Управление точками доступа 802.11ax

В дополнение к управлению точками доступа 802.11a/b/g/n/ac контроллеры доступа RT5860B могут работать с точками доступа Axon стандарта 802.11ax, которые обеспечивают в несколько раз более высокие скорости беспроводного доступа на большей территории. Это значительно повышает качество обслуживания пользователей и позволяет использовать в сети приложения беспроводного мультимедиа, которые требуют высоких скоростей.

Передовая операционная система

Контроллеры RT5860B работают на основе самой современной сетевой операционной системы Comware 7 от Axon. Эта система демонстрирует значительно лучшие показатели производительности и надежности и способна обеспечивать работу постоянно усложняющихся сетевых приложений в корпоративных сетях. Система предлагает следующие преимущества:

Многоядерная обработка плоскости управления – платформа Comware V7 позволяет регулировать соотношение между числом процессорных ядер, выделяемых на функции контроля, и числом ядер, выделяемых на функции пересылки, чтобы достигнуть оптимального баланса в соответствии с конкретными требованиями и значительно повысить возможности контроля и вычислительные возможности системы, обеспечив при этом мощный функционал параллельной многопроцессорной обработки.

Мультизадачность в пользовательском режиме – на платформе Comware 7 большинство сетевых приложений исполняются на пользовательском уровне. При запуске приложения системой создается задача для данного приложения и этой задаче выделяются отдельные ресурсы. В случае ошибки в задаче эта ошибка отразится только на данной задаче и не затронет другие приложения и операционную систему.

Мониторинг задач в пользовательском режиме – на платформе Comware 7 осуществляется мониторинг всех задач, исполняемых на пользовательском уровне. При обнаружении ошибки система выполнит перезагрузку задачи для быстрого восстановления работы приложения.

Независимое обновление приложений – на платформе Comware 7 обновление отдельных модулей может осуществляться независимо и не требует обновления системы в целом, что значительно повышает безопасность обновлений и стабильность сети.

Мощные возможности обработки проводных и беспроводных сегментов

Благодаря мощному аппаратному обеспечению контроллеры RT5860B обладают серьезными возможностями параллельной вычислительной обработки и ведущими в отрасли функциями обработки пакетов беспроводной сети:

Новейшие высокопроизводительные многоядерные процессоры, включающие 8 независимых ядер и поддерживающие виртуализацию до 32 логических ядер

Чипы коммутации с высокой пропускной способностью

Высокопроизводительная программируемая карта FPGA

Высокая плотность портов доступа

Контроллеры доступа RT5860B оснащаются портами различных типов и предлагают высокую плотность портов, что значительно упрощает организацию доступа к проводной и беспроводной сети и обеспечивает дополнительную гибкость сетевых подключений.

Синхронизация лицензий

Технология синхронизации лицензий от Axon позволяет повысить доступность сети с несколькими контроллерами доступа и обеспечить гибкость в развертывании сети.

Предусмотрены следующие два режима синхронизации лицензий:

Режим резервирования с двумя каналами (два контроллера доступа) – два контроллера доступа резервируют лицензии друг друга. В случае выхода из строя контроллера доступа обслуживание переводится на другой контроллер доступа, при этом точки доступа ассоциируются с резервным контроллером доступа.

Режим резервирования по схеме N+1 (N ≤ 4) – контроллер доступа резервирует лицензии других контроллеров доступа. В случае выхода из строя одного или нескольких других контроллеров обслуживание переводится на резервный контроллер доступа, при этом точки доступа ассоциируются с резервным контроллером доступа.

Технология интеллектуальной отказоустойчивой архитектуры (IRF)

Технология интеллектуальной отказоустойчивой архитектуры Axon IRF позволяет виртуализировать два контроллера доступа RT5860B в одно логическое устройство, называемое матрицей IRF, что обеспечивает следующие преимущества:

Упрощение топологии – для настройки матрицы IRF контроллеры доступа можно соединить непосредственно друг с другом или через коммутатор. При этом не требуется отдельных кабелей или портов.

Упрощение настройки – конфигурации устройств в составе матрицы IRF (главного контроллера доступа) автоматически синхронизируются с другими контроллерами доступа в составе матрицы.

Резервирование по схеме 1+1 – отказ одного из контроллеров доступа не влияет на работу матрицы IRF.

Гибкое управление лицензиями – лицензии контроллеров доступа в составе матрицы IRF используются совместно. Количество точек доступа, которые можно подключить к матрице IRF, определяется суммой лицензий, установленных на контроллерах доступа. Установленные на контроллер доступа лицензии можно легко выгружать или переносить.

Иерархическая архитектура контроллеров доступа

Иерархическая архитектура контроллеров доступа представляет собой новую модель построения сети, разработанную инженерами Axon для решения задачи создания иерархических сетей, востребованной на рынке. В сети с иерархией контроллеров доступа выделяют центральный контроллер доступа, локальные контроллеры доступа и точки доступа. Центральный контроллер доступа управляет всеми локальными контроллерами доступа, а локальные контроллеры доступа обеспечивают доступ к сети для точек доступа и обрабатывают клиентский трафик.

Центральный контроллер доступа обладает высокой процессорной мощностью и устанавливается на уровне распределения. Он осуществляет главным образом поддержку глобальных служб, таких как управление и контроль работы сети, а также централизованная аутентификация. Кроме того, он может также обеспечивать доступ к сети для точек доступа и обрабатывать клиентский трафик.

В качестве локальных контроллеров доступа могут использоваться стандартные контроллеры доступа, контроллеры доступа типа «все в одном» (с поддержкой функций маршрутизации и глубокого анализа пакетов), а также унифицированные коммутаторы для проводных и беспроводных сетей.

Архитектура с иерархией контроллеров доступа хорошо подходит для развертывания крупных беспроводных сетей. Она обеспечивает поддержку сетевых приложений для штаб-квартиры и филиалов. При этом пропускная способность канала на уровне ядра сети и производительность пересылки центрального контроллера доступа перестают быть «узким местом». Благодаря централизованному управлению на центральном контроллере доступа данная архитектура обеспечивает удобный, автоматический механизм обновления версий и синхронизации конфигураций на локальных контроллерах доступа и точках доступа. Локальные контроллеры доступа отвечают за переключение точек доступа и значительно повышают производительность роуминга.

Местоположение по CUPID

Контроллеры доступа RT5860B поддерживают функцию определения местоположения по CUPID, которая работает по принципу зондирования и обеспечивает высокую точность позиционирования. При использовании этой технологии точки доступа активно направляют пробные пакеты клиенту и определяют местоположение клиента путем расчета времени между отправкой пробных пакетов и получением ответных пакетов.

CUPID превосходит технологию радиочастотных отпечатков в следующих аспектах:

Характеристика

Описание

CUPID

Характерные отпечатки радиоинтерфейсов

Функция интеллектуальной осведомленности о приложениях беспроводной сети нового поколения

Функция интеллектуальной осведомленности о приложениях беспроводной сети (Wireless Intelligent Application Aware, WIAA) реализует механизм безопасности уровня приложений на базе пользовательских ролей, управление качеством обслуживания (QoS) и политики пересылки для пользователей проводных и беспроводных сетей. При использовании wIAA можно контролировать доступ пользователей и определять сети, доступные для приложений, таких как HTTP и FTP, с указанием разрешенной пропускной способности.

В последнем поколении wIAA идентификация пакетов осуществлялась на основании номера порта на уровне 4 (например, номер порта 80 для HTTP, 20/21 для FTP). При этом пользователи могли обойти ограничения доступа посредством настройки прокси.

В новом поколении решений wIAA имеются встроенные средства глубокого анализа пакетов (DPI), что позволяет лучше идентифицировать приложения и использовать функции сбора статистики. Используя типичные характеристики пакетов Ethernet на уровне 7, а также типичные сигнатуры пакетов, функции wIAA нового поколения обеспечивают более точное опознавание и применение ограничений. Благодаря DPI можно настроить правила, ограничивающие доступ к определенным видам Интернет-сайтов вместо того, чтобы запрещать каждый из сайтов в отдельности. Данная функция упрощает настройку сети и способствует повышению эффективности.

Гибкие режимы пересылки

В традиционных контроллерах доступа обычно применяется централизованный режим пересылки. Контроллер доступа осуществляет централизованный контроль и мониторинг безопасности, при этом все пользовательские данные пересылаются от точек доступа на контроллер доступа для обработки и пересылки. Из-за этого эффективность пересылки может снижаться. Пропускная способность магистрального интерфейса и производительность пересылки контроллера доступа могут стать «узким местом», особенно в случаях, когда точки доступа устанавливаются в филиалах, а контроллер доступа располагается в штаб-квартире, и соединение точек доступа с контроллером доступа осуществляется по распределенной сети WAN.

Контроллер доступа RT5860B поддерживает централизованную пересылку, распределенную пересылку и пересылку на основе политик, при этом пользователи могут гибко выбирать режим пересылки в соответствии с требованиями служб и условиями в сети.

Кроме того, RT5860B поддерживает локальную пересылку в сочетании с централизованной аутентификацией. Он способен осуществлять аутентификацию с использованием 802.1X и аутентификацию через портал для потоков данных, пересылка которых осуществляется локально.

Функции управления и контроля доступа к беспроводной сети операторского класса

Контроллеры RT5860B поддерживают следующие способы контроля доступа:

Контроль доступа в зависимости от профиля пользователя

Пользовательский профиль представляет собой шаблон конфигурации, в котором сохранены предопределенные параметры для клиентов, такие как, например, гарантированная скорость доступа (CAR) и политика управления качеством обслуживания (QoS). После прохождения клиентом аутентификации сервер аутентификации направляет соответствующий профиль пользователя на контроллер доступа. Контроллер доступа использует конфигурацию из пользовательского профиля для ограничения доступа пользователя к ресурсам сети. При отключении клиента контроллер доступа блокирует пользовательский профиль. Можно настроить несколько пользовательских профилей для различных клиентов в целях реализации механизма контроля доступа на уровне отдельного пользователя.

Управление доступом с использованием аутентификации по MAC-адресу

Аутентификация по MAC-адресу позволяет настраивать и модифицировать права доступа для групп клиентов или отдельного клиента на сервере аутентификации, авторизации и учета (AAA). Более тонкие настройки контроля доступа обеспечивают расширенные возможности назначения прав доступа к беспроводной сети и ее ресурсам.

Контроль доступа с использованием VLAN в привязке к MAC-адресу

Администратор может объединить пользователей (или MAC-адреса) с одинаковыми атрибутами в одну виртуальную локальную сеть VLAN и назначить на контроллере доступа политику безопасности для этой VLAN. Это упрощает настройку систему и позволяет осуществлять управление правами пользователя с точностью до отдельного пользователя.

Контроль доступа на уровне точки доступа

Контроллер доступа получает список разрешенных точек доступа от сервера аутентификации в процессе аутентификации клиента и затем выбирает для клиента оптимальную точку доступа. Это позволяет контролировать точки доступа, к которым могут подключаться беспроводные клиенты для целей обеспечения безопасности или учета.

Функции интеллектуального роуминга

Поддержка роуминга в пределах контроллера доступа, между контроллерами доступа и между виртуальными локальными сетями уровня 3

Функция синхронизации информации при роуминге через портал: контроллеры доступа и точки доступа обеспечивают для пользователей портала незаметный роуминг между контроллерами доступа в крупных сетях без задействования сервера портала, срабатывающего по MAC-адресу. Контроллер беспроводного доступа может самостоятельно выполнять роль сервера, срабатывающего по MAC-адресу. Это уменьшает нагрузку на сервер портала, чтобы он не стал узким местом с точки зрения производительности. После отработки сервера портала подключенный терминал может перемещаться с роумингом без дополнительной аутентификации между не менее чем десятью контроллерами доступа.

Функция синхронизации роуминговой информации 802.1X: контроллеры доступа и точки доступа обеспечивают для пользователей 802.1Х быстрый роуминг между контроллерами доступа в крупных сетях. Поддержка аутентификации dot1x для быстрого роуминга между контроллерами доступа. Терминалам не требуется проходить повторную аутентификацию при роуминге на другой контроллер доступа. Снижение нагрузки на сервер и быстрый доступ для терминалов с поддержкой быстрого роуминга между более чем 10 контроллерами доступа.

Поддержка протоколов быстрого роуминга 802.11k/v/r

Интеллектуальный динамический выбор частоты (DFS)

В беспроводной локальной сети соседние точки доступа должны работать на неперекрывающихся каналах во избежание канальной интерференции. Однако число неперекрывающихся каналов в беспроводных сетях весьма ограничено. Например, в диапазоне 2,4 ГГц неперекрывающихся каналов имеется всего три. Одновременно с этим существует множество возможных источников помех, таких как радары и микроволновые печи, которые способны нарушить нормальную работу точек доступа в беспроводной сети.

Технология DFS позволяет обеспечить назначение каждой точке доступа оптимального канала, что сводит к минимуму помехи между каналами. Более того, функция обнаружения помех в реальном времени позволяет изолировать точки доступа от источников помех.

Интеллектуальная балансировка нагрузки на точки доступа

В беспроводных локальных сетях клиенты предпочитают подключаться через точки доступа с наибольшим уровнем сигнала RSSI. В результате большое число клиентов может ассоциироваться с одной и той же точкой доступа из-за ее более сильного сигнала. Так как для всех клиентов используется общая среда беспроводной передачи данных, пропускная способность для каждого из клиентов будет снижена.

В контроллере RT5860B предусмотрены механизмы балансировки нагрузки в зависимости от числа сессий и в зависимости от нагрузки по трафику. Они анализируют нагрузку на точки доступа, определяют точки доступа, которые могут взять на себя часть нагрузки друг друга и динамически перераспределяют нагрузку между точками доступа в целях достижения адекватной пропускной способности для каждого клиента.

Поддержка функции автоматического сокрытия SSID в зависимости от использования частотных ресурсов. Если использование радиоресурсов приближается к предустановленному пороговому значению или превышает его, идентификатор SSID автоматически скрывается, что позволяет обеспечить пользователям стабильные и надежные сервисы беспроводной сети.

Система обнаружения и предотвращения вторжений в беспроводной сети (WIDS/WIPS)

В контроллере RT5860B предусмотрены следующие функции WIDS/WIPS: «черный» список, «белый» список, обнаружение подставных точек доступа, обнаружение неправильно сформированных пакетов, обнаружение несанкционированных отключений клиентов и атак на уровень среды передачи, а также меры противодействия с использованием предопределенных сигнатур. Атаки на уровень среды передачи включают в себя атаки, направленные на отказ в обслуживании (DoS), атаки лавинного распространения пакетов и атаки типа «man-in-the-middle».

Благодаря огромной интеллектуальной базе данных экспертной информации, встроенной в центр беспроводных приложений, контроллер доступа позволяет визуально отслеживать и контролировать физическое местоположение атакующих и отключать соответствующие физические порты.

При совместной работе с профессиональными межсетевыми экранами/системами предотвращения вторжений от Axon контроллер доступа способен обеспечить полную защиту на уровнях с 1 по 7, удовлетворяя требования к комплексной безопасности стандартов 802.11 и 802.3.

Аутентификация согласно 802.1X, аутентификация по MAC-адресам и аутентификация через портал

Контроллеры RT5860B поддерживают следующие методы аутентификации:

Аутентификация на основе 802.1X – контроллер RT5860B поддерживает локальную и удаленную аутентификацию согласно 802.1X и несколько методов аутентификации, предусмотренных стандартом 802.1X, такие как TLS, PEAP, TTLS, MD5 и с использованием SIM-карты. В режиме локальной аутентификации контроллер доступа выступает в роли сервера аутентификации, без использования отдельного сервера аутентификации, авторизации и учета (AAA). Кроме того, контроллер RT5860B поддерживает динамическое назначение виртуальной локальной сети VLAN и списка контроля доступа ACL с использованием предопределенных пользовательских профилей.

Аутентификация по MAC-адресам – контроллер RT5860B поддерживает аутентификацию по MAC-адресам для проверки подлинности портативных терминалов, таких как Wi-Fi телефоны и ручные мобильные терминалы. На контроллере RT5860B или на сервере AAA можно указать MAC-адреса, которым будет разрешен доступ к беспроводной локальной сети. MAC-адреса, не включенные в список разрешенных, будут считаться посторонними и не смогут получить доступ к сети WLAN. Данная функция упрощает работу некоторых приложений для беспроводной сети, например, работу беспроводной сети в учреждении здравоохранения, где с помощью аутентификации по MAC-адресам доступ к выделенной беспроводной сети можно ограничить только коммуникаторами персонала больницы, запретив его для устройств пациентов.

Аутентификация через портал – в контроллере RT5860B имеется встроенный сервер портала. При использовании данного метода аутентификации пользователи могут инициировать аутентификацию через браузер, без установки клиентского программного обеспечения. После прохождения аутентификации контроллер доступа перенаправляет клиента на указанный Интернет-сайт и одновременно запускает процедуры авторизации и учета. Настраиваемые страницы портала могут также принудительно отображаться на клиентах в целях рекламы или доставки сообщений. Данные механизмы широко применяются в различных сценариях, таких как беспроводная сеть группы зданий, беспроводная сеть городского масштаба и организация гостевого доступа.

Двойной стек протоколов IPv4/IPv6 (стандартная поддержка IPv6)

Контроллеры RT5860B поддерживают доступ клиентов как по протоколу IPv4, так и по протоколу IPv6. Если контроллер доступа установлен в сети IPv4, то точки доступа, подключенные к контроллеру, могут идентифицировать пакеты IPv6 и сопоставлять приоритеты IPv6 с приоритетами туннеля. При получении пакетов от точек доступа контроллер доступа может также задействовать списки контроля доступа (ACL) для контроля и фильтрации пакетов IPv6. При установке контроллера доступа в сети IPv6 он будет автоматически согласовывать с точками доступа и устанавливать туннели IPv6 к каждой точке доступа, но при этом будет по-прежнему правильно идентифицировать и обрабатывать пакеты IPv4 от беспроводных клиентов.

Благодаря превосходной адаптации к IPv4/IPv6 контроллеры доступа RT5860B могут обеспечивать работу различных служб в различных сложных сценариях в процессе перехода с IPv4 на IPv6.

Контроллер RT5860B поддерживает также механизм валидации адреса источника для IPv6 (Source Address Validation, SAVI), что позволяет противодействовать новым атакам с подделкой пакетов IPv6 в сетях групп зданий. Посредством фильтрации и отслеживания протокола назначения адресов контроллер доступа получает IP-адреса клиентов и гарантирует, что клиенты будут использовать корректные адреса при подключении, исключая возможность подделки IP-адресов и обеспечивая надежность информации об IP-адресе источника. SAVI для IPv6 в сочетании с аутентификацией через портал дополнительно гарантирует целостность и безопасность сетевых пакетов.

Параметры QoS для соединения на всей протяженности

Созданный на основе передовой операционной системы Comware 7 от Axon, контроллер доступа RT5860B идеальным образом поддерживает модель дифференцированного обслуживания Diff-Serv с использованием параметров качества обслуживания QoS. Кроме того, он поддерживает механизмы QoS для IPv6.

Модель QoS Diff-Serv предлагает главным образом классификацию трафика, применение политик ограничения скорости для трафика, управление очередями и планирование очередей с полной поддержкой шести видов служб PHB: EF, AF1-AF4 и BE. Благодаря этому провайдеры услуг могут предоставлять клиентам услуги с различными параметрами качества, обеспечивая одновременную интегрированную передачу через Интернет трафика данных, голоса и видео.

Быстрый роуминг на уровне 2 и уровне 3

Контроллер доступа RT5860B в рамках архитектуры с зависимыми точками доступа Axon и контроллером доступа значительно повышает производительность роуминга как на уровне 2, так и на уровне 3, с возможностью организации роуминга между подсетями. Данное преимущество позволяет значительно упростить планирование беспроводной сети на ранних этапах и сократить затраты на планирование сети.

Для реализации быстрого роуминга для клиентов в контроллере RT5860B применяется кэширование ключей. Функция кэширования ключей позволяет клиентам быстро переключаться с одной точки доступа на другую без прохождения полной аутентификации согласно 802.1X, но с сохранением сведений об идентификации пользователя и используемых ключах. Благодаря быстрому роумингу переключение в пределах одного контроллера доступа осуществляется в течение не более чем 50 мс, без нарушения передачи чувствительного к скорости голосового трафика.

Удаленный доступ для филиалов

Контроллеры RT5860B могут устанавливаться для реализации следующего функционала доступа к сети для удаленных филиалов:

Повышение производительности различных служб, таких как службы печати и коммуникация между терминалами в локальной сети филиала за счет выбора централизованного режима пересылки или режима локальной пересылки.

Обеспечение доступа клиентов к локальным ресурсам в случае выхода из строя соединения распределенной сети или контроллера доступа, а также функция работы без контроллера.

Коммуникация между контроллером доступа и точками доступа в частной сети с прохождением через NAT.