така и утвърдени с времето инструменти за автоматизирано изпълнение на операции и аналитика в безжични мрежи с всякакъв размер и сложност.

Заключение

В решенията на базата на контролерите Cisco Catalyst серия 9800, компанията Cisco демонстрира отлични резултати в категориите: висока наличност, сигурност и автоматизация.

Решението напълно удовлетворява всички изисквания за висока наличност, като аварийно превключване за по-малко от секунда при непредвидени събития и нулево време на престой за планирани събития.

В контролерите Cisco Catalyst серия 9800 е реализирана комплексна защита, която осигурява дълбока проверка на пакетите за разпознаване на приложения и управление, пълна прозрачност на потоковете данни и идентифициране на заплахи, скрити в криптиран трафик, както и се прилагат усъвършенствани механизми за удостоверяване и защита на клиентските устройства.

За автоматизация на операции и аналитика решенията Cisco Catalyst серия 9800 притежават широки възможности, използвайки популярни стандартни модели: YANG, NETCONF, RESTCONF, традиционни API интерфейси и вградени Python скриптове.

Така Cisco отново потвърждава статута си на водещ световен производител на мрежови решения, който върви в крак с времето и отчита всички предизвикателства на съвременния бизнес.

Можете да се запознаете по-подробно с информацията за семейството на комутаторите Catalyst на сайта Cisco.

Източник: habr.com