Управление точками доступа 802.11ax

В дополнение к управлению точками доступа 802.11a/b/g/n/ac контроллеры доступа серии WX3800H могут работать с точками доступа H3C стандарта 802.11ax, обеспечивая беспроводной доступ на скоростях, в несколько раз превышающих скорости традиционных сетей стандарта 802.11a/b/g/n/ac. Все большее распространение устройств стандарта 802.11ax позволит сделать реальностью функционал мультимедийных приложений в беспроводных сетях.

Совершенно новая операционная система

Контроллеры доступа серии WX3800H создавались на основе новейшей платформы H3C V7. Новая система демонстрирует значительно лучшие показатели производительности и надежности по сравнению с предыдущей версией и способна обеспечивать работу постоянно усложняющихся сетевых приложений в корпоративных сетях. Платформа V7 отличается следующими преимуществами:

Многоядерное управление: платформа V7 позволяет регулировать соотношение между числом процессорных ядер, выделяемых на функции контроля, и числом ядер, выделяемых на функции пересылки, чтобы максимально использовать процессорные ресурсы и достигать требуемого баланса между функциями управления и пересылки, обеспечивая мощные возможности параллельной многопроцессорной обработки.

Мультизадачность на пользовательском уровне: в платформе V7 применяется совершенно новая система управления привилегиями программного обеспечения, в которой большинство сетевых приложений исполняются на пользовательском уровне, благодаря чему каждое приложение может запускаться как отдельная задача. Для каждой задачи выделяются собственные ресурсы, при этом сбои в выполнении задачи изолируются на уровне отдельного пространства данной задачи, не оказывая влияние на исполнение других задач. Благодаря этому значительно повышается безопасность и надежность системы.

Мониторинг задач пользователя: в платформе V7 предусмотрена функция мониторинга задач, позволяющая отслеживать исполнение всех задач. Если в пользовательской задаче возникает сбой, система перезагружает ее с максимально быстрым восстановлением приложения.

Новый механизм независимого обновления приложений: платформа V7 поддерживает независимое обновление приложений, благодаря чему имеется возможность обновить отдельный модуль приложения, а не всю операционную систему целиком. Это значительно сокращает число необходимых перезагрузок системы по сравнению с предыдущей версией без ущерба для безопасности обновлений и сохранения стабильности сети.

Возможности обработки проводных и беспроводных сегментов

В контроллерах доступа серии WX3800H применяются новейшие высокопроизводительные многоядерные процессоры. Процессор контроллера доступа WX3840H имеет 8 независимых ядер, которые поддерживают виртуализацию до 32 логических ядер, тогда как процессор контроллера доступа WX3820H имеет 4 независимых ядра с возможностью виртуализации до 16 логических ядер. Высокая вычислительная мощность позволяет устройствам обслуживать большее количество пользователей, большее число одновременных операций и снизить задержку для повышения качества обслуживания пользователей.

Высокая плотность портов доступа

Контроллеры доступа серии WX3800H отличаются высокой плотностью портов для внешнего доступа. Это позволяет лучше унифицировать механизмы контроля доступа для проводных и беспроводных сетей (за счет интегрированного управления пользователями проводных и беспроводных сетей, включая контроль доступа пользователей, аутентификацию пользователей и управление тарификацией), отвечая современным требованиям к созданию сетей и управлению доступом.

Модель WX3820H оснащена 8 совмещенными портами GE и 2 портами SFP+ 10G;

в модели WX3840H предусмотрено 8 совмещенных портов GE, 2 порта SFP+ 10G и 1 порт управления. Порт управления предназначен для поддержки внеполосного управления.

Горячее резервирование средствами IRF

В контроллерах доступа серии WX3800H реализована технология интеллектуальной отказоустойчивой архитектуры Intelligent Resilient Framework (IRF), разработанная H3C. Модель IRF предполагает виртуализацию нескольких устройств в виде одного распределенного устройства, что обеспечивает следующие преимущества:

Простота сетевого управления: IRF не требует отдельных кабелей и портов стекирования, стек создается после соединения устройств на уровне 2.

Стекирование функционала: группа IRF виртуализируется в один контроллер доступа, при этом количество управляемых пользователей и точек доступа равно емкости отдельных контроллеров доступа.

Простота конфигурирования: изменения конфигурации, вносимые в виртуальный контроллер доступа, автоматически синхронизируются с другими физическими контроллерами доступа.

Исключительно надежное резервирование: поддержка горячего резервирования по схеме 1+1, что означает горячее резервирование всех приложений, при этом отказ одного из контроллеров доступа не сказывается на функционировании виртуального контроллера доступа. Контроллеры доступа серии WX3800H поддерживают стекирование не более двух устройств.

Гибкость управления лицензиями: Лицензия, установленная на одном из устройств в группе IRF, может использоваться другими устройствами, при этом количество точек доступа, подключенных к виртуальному контроллеру доступа, равно сумме лицензий, имеющихся на физических контроллерах доступа; несмотря на то, что лицензии устанавливаются и привязываются к отдельному устройству, выгрузка и миграция лицензий становятся более удобными.

Иерархическая архитектура контроллеров доступа

Иерархическая архитектура контроллеров доступа представляет собой новую схему конфигурации сети, разработанную инженерами H3C для решения задачи создания многоуровневых сетей, востребованной на рынке. Схема с иерархией контроллеров доступа использует централизованную иерархию управления, аналогичную применяемой крупными предприятиями, когда один контроллер доступа на уровне опорной сети связывается с несколькими локальными контроллерами доступа на уровне сети доступа, которые в свою очередь связываются непосредственно с точками доступа. Контроллеры доступа на уровне сети доступа обслуживают главным образом приложения реального времени, такие как получение доступа к точке доступа и пересылка данных, тогда как контроллеры доступа на уровне опорной сети выполняют главным образом задачи, не требующие режима реального времени, такие как контроль плоскости управления и централизованная аутентификация, но при этом по-прежнему могут выполнять типичные функции подключения точек доступа и пересылки данных, как и стандартные контроллеры доступа. Контроллеры доступа уровня опорной сети представляют собой высокопроизводительные контроллеры доступа, которые располагаются на уровне конвергенции; контроллеры доступа уровня сети доступа могут включать в себя стандартные контроллеры доступа, контроллеры доступа типа «все в одном» (с совмещенными функциями маршрутизатора и глубокого анализа пакетов), а также проводные и беспроводные контроллеры доступа, устанавливаемые параллельно с существующей сетью. Иерархическая модель контроллеров доступа выводит интеграцию проводной и беспроводной сетей на новый уровень и может применяться при создании крупных беспроводных сетей. Иерархическая модель контроллеров доступа естественным образом накладывается на схему развертывания со штаб-квартирой и филиалами, при этом пропускная способность каналов связи опорной сети и производительность пересылки контроллера доступа уровня опорной сети больше не являются «узким местом». Централизованные функции управления контроллера доступа уровня опорной сети, контроллеров доступа уровня сети доступа и точек доступа низкого уровня могут удобным образом обновляться и автоматически синхронизироваться, что значительно упрощает модернизацию системы. Контроллеры доступа уровня сети доступа отвечают за переключение точек доступа и значительно повышают производительность роуминга.

Определение местоположения в беспроводной сети на базе CUPID

Технология H3C CUPID представляет собой весьма точную технологию определения местоположения с использованием беспроводной локальной сети WLAN. Она обладает следующими преимуществами и возможностями:

Высокая точность

Традиционная технология определения местоположения методом триангуляции и характерных отпечатков базируется на значении силы принимаемого сигнала (RSSI), и на ее точность неизбежно сказываются колебания уровня мощности RSSI. Различные виды внутренней отделки помещений и случайный характер пользовательского трафика приводят к изменениям в данных RSSI. Технология определения местоположения CUPID от H3C объединяет информацию от чипов Atheros и беспроводной сети в целях более точного позиционирования, позволяя преодолеть ограничения, накладываемые системами определения местоположения по RSSI. При хороших условиях ошибка в определении местоположения может составлять всего лишь 3-5 метров.

Малая задержка

CUPID предлагает меньшую задержку по сравнению с традиционной технологией на базе силы сигнала. Так как в ней используется информация, активным образом получаемая от точек доступа, задержка в определении местоположения составляет менее 2 секунд, что значительно повышает эффективность получения сигналов и сбора данных.

Отсутствие предварительного сбора образцов

В традиционных технологиях определения местоположения на базе характерных отпечатков значительное время и ресурсы затрачиваются на сбор образцов, при этом при любом изменении в конфигурации развернутой сети, такой как изменение антенны или положения точки доступа, требуется повторение данной процедуры. Это неблагоприятным образом сказывается на производительности системы определения местоположения. Определение местоположения на базе CUPID позволяет отказаться от сбора образцов, так что точки доступа могут включаться в определение местоположения сразу же с использованием существующей конфигурации сети. Кроме того, CUPID поддерживает развертывание на различных каналах. В каждом из каналов может быть задействовано до шести спектральных функций, что позволяет подавить помехи в пределах одного спектра и повысить точность позиционирования.

Гибкие режимы пересылки

В беспроводной сети с централизованным режимом пересылки весь трафик беспроводной сети направляется для обработки на контроллер доступа, в связи с чем производительность пересылки контроллера доступа может стать «узким местом». Это особенно проявляется в конфигурациях беспроводных сетей, в которых точки доступа устанавливаются в филиалах, а контроллеры доступа – в штаб-квартирах, при этом соединение точек доступа с контроллерами доступа осуществляется по распределенной сети WAN. В такой конфигурации лучше подойдет режим распределенной пересылки. Контроллеры доступа серии WX3800H поддерживают как распределенный, так и централизованный режимы пересылки, и при необходимости могут осуществлять пересылку на основе идентификаторов SSID.

Функции управления и контроля доступа пользователей беспроводной сети операторского класса

Управление доступом на уровне пользователей является одной из основных функций контроллеров доступа серии WX3800H. В контроллерах доступа серии WX3800H предусмотрены пользовательские профили, которые могут служить шаблонами конфигураций для заранее определенных настроек. В зависимости от используемых приложений в пользовательском профиле можно настроить различные параметры, такие как, например, гарантированная скорость доступа (CAR) и политика управления качеством обслуживания (QoS).

В процессе аутентификации сервер аутентификации назначает устройству пользовательский профиль. Если пользователь проходит аутентификацию, установленные в параметрах профиля значения ограничивают доступ пользователя к ресурсам. При отключении пользователя устройство блокирует пользовательский профиль. Таким образом, пользовательские профили применяются к активным подключенным пользователям, а не к отключенным пользователям и пользователям, которые не прошли аутентификацию.

Кроме того, контроллеры доступа серии WX3800H поддерживают контроль доступа на основе MAC-адресов, что позволяет настраивать и изменять права доступа для групп пользователей или отдельного пользователя на сервере аутентификации, авторизации и учета (AAA). Более тонкие настройки прав доступа пользователя обеспечивают расширенные возможности назначения прав доступа к беспроводной сети и ее ресурсам.

Еще одной мощной функцией контроллеров доступа серии WX3800H является привязка к VLAN на основе MAC-адресов. Администратор может объединить пользователей (или MAC-адреса) с одинаковыми атрибутами в одну виртуальную локальную сеть VLAN и назначить на контроллере доступа политику безопасности для этой VLAN. Это упрощает настройку систему и позволяет осуществлять управление правами пользователя с точностью до отдельного пользователя.

Для обеспечения безопасности или учета администратору может потребоваться контролировать физическое местоположение беспроводных клиентов. Контроллеры серии WX3800H позволяют решить эту задачу. В процессе аутентификации контроллер доступа получает список разрешенных точек доступа от сервера аутентификации и затем выбирает точку доступа для подключающегося беспроводного клиента. Таким образом беспроводной клиент сможет подключиться только к такой точке доступа, что позволяет контролировать его местоположение.

Функции интеллектуального роуминга

Поддержка роуминга в пределах контроллера доступа, между контроллерами доступа и между виртуальными локальными сетями уровня 3

Функция синхронизации информации при роуминге через портал: контроллеры доступа и точки доступа обеспечивают для пользователей портала незаметный роуминг между контроллерами доступа в крупных сетях без задействования сервера портала, срабатывающего по MAC-адресу. Контроллер беспроводного доступа может самостоятельно выполнять роль сервера, срабатывающего по MAC-адресу. Это уменьшает нагрузку на сервер портала, чтобы он не стал узким местом с точки зрения производительности. После отработки сервера портала подключенный терминал может перемещаться с роумингом без дополнительной аутентификации между не менее чем десятью контроллерами доступа.

Функция синхронизации роуминговой информации 802.1X: контроллеры доступа и точки доступа обеспечивают для пользователей 802.1Х быстрый роуминг между контроллерами доступа в крупных сетях. Поддержка аутентификации .1x для быстрого роуминга между контроллерами доступа. Терминалам не требуется проходить повторную аутентификацию при роуминге на другой контроллер доступа. Снижение нагрузки на сервер и быстрый доступ для терминалов с поддержкой быстрого роуминга между более чем 10 контроллерами доступа.

Поддержка протоколов быстрого роуминга 802.11k/v/r

Интеллектуальное переключение каналов

В беспроводной локальной сети соседние точки доступа должны работать на различных каналах во избежание канальной интерференции. Однако каналы являются весьма дефицитным ресурсом в беспроводных сетях. Каналов для точек доступа, не перекрывающихся друг с другом, имеется очень немного. Например, в диапазоне 2,4 ГГц неперекрывающихся каналов имеется всего три. Таким образом, работа беспроводных приложений зависит от способности точек доступа интеллектуальным образом назначать каналы.

Одновременно с этим существует множество возможных источников помех, способных нарушить нормальную работу точек доступа в беспроводной сети, таких как подставные точки доступа, радары и микроволновые печи. Технология интеллектуального переключения каналов позволяет обеспечить назначение каждой точке доступа оптимального канала, что сводит к минимуму помехи между каналами. При этом функция обнаружения помех в реальном времени позволяет изолировать точки доступа от источников помех, таких как радары и микроволновые печи.

Интеллектуальное распределение нагрузки на точки доступа

В соответствии со стандартом IEEE 802.11 роумингом в беспроводных локальных сетях управляют беспроводные клиенты. Как правило, беспроводной клиент выбирает точку доступа по силе принимаемого сигнала (Received Signal Strength Indication, RSSI). В связи с этим многие клиенты будут выбирать одну и ту же точку доступа с самым высоким значением RSSI. Так как для всех клиентов используется общая среда беспроводной передачи данных, пропускная способность канала до каждого из клиентов будет значительно снижена.

Функция интеллектуального распределения нагрузки на точки доступа позволяет анализировать расположение беспроводных клиентов в реальном времени, динамически определять точки доступа, между которыми можно распределить нагрузку в определенном местоположении, и делить нагрузку между этими точками доступа. Помимо распределения нагрузки по числу активных сеансов, система также позволяет осуществлять распределение нагрузки по объемам трафика беспроводных клиентов.

Поддержка функции автоматического сокрытия SSID в зависимости от использования частотных ресурсов. Если использование радиоресурсов приближается к предустановленному пороговому значению или превышает его, идентификатор SSID автоматически скрывается, что позволяет обеспечить пользователям стабильные и надежные сервисы беспроводной сети.

Углубленный анализ пакетов на уровнях 4-7

Контроллеры доступа серии WX3800H позволяют идентифицировать различные приложения и применять к ним политики управления, включая настройку приоритета, планирование, блокировку и ограничение скорости в целях эффективного использования ресурсов пропускной способности и повышения качества сети.

Системы обнаружения и предотвращения вторжений в беспроводной сети (WIDS/WIPS) на уровне 7

Контроллеры доступа серии WX3800H поддерживают «черные» списки, «белые» списки, защиту от подставных устройств, обнаружение поврежденных пакетов, защиту от несанкционированного отключения пользователей и обнаружение атак на уровне доступа к среде передачи с обновляемой базой сигнатур (атаки, направленные на отказ в обслуживании, атаки лавинного распространения пакетов и атаки типа «man-in-the-middle») с принятием мер противодействия.

Благодаря встроенной базе знаний в контроллерах серии WX3800H администраторы могут своевременно принимать верные решения по части безопасности беспроводной сети. Для атак с возможностью определения источника, таких как подставные точки доступа или терминалы, можно осуществлять наглядное определение физического местоположения и физически отключать порты на коммутаторах.

При использовании межсетевых экранов/систем предотвращения вторжений от H3C можно реализовать также обеспечение безопасности на уровне 7 в беспроводной сети группы зданий, которое будет охватывать как проводные (802.11), так и беспроводные (802.3) защищенные подключения на всем их протяжении.

Новая функция интеллектуальной осведомленности о приложениях беспроводной сети (WIAA)

Функция интеллектуальной осведомленности о приложениях беспроводной сети (Wireless Intelligent Application Aware, WIAA) реализует механизм безопасности уровня приложений на базе пользовательских ролей, управление качеством обслуживания (QoS) и политики пересылки для пользователей проводных и беспроводных сетей. При помощи WIAA администратор может определить веб-сайты, посещаемые пользователем, используемые протоколы прикладного уровня (например, HTTP, FTP) и выделяемую им пропускную способность. Контроллеры доступа на платформе V7 от H3C поддерживают функцию глубокого анализа пакетов (Deep Packet Inspection, DPI), которая расширяет возможности для обнаружения приложений и сбора детальной статистики. В предыдущем поколении контроллеров доступа обнаружение осуществлялось на основе 4 уровня протокола Ethernet (например, 80 соответствовал HTTP, 20/21 соответствовал FTP и т.д.), и агенты легко могли обойти данный механизм, тогда как в новых контроллерах доступа на платформе V7 обнаружение осуществляется по характеристикам протокола Ethernet на уровне 7, а также по типичным сигнатурам пакетов в целях более точного опознавания и применения ограничений. Благодаря DPI администраторы могут вместо запрета пользователям на поседение всех сайтов электронных магазинов настроить ограничения на уровне отдельного сайта. Это упрощает настройку и повышает продуктивность.

Аппаратные характеристики

Характеристики программного обеспечения