SecNet: беспроводность и безопасность

Киевская компания Secure Networking Distribution провела 11 декабря в отеле «Космополитъ» конференцию, на которой были рассмотрены вопросы построения беспроводных сетей на базе оборудования Aruba Networks и решения по безопасности от Cyberoam и Certes Networks.

Вадим Яковлев: «Решения Aruba оптимизированы для мобильных пользователей, устройств и приложений, просты в развертывании и хорошо защищены»

Конференция открылась кратким вступительным словом генерального директора SecNet Юрия Ефименко. Он отметил, что в современном динамичном мире беспроводные технологии играют все большую роль. Если не так давно беспроводные сети были популярны в SMB и SOHO, то сегодня, по крайней мере, в Украине, даже такие консервативные организации, как банки и государственные структуры разворачивают Wi-Fi. И здесь у Aruba Networks есть ряд интересных предложений.

О них участников проинформировал менеджер по продуктам Вадим Яковлев из SecNet Distribution, сделавший обзор продуктовой линейки, который включал и новинки этого года. Однако сначала докладчик кратко представил компанию Aruba Networks.

Основанная в 2002 г. со штаб-квартирой в Саннивейле, Калифорния, эта американская компания является производителем оборудования для беспроводных сетей Wi-Fi и разделяет правый верхний квадрат квадранта Gartner с Cisco и HP. Со штатом 1250 человек она имеет международные представительства более чем в 130 странах мира. Количество ее клиентов превышает 20 тыс.

Обзор продуктов был начат с семейства контроллеров мобильного доступа. Они предназначены для построения беспроводных сетей масштаба центрального офиса и филиалов и для реализации удаленной работы сотрудников. Контроллеры предоставляют широкий набор функций, включая IPS, брандмауэры с отслеживанием состояния сетевого соединения (stateful firewall), терминирование клиентских VPN, передачу голоса и видео без необходимости использования дополнительного оборудования. С их помощью может обеспечиваться персонифицированная безопасность проводной сети с использованием такой же схемы организации защиты, как и для беспроводной инфраструктуры. Все контроллеры построены на базе многопроцессорной архитектуры с выделенными процессорами для управления, обработки трафика и шифрования. Благодаря широкому ряду моделей Aruba может предложить устройства как для небольшого офиса, так и для большой кампусной сети. К примеру, младшая модель 620 поддерживает 8 ТД, подключенных к ЛВС, 32 удаленных ТД и 256 пользователей, тогда как старшая — модульный контроллер Aruba 6000 — позволяет управлять 2048 ТД-ЛВС, 8192 удаленными ТД и обслуживать 32768 пользователей. Таким образом, заказчики могут выбрать производительность, необходимую на каждом уровне сетевой инфраструктуры.

Недавно компания представила новое поколение контроллеров — серию 7200, в которую входят три модели, отличающиеся производительностью. Они приходят на смену контроллерам 3600 и 6000.

Что касается ТД, то все они поддерживают стандарт 802.11n. Имеются модели, работающие как в одном, так и в двух радиодиапазонах. Технология Adaptive Radio Management позволяет автоматизировать управление радиоканалами и защиту от радиопомех. Кроме этого, ТД работают как анализаторы спектра, сканируя диапазоны 2,4/5 ГГц и определяя источники радиопомех в данных диапазонах как стандарта 802.11, так и не 802.11. С помощью удаленных ТД (Remote AP) можно организовать с помощью шифрованного VPN-канала безопасный доступ к корпоративной сети для удаленных пользователей. Для построения внешних беспроводных сетей Aruba предлагает семейство беспроводных маршрутизаторов AirMesh.

«Чистота веры» нарушается присутствием в портфеле компании двух устройств: коммутатора третьего уровня S3500 и второго уровня S2500. Старшая модель имеет модульные блоки питания и вентиляторов, допускающие оперативную замену, и порты РоЕ, обеспечивающие мощность 30 Вт. Коммутаторы можно объединить в стек, содержащий до восьми устройств.

Кроме аппаратных средств, Aruba располагает и программными. Прежде всего, работу контроллеров мобильного доступа и ТД обеспечивает ОС ArubaOS. Масштабируемость и производительность осуществляется с помощью трех встроенных компонентов. Это ОС реального времени, обслуживающая распределенные процессорные мощности, которые реализуют функции маршрутизации, коммутации и брандмауэра. Вторым компонентом является многоядерная и многопоточная система управления оборудованием, а третьим — встроенный аппаратный процессор, который выполняет шифрование/дешифрование трафика без влияния на скорость передачи.

Михаил Рукосуев: «Продукты для удаленного доступа становятся востребованными в связи с растущим использованием мобильных устройств для работы с корпоративными данными, возникновением виртуальных и удаленных рабочих мест»

Платформа AirWave предназначена для управления сетями. По словам докладчика, это единственное на рынке решение, поддерживающее продукты практически всех производителей и позволяющее управлять как беспроводной, так и проводной инфраструктурами, а также мобильными устройствами многих поколений. Оно предоставляет системному администратору единую точку мониторинга всей сетевой инфраструктуры, что упрощает этот процесс и позволяет улучшить качество обслуживания клиентов. Пакет состоит из четырех компонентов. Ключевым является AirWave Management Platform, предоставляющий централизованное управление беспроводной инфраструктурой и возможность визуализации проводной составляющей сети. С помощью VisualRF Location and Mapping Module можно осуществлять планировку беспроводной сети, анализ и поиск неисправностей. Модуль RAPIDS Rogue Detection позволяет автоматически определять и локализовать неавторизованные точки доступа и предотвращать вторжения. Наконец, Master Console & Failover Servers осуществляет централизованный мониторинг до 50 тыс. беспроводных узлов.

Управление доступом к проводным и к беспроводным сетям, а также различным VPN-подключениям осуществляется с помощью ClearPass. С помощью политик безопасности система автоматизирует дифференцированный подход к пользователям и их устройствам в зависимости от местонахождения и типа устройства. ClearPass включает пять модулей, каждый из которых обеспечивает определенную функциональность, такую как создание политик доступа, автоматическое подключение устройств, получение гостевого доступа и т. п.

Тенденция BYOD вызвала потребность в быстром и легком разворачивании беспроводных сетей корпоративного класса. Построение таких сетей может быть выполнено с помощью ТД Aruba Instant, в которых реализован беспроводный виртуальный контроллер. Они позволяют обеспечить для крупных компаний необходимый набор функций и характеристик, включающий безопасность, масштабируемость и производительность. Технология допускает объединение в сеть до 16 таких ТД. Первая сконфигурированная ТД автоматически становится виртуальным контроллером и конфигурирует все остальные. В случае выхода ее из строя, другая ТД автоматически берет на себя функции виртуального контроллера, обеспечивая непрерывную работу сети.

В заключение Вадим Яковлев подчеркнул, что решения Aruba оптимизированы для мобильных пользователей, устройств и приложений, просты в развертывании и управлении и хорошо защищены.

Более детально о продуктах для удаленного доступа к сети рассказал системный инженер Aruba Михаил Рукосуев. Эти технологии становятся все более востребованными в связи с растущим использованием персональных мобильных устройств для работы с корпоративными данными, возникновением виртуальных и удаленных рабочих мест и с распространением распределенных сетевых инфраструктур. Компания предлагает различные продукты для расширения границ офиса, которые, в общем, были рассмотрены предыдущим докладчиком. Михаил обратил внимание участников на то, что классификация компании предусматривает два класса ТД: управляемые контроллером и неуправляемые контроллером. Необходимость в контроллере (и соответствующих ТД) возникает в тех случаях, когда требуется высокая производительность WLAN, упрощение проектирования проводной и беспроводной сети, улучшенное резервирование, общие политики управления и доступа для проводных и беспроводных сетей, конвергенция офисной сети и удаленного доступа.

Подключение удаленных и мобильных сотрудников к корпоративной сети выполняется с помощью агента Aruba Virtual Intranet Access (VIA), устанавливаемого пользователями на свои мобильные устройства. VIA может работать в среде Windows, Mac OS, iOS и Android.

Компания рекомендует строить расширенные сети в четыре этапа. На первом инсталлировать неуправляемые контроллером ТД Aruba Instant и систему управления AirWave. Затем с целью унификации политик безопасности в инфраструктуру можно добавить коммутатор мобильного доступа, к которому можно подключать до восьми ТД. На следующем этапе в инфраструктуре появляется контроллер мобильного доступа, позволяющий централизованно управлять сетью. Заключительный этап — добавление дополнительных сервисов, таких как гостевой доступ, BYOD, профилирование и т. п.

Для обеспечения безопасности в корпоративных беспроводных сетях Aruba предлагает систему Wireless Intrusion Detection & Prevention Systems (WIPS). Защита радиоэфира осуществляется с помощью RFProtect (RFP). В его функции, в частности, входит мониторинг радиоэфира, идентификация источников помех, предотвращение атак, оптимизация каналов с учетом источников шума, блокировка неавторизованных беспроводных устройств, автоматическая классификация вторжений и угроз. Заслуживает внимания тот факт, что каждая ТД Aruba имеет встроенный модуль RFP. Соответственно, ТД могут работать в гибридном режиме, осуществляя подключение клиентов и ряд функций RFP, в выделенном режиме мониторинга радиоэфира и как анализаторы радиоспектра. Алгоритм работы WIPS включает мониторинг спектра, классификацию угроз на основе политик, автоматическое блокирование угроз, оповещение и аудит.

Александр Хоменко: «Уверенным в защите данных можно быть только тогда, когда на обоих концах канала стоят устройства шифрования трафика»

Без рассмотрения вопросов информационной безопасности не обходится, практически, ни одна конференция по сетевым технологиям. На этот раз участники познакомились с продуктовой линейкой Cyberoam, которую представил руководитель сетевого департамента SecNet Александр Хоменко.

Компания специализируется исключительно на оборудовании UTM (Unified Threat Management). Ее портфель содержит непосредственно устройства с UTM-функциональностью, централизованную систему управления безопасностью для удаленных офисов и клиентов Cyberoam Central Console (CCC), устройства для мониторинга и анализа сетей iView и беспроводные маршрутизаторы для домашних пользователей NetGenie.

Линейка UTM-устройств включает модели для малого офиса, а также корпоративного класса среднего и высокого уровней. Недавно компания выпустила новое поколение этих устройств с увеличенной процессорной мощностью. Cyberoam NG series готова к будущим высокоскоростным сетям. ССС представлена в двух вариантах: как аппаратное решение и как программа, которая может устанавливаться на сервер. Работа iView, по сути, заключается в сборе событий регистрации входа в систему и предоставления отчетности. NetGenie, кроме своего основного назначения, позволяет осуществлять родительский контроль подключений к Интернету. Компания также выпустила программный вариант UTM, что дает возможность эффективнее использовать мощности корпоративного ЦОД.

Особенность подхода Cyberoam к архитектуре UTM-устройств заключается в том, что компания считает разработку специализированных микросхем (ASIC) в данном случае слишком дорогим удовольствием и полагает, что современные многоядерные процессоры в состоянии выполнять анализ трафика с достаточной производительностью. Более того, тесты показали, что при большом количестве задач (больше 10) многоядерный процессор справляется с работой быстрее.

В общем, по словам выступающего, новый игрок на рынке UTM-устройств Cyberoam не только выпускает высокопроизводительные решения, но и учитывает при их разработке тенденции развития безопасных сетей будущего.

Тема безопасности была продолжена в следующей презентации Александра Хоменко, посвященной шифрованию данных в сетях предприятий от американской Certes Networks. Компания занимает лидирующие позиции в этом сегменте. Так, на ее счету первое устройство для шифрования трафика 1 GbE, первый релиз группового шифрования (Group Encryption), первое многоуровневое устройство шифрования (Multi-Layer Encryption Appliance), первый многоуровневый шифратор трафика 10 GbE.

Решение компании предлагает ряд существенных преимуществ в производительности и стоимости по сравнению с IPsec-туннелями. В частности, оно предоставляет производительность на уровне порта, работает там, где традиционный IPsec неприменим (уровни 2, 3 и 4 OSI), прозрачно для сетевой инфраструктуры.

Докладчик подчеркнул, что VPN не обеспечивают достаточный уровень безопасности. По его мнению, уверенным в защите можно быть только тогда, когда на обоих концах канала стоят устройства шифрования трафика. Шифрование имеет также ряд преимуществ перед IPsec. Так, оно не сказывается на производительности сети, не требует изменений в архитектуре, обеспечивает простоту добавления или удаления узлов.

Далее Александр Хоменко рассмотрел примеры использования технологий шифрования Certes в госучреждениях, финансовых компаниях, промышленности и операторами связи.

Всем процессом шифрования управляет система TrustNet Manager 3.0. Она предоставляет многопользовательский интерфейс, поддерживает кластерную архитектуру, позволяет делать выбор между физическими и виртуальными серверами. Кроме этого, система позволяет разбивать устройства на группы и в каждой группе управлять политиками шифрования на разных уровнях (L2, L3 L4 OSI). Поддерживаются все основные каналы передачи данных: Ethernet, ATM, FC и SONET/SDH. Линейка устройств Certes Enforcement Points (CEP) охватывает скорости от 3 Мб/с до 10 Гб/с.

Таким образом, по словам выступающего, решения Certes Networks позволяют компаниям защитить данные, уменьшить риски и выполнить требования по безопасности без необходимости вносить изменения в свои сети.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365