컨트롤러가 있다면 문제 없습니다. 무선 네트워크를 쉽게 유지 관리하는 방법

2019년 컨설팅 회사인 Miercom은 Cisco Catalyst 6 시리즈의 Wi-Fi 9800 컨트롤러에 대한 독립적인 기술 평가를 실시했습니다.이 연구를 위해 Cisco Wi-Fi 6 컨트롤러와 액세스 포인트로 테스트 벤치를 조립했으며 기술 솔루션은 다음과 같습니다. 다음 카테고리로 평가됩니다.

• 유효성;
• 보안;
• 오토메이션.

연구 결과는 아래와 같습니다. 2019년부터 Cisco Catalyst 9800 시리즈 컨트롤러의 기능이 크게 향상되었습니다. 이러한 사항은 이 기사에도 반영되어 있습니다.

Wi-Fi 6 기술의 다른 장점, 구현 예 및 적용 영역에 대해 읽을 수 있습니다. 여기에.

솔루션 개요

Wi-Fi 6 컨트롤러 Cisco Catalyst 9800 시리즈

IOS-XE 운영 체제(Cisco 스위치 및 라우터에도 사용됨)를 기반으로 하는 Cisco Catalyst 9800 시리즈 무선 컨트롤러는 다양한 옵션으로 제공됩니다.

9800-80 컨트롤러의 이전 모델은 최대 80Gbps의 무선 네트워크 처리량을 지원합니다. 하나의 9800-80 컨트롤러는 최대 6000개의 액세스 포인트와 최대 64개의 무선 클라이언트를 지원합니다.

중급 모델인 9800-40 컨트롤러는 최대 40Gbps 처리량, 최대 2000개의 액세스 포인트 및 최대 32개의 무선 클라이언트를 지원합니다.

이러한 모델 외에도 경쟁 분석에는 9800-CL 무선 컨트롤러(CL은 Cloud를 나타냄)도 포함되었습니다. 9800-CL은 VMWare ESXI 및 KVM 하이퍼바이저의 가상 환경에서 실행되며 성능은 컨트롤러 가상 머신의 전용 하드웨어 리소스에 따라 달라집니다. 최대 구성에서 Cisco 9800-CL 컨트롤러는 이전 모델 9800-80과 마찬가지로 최대 6000개의 액세스 포인트와 최대 64개의 무선 클라이언트까지 확장성을 지원합니다.

컨트롤러로 연구를 수행할 때 Cisco Aironet AP 4800 시리즈 액세스 포인트가 사용되었으며 듀얼 2,4GHz 모드로 동적으로 전환하는 기능과 함께 5GHz 및 5GHz 주파수에서의 작동을 지원했습니다.

테스트 벤치

테스트의 일환으로 클러스터에서 작동하는 두 개의 Cisco Catalyst 9800-CL 무선 컨트롤러와 Cisco Aironet AP 4800 시리즈 액세스 포인트로 스탠드를 조립했습니다.

Dell과 Apple의 노트북과 Apple iPhone 스마트폰이 클라이언트 장치로 사용되었습니다.

접근성 테스트

가용성은 사용자가 시스템이나 서비스에 액세스하고 사용할 수 있는 능력으로 정의됩니다. 고가용성은 특정 이벤트와 관계없이 시스템이나 서비스에 대한 지속적인 액세스를 의미합니다.

고가용성은 XNUMX가지 시나리오에서 테스트되었으며, 처음 XNUMX가지 시나리오는 업무 시간 중 또는 이후에 발생할 수 있는 예측 가능하거나 예약된 이벤트였습니다. 다섯 번째 시나리오는 예측할 수 없는 사건인 전형적인 실패입니다.

시나리오 설명:

• 오류 수정 – 시스템 소프트웨어를 완전히 업데이트하지 않고도 특정 오류나 취약성을 수정할 수 있는 시스템의 마이크로 업데이트(버그 수정 또는 보안 패치)입니다.
• 기능 업데이트 – 기능 업데이트를 설치하여 시스템의 현재 기능을 추가하거나 확장합니다.
• 전체 업데이트 – 컨트롤러 소프트웨어 이미지를 업데이트합니다.
• 액세스 포인트 추가 – 무선 컨트롤러 소프트웨어를 재구성하거나 업데이트할 필요 없이 무선 네트워크에 새로운 액세스 포인트 모델을 추가합니다.
• 오류 - 무선 컨트롤러 오류입니다.

버그 및 취약점 수정

많은 경쟁 솔루션의 경우 패치를 적용하려면 무선 컨트롤러 시스템의 전체 소프트웨어 업데이트가 필요한 경우가 많으며 이로 인해 계획되지 않은 가동 중지 시간이 발생할 수 있습니다. Cisco 솔루션의 경우 제품을 중단하지 않고 패치를 진행합니다. 무선 인프라가 계속 작동하는 동안 모든 구성 요소에 패치를 설치할 수 있습니다.

절차 자체는 매우 간단합니다. 패치 파일은 Cisco 무선 컨트롤러 중 하나의 부트스트랩 폴더에 복사된 다음 GUI 또는 명령줄을 통해 작업이 확인됩니다. 또한 시스템 작동을 중단하지 않고도 GUI나 명령줄을 통해 수정 사항을 실행 취소하고 제거할 수도 있습니다.

기능 업데이트

새로운 기능을 활성화하기 위해 기능적 소프트웨어 업데이트가 적용됩니다. 이러한 개선 사항 중 하나는 응용 프로그램 서명 데이터베이스를 업데이트하는 것입니다. 이 패키지는 테스트로 Cisco 컨트롤러에 설치되었습니다. 패치와 마찬가지로 기능 업데이트는 다운타임이나 시스템 중단 없이 적용, 설치 또는 제거됩니다.

전체 업데이트

현재 컨트롤러 소프트웨어 이미지의 전체 업데이트는 기능 업데이트와 동일한 방식으로 즉, 가동 중지 시간 없이 수행됩니다. 그러나 이 기능은 컨트롤러가 두 개 이상인 클러스터 구성에서만 사용할 수 있습니다. 전체 업데이트는 순차적으로 수행됩니다. 먼저 한 컨트롤러에서, 그 다음 두 번째 컨트롤러에서 수행됩니다.

새로운 액세스 포인트 모델 추가

이전에 사용된 컨트롤러 소프트웨어 이미지로 작동되지 않은 새로운 액세스 포인트를 무선 네트워크에 연결하는 것은 특히 대규모 네트워크(공항, 호텔, 공장)에서 상당히 일반적인 작업입니다. 경쟁사 솔루션에서는 이 작업을 수행하려면 시스템 소프트웨어를 업데이트하거나 컨트롤러를 재부팅해야 하는 경우가 많습니다.

새로운 Wi-Fi 6 액세스 포인트를 Cisco Catalyst 9800 시리즈 컨트롤러 클러스터에 연결할 때 이러한 문제는 관찰되지 않습니다. 컨트롤러에 새 포인트를 연결하는 작업은 컨트롤러 소프트웨어를 업데이트하지 않고 수행되며 이 프로세스에는 재부팅이 필요하지 않으므로 무선 네트워크에 어떤 영향도 미치지 않습니다.

컨트롤러 오류

테스트 환경에서는 두 개의 Wi-Fi 6 컨트롤러(Active/StandBy)를 사용하며 액세스 포인트는 두 컨트롤러에 직접 연결됩니다.

하나의 무선 컨트롤러는 활성 상태이고 다른 하나는 각각 백업용입니다. 활성 컨트롤러에 오류가 발생하면 백업 컨트롤러가 인계받고 상태가 활성으로 변경됩니다. 이 절차는 클라이언트용 액세스 포인트 및 Wi-Fi에 대해 중단 없이 발생합니다.

Безопасность

이 섹션에서는 무선 네트워크에서 매우 시급한 문제인 보안 측면에 대해 설명합니다. 솔루션의 보안은 다음 특성을 기반으로 평가됩니다.

• 애플리케이션 인식;
• 흐름 추적;
• 암호화된 트래픽 분석
• 침입 탐지 및 예방
• 인증수단;
• 클라이언트 장치 보호 도구.

애플리케이션 인식

기업용 Wi-Fi 시장과 산업용 Wi-Fi 시장의 다양한 제품 중에서 애플리케이션별로 트래픽을 얼마나 잘 식별하는지에 차이가 있습니다. 다양한 제조업체의 제품은 서로 다른 수의 애플리케이션을 식별할 수 있습니다. 그러나 경쟁 솔루션에서 식별 가능한 것으로 나열한 애플리케이션 중 상당수는 사실 고유한 애플리케이션이 아닌 웹사이트입니다.

애플리케이션 인식에는 또 다른 흥미로운 기능이 있습니다. 솔루션은 식별 정확도가 크게 다릅니다.

수행된 모든 테스트를 고려하면 Cisco의 Wi-Fi-6 솔루션이 애플리케이션 인식을 매우 정확하게 수행한다고 책임감 있게 말할 수 있습니다. Jabber, Netflix, Dropbox, YouTube 및 기타 인기 애플리케이션과 웹 서비스가 정확하게 식별되었습니다. Cisco 솔루션은 DPI(Deep Packet Inspection)를 사용하여 데이터 패킷을 더욱 심층적으로 분석할 수도 있습니다.

교통 흐름 추적

시스템이 데이터 흐름(예: 대용량 파일 이동)을 정확하게 추적하고 보고할 수 있는지 확인하기 위해 또 다른 테스트가 수행되었습니다. 이를 테스트하기 위해 FTP(파일 전송 프로토콜)를 사용하여 네트워크를 통해 6,5MB 파일이 전송되었습니다.

Cisco 솔루션은 작업을 완벽하게 수행했으며 NetFlow와 해당 하드웨어 기능 덕분에 이 트래픽을 추적할 수 있었습니다. 전송된 정확한 데이터 양으로 트래픽을 즉시 감지하고 식별했습니다.

암호화된 트래픽 분석

사용자 데이터 트래픽이 점점 더 암호화되고 있습니다. 이는 공격자가 추적하거나 가로채는 것을 방지하기 위해 수행됩니다. 그러나 동시에 해커들은 악성 코드를 숨기고 MiTM(Man-in-the-Middle) 또는 키로깅 공격과 같은 기타 모호한 작업을 수행하기 위해 점점 더 암호화를 사용하고 있습니다.

대부분의 기업은 먼저 방화벽이나 침입 방지 시스템을 사용하여 암호화된 트래픽의 일부를 해독하여 검사합니다. 그러나 이 프로세스는 많은 시간이 소요되며 네트워크 전체의 성능에 도움이 되지 않습니다. 또한, 일단 해독되면 이 데이터는 엿보는 눈에 취약해집니다.

Cisco Catalyst 9800 시리즈 컨트롤러는 다른 방법으로 암호화된 트래픽을 분석하는 문제를 성공적으로 해결합니다. 이 솔루션을 ETA(암호화된 트래픽 분석)라고 합니다. ETA는 현재 경쟁 솔루션과 유사하지 않으며 암호화된 트래픽을 해독할 필요 없이 악성 코드를 탐지하는 기술입니다. ETA는 Enhanced NetFlow를 포함하고 고급 동작 알고리즘을 사용하여 암호화된 트래픽에 숨어 있는 악성 트래픽 패턴을 식별하는 IOS-XE의 핵심 기능입니다.

ETA는 메시지를 해독하지 않지만 암호화된 트래픽 흐름의 메타데이터 프로필(패킷 크기, 패킷 간 시간 간격 등)을 수집합니다. 그런 다음 NetFlow v9 레코드의 메타데이터를 Cisco Stealthwatch로 내보냅니다.

Stealthwatch의 주요 기능은 트래픽을 지속적으로 모니터링하고 정상적인 네트워크 활동의 기준을 만드는 것입니다. Stealthwatch는 ETA에서 전송한 암호화된 스트림 메타데이터를 사용하여 다중 계층 머신 러닝을 적용하여 의심스러운 이벤트를 나타낼 수 있는 트래픽 이상 동작을 식별합니다.

작년에 Cisco는 Cisco Encrypted Traffic Analytics 솔루션을 독립적으로 평가하기 위해 Miercom과 협력했습니다. 이 평가 중에 Miercom은 위협을 식별하기 위해 대규모 ETA 및 비 ETA 네트워크 전반에 걸쳐 암호화된 트래픽과 암호화되지 않은 트래픽으로 알려진 위협과 알려지지 않은 위협(바이러스, 트로이 목마, 랜섬웨어)을 별도로 전송했습니다.

테스트를 위해 두 네트워크 모두에서 악성 코드가 실행되었습니다. 두 경우 모두 의심스러운 활동이 점차 발견되었습니다. ETA 네트워크는 처음에 비ETA 네트워크보다 36% 더 빠르게 위협을 탐지했습니다. 동시에 작업이 진행됨에 따라 ETA 네트워크의 탐지 생산성이 향상되기 시작했습니다. 그 결과, 몇 시간의 작업 끝에 활성 위협의 XNUMX분의 XNUMX가 ETA 네트워크에서 성공적으로 탐지되었으며, 이는 비ETA 네트워크에 비해 두 배나 많은 수치입니다.

ETA 기능은 Stealthwatch와 잘 통합되어 있습니다. 위협은 심각도에 따라 순위가 지정되며 자세한 정보는 물론 확인된 수정 옵션도 함께 표시됩니다. 결론 – ETA가 작동합니다!

침입 탐지 및 예방

Cisco는 이제 무선 네트워크에 대한 위협을 탐지하고 방지하는 메커니즘인 Cisco aWIPS(Advanced Wireless Intrusion Prevention System)라는 또 다른 효과적인 보안 도구를 보유하고 있습니다. aWIPS 솔루션은 컨트롤러, 액세스 포인트 및 Cisco DNA Center 관리 소프트웨어 수준에서 작동합니다. 위협 탐지, 경고 및 예방은 네트워크 트래픽 분석, 네트워크 장치 및 네트워크 토폴로지 정보, 서명 기반 기술, 이상 탐지를 결합하여 매우 정확하고 예방 가능한 무선 위협을 제공합니다.

aWIPS를 네트워크 인프라에 완전히 통합하면 유선 및 무선 네트워크 모두에서 무선 트래픽을 지속적으로 모니터링하고 이를 사용하여 여러 소스의 잠재적 공격을 자동으로 분석하여 가장 포괄적인 탐지 및 예방 기능을 제공할 수 있습니다.

인증수단

현재 Cisco Catalyst 9800 시리즈 솔루션은 기존 인증 도구 외에도 WPA3을 지원합니다. WPA3은 Wi-Fi 네트워크에 대한 인증 및 암호화를 제공하는 프로토콜 및 기술 집합인 WPA의 최신 버전입니다.

WPA3은 SAE(동일 인증)을 사용하여 제XNUMX자의 비밀번호 추측 시도로부터 사용자를 가장 강력하게 보호합니다. 클라이언트가 액세스 포인트에 연결되면 SAE 교환을 수행합니다. 성공하면 각각은 세션 키가 파생될 강력한 암호화 키를 생성한 다음 확인 상태로 들어갑니다. 그러면 클라이언트와 액세스 포인트는 세션 키를 생성해야 할 때마다 핸드셰이크 상태로 들어갈 수 있습니다. 이 방법은 공격자가 하나의 키를 해독할 수 있지만 다른 모든 키는 해독할 수 없는 순방향 비밀성을 사용합니다.

즉, SAE는 트래픽을 가로채는 공격자가 가로채는 데이터가 쓸모없게 되기 전에 단 한 번의 시도만으로 비밀번호를 추측할 수 있도록 설계되었습니다. 긴 비밀번호 복구를 구성하려면 액세스 포인트에 물리적으로 액세스해야 합니다.

클라이언트 장치 보호

Cisco Catalyst 9800 시리즈 무선 솔루션은 현재 알려진 위협과 새로운 위협을 자동으로 감지하여 DNS 수준에서 작동하는 클라우드 기반 네트워크 보안 서비스인 Cisco Umbrella WLAN을 통해 주요 고객 보호 기능을 제공합니다.

Cisco Umbrella WLAN은 클라이언트 장치에 안전한 인터넷 연결을 제공합니다. 이는 콘텐츠 필터링, 즉 기업 정책에 따라 인터넷 리소스에 대한 액세스를 차단함으로써 달성됩니다. 따라서 인터넷의 클라이언트 장치는 맬웨어, 랜섬웨어 및 피싱으로부터 보호됩니다. 정책 시행은 지속적으로 업데이트되는 60개의 콘텐츠 카테고리를 기반으로 합니다.

오토메이션

오늘날의 무선 네트워크는 훨씬 더 유연하고 복잡하므로 무선 컨트롤러에서 정보를 구성하고 검색하는 기존 방법으로는 충분하지 않습니다. 네트워크 관리자와 정보 보안 전문가에게는 자동화 및 분석을 위한 도구가 필요하므로 무선 공급업체는 이러한 도구를 제공해야 합니다.

이러한 문제를 해결하기 위해 Cisco Catalyst 9800 시리즈 무선 컨트롤러는 기존 API와 함께 YANG(Yet Another Next Generation) 데이터 모델링 언어를 사용하여 RESTCONF/NETCONF 네트워크 구성 프로토콜에 대한 지원을 제공합니다.

NETCONF는 애플리케이션이 정보를 쿼리하고 무선 컨트롤러와 같은 네트워크 장치의 구성을 변경하는 데 사용할 수 있는 XML 기반 프로토콜입니다.

이러한 방법 외에도 Cisco Catalyst 9800 시리즈 컨트롤러는 NetFlow 및 sFlow 프로토콜을 사용하여 정보 흐름 데이터를 캡처, 검색 및 분석하는 기능을 제공합니다.

보안 및 트래픽 모델링의 경우 특정 흐름을 추적하는 기능은 유용한 도구입니다. 이 문제를 해결하기 위해 sFlow 프로토콜이 구현되어 백 개 중 두 개의 패킷을 캡처할 수 있습니다. 그러나 때때로 이것은 흐름을 분석하고 적절하게 연구하고 평가하기에 충분하지 않을 수 있습니다. 따라서 대안은 Cisco에서 구현한 NetFlow입니다. 이를 통해 후속 분석을 위해 지정된 흐름의 모든 패킷을 100% 수집하고 내보낼 수 있습니다.

그러나 Cisco Catalyst 9800 시리즈 컨트롤러에서 무선 네트워크의 작동을 자동화할 수 있는 컨트롤러의 하드웨어 구현에서만 사용할 수 있는 또 다른 기능은 Python 언어에 대한 내장 지원입니다. 무선 컨트롤러 자체에 직접 스크립트를 작성합니다.

마지막으로 Cisco Catalyst 9800 시리즈 컨트롤러는 모니터링 및 관리 작업을 위해 검증된 SNMP 버전 1, 2, 3 프로토콜을 지원합니다.

따라서 자동화 측면에서 Cisco Catalyst 9800 시리즈 솔루션은 모든 규모와 복잡성의 무선 네트워크에서 자동화된 운영 및 분석을 위한 새롭고 독창적이며 오랜 테스트를 거친 도구를 제공하여 최신 비즈니스 요구 사항을 완벽하게 충족합니다.

결론

Cisco Catalyst 9800 Series Controller 기반 솔루션에서 Cisco는 고가용성, 보안 및 자동화 부문에서 뛰어난 결과를 보여주었습니다.

이 솔루션은 계획되지 않은 이벤트 중 XNUMX초 미만의 장애 조치 및 예정된 이벤트에 대한 다운타임 제로와 같은 모든 고가용성 요구 사항을 완벽하게 충족합니다.

Cisco Catalyst 9800 시리즈 컨트롤러는 애플리케이션 인식 및 제어를 위한 심층 패킷 검사, 데이터 흐름에 대한 완전한 가시성, 암호화된 트래픽에 숨겨진 위협 식별은 물론 클라이언트 장치에 대한 고급 인증 및 보안 메커니즘을 제공하는 포괄적인 보안을 제공합니다.

자동화 및 분석을 위해 Cisco Catalyst 9800 시리즈는 널리 사용되는 표준 모델인 YANG, NETCONF, RESTCONF, 기존 API 및 내장 Python 스크립트를 사용하여 강력한 기능을 제공합니다.

따라서 Cisco는 시대에 발맞추고 현대 비즈니스의 모든 과제를 고려하면서 세계 최고의 네트워킹 솔루션 제조업체로서의 위상을 다시 한 번 확인합니다.

Catalyst 스위치 제품군에 대한 자세한 내용을 보려면 다음 사이트를 방문하세요. 온라인으로 시스코.

출처 : habr.com

2019년 컨설팅 회사인 Miercom은 Cisco Catalyst 6 시리즈의 Wi-Fi 9800 컨트롤러에 대한 독립적인 기술 평가를 실시했습니다.이 연구를 위해 Cisco Wi-Fi 6 컨트롤러와 액세스 포인트로 테스트 벤치를 조립했으며 기술 솔루션은 다음과 같습니다. 다음 카테고리로 평가됩니다.

• 유효성;
• 보안;
• 오토메이션.

연구 결과는 아래와 같습니다. 2019년부터 Cisco Catalyst 9800 시리즈 컨트롤러의 기능이 크게 향상되었습니다. 이러한 사항은 이 기사에도 반영되어 있습니다.

Wi-Fi 6 기술의 다른 장점, 구현 예 및 적용 영역에 대해 읽을 수 있습니다. 여기에.

솔루션 개요

Wi-Fi 6 컨트롤러 Cisco Catalyst 9800 시리즈

IOS-XE 운영 체제(Cisco 스위치 및 라우터에도 사용됨)를 기반으로 하는 Cisco Catalyst 9800 시리즈 무선 컨트롤러는 다양한 옵션으로 제공됩니다.

9800-80 컨트롤러의 이전 모델은 최대 80Gbps의 무선 네트워크 처리량을 지원합니다. 하나의 9800-80 컨트롤러는 최대 6000개의 액세스 포인트와 최대 64개의 무선 클라이언트를 지원합니다.

중급 모델인 9800-40 컨트롤러는 최대 40Gbps 처리량, 최대 2000개의 액세스 포인트 및 최대 32개의 무선 클라이언트를 지원합니다.

이러한 모델 외에도 경쟁 분석에는 9800-CL 무선 컨트롤러(CL은 Cloud를 나타냄)도 포함되었습니다. 9800-CL은 VMWare ESXI 및 KVM 하이퍼바이저의 가상 환경에서 실행되며 성능은 컨트롤러 가상 머신의 전용 하드웨어 리소스에 따라 달라집니다. 최대 구성에서 Cisco 9800-CL 컨트롤러는 이전 모델 9800-80과 마찬가지로 최대 6000개의 액세스 포인트와 최대 64개의 무선 클라이언트까지 확장성을 지원합니다.

컨트롤러로 연구를 수행할 때 Cisco Aironet AP 4800 시리즈 액세스 포인트가 사용되었으며 듀얼 2,4GHz 모드로 동적으로 전환하는 기능과 함께 5GHz 및 5GHz 주파수에서의 작동을 지원했습니다.

테스트 벤치

테스트의 일환으로 클러스터에서 작동하는 두 개의 Cisco Catalyst 9800-CL 무선 컨트롤러와 Cisco Aironet AP 4800 시리즈 액세스 포인트로 스탠드를 조립했습니다.

Dell과 Apple의 노트북과 Apple iPhone 스마트폰이 클라이언트 장치로 사용되었습니다.

접근성 테스트

가용성은 사용자가 시스템이나 서비스에 액세스하고 사용할 수 있는 능력으로 정의됩니다. 고가용성은 특정 이벤트와 관계없이 시스템이나 서비스에 대한 지속적인 액세스를 의미합니다.

고가용성은 XNUMX가지 시나리오에서 테스트되었으며, 처음 XNUMX가지 시나리오는 업무 시간 중 또는 이후에 발생할 수 있는 예측 가능하거나 예약된 이벤트였습니다. 다섯 번째 시나리오는 예측할 수 없는 사건인 전형적인 실패입니다.

시나리오 설명:

• 오류 수정 – 시스템 소프트웨어를 완전히 업데이트하지 않고도 특정 오류나 취약성을 수정할 수 있는 시스템의 마이크로 업데이트(버그 수정 또는 보안 패치)입니다.
• 기능 업데이트 – 기능 업데이트를 설치하여 시스템의 현재 기능을 추가하거나 확장합니다.
• 전체 업데이트 – 컨트롤러 소프트웨어 이미지를 업데이트합니다.
• 액세스 포인트 추가 – 무선 컨트롤러 소프트웨어를 재구성하거나 업데이트할 필요 없이 무선 네트워크에 새로운 액세스 포인트 모델을 추가합니다.
• 오류 - 무선 컨트롤러 오류입니다.

버그 및 취약점 수정

많은 경쟁 솔루션의 경우 패치를 적용하려면 무선 컨트롤러 시스템의 전체 소프트웨어 업데이트가 필요한 경우가 많으며 이로 인해 계획되지 않은 가동 중지 시간이 발생할 수 있습니다. Cisco 솔루션의 경우 제품을 중단하지 않고 패치를 진행합니다. 무선 인프라가 계속 작동하는 동안 모든 구성 요소에 패치를 설치할 수 있습니다.

절차 자체는 매우 간단합니다. 패치 파일은 Cisco 무선 컨트롤러 중 하나의 부트스트랩 폴더에 복사된 다음 GUI 또는 명령줄을 통해 작업이 확인됩니다. 또한 시스템 작동을 중단하지 않고도 GUI나 명령줄을 통해 수정 사항을 실행 취소하고 제거할 수도 있습니다.

기능 업데이트

새로운 기능을 활성화하기 위해 기능적 소프트웨어 업데이트가 적용됩니다. 이러한 개선 사항 중 하나는 응용 프로그램 서명 데이터베이스를 업데이트하는 것입니다. 이 패키지는 테스트로 Cisco 컨트롤러에 설치되었습니다. 패치와 마찬가지로 기능 업데이트는 다운타임이나 시스템 중단 없이 적용, 설치 또는 제거됩니다.

전체 업데이트

현재 컨트롤러 소프트웨어 이미지의 전체 업데이트는 기능 업데이트와 동일한 방식으로 즉, 가동 중지 시간 없이 수행됩니다. 그러나 이 기능은 컨트롤러가 두 개 이상인 클러스터 구성에서만 사용할 수 있습니다. 전체 업데이트는 순차적으로 수행됩니다. 먼저 한 컨트롤러에서, 그 다음 두 번째 컨트롤러에서 수행됩니다.

새로운 액세스 포인트 모델 추가

이전에 사용된 컨트롤러 소프트웨어 이미지로 작동되지 않은 새로운 액세스 포인트를 무선 네트워크에 연결하는 것은 특히 대규모 네트워크(공항, 호텔, 공장)에서 상당히 일반적인 작업입니다. 경쟁사 솔루션에서는 이 작업을 수행하려면 시스템 소프트웨어를 업데이트하거나 컨트롤러를 재부팅해야 하는 경우가 많습니다.

새로운 Wi-Fi 6 액세스 포인트를 Cisco Catalyst 9800 시리즈 컨트롤러 클러스터에 연결할 때 이러한 문제는 관찰되지 않습니다. 컨트롤러에 새 포인트를 연결하는 작업은 컨트롤러 소프트웨어를 업데이트하지 않고 수행되며 이 프로세스에는 재부팅이 필요하지 않으므로 무선 네트워크에 어떤 영향도 미치지 않습니다.

컨트롤러 오류

테스트 환경에서는 두 개의 Wi-Fi 6 컨트롤러(Active/StandBy)를 사용하며 액세스 포인트는 두 컨트롤러에 직접 연결됩니다.

하나의 무선 컨트롤러는 활성 상태이고 다른 하나는 각각 백업용입니다. 활성 컨트롤러에 오류가 발생하면 백업 컨트롤러가 인계받고 상태가 활성으로 변경됩니다. 이 절차는 클라이언트용 액세스 포인트 및 Wi-Fi에 대해 중단 없이 발생합니다.

Безопасность

이 섹션에서는 무선 네트워크에서 매우 시급한 문제인 보안 측면에 대해 설명합니다. 솔루션의 보안은 다음 특성을 기반으로 평가됩니다.

• 애플리케이션 인식;
• 흐름 추적;
• 암호화된 트래픽 분석
• 침입 탐지 및 예방
• 인증수단;
• 클라이언트 장치 보호 도구.

애플리케이션 인식

기업용 Wi-Fi 시장과 산업용 Wi-Fi 시장의 다양한 제품 중에서 애플리케이션별로 트래픽을 얼마나 잘 식별하는지에 차이가 있습니다. 다양한 제조업체의 제품은 서로 다른 수의 애플리케이션을 식별할 수 있습니다. 그러나 경쟁 솔루션에서 식별 가능한 것으로 나열한 애플리케이션 중 상당수는 사실 고유한 애플리케이션이 아닌 웹사이트입니다.

애플리케이션 인식에는 또 다른 흥미로운 기능이 있습니다. 솔루션은 식별 정확도가 크게 다릅니다.

수행된 모든 테스트를 고려하면 Cisco의 Wi-Fi-6 솔루션이 애플리케이션 인식을 매우 정확하게 수행한다고 책임감 있게 말할 수 있습니다. Jabber, Netflix, Dropbox, YouTube 및 기타 인기 애플리케이션과 웹 서비스가 정확하게 식별되었습니다. Cisco 솔루션은 DPI(Deep Packet Inspection)를 사용하여 데이터 패킷을 더욱 심층적으로 분석할 수도 있습니다.

교통 흐름 추적

시스템이 데이터 흐름(예: 대용량 파일 이동)을 정확하게 추적하고 보고할 수 있는지 확인하기 위해 또 다른 테스트가 수행되었습니다. 이를 테스트하기 위해 FTP(파일 전송 프로토콜)를 사용하여 네트워크를 통해 6,5MB 파일이 전송되었습니다.

Cisco 솔루션은 작업을 완벽하게 수행했으며 NetFlow와 해당 하드웨어 기능 덕분에 이 트래픽을 추적할 수 있었습니다. 전송된 정확한 데이터 양으로 트래픽을 즉시 감지하고 식별했습니다.

암호화된 트래픽 분석

사용자 데이터 트래픽이 점점 더 암호화되고 있습니다. 이는 공격자가 추적하거나 가로채는 것을 방지하기 위해 수행됩니다. 그러나 동시에 해커들은 악성 코드를 숨기고 MiTM(Man-in-the-Middle) 또는 키로깅 공격과 같은 기타 모호한 작업을 수행하기 위해 점점 더 암호화를 사용하고 있습니다.

대부분의 기업은 먼저 방화벽이나 침입 방지 시스템을 사용하여 암호화된 트래픽의 일부를 해독하여 검사합니다. 그러나 이 프로세스는 많은 시간이 소요되며 네트워크 전체의 성능에 도움이 되지 않습니다. 또한, 일단 해독되면 이 데이터는 엿보는 눈에 취약해집니다.

Cisco Catalyst 9800 시리즈 컨트롤러는 다른 방법으로 암호화된 트래픽을 분석하는 문제를 성공적으로 해결합니다. 이 솔루션을 ETA(암호화된 트래픽 분석)라고 합니다. ETA는 현재 경쟁 솔루션과 유사하지 않으며 암호화된 트래픽을 해독할 필요 없이 악성 코드를 탐지하는 기술입니다. ETA는 Enhanced NetFlow를 포함하고 고급 동작 알고리즘을 사용하여 암호화된 트래픽에 숨어 있는 악성 트래픽 패턴을 식별하는 IOS-XE의 핵심 기능입니다.

ETA는 메시지를 해독하지 않지만 암호화된 트래픽 흐름의 메타데이터 프로필(패킷 크기, 패킷 간 시간 간격 등)을 수집합니다. 그런 다음 NetFlow v9 레코드의 메타데이터를 Cisco Stealthwatch로 내보냅니다.

Stealthwatch의 주요 기능은 트래픽을 지속적으로 모니터링하고 정상적인 네트워크 활동의 기준을 만드는 것입니다. Stealthwatch는 ETA에서 전송한 암호화된 스트림 메타데이터를 사용하여 다중 계층 머신 러닝을 적용하여 의심스러운 이벤트를 나타낼 수 있는 트래픽 이상 동작을 식별합니다.

작년에 Cisco는 Cisco Encrypted Traffic Analytics 솔루션을 독립적으로 평가하기 위해 Miercom과 협력했습니다. 이 평가 중에 Miercom은 위협을 식별하기 위해 대규모 ETA 및 비 ETA 네트워크 전반에 걸쳐 암호화된 트래픽과 암호화되지 않은 트래픽으로 알려진 위협과 알려지지 않은 위협(바이러스, 트로이 목마, 랜섬웨어)을 별도로 전송했습니다.

테스트를 위해 두 네트워크 모두에서 악성 코드가 실행되었습니다. 두 경우 모두 의심스러운 활동이 점차 발견되었습니다. ETA 네트워크는 처음에 비ETA 네트워크보다 36% 더 빠르게 위협을 탐지했습니다. 동시에 작업이 진행됨에 따라 ETA 네트워크의 탐지 생산성이 향상되기 시작했습니다. 그 결과, 몇 시간의 작업 끝에 활성 위협의 XNUMX분의 XNUMX가 ETA 네트워크에서 성공적으로 탐지되었으며, 이는 비ETA 네트워크에 비해 두 배나 많은 수치입니다.

ETA 기능은 Stealthwatch와 잘 통합되어 있습니다. 위협은 심각도에 따라 순위가 지정되며 자세한 정보는 물론 확인된 수정 옵션도 함께 표시됩니다. 결론 – ETA가 작동합니다!

침입 탐지 및 예방

Cisco는 이제 무선 네트워크에 대한 위협을 탐지하고 방지하는 메커니즘인 Cisco aWIPS(Advanced Wireless Intrusion Prevention System)라는 또 다른 효과적인 보안 도구를 보유하고 있습니다. aWIPS 솔루션은 컨트롤러, 액세스 포인트 및 Cisco DNA Center 관리 소프트웨어 수준에서 작동합니다. 위협 탐지, 경고 및 예방은 네트워크 트래픽 분석, 네트워크 장치 및 네트워크 토폴로지 정보, 서명 기반 기술, 이상 탐지를 결합하여 매우 정확하고 예방 가능한 무선 위협을 제공합니다.

aWIPS를 네트워크 인프라에 완전히 통합하면 유선 및 무선 네트워크 모두에서 무선 트래픽을 지속적으로 모니터링하고 이를 사용하여 여러 소스의 잠재적 공격을 자동으로 분석하여 가장 포괄적인 탐지 및 예방 기능을 제공할 수 있습니다.

인증수단

현재 Cisco Catalyst 9800 시리즈 솔루션은 기존 인증 도구 외에도 WPA3을 지원합니다. WPA3은 Wi-Fi 네트워크에 대한 인증 및 암호화를 제공하는 프로토콜 및 기술 집합인 WPA의 최신 버전입니다.

WPA3은 SAE(동일 인증)을 사용하여 제XNUMX자의 비밀번호 추측 시도로부터 사용자를 가장 강력하게 보호합니다. 클라이언트가 액세스 포인트에 연결되면 SAE 교환을 수행합니다. 성공하면 각각은 세션 키가 파생될 강력한 암호화 키를 생성한 다음 확인 상태로 들어갑니다. 그러면 클라이언트와 액세스 포인트는 세션 키를 생성해야 할 때마다 핸드셰이크 상태로 들어갈 수 있습니다. 이 방법은 공격자가 하나의 키를 해독할 수 있지만 다른 모든 키는 해독할 수 없는 순방향 비밀성을 사용합니다.

즉, SAE는 트래픽을 가로채는 공격자가 가로채는 데이터가 쓸모없게 되기 전에 단 한 번의 시도만으로 비밀번호를 추측할 수 있도록 설계되었습니다. 긴 비밀번호 복구를 구성하려면 액세스 포인트에 물리적으로 액세스해야 합니다.

클라이언트 장치 보호

Cisco Catalyst 9800 시리즈 무선 솔루션은 현재 알려진 위협과 새로운 위협을 자동으로 감지하여 DNS 수준에서 작동하는 클라우드 기반 네트워크 보안 서비스인 Cisco Umbrella WLAN을 통해 주요 고객 보호 기능을 제공합니다.

Cisco Umbrella WLAN은 클라이언트 장치에 안전한 인터넷 연결을 제공합니다. 이는 콘텐츠 필터링, 즉 기업 정책에 따라 인터넷 리소스에 대한 액세스를 차단함으로써 달성됩니다. 따라서 인터넷의 클라이언트 장치는 맬웨어, 랜섬웨어 및 피싱으로부터 보호됩니다. 정책 시행은 지속적으로 업데이트되는 60개의 콘텐츠 카테고리를 기반으로 합니다.

오토메이션

오늘날의 무선 네트워크는 훨씬 더 유연하고 복잡하므로 무선 컨트롤러에서 정보를 구성하고 검색하는 기존 방법으로는 충분하지 않습니다. 네트워크 관리자와 정보 보안 전문가에게는 자동화 및 분석을 위한 도구가 필요하므로 무선 공급업체는 이러한 도구를 제공해야 합니다.

이러한 문제를 해결하기 위해 Cisco Catalyst 9800 시리즈 무선 컨트롤러는 기존 API와 함께 YANG(Yet Another Next Generation) 데이터 모델링 언어를 사용하여 RESTCONF/NETCONF 네트워크 구성 프로토콜에 대한 지원을 제공합니다.

NETCONF는 애플리케이션이 정보를 쿼리하고 무선 컨트롤러와 같은 네트워크 장치의 구성을 변경하는 데 사용할 수 있는 XML 기반 프로토콜입니다.

이러한 방법 외에도 Cisco Catalyst 9800 시리즈 컨트롤러는 NetFlow 및 sFlow 프로토콜을 사용하여 정보 흐름 데이터를 캡처, 검색 및 분석하는 기능을 제공합니다.

보안 및 트래픽 모델링의 경우 특정 흐름을 추적하는 기능은 유용한 도구입니다. 이 문제를 해결하기 위해 sFlow 프로토콜이 구현되어 백 개 중 두 개의 패킷을 캡처할 수 있습니다. 그러나 때때로 이것은 흐름을 분석하고 적절하게 연구하고 평가하기에 충분하지 않을 수 있습니다. 따라서 대안은 Cisco에서 구현한 NetFlow입니다. 이를 통해 후속 분석을 위해 지정된 흐름의 모든 패킷을 100% 수집하고 내보낼 수 있습니다.

그러나 Cisco Catalyst 9800 시리즈 컨트롤러에서 무선 네트워크의 작동을 자동화할 수 있는 컨트롤러의 하드웨어 구현에서만 사용할 수 있는 또 다른 기능은 Python 언어에 대한 내장 지원입니다. 무선 컨트롤러 자체에 직접 스크립트를 작성합니다.

마지막으로 Cisco Catalyst 9800 시리즈 컨트롤러는 모니터링 및 관리 작업을 위해 검증된 SNMP 버전 1, 2, 3 프로토콜을 지원합니다.

따라서 자동화 측면에서 Cisco Catalyst 9800 시리즈 솔루션은 모든 규모와 복잡성의 무선 네트워크에서 자동화된 운영 및 분석을 위한 새롭고 독창적이며 오랜 테스트를 거친 도구를 제공하여 최신 비즈니스 요구 사항을 완벽하게 충족합니다.

결론

Cisco Catalyst 9800 Series Controller 기반 솔루션에서 Cisco는 고가용성, 보안 및 자동화 부문에서 뛰어난 결과를 보여주었습니다.

이 솔루션은 계획되지 않은 이벤트 중 XNUMX초 미만의 장애 조치 및 예정된 이벤트에 대한 다운타임 제로와 같은 모든 고가용성 요구 사항을 완벽하게 충족합니다.

Cisco Catalyst 9800 시리즈 컨트롤러는 애플리케이션 인식 및 제어를 위한 심층 패킷 검사, 데이터 흐름에 대한 완전한 가시성, 암호화된 트래픽에 숨겨진 위협 식별은 물론 클라이언트 장치에 대한 고급 인증 및 보안 메커니즘을 제공하는 포괄적인 보안을 제공합니다.

자동화 및 분석을 위해 Cisco Catalyst 9800 시리즈는 널리 사용되는 표준 모델인 YANG, NETCONF, RESTCONF, 기존 API 및 내장 Python 스크립트를 사용하여 강력한 기능을 제공합니다.

따라서 Cisco는 시대에 발맞추고 현대 비즈니스의 모든 과제를 고려하면서 세계 최고의 네트워킹 솔루션 제조업체로서의 위상을 다시 한 번 확인합니다.

Catalyst 스위치 제품군에 대한 자세한 내용을 보려면 다음 사이트를 방문하세요. 온라인으로 시스코.

출처 : habr.com