Функциональность современных

беспроводных сетей Cisco

Сергей Монин 18/11/2013

Содержани

е Введение

Возможности современных WLAN

Безопасность: современные

возможности WIPS и противодействие

rogue APs, механизмы защиты.

Выводы

“Мы подняли feedback с прошлогодней сесии.

Мы опрашивали участников после виртуального дня.

Просьба учесть в докладе Сергея, если возможно:

- Безопасность беспроводных сетей 802.11

- wireless security mistakes

- больше про беспроводные сети

- Беспроводные технологии.

- безопасность беспроводных сетей

- Возможности современных беспроводных сетей Cisco –

только в полном варианте - а не "галопом по Европе" как это было сегодня”

Введение

Развитие беспроводных сетей в мире

Беспрецедентные темпы

WLAN (Мощные, полнофункциональные сети предприятий)

Домовые сети

Соединение удаленных проводных сетей на большие расстояния

Мониторинг безопасности, системы позиционирования

Mesh сети уличного и внутриофисного исполнения

Введение

Развитие Outdoor-mesh и прото outdoor беспроводных сетей в мире

Потребители:

Провайдеры

Широкополосный доступ

Муниципальные сети

Транспорт

Нефте-газо добыча/транспортировка

Введение

Локальные сети с контроллером vs :Единая система организации WLAN.

Гибкая система управления безопасностью

(встроенные механизмы обнаружения вторжений).

Высокая производительность.

Встроенная система отслеживания перемещений.

Уменьшение затрат на развертывание и поддержку сети.

Простота управления беспроводной сетью большого масштаба.

Облегчен Site Survey.

Сравним со standalone решениями…

Введение

Локальные сети с контроллером:

Восстановление покрытия при

выходе из строя какой-либо АР

В случае перегрузки, переключение

новых пользователей

Автоматическое управление

производительностью сети:

Настали времена, когда уже не нужно доказывать ценность централизованного управления

Точки доступа:

Введение

3700 3600 3500 1260 1140 1040 600 1550

Скорость, Mb 1.3/450 450+ 300 300 300 300 300 300

CleanAir Для ас да да Да

ClientLink 3.0 2.0 Да да да да

Rougue Detection да да Да да да да Да

WIPS да да да да да Да

Office Extend Да

FlexConnect да да да да да да В 7.2

Mesh да да да да да да Да

AP500, 100, 300, 600, 700, 1040, 1130, 1140, 1200, 1240, 1250, 1260, 1600, 2600,

3500, 3600, 3700, 1300, 1400, 1500, 1520, 1530(замена1310), 1550…

Модули: WSSI – Wireless security, 3G Small Cell – до 16 LTE клиентов(для опсосов)

И видимо будут новые модули для поддержки второй волны 802.11АС (3.5Gb, MU-MIMO)

МЕРАКИ :

Новое

Купите точки (500-800$) и лицензию на обслуживание вместо контроллера

(150$ per AP/Year). Обслуживать точки будет виртуальный контроллер,

Расположенный где-то в Cisco )) управлять/анализировать можно через WEB.

Точки будут работать примерно как в FlexConnect…

???

Контроллеры свежие :

Новое

SO-Medium Office

2500(4GEth) WLCM2

AP 5/15/25/50 , 500 User-ов

300 Мбит

5500 SeriesWiSM2

Enterprise, Campus…

AP 12 – 500

7000 – 10000 User-ов

8 – 10 GEth

Flex 7500 и 8500

Branch Mobile

Для HREAP АР

AP 500 – 6000

64000 User-ов

2*10Ge

Спецконтроллер

Для FlexConnect

(бывш. HREAP) точек

Local mode AP is not supported

Inter Controller mobility is not supported

LAG is not supported on WLC 7500

Data DTLS is not supported

Client and RFID Tag location is not supported

Voice CAC is not supported

Reliable multicast (Media Stream feature) is not supported

WGB is not supported

WLC 7500 platform will not be certified with FIPS

Виртуальный контроллер

7.3,4,5

5700

1000ар60gb12000users

Switch/controller:

3650

3850

На подходе версия 8.0 ?

Контроллеры, свежие решения

FlexConnect:

Новое

Branch Mobile

Для HREAP АР

128K, 300ms

(100ms – голос)

Контроллеры, свежие решения

Virtual 7:

Новое

vWLC – решение для небольших/средних филиалов . VMWare позволяет

Нам разместить в одной коробке несколько сервисов:

Hardware: Cisco UCS, UCS Express, HP and IBM serversVMware OS: ESX/ESXi 4.x/5.xFlexConnect Mode: central and local switchingMaximum APs: 200Maximum клиентов: 3000Throughput performance up to 500 Mbps per virtual controllerManagement with Cisco Prime Infrastructure 1.2 and above

All 802.11n APs with required software version 7.3 are supported.APs will be operating in FlexConnect mode only.AP autoconvert to FlexConnect is supported on controller.New APs ordered will ship with 7.3 software from manufacturing.Existing APs must be upgraded to 7.3 software before joining a virtual controller.

ЧЕГО НЕТ: Data DTLS, OEAP (no data DTLS),Rate Limiting,Internal DHCP server, Mobility/Guest Anchor, Multicast-Unicast mode, PIMIPv6, Outdoor Mesh Access Points( an Outdoor AP with FlexConnect mode will work)

Локальные сети (ПО):

WCS

Cisco Secure ACS

Cisco Prime NCS

Mobility Service Engine 3355 (Loc.App+wIPS)

Введение

Локальные сети (ПО):

Cisco Prime Infrastucture: вырос из WCS, NCS(+LMS) и позволяет управлять и

диагностировать и коммутаторы доступа и АР и контроллеры и MSE с

поддержкой wIPS, CleanAir.. То есть налицо универсальная система управления

Всем.

Может работать совместно с Cisco Identity Service Engine, которыйв свою очередь вырастает из Cisco Secure ACS и NAC

И который (в свою очередь) может обеспечивать MDM..

Введение

WCS – 7.0.240 (01/2013)

Край.

Cisco Prime Infrastructure 2.0

09/2013 (4.5Gb)

Безопасность 802.11 – вопрос N 2 !

Непротокольные угрозы:

Неадекватный Site Survey

Внешние антенны, Wi Mesh

PCI DSS, Защита персональных данных : Welcome to the IAUWS Course ))

AES vs WEP(TKIP):

AES 128 – лучше, чем WEP(TKIP)

Классическая безопасность WLAN. Шифрация

и аутентификация, тут все просто:

PSK vs 802.1x:

Hole 196 MadWiFi driver – пока используйте Peer-to-Peer Blocking Mode…

802.1х - лучше чем его отсутствие

PEAP, EAP-TLS, EAP-FAST.

Безопасность WLAN – тут сложнее:

Как в этом разобраться?

Безопасность WLAN

AP и контроллер

CAPWAP Tunnel (UDP 5246, 5247)

Управление - DTLSДанные – DTLS (опционально 6.0)

CAPWAP может быть только L3

Взаимная аутентификация —X.509

Новый протокол CAPWAP, разработан для работы

Точек доступа не только WiFi (RFC5415)

Безопасность WLANNAC in-band

NAC Appliance

Постоянный анализ любого трафикаЛюбых пользователей, контроль полосы

Пропускания в реальном времени.

NAC Framework

RADIUS Server

ACS 4.x

AccessPointClient

NAC Server

Vendor -X

Доступ в сеть

Более «дешевый» способ:

По-запросное управление доступом

Безопасность WLAN

ПЛАН ОФИСА

Безопасность WLAN

Радиочастотная безопасность: хорошо бы еще видеть микроволновки/БТ/CCVT..

Безопасность WLAN

Радиочастотная безопасность: хорошо бы еще видеть микроволновки/БТ/CCVT..

Зачем нужны отдельные устройства:

Дискретизация обычных wifi интерфейсов

5MHz, а у этих имеется спец.чип – 125 KHz

Т.е. вместо мутного пятна они видят четкую сигнатуру

Безопасность WLAN

Радиочастотная безопасность: хорошо бы еще видеть микроволновки/БТ/CCVT..

Что же нужно?

1. CleanAir точка доступа

2. Контроллер 7.х

[3.] WCS/Prime

[4.] MSE

WCS/Prime дает дэшборд, централизацию, отчеты,карты

MSE – трэкинг, более точные PMAC,большую точность, зоны..

AQI

Эффективное обнаружение

местоположения родных и

вражеских устройств с

возможностью калибровки!

Локальные сети:

Безопасность WLAN

РЭБ

2 AP

Containment

Spoof UnicastDeauthentication

Rogue AP

Access Point

Controller

Spoof UnicastDeauthentication

Безопасность WLAN

РЭБ RLDP

Rogue APAccess point

DHCP

IP Address

Connect (port 6352)

Controller

Безопасность WLAN

Этапы борьбы с злодеями:

Безопасность WLAN

Прослушивание всех устройств и анализ информации из

beacon пакетов.

Отслеживание проводных подключений и трассировка их.

Блокировка портов на switch-ах, определение местоположения

На карте.

Включение режимов подавления.

«Физическое» устранение проблемы. (по возможности)

Мониторинг врагов:

Безопасность WLAN

АР может следить как в обычном (Local), так и в специальном (monitor)

режимах. Далее следует классификация:

Detected as Rogue

Rogue Rule:SSID: tmobileRSSI: -80dBm

Marked as Friendly

Rogue Rule:SSID: Corporate

RSSI: -70dBm

Marked as Malicious

Rogues Matching No

Rule

Marked as Unclassified

Мониторинг врагов:

Безопасность WLAN

Далее может следовать трассировка:

Мониторинг врагов:

Безопасность WLAN

Далее определение местоположения на карте:

Мониторинг врагов:

Безопасность WLAN

Далее подавление:

Мониторинг врагов:

Безопасность WLAN

Далее подавление:

Rogue AP

Сценарий Метод подавления

Rogue AP и

клиенты

Broadcast and Unicast Deauth

frames

Broadcast Deauth frames

РЭБ …еще и сигнатурная защита

Безопасность WLAN

IDS и wIPS:

Безопасность WLAN

IDS и wIPS:

Базовая IDS присутствует в контроллерах по умолчанию.

Для реализации IPS понадобится MSE !

Отличия:

- MSE собирает информацию от контроллеров и только потом докладывает

на WCS.

-База данных атак существенно больше.

- Есть возможность «захвата» атаки для анализа

- Отчеты за период

- Меньше вероятность ложных срабатываний

Безопасность WLAN

IDS и wIPS:

Monitoring, Reporting

Over-the-Air Detection

wIPS AP Management

Complex Attack Analysis, Forensics, Events

AP Attack Detection

24x7 Scanning

WLC Configuration

MSE Alarm Archival

Capture Storage

WCS Centralized Monitoring

Historic Reporting

Безопасность WLAN

IDS и wIPS:

1130

1040

1140

1260

3500

3600

3700

Безопасность проводных сегментов

Чтобы не думать о безопасности в проводах используй это:

WAN

Internet External ServicesExternal DNS serverWEB Server

External DMZExternal Firewall

Internet Routers

Virtual Anchor Controller

SSID: GUESTRate Limit = 500Kbps

Remote Office

SSID: InternalSSID: GUEST

SSID Client Default Gateway

Tunnel to Virtual Anchor

Remote Office

SSID: Internal

WLC

G G

= GUEST= GUESTG

1 2

= Internal 11

= Internal 22

Гостевой доступ

удобное управление, поддержка Clean Air…

Новое

Все, к чему вы привыкли в Redcenter, теперь

находится в учебном центре Ментор!

Преподаватели, оборудование, учебные

классы и конечно печенье.

Все на том же месте.

TC-MENTOR.RU

Курсы:

…

СПАСИБО ЗА ВНИМАНИЕ!

Контакты:

Сергей Монин

CCIE, CCSI, CQS, ENS, ENA,чего-то еще…

sm@arccn.ru http://tc-mentor.ru

Тел.: +7 (495) 984-2764

Москва, Киевское шоссе, Бизнес-парк Румянцево,

TC MENTOR/ARCCN