2019年，咨询公司Miercom对思科Catalyst 6系列Wi-Fi 9800控制器进行了独立技术评估，本次研究由思科Wi-Fi 6控制器和接入点组装而成的测试台，技术方案为评估分为以下几类：
- 可用性;
- 安全;
- 自动化。
研究结果如下所示。 自 2019 年以来，Cisco Catalyst 9800 系列控制器的功能得到了显着改进 - 这些点也在本文中得到了体现。
您可以阅读 Wi-Fi 6 技术的其他优势、实施示例和应用领域.
解决方案概述
Wi-Fi 6 控制器 Cisco Catalyst 9800 系列
Cisco Catalyst 9800 系列无线控制器基于 IOS-XE 操作系统（也用于思科交换机和路由器），有多种选项可供选择。
旧型号的 9800-80 控制器支持高达 80 Gbps 的无线网络吞吐量。 一台 9800-80 控制器支持多达 6000 个接入点和多达 64 个无线客户端。
中端型号 9800-40 控制器支持高达 40 Gbps 的吞吐量、最多 2000 个接入点和最多 32 个无线客户端。
除了这些型号之外，竞争分析还包括 9800-CL 无线控制器（CL 代表云）。 9800-CL在VMWare ESXI和KVM管理程序的虚拟环境中运行，其性能取决于控制器虚拟机的专用硬件资源。 在其最大配置下，Cisco 9800-CL 控制器与旧型号 9800-80 一样，支持最多 6000 个接入点和最多 64 个无线客户端的可扩展性。
在使用控制器进行研究时，使用了 Cisco Aironet AP 4800 系列接入点，支持在 2,4 和 5 GHz 频率下运行，并能够动态切换到双 5 GHz 模式。
测试台
作为测试的一部分，一个支架由在集群中运行的两个 Cisco Catalyst 9800-CL 无线控制器和 Cisco Aironet AP 4800 系列接入点组装而成。
戴尔和苹果的笔记本电脑以及苹果 iPhone 智能手机被用作客户端设备。
辅助功能测试
可用性被定义为用户访问和使用系统或服务的能力。 高可用性意味着对系统或服务的连续访问，独立于某些事件。
高可用性在四种场景中进行了测试，前三种场景是可预测或预定的事件，可能在工作时间期间或之后发生。 第五种情况是典型的失败，这是不可预测的事件。
场景描述：
- 错误修正——系统的微更新（错误修复或安全补丁），允许您在不完全更新系统软件的情况下修复特定错误或漏洞；
- 功能更新——通过安装功能更新来添加或扩展系统当前的功能；
- 全面更新——更新控制器软件镜像；
- 添加接入点——向无线网络添加新的接入点型号，无需重新配置或更新无线控制器软件；
- 故障——无线控制器故障。
修复错误和漏洞
通常，对于许多竞争性解决方案，修补需要对无线控制器系统进行完整的软件更新，这可能会导致意外停机。 对于思科解决方案，修补是在不停止产品的情况下执行的。 可以在任何组件上安装补丁，同时无线基础设施继续运行。
该过程本身非常简单。 补丁文件被复制到思科无线控制器之一的引导文件夹中，然后通过 GUI 或命令行确认操作。 此外，您还可以通过 GUI 或命令行撤消和删除修复，而且无需中断系统操作。
功能更新
应用功能软件更新来启用新功能。 其中一项改进是更新应用程序签名数据库。 该软件包作为测试安装在 Cisco 控制器上。 就像补丁一样，功能更新的应用、安装或删除不会造成任何停机或系统中断。
全面更新
目前，控制器软件映像的完整更新以与功能更新相同的方式执行，即无需停机。 但是，此功能仅在存在多个控制器时在集群配置中可用。 完整的更新按顺序执行：首先在一个控制器上，然后在第二个控制器上。
添加新的接入点模型
将以前未使用所使用的控制器软件映像进行操作的新接入点连接到无线网络是相当常见的操作，特别是在大型网络（机场、酒店、工厂）中。 在竞争对手的解决方案中，此操作通常需要更新系统软件或重新启动控制器。
将新的 Wi-Fi 6 接入点连接到 Cisco Catalyst 9800 系列控制器集群时，没有观察到此类问题。 将新点连接到控制器无需更新控制器软件，并且此过程不需要重新启动，因此不会以任何方式影响无线网络。
控制器故障
测试环境使用两个 Wi-Fi 6 控制器（主用/备用），接入点直接连接到两个控制器。
一个无线控制器处于活动状态，另一个处于备用状态。 如果主用控制器出现故障，则备用控制器将接管其状态并将其状态更改为“主用”。 此过程不会中断客户端的接入点和 Wi-Fi。
安全
本节讨论安全性的各个方面，这是无线网络中极其紧迫的问题。 解决方案的安全性根据以下特征进行评估：
- 应用认可；
- 流量跟踪；
- 加密流量分析；
- 入侵检测和预防；
- 认证手段；
- 客户端设备保护工具。
应用认可
在企业和工业 Wi-Fi 市场的各种产品中，产品按应用识别流量的能力存在差异。 不同制造商的产品可能会识别不同数量的应用。 然而，竞争解决方案列出的许多可用于识别的应用程序实际上是网站，而不是唯一的应用程序。
应用识别还有一个有趣的特点：解决方案在识别准确度上差异很大。
考虑到所执行的所有测试，我们可以负责任地声明，思科的 Wi-Fi-6 解决方案非常准确地执行应用程序识别：Jabber、Netflix、Dropbox、YouTube 和其他流行应用程序以及 Web 服务均被准确识别。 思科解决方案还可以使用 DPI（深度数据包检测）更深入地分析数据包。
交通流量追踪
另一项测试是为了查看系统是否能够准确跟踪和报告数据流（例如大文件移动）。 为了测试这一点，使用文件传输协议 (FTP) 通过网络发送了一个 6,5 MB 的文件。
借助 NetFlow 及其硬件功能，思科解决方案完全能够胜任这项任务，并且能够跟踪此流量。 立即检测并识别流量并传输准确的数据量。
加密流量分析
用户数据流量越来越多地被加密。 这样做是为了保护它不被攻击者跟踪或拦截。 但与此同时，黑客越来越多地使用加密来隐藏其恶意软件并执行其他可疑操作，例如中间人 (MiTM) 或键盘记录攻击。
大多数企业首先使用防火墙或入侵防御系统对其进行解密来检查其部分加密流量。 但这个过程需要花费大量时间，并且对整个网络的性能没有好处。 此外，一旦解密，这些数据就很容易被窥探。
Cisco Catalyst 9800 系列控制器成功解决了通过其他方式分析加密流量的问题。 该解决方案称为加密流量分析 (ETA)。 ETA 是一项目前在竞争解决方案中没有类似技术的技术，它可以检测加密流量中的恶意软件，而无需对其进行解密。 ETA 是 IOS-XE 的核心功能，其中包括增强型 NetFlow，并使用先进的行为算法来识别隐藏在加密流量中的恶意流量模式。
ETA 不会解密消息，而是收集加密流量的元数据配置文件 - 数据包大小、数据包之间的时间间隔等等。 然后，元数据以 NetFlow v9 记录的形式导出到 Cisco Stealthwatch。
Stealthwatch 的关键功能是持续监控流量，并创建正常网络活动的基线。 Stealthwatch 使用 ETA 发送给它的加密流元数据，应用多层机器学习来识别可能表明可疑事件的行为流量异常。
去年，思科聘请 Miercom 独立评估其思科加密流量分析解决方案。 在此评估期间，Miercom 在大型 ETA 和非 ETA 网络上以加密和未加密流量的形式分别发送已知和未知威胁（病毒、特洛伊木马、勒索软件），以识别威胁。
为了进行测试，在两个网络上都启动了恶意代码。 在这两起案件中，可疑活动都逐渐被发现。 ETA 网络最初检测到威胁的速度比非 ETA 网络快 36%。 同时，随着工作的进展，ETA网络中的检测效率开始提高。 结果，经过几个小时的工作，在 ETA 网络中成功检测到了三分之二的主动威胁，这一数字是非 ETA 网络中的两倍。
ETA 功能与 Stealthwatch 完美集成。 威胁按严重程度进行排名，并显示详细信息以及确认后的补救选项。 结论——预计到达时间有效！
入侵检测与预防
思科现在拥有另一种有效的安全工具 - 思科高级无线入侵防御系统 (aWIPS)：一种用于检测和防止无线网络威胁的机制。 aWIPS 解决方案在控制器、接入点和 Cisco DNA Center 管理软件级别运行。 威胁检测、警报和预防结合了网络流量分析、网络设备和网络拓扑信息、基于签名的技术以及异常检测，以提供高度准确且可预防的无线威胁。
将 aWIPS 完全集成到您的网络基础设施中，您可以持续监控有线和无线网络上的无线流量，并使用它自动分析来自多个来源的潜在攻击，以提供最全面的检测和预防。
认证方式
目前，除了经典的身份验证工具外，Cisco Catalyst 9800 系列解决方案还支持 WPA3。 WPA3 是 WPA 的最新版本，它是一组为 Wi-Fi 网络提供身份验证和加密的协议和技术。
WPA3 使用同时身份验证 (SAE) 为用户提供最强有力的保护，防止第三方尝试猜测密码。 当客户端连接到接入点时，它会执行 SAE 交换。 如果成功，他们每个人都将创建一个加密的强密钥，从中派生会话密钥，然后他们将进入确认状态。 然后，每次需要生成会话密钥时，客户端和接入点都可以进入握手状态。 该方法使用前向保密，攻击者可以破解一个密钥，但不能破解所有其他密钥。
也就是说，SAE 的设计方式是，拦截流量的攻击者只需尝试一次猜测密码，拦截的数据就变得无用。 要组织长密码恢复，您需要对接入点进行物理访问。
客户端设备保护
Cisco Catalyst 9800 系列无线解决方案目前通过 Cisco Umbrella WLAN 提供核心客户保护，Cisco Umbrella WLAN 是一种基于云的网络安全服务，在 DNS 级别运行，可自动检测已知和新出现的威胁。
Cisco Umbrella WLAN 为客户端设备提供了与互联网的安全连接。 这是通过内容过滤来实现的，即根据企业策略阻止对互联网上资源的访问。 因此，互联网上的客户端设备可以免受恶意软件、勒索软件和网络钓鱼的侵害。 政策执行基于 60 个不断更新的内容类别。
自动化
当今的无线网络更加灵活和复杂，因此从无线控制器配置和检索信息的传统方法已经不够了。 网络管理员和信息安全专业人员需要自动化和分析工具，促使无线供应商提供此类工具。
为了解决这些问题，Cisco Catalyst 9800 系列无线控制器与传统 API 一起，通过 YANG（又一个下一代）数据建模语言提供对 RESTCONF / NETCONF 网络配置协议的支持。
NETCONF 是一种基于 XML 的协议，应用程序可使用它来查询信息并更改无线控制器等网络设备的配置。
除了这些方法之外，Cisco Catalyst 9800 系列控制器还提供使用 NetFlow 和 sFlow 协议捕获、检索和分析信息流数据的功能。
对于安全和流量建模，跟踪特定流量的能力是一个很有价值的工具。 为了解决这个问题，我们实现了 sFlow 协议，它允许您从每一百个数据包中捕获两个数据包。 然而，有时这可能不足以分析和充分研究和评估流程。 因此，另一种选择是由 Cisco 实现的 NetFlow，它允许您 100% 收集并导出指定流中的所有数据包以供后续分析。
然而，另一个功能仅在控制器的硬件实现中可用，它允许您在 Cisco Catalyst 9800 系列控制器中自动操作无线网络，该功能是对 Python 语言的内置支持，作为使用的附加组件直接在无线控制器本身上编写脚本。
最后，思科 Catalyst 9800 系列控制器支持经过验证的 SNMP 版本 1、2 和 3 协议，用于监控和管理操作。
因此，在自动化方面，Cisco Catalyst 9800 系列解决方案完全满足现代业务需求，为任何规模和复杂程度的无线网络中的自动化操作和分析提供新颖、独特且经过时间考验的工具。
结论
在基于Cisco Catalyst 9800系列控制器的解决方案中，思科在高可用性、安全性和自动化方面展示了出色的成果。
该解决方案完全满足所有高可用性要求，例如计划外事件期间的亚秒级故障转移和计划事件的零停机时间。
Cisco Catalyst 9800 系列控制器提供全面的安全性，可提供用于应用程序识别和控制的深度数据包检测、数据流的完整可视性、加密流量中隐藏威胁的识别，以及客户端设备的高级身份验证和安全机制。
对于自动化和分析，Cisco Catalyst 9800 系列使用流行的标准模型提供强大的功能：YANG、NETCONF、RESTCONF、传统 API 和内置 Python 脚本。
由此，思科再次确认了其作为全球领先的网络解决方案制造商的地位，与时俱进并考虑到现代商业的所有挑战。
有关 Catalyst 开关系列的更多信息，请访问 思科
来源： habr.com