Nel 2019, la società di consulenza Miercom ha condotto una valutazione tecnologica indipendente dei controllori Wi-Fi 6 della serie Cisco Catalyst 9800. Per questo studio è stato realizzato un banco di prova composto da controllori e punti di accesso Wi-Fi 6 di Cisco, valutando la soluzione tecnica nelle seguenti categorie:
- Disponibilità;
- Sicurezza;
- Automazione.
I risultati dello studio sono riportati di seguito. Dal 2019, le funzionalità dei controllori Cisco Catalyst della serie 9800 sono state notevolmente migliorate – questi aspetti sono stati anche riflessi in questo articolo.
Per ulteriori vantaggi della tecnologia Wi-Fi 6, esempi di implementazione e aree di applicazione, puoi leggere.
Panorama della soluzione
Controllori Wi-Fi 6 della serie Cisco Catalyst 9800
La serie di controllori wireless Cisco Catalyst 9800, basata sul sistema operativo IOS-XE (lo stesso utilizzato per gli switch e i router Cisco), è disponibile in diverse varianti.
Il modello di punta 9800-80 supporta una larghezza di banda della rete wireless fino a 80 Gbit/s. Un controllore 9800-80 supporta fino a 6000 punti di accesso e fino a 64.000 clienti wireless.
Modello di fascia media – il controller 9800-40 – supporta una larghezza di banda fino a 40 Gbps, fino a 2000 punti di accesso e fino a 32.000 clienti wireless.
Oltre a questi modelli, nel confronto competitivo è stato incluso anche il controller wireless 9800-CL (CL sta per Cloud). Il modello 9800-CL funziona in ambienti virtuali su hypervisor VMWare ESXi e KVM, e le sue caratteristiche dipendono dalle risorse hardware dedicate alla macchina virtuale del controller. Nella configurazione massima, il controller Cisco 9800-CL, proprio come il modello superiore 9800-80, supporta una scalabilità fino a 6000 punti di accesso e fino a 64.000 clienti wireless.
Durante lo studio con i controller sono stati utilizzati punti di accesso Cisco Aironet AP della serie 4800, che supportano il funzionamento su frequenze di 2,4 e 5 GHz con la possibilità di passare dinamicamente alla modalità dual 5-GHz.
Banchi di prova
Per i test è stato allestito un banco di prova composto da due controller wireless Cisco Catalyst 9800-CL, che operano in cluster, e punti di accesso Cisco Aironet AP della serie 4800.
Come dispositivi client sono stati utilizzati laptop delle aziende Dell e Apple, oltre a uno smartphone Apple iPhone.
Test di disponibilità
L'accessibilità è definita come la capacità degli utenti di accedere a un sistema o a un servizio e di utilizzarli. L'alta disponibilità implica un accesso continuo al sistema o al servizio, indipendentemente da determinati eventi.
L'alta disponibilità è stata testata in quattro scenari, i primi tre scenari rappresentano eventi prevedibili o pianificati che possono avvenire durante l'orario lavorativo o al di fuori di esso. Il quinto scenario è un classico guasto, che è un evento imprevedibile.
Descrizione degli scenari:
- Correzione degli errori – micro-aggiornamento del sistema (bugfix o security patch), che consente di risolvere uno specifico errore o vulnerabilità senza dover effettuare un aggiornamento completo del software di sistema;
- Aggiornamento funzionale – aggiunta o estensione delle attuali funzionalità del sistema mediante l'installazione di aggiornamenti funzionali;
- Aggiornamento completo – aggiornamento dell'immagine software del controller;
- Aggiunta di un punto di accesso – inserimento di un nuovo modello di punto di accesso nella rete wireless senza necessità di riconfigurare o aggiornare il software del controller wireless;
- Errore – fallimento del controller wireless.
Correzione di errori e vulnerabilità
Spesso in molte soluzioni concorrenti, l'installazione delle patch richiede un aggiornamento completo del software del sistema del controller wireless, il che può portare a tempi di inattività non programmati. Nel caso della soluzione Cisco, l'installazione delle patch avviene senza interrompere la produttività. Le patch possono essere installate su uno qualsiasi dei componenti, mentre l'infrastruttura wireless continua a funzionare.
La procedura stessa è piuttosto semplice. Il file della patch viene copiato nella cartella di avvio su uno dei controller wireless Cisco, e poi tramite l'interfaccia grafica o la riga di comando viene confermata l'operazione. Inoltre, tramite l'interfaccia grafica o la riga di comando è possibile anche annullare e rimuovere la patch, sempre senza interrompere il funzionamento del sistema.
Aggiornamento funzionale
Gli aggiornamenti funzionali del software vengono applicati per attivare nuove funzionalità. Uno di questi miglioramenti è l'aggiornamento del database delle firme delle applicazioni. Questo pacchetto è stato installato nei controller Cisco come test. Proprio come per le patch, l'aggiornamento delle funzionalità viene applicato, installato o rimosso senza downtime o interruzione del funzionamento del sistema.
Aggiornamento completo
Al momento, l'aggiornamento completo dell'immagine software del controller viene eseguito allo stesso modo dell'aggiornamento funzionale, ovvero senza downtime. Tuttavia, questa possibilità è disponibile solo in configurazione cluster, quando ci sono più di un controller. L'aggiornamento completo viene eseguito in modo sequenziale: prima su un controller, poi sull'altro.
Aggiunta di un nuovo modello di access point
Collegare nuovi access point, che in precedenza non sono stati utilizzati con l'immagine software del controller in uso, alla rete wireless è un'operazione piuttosto comune, soprattutto nelle grandi reti (aeroporti, hotel, impianti di produzione). Spesso, nelle soluzioni dei concorrenti, questa operazione richiede un aggiornamento del software di sistema o il riavvio dei controller.
Durante il collegamento di nuovi punti di accesso Wi-Fi 6 al cluster di controllori Cisco Catalyst serie 9800, non si riscontrano problemi simili. Il collegamento di nuovi punti al controllore avviene senza aggiornamenti del firmware del controllore e questo processo non richiede riavvii, senza quindi influenzare in alcun modo la rete wireless.
Guasto del controllore
Nell'ambiente di test sono utilizzati due controllori (Attivo / StandBy) Wi-Fi 6 e il punto di accesso è collegato direttamente a entrambi i controllori.
Un controllore wireless è attivo, mentre l'altro è di riserva. In caso di guasto del controllore attivo, il controllo passa al controllore di riserva, che diventa attivo. Questa procedura avviene senza interruzioni per il punto di accesso e il Wi-Fi per i clienti.
Sicurezza
In questa sezione vengono trattati gli aspetti della sicurezza, che è un compito estremamente rilevante nelle reti wireless. La sicurezza della soluzione è valutata in base alle seguenti caratteristiche:
- Riconoscimento delle applicazioni;
- Monitoraggio del flusso di traffico;
- Analisi del traffico crittografato;
- Rilevamento e prevenzione delle intrusioni;
- Strumenti di autenticazione;
- Sistemi di protezione per i dispositivi dei clienti.
Riconoscimento delle applicazioni
Tra i vari prodotti disponibili nel mercato del Wi-Fi aziendale e industriale, ci sono differenze significative nella capacità di identificare il traffico in base alle applicazioni. I prodotti di diversi produttori possono identificare un numero variabile di applicazioni. Molti delle applicazioni elencate dalle soluzioni concorrenti come identificabili sono in realtà semplici siti web e non applicazioni uniche.
C'è un'altra caratteristica interessante nel riconoscimento delle applicazioni: le soluzioni variano considerevolmente in termini di accuratezza dell'identificazione.
Considerando tutti i test effettuati, possiamo affermare con certezza che la soluzione Wi-Fi 6 di Cisco esegue l'identificazione delle applicazioni in modo molto preciso: sono stati identificati correttamente Jabber, Netflix, Dropbox, YouTube e altre popolari applicazioni, oltre ai servizi web. Le soluzioni Cisco possono anche analizzare in modo più approfondito i pacchetti di dati grazie alla DPI (Deep Packet Inspection).
Monitoraggio del flusso del traffico
È stato eseguito un ulteriore test per determinare se il sistema può monitorare e segnalare accuratamente i flussi di dati (ad esempio, i trasferimenti di grandi file). Per verificare questo, un file di 6,5 megabyte è stato inviato tramite la rete utilizzando il protocollo di trasmissione file (FTP).
La soluzione Cisco ha gestito la richiesta con successo ed è riuscita a monitorare questo traffico grazie a NetFlow e alle sue capacità hardware. Il traffico è stato rilevato e identificato immediatamente con la corretta quantità di dati trasferiti.
Analisi del traffico crittografato
Il traffico dei dati utente è sempre più crittografato. Questo viene fatto per proteggerlo da monitoraggi o intercettazioni da parte di malintenzionati. Tuttavia, gli hacker utilizzano sempre più spesso la crittografia per nascondere il loro malware e condurre altre operazioni dubbi, come attacchi Man-in-the-Middle (MiTM) o attacchi di keylogging, ad esempio.
La maggior parte delle aziende esamina parte del traffico crittografato, decifrando inizialmente con firewall o sistemi di prevenzione delle intrusioni. Tuttavia, questo processo richiede molto tempo e non contribuisce positivamente alle prestazioni complessive della rete. Inoltre, dopo la decifratura, questi dati diventano vulnerabili a sguardi indiscreti.
I controller Cisco Catalyst della serie 9800 risolvono efficacemente il problema dell'analisi del traffico crittografato in modo alternativo. La soluzione si chiama Encrypted Traffic Analytics (ETA). L'ETA è una tecnologia senza eguali nelle soluzioni concorrenti attualmente disponibili e rileva malware nel traffico crittografato senza la necessità di decifrarlo. L'ETA è una funzione fondamentale di IOS-XE, che include Enhanced NetFlow e utilizza algoritmi comportamentali avanzati per identificare schemi di traffico dannosi nascosti nel traffico crittografato.
L'ETA non decifra i messaggi, ma raccoglie profili di metadati dei flussi di traffico crittografato – dimensione dei pacchetti, intervalli di tempo tra i pacchetti e molto altro. I metadati vengono quindi esportati in registrazioni NetFlow v9 in Cisco Stealthwatch.
La funzione principale di Stealthwatch è il monitoraggio costante del traffico, oltre alla creazione di indicatori di base per l'attività di rete normale. Utilizzando i metadati del flusso crittografato inviati a ETA, Stealthwatch applica machine learning multilivello per identificare anomalie comportamentali nel traffico che potrebbero indicare eventi sospetti.
Lo scorso anno, Cisco ha coinvolto Miercom per una valutazione indipendente della soluzione Cisco Encrypted Traffic Analytics. In questa valutazione, Miercom ha inviato separatamente minacce note e sconosciute (virus, trojan, ransomware) nel traffico crittografato e non crittografato attraverso grandi reti ETA e non ETA, per identificare le minacce.
Per la verifica, è stato eseguito codice maligno in entrambe le reti. In entrambi i casi, l'attività sospetta è stata rilevata gradualmente. Nella rete ETA, le minacce sono state scoperte il 36% più velocemente rispetto alla rete non-ETA. Nel corso del tempo, la produttività nel rilevamento nella rete ETA è aumentata. Alla fine, dopo alcune ore di lavoro nella rete ETA, sono state rilevate con successo due terzi delle minacce attive, il doppio rispetto al valore equivalente nella rete non-ETA.
La funzionalità ETA è ben integrata con Stealthwatch. Le minacce sono classificate per gravità, con informazioni dettagliate e opzioni di azione correttiva dopo la conferma. In sintesi, ETA funziona!
Rilevamento e prevenzione delle intrusioni
Cisco ha ora a disposizione un ulteriore strumento efficace per la sicurezza: il Cisco Advanced Wireless Intrusion Prevention System (aWIPS), un meccanismo di rilevamento e prevenzione delle minacce per le reti wireless. La soluzione aWIPS opera a livello di controller, punti di accesso e software di gestione Cisco DNA Center. Il processo di rilevamento, allerta e prevenzione delle minacce integra l'analisi del traffico di rete, le informazioni sui dispositivi di rete e la topologia di rete, metodi basati su firme e rilevamento delle anomalie, garantendo così un'elevata precisione e prevenzione delle minacce alla rete wireless.
L'integrazione completa di aWIPS nell'infrastruttura di rete consente un monitoraggio continuo del traffico wireless sia nelle reti cablate che in quelle wireless, utilizzandolo per un'analisi automatica delle potenziali attacchi da molteplici fonti, al fine di identificare e prevenire in modo completo possibili attacchi.
Strumenti di autenticazione
Attualmente, oltre ai metodi di autenticazione classici, le soluzioni Cisco Catalyst serie 9800 supportano WPA3. WPA3 è l'ultima versione di WPA, un insieme di protocolli e tecnologie che garantiscono autenticazione e crittografia per le reti Wi-Fi.
WPA3 utilizza il metodo di autenticazione simultanea di elementi equivalenti (SAE — Simultaneous Authentication of Equals) per fornire la massima protezione agli utenti contro tentativi di attacco alla password da parte di terzi. Quando un client si connette al punto di accesso, esegue uno scambio SAE. In caso di successo, ciascuno di essi genererà una chiave criptograficamente robusta, dalla quale verrà derivata la chiave di sessione, quindi passeranno allo stato di conferma. Dopo di che, il client e il punto di accesso possono entrare nello stato di conferma ogni volta che è necessario generare una chiave di sessione. Questo metodo utilizza la segretezza diretta, in cui un attaccante può compromettare una chiave, ma non tutte le altre chiavi.
Ciò significa che SAE è progettato in modo tale che un aggressore, che intercetta il traffico, ha solo un tentativo per indovinare la password prima che i dati intercettati diventino inutilizzabili. Per un attacco prolungato, sarebbe necessario l'accesso fisico al punto di accesso.
Misure di protezione dei dispositivi client
La principale misura di protezione dei clienti nelle soluzioni wireless Cisco Catalyst della serie 9800 è attualmente Cisco Umbrella WLAN - un servizio di sicurezza della rete basato su cloud che opera a livello DNS con rilevamento automatico delle minacce conosciute e nuove.
Cisco Umbrella WLAN fornisce ai dispositivi client una connessione sicura a Internet. Questo viene realizzato attraverso la filtrazione dei contenuti, ovvero bloccando l'accesso alle risorse della rete Internet in base alla politica dell'azienda. In questo modo, si protegge i dispositivi client su Internet da malware, ransomware e phishing. L'applicazione delle politiche si basa su 60 categorie di contenuto continuamente aggiornate.
Automazione
Le moderne reti wireless sono molto più flessibili e complesse, quindi i metodi tradizionali per configurare ed estrarre informazioni dai controller wireless non sono più sufficienti. Gli amministratori di rete e gli esperti di sicurezza informatica hanno bisogno di strumenti per l'automazione e l'analisi, il che spinge i produttori di soluzioni per reti wireless a offrire tali strumenti.
Per affrontare queste esigenze, nei controller wireless Cisco Catalyst della serie 9800, oltre all'API tradizionale, è supportato il protocollo di configurazione della rete RESTCONF / NETCONF con il linguaggio di modellazione dei dati YANG (Yet Another Next Generation).
NETCONF è un protocollo basato su XML che le applicazioni possono utilizzare per richiedere informazioni e modificare la configurazione dei dispositivi di rete, come i controller wireless.
In aggiunta a questi metodi, nei controller Cisco Catalyst della serie 9800 è stata implementata la possibilità di ottenere, campionare e analizzare i dati sul flusso delle informazioni tramite il protocollo NetFlow e sFlow.
Per garantire la sicurezza e per simulare il traffico, la possibilità di monitorare flussi specifici è uno strumento prezioso. Per affrontare questa esigenza, è stato implementato il protocollo sFlow, che consente di catturare due pacchetti ogni cento. Tuttavia, a volte ciò può non essere sufficiente per analizzare e valutare adeguatamente il flusso. Un'alternativa è rappresentata da NetFlow, implementato da Cisco, che permette di raccogliere ed esportare il 100% dei pacchetti in un flusso specificato per un'analisi successiva.
Un'altra funzione, disponibile solo nell'implementazione hardware dei controller, che consente di automatizzare il funzionamento della rete wireless nei controller Cisco Catalyst della serie 9800, è il supporto integrato del linguaggio Python come estensione per l'uso di script direttamente sul controller wireless stesso.
Infine, per le operazioni di monitoraggio e gestione nei controller Cisco Catalyst della serie 9800, è supportato il protocollo SNMP, collaudato nel tempo, nelle versioni 1, 2 e 3.
In questo modo, le soluzioni di automazione della serie Cisco Catalyst 9800 soddisfano completamente le esigenze moderne delle imprese, offrendo sia strumenti nuovi e unici sia quelli collaudati per l'esecuzione automatizzata delle operazioni e l'analisi nelle reti wireless di qualsiasi dimensione e complessità.
Conclusione
Nelle soluzioni basate sui controllori Cisco Catalyst della serie 9800, Cisco ha dimostrato risultati eccellenti nelle categorie: alta disponibilità, sicurezza e automazione.
La soluzione soddisfa pienamente tutti i requisiti di alta disponibilità, come il failover in meno di un secondo durante eventi imprevisti e zero downtime per eventi programmati.
I controllori Cisco Catalyst della serie 9800 implementano una protezione completa, che offre ispezione profonda dei pacchetti per il riconoscimento e il controllo delle applicazioni, trasparenza totale dei flussi di dati e identificazione delle minacce nascoste nel traffico crittografato, nonché meccanismi avanzati di autenticazione e protezione dei dispositivi client.
Per automatizzare le operazioni e per l'analisi, le soluzioni della serie Cisco Catalyst 9800 dispongono di ampie funzionalità, utilizzando modelli standard popolari: YANG, NETCONF, RESTCONF, API tradizionali e script Python integrati.
In questo modo, Cisco riafferma ancora una volta il proprio status di leader mondiale nel settore delle soluzioni di rete, rimanendo al passo con i tempi e considerando tutte le sfide del business moderno.
Per ulteriori informazioni sulla famiglia di switch Catalyst, puoi visitare Cisco.
Fonte: habr.com
