Kontroller on – pole probleemi: kuidas hõlpsasti hallata traadita võrku

2019. aastal viis konsultatsioonifirma Miercom läbi sõltumatu tehnilise hindamise Cisco Catalyst 9800 seeria Wi-Fi 6 kontrollerite kohta. Selle uurimistöö jaoks koondati testseade Cisco kontrolleritest ja Wi-Fi 6 juurdepunktidest ning hinnati tehnilist lahendust järgmistes kategooriates:

• Kättesaadavus;
• Turvalisus;
• Automatiseerimine.

Uuringu tulemused on toodud allpool. Alates 2019. aastast on Cisco Catalyst 9800 seeria kontrollerite funktsionaalsust oluliselt täiustatud – neid punkte kajastatakse ka selles artiklis.

Wi-Fi 6 tehnoloogia teiste eeliste, rakenduse näidete ja kasutusvaldkondade kohta saab lugeda siin.

Lahenduse ülevaade

Cisco Catalyst 9800 seeria Wi-Fi 6 kontrollerid

Cisco Catalyst 9800 seeria traadita kontrollerid, mis põhinevad operatsioonisüsteemil IOS-XE (mida kasutatakse ka Cisco lülitites ja ruuterites), on saadaval erinevates variatsioonides.

Ülemine kontrollerimudel 9800-80 toetab traadita võrgu läbilaskevõimet kuni 80 Gbit/s. Üks 9800-80 kontroller toetab kuni 6000 juurdepunkti ja kuni 64 000 traadita klienti.

Keskmise taseme mudel – kontroller 9800-40 – toetab läbilaskevõimet kuni 40 Gbit/s, kuni 2000 juurdepunkti ja kuni 32 000 traadita klienti.

Lisaks nendele mudelitele lisati konkurentsianalüüsi ka traadita kontroller 9800-CL (CL tähistab Cloud). Mudel 9800-CL töötab virtuaalkeskkondades hüperviisoritega VMWare ESXI ja KVM ning selle omadused sõltuvad kontrolleri virtuaalmasina jaoks eraldatud riistvaralistest ressurssidest. Maksimaalses konfiguratsioonis toetab Cisco 9800-CL kontroller samamoodi nagu ülemine mudel 9800-80 skaleeritavust kuni 6000 juurdepunkti ja kuni 64 000 traadita klienti.

Uuringu käigus kasutati kontrollerite jaoks Cisco Aironet AP seeria 4800 juurdepunkte, mis toetavad tööd sagedustel 2,4 ja 5 GHz ning võimaldavad dünaamilist lülitumist dual 5-GHz režiimi.

Testseade

Testimise käigus koondati kaks Cisco Catalyst 9800-CL traadita kontrollerit, töötades klastris ja Cisco Aironet AP seeria 4800 juurdepunktidega.

Kliendiseadmetena kasutati Dell ja Apple sülearvuteid ning Apple iPhone nutitelefoni.

Kättesaadavuse testimine

Saadavus määratletakse kui kasutajate võime pääseda juurde süsteemile või teenusele ja neid kasutada. Kõrge saadavus tähendab pidevat juurdepääsu süsteemile või teenusele, mis ei sõltu mingitest sündmustest.

Kõrge saadavus on testitud neljas stsenaariumis, millest esimesed kolm on ettearvatavad või planeeritud sündmused, mis võivad toimuda töö- või mitte-tööajal. Neljas stsenaarium on klassikaline rike, mis on ettearvamatu sündmus.

Stsenaariumide kirjeldus:

• Veaparandused – mikoupdate süsteem (bugfix või turvapaik), mis võimaldab parandada teatud tõrke või haavatavuse ilma süsteemi tarkvara täieliku uuendamiseta;
• Funktsionaalne uuendus – praeguse süsteemifunktsiooni lisamine või laiendamine funktsionaalsete uuenduste installimise teel;
• Täielik uuendus – kontrolleri tarkvara pildi uuendamine;
• Uue juurdepääsupunkti lisamine – uue mudeli juurdepääsupunkti lisamine traadita võrku ilma traadita kontrolleri tarkvara ümberseadistamise või uuendamiseta;
• Rike – traadita kontrolleri rike.

Veaparandused ja haavatavused

Sageli nõuavad paljude konkurentide lahenduste puhul paranduste paigaldamine traadita kontrolleri süsteemi tarkvara täielikku uuendamist, mis võib viia planeerimata seisakuteni. Cisco lahenduse puhul toimub paranduste paigaldamine ilma tootlikkuse peatamiseta. Parandusi saab installida mistahes komponentides, samal ajal kui traadita infrastruktuur jätkab tööd.

Kogu protseduur on piisavalt lihtne. Paranduse fail kopeeritakse käivitamiskausta ühele Cisco traadita kontrollerile ja seejärel kinnitatakse toiming graafilise liidese või käsurea kaudu. Lisaks saab graafilise liidese või käsurea kaudu ka paranduse veel tühistada ja kustutada, samuti ilma süsteemi töö katkestamiseta.

Funktsionaalne uuendus

Funktsionaalsed tarkvarauuendused rakendatakse uute funktsioonide aktiveerimiseks. Üks sellistest täiustustest on rakenduste allkirjade andmebaasi uuendus. See pakett oli testimiseks installitud Cisco kontrolleritesse. Nii nagu paranduste korral, rakendatakse, installitakse või eemaldatakse funktsioonide uuendamine ilma süsteemi ooteta või katkestuseta.

Täielik uuendus

Praegu teostatakse kontrolleri tarkvara täielik uuendus sama moodi nagu funktsionaalne uuendus, st ilma ooteteta. Kuid see võimalus on saadaval ainult klastrikonfiguratsioonis, kus on rohkem kui üks kontroller. Täielik uuendus toimub järk-järgult: esmalt ühel kontrolleril, seejärel teisel.

Uue pääsupunkti mudeli lisamine

Uute pääsupunktide ühendamine, mis ei ole varem olnud kasutusel kontrolleris kasutatava tarkvara versiooniga, on üsna tavaline operatsioon, eriti suurtes võrkudes (lendavad, hotellid, tootmine). Tihti nõuab konkurentide lahendustes selline operatsioon süsteemiprogrammi uuendamist või kontrollerite taaskäivitamist.

Cisco Catalyst seeria 9800 kontrollerite klastrisse Wi-Fi 6 uute pääsupunktide ühendamisel selliseid probleeme ei esine. Uute punktide ühendamine kontrolleriga toimub ilma tarkvara uuendusteta ja see protsess ei nõua taaskäivitamist, seega ei avalda see mingit mõju traadita võrgule.

Kontrolleri riknemine

Testimiskeskkonnas kasutatakse kahte kontrollerit (Active / StandBy) Wi-Fi 6 ja pääsupunkt on ühendatud otse mõlema kontrolleriga.

Üks traadita kontroller on aktiivne, teine vastavalt varu. Aktiivse kontrolleri riknemisel võtab juhtimise üle varukontroller ning selle staatus muutub aktiivseks. See protseduur toimub katkestusteta pääsupunktile ja klientide Wi-Fi-le.

Turvalisus

Selles jaotises käsitletakse turvalisuse aspekte, mis on traadita võrkudes äärmiselt olulised ülesanded. Lahenduse turvalisust hinnatakse järgmiste omaduste alusel:

• Rakenduste tuvastamine;
• Liikluse jälgimine (Flow tracking);
• Krüpteeritud liikluse analüüs;
• Sissetungide avastamine ja ennetamine;
• Autentimisvahendid;
• Kliendi seadmete kaitsemeetmed.

Rakenduste tuvastamine

Ettevõtte ja tööstusliku Wi-Fi turul on erinevaid tooteid, millel on erinev võime tuvastada rakenduste põhjal liiklust. Erinevate tootjate tooted suudavad tuvastada erineva arvu rakendusi. Paljud rakendused, mida konkurentide lahendustes tuvastamiseks esitatakse, on tegelikult veebisaidid, mitte unikaalsed rakendused.

On veel üks huvitav omadus rakenduste tuvastamisel: lahendused erinevad märkimisväärselt tuvastamise täpsuse osas.

Kõikide testide tulemusi arvesse võttes võib vastutustundlikult väita, et Cisco Wi-Fi 6 lahendus tuvastab rakendusi väga täpselt: tuvastatud on Jabber, Netflix, Dropbox, YouTube ja teised populaarsed rakendused ning veebiteenused. Samuti saavad Cisco lahendused andmetesse sügavamalt süveneda läbi DPI (Deep Packet Inspection).

Liiklusvoogude jälgimine

Viidi läbi veel üks test, et välja selgitada, kas süsteem suudab täpselt jälgida ja teavitada andmevoogudest (näiteks suurte failide liikumisest). Selleks saadeti võrgus 6,5 megabaidi suurune fail FTP-protokolli kaudu.

Cisco lahendus saavutas ülesande täielikult ja suutis seda liiklust NetFlow ja oma arvutusvõimekuse abil jälgida. Liiklus tuvastati ja identifitseeriti kohe koos edastatud andmete täpse mahuga.

Krüptitud liikluse analüüs

Kasutajateandmete liiklus on üha enam krüptitud. Seda tehakse, et kaitsta seda jälgimise või ründajate katsete eest. Kuid samas kasutavad häkkerid üha rohkem krüpteerimist, et varjata oma pahavara ja teha muid kahtlaseid toiminguid, nagu Man-in-the-Middle (MiTM) rünnakud või klahvilogimise rünnakud.

Enamik ettevõtteid kontrolib osa krüptitud liiklusest, desifreerides selle esmalt tulemüüride või sissetungi ennetamise süsteemide kaudu. Kuid see protsess on ajamahukas ja ei aita üldiselt võrgutulemuslikkust. Samuti muutuvad need andmed pärast desifreerimist uudishimulike silmade jaoks haavatavaks.

Cisco Catalyst 9800 seeria kontrollerid lahendavad edukalt krüpteeritud liikluse analüüsi muudest vahenditest. Lahenduse nimi on Encrypted Traffic Analytics (ETA). ETA on tehnoloogia, millega konkurentidel pole praegu analooge ja mis avastab pahavara krüpteeritud liikluses ilma selle dekrüpteerimiseta. ETA on IOS-XE põhiomadus, mis sisaldab Enhanced NetFlow'd ja kasutab täiustatud käitumisalaseid algoritme pahatahtlike liiklemismudelite tuvastamiseks, mis peituvad krüpteeritud liikluses.

ETA ei dekrüpteeri sõnumeid, vaid kogub krüpteeritud liiklusvoogude metadate profiile - pakettide suurused, ajavahemikud pakettide vahel ja palju muud. Seejärel eksporditakse metadavad NetFlow v9 salvestustes Cisco Stealthwatch'i.

Stealthwatchi peamine funktsioon on pidev liikluse jälgimine ja tavalise võrguaktiivsuse baasmõõdikute loomine. ETA-le saadetud krüpteeritud voo metadatuuride abil rakendab Stealthwatch mitme taseme masinõpet liikluse käitumise anomaliteetide tuvastamiseks, mis võivad viidata kahtlastele sündmustele.

Eelmisel aastal kaasas Cisco Miercom'i Cisco Encrypted Traffic Analytics lahenduse iseseiseks hindamiseks. Selle hindamise käigus saatis Miercom eraldi tuntud ja tundmatud ohud (viirused, troojalased, lunavara) krüpteeritud ja krüpteerimata liiklusesse suurtes ETA ja mitte-ETA võrkudes, et tuvastada ohud.

Testimise käigus käivitatati pahavara mõlemal võrgul. Mõlemas juhul tuvastati kahtlane tegevus järk-järgult. ETA-võrgus tuvastati ohud algfaasis 36% kiiremini kui mitte-ETA võrgus. Samuti suurenes töö käigus ohutuvastuse tulemuslikkus ETA-võrgus. Lõpuks, pärast mitmeid töötunde, tuvastati ETA-võrgus edukalt kaks kolmandikku aktiivsetest ohtudest, mis on kaks korda rohkem võrreldes mitte-ETA võrguga.

ETA funktsionaalsus on hästi integreeritud Stealthwatchiga. Ohud järjestatakse tõsiduse järgi, kuvatakse koos üksikasjaliku teabe ja parandusmeetmete võimalustega pärast kinnitamist. Kokkuvõte - ETA töötab!

Sissetungide avastamine ja ennetamine

Cisco'il on nüüd veel üks tõhus tööriist turvalisuse tagamiseks — Cisco Advanced Wireless Intrusion Prevention System (aWIPS): ohtude tuvastamise ja ennetamise mehhanism traadita võrkude jaoks. Lahendus aWIPS töötab kontrollerite, juurdepääsupunktide ja Cisco DNA Center’i haldustarkvara tasandil. Ohtude tuvastamise, teavitamise ja ennetamise protsess ühendab endas võrgu liikluse analüüsi, teavet võrgu seadmete ja võrgutopoloogia kohta, mustrite põhiseid meetodeid ja anomaaliate tuvastamist, mis kokku tagab kõrge täpsuse ja traadita võrgu ohtude ennetamise.

aWIPS-i täielik integreerimine võrguinfrastruktuuri võimaldab pidevalt jälgida traadita liiklust nii juhtmega kui ka traadita võrkudes, kasutades seda potentsiaalsete rünnakute automaatseks analüüsiks paljusid allikaid, et maksimaalselt komplekselt tuvastada ja ennetada võimalikke rünnakuid.

Autentimise vahendid

Praeguseks on Cisco Catalyst seeria 9800 lahendustes olemas klassikaliste autentimismeetodite kõrval ka WPA3 tugi. WPA3 on WPA viimane versioon, mis on protokollide ja tehnoloogiate kogum, mis tagab autentimise ja krüptimise Wi-Fi võrkudes.

WPA3 kasutab võrdsete elementide samaaegse autentimise meetodit (SAE — Simultaneous Authentication of Equals) kasutajate kaitsmiseks kolmandate isikute paroolide proovimise eest. Kui klient ühendub juurdepääsupunktiga, toimub SAE vahetus. Kui see õnnestub, loob igaühel krüptograafiliselt usaldusväärse võtme, millest saadakse sessioonivõti, ja seejärel liiguvad nad kinnituse olekusse. Pärast seda saavad klient ja juurdepääsupunkt igal korral, kui on vaja sessioonivõti genereerida, liikuda kinnituse olekusse. Meetod kasutab otsekontrolli, kus ründajal on võimalik murda üks võti, aga mitte kõik teised võtmed.

Seega on SAE ülesehitus selline, et ründajal, kes liiklust pealt kuulab, on vaid üks võimalus parooli ära arvata, enne kui pealtkuuldud andmed muutuvad kasutuks. Pikaajalise parooliproovimise korral on vajalik füüsiline juurdepääs juurdepääsupunktile.

Kliendi seadmete kaitsevahendid

Peamine klientide kaitsevehendus Cisco Catalyst seeria 9800 traadita lahendustes on praegu Cisco Umbrella WLAN – pilvel baseeruv võrgu turvateenus, mis töötab DNS-tasandil, automaatselt tuvastades nii tuntud kui uusi ohte.

Cisco Umbrella WLAN tagab klientseadmete turvalise internetiühenduse. See saavutatakse sisu filtreerimise kaudu, st juurdepääsu blokeerimisega internetiressurssidele vastavalt ettevõtte poliitikale. Seega kaitstakse kliendiseadmeid internetis kahjulike programmide, lunavarade ja phisingu eest. Poliitikad põhinevad 60 pidevalt uuendataval sisu kategoorial.

Automatiseerimine

Kaasaegsed traadita võrgud on palju paindlikumad ja keerukamad, mistõttu ei ole traditsioonilised seadistamis- ja infovõtmismeetodid traadita kontrolleritest piisavad. Võrguhalduritel ja infotehnoloogia spetsialistidel on vaja automatiseerimise ja analüüsi instrumente, mis sunnib traadita lahenduste tootjaid selliseid tööriistu pakkuma.

Nende probleemide lahendamiseks Cisco Catalyst seeria 9800 traadita kontrollerites on lisaks traditsioonilisele API-le toetatud ka RESTCONF / NETCONF võrgu konfiguratsiooni protokoll, kasutades YANG (Yet Another Next Generation) andmemudeli keelt.

NETCONF on XML-põhine protokoll, mida rakendused saavad kasutada teabe pärimiseks ja võrgu seadmete, näiteks traadita kontrollerite konfiguratsiooni muutmiseks.

Lisaks nendele meetoditele on Cisco Catalyst seeria 9800 kontrollerites rakendatud võimalust saada, hankida ja analüüsida teavet andmevoogude kohta, kasutades NetFlow ja sFlow protokolle.

Kaitse tagamiseks ja liikluse modelleerimiseks on võimalus jälgida pidusid väärtuslik vahend. Selle ülesande lahendamiseks on rakendatud sFlow protokoll, mis võimaldab haarata iga saja paketi seast kaks. Kuid mõnikord võib see olla analüüsimiseks ja voogude adekvaatseks uurimiseks ebapiisav. Seetõttu on alternatiiviks NetFlow, mille Cisco on välja töötanud, mis võimaldab 100% koguda ja ekspordida kõiki pakette määratud voos edasise analüüsi jaoks.

Üheks funktsiooniks, mis on tõsi, et see on saadaval ainult kontrollerite riistvarateostuses, mis võimaldab automatiseerida traadita võrgu tööd Cisco Catalyst seeria 9800 kontrollerites, on sisseehitatud Python keele tugi skriptide kasutamiseks otse traadita kontrolleris.

Ja lõpuks, monitooringu ja haldamise operatsioonide jaoks toetavad Cisco Catalyst seeria 9800 kontrollerid ajaprooviga SNMP protokolli versioonides 1, 2 ja 3.

Nii vastavad Cisco Catalyst seeria 9800 lahendused täielikult tänapäeva äri nõudmistele, pakkudes nii uusi ja unikaalseid kui ka ajaprooviga tõestatud tööriistu automatiseeritud operatsioonide ja analüütika jaoks igasugustes traadita võrkudes.

Kokkuvõte

Cisco on Cisco Catalyst seeria 9800 kontrollerite lahendustes näidanud suurepäraseid tulemusi kategooriates: kõrge kättesaadavus, turvalisus ja automatiseerimine.

Lahendus rahuldab täielikult kõik kõrge kättesaadavuse nõuded, nagu automaatne üleminek vähem kui sekundiga ettenägematute juhtumite korral ja null seisak aega planeeritud sündmuste puhul.

Cisco Catalyst seeria 9800 kontrollerites on rakendatud komplektne kaitse, mis tagab sügava paketite kontrolli rakenduste tuvastamiseks ja nende haldamiseks, täieliku andmevoogude läbipaistvuse ja varjatud ohtude tuvastamise krüpteeritud liikluses, samuti rakendatakse arenenud autentimise ja klientseadmete kaitse mehhanisme.

Automatiseerimise ja analüütika operatsioonide jaoks Cisco Catalyst seeria 9800 lahendused pakuvad laialdasi võimalusi, kasutades populaarseid standardmudeleid: YANG, NETCONF, RESTCONF, traditsioonilised API-liidesed ja sisseehitatud Python skriptid.

Nii kinnitab Cisco jälle oma staatust juhtiva maailmasektori võrgu lahenduste tootjana, kes on sammu võrra ees ja arvestab kaasaegse äri kõiki väljakutseid.

Rohkem teavet Catalyst lülitite perekonna kohta leiate veebisaidil Cisco.

Allikas: habr.com