Architettura di una Wireless LAN. INTOIT Networks srl Via Gaslini Monza (MI) Tel sales@intoit.

Transcript

1 Architettura di una Wireless LAN INTOIT Networks srl Via Gaslini Monza (MI) Tel sales@intoit.it

2 Soluzioni Wireless LAN tradizionali & Alcatel OmniAccess Wireless LAN Solution Soluzioni WLAN Tradizionali Architettura OmniAccess WLAN Access points Site survey Access points Air monitors WiFi IDS / IPS WLAN switches VPN concentrator WLAN switches Soluzione integrata Maggior sicurezza Totalmente scalabile Più Più funzionalità funzionalità LAN-speed firewall Facile da gestire Semplice da implementare QoS devices Minor costo globale di implementazione

3 OmniAccess wireless solutions 512 Uffici remoti Sedi distaccate Sedi principali 256 OAW (Dual Supervisor II) 128 OAW (Supervisor II) 48 OAW-4324 OAW (Supervisor I) Scalabilità 16 OAW OAW-4304 Performance (Clear text / encrypted) 1 Gbps / 200 Mbps 2 Gbps / 400 Mbps 4 Gbps / 1 Gbps 4 Gbps / 3.6 Gbps 8 Gbps / 7.2 Gbps

4 OmniAccess Wireless Access Points MultiService WiFi Nodes Access (data forwarding AP) Rogue & Intrusion Monitoring Rogue & Intrusion Prevention Location Management OAW-AP61 RF Fingerprinting Single radio (b/g or a) Dedicated or Simultaneous Integrated dual-band antenna. Thin Model Centralized Encryption, Authentication, Functionality IP Connected Auto Install/Configuration Discovery Protocol Secure, Non-Disruptive GRE Tunnels Low Cost OAW-AP60 Single radio (b/g or a) RP-SMA connectors for external antennae. AP70 Dual Radio (b/g and a) Integrated dual-band antenna and RP-SMA connectors for external antennae. Dual Ethernet ports for redundant uplinks. (PoE Load Balanced) USB port for future-proof expansion.

5 OmniAccess WLAN Network Positioning OAW-AP70 Sede Principale OAW-4324 OAW-AP70 OAW-4308 or OAW-4304 OAW-6000 OAW-AP61 WAN OAW-AP61 Filiali remote OAW-AP70 Casa OAW-4324 OAW-AP70 Sedi distaccate

6 Wireless management WiFi Management WiFi Security Encryption Authentication and Client Integrity Check Authorization Control Traffic Services Policy Control Management Management Policy Control Network Services Gestione centralizzata Soluzione scalabile Soluzione integrata Monitoraggio Troubleshooting Configurazione

7 Embedded RF management Conference Rooms Lobby Offices/Cubicles Cafeteria Disporre di un infrastruttura che dia sempre veramente il massimo! Con Alcatel OmniAccess Wireless è possibile: Auto Calibration (Canale/Potenza) Auto Tuning continuo Controllo e soppressione automatica delle Interferenze Ricerca automatica delle zone non coperte AP failure self-healing Load-balancing

8 Real-time location tracking La triangolazione multi-point garantisce precisione sino a 1-3 metri Il sistema Real-Time Location Service è in grado di individuare l esatta posizione dei diversi devices Ogni nuovo access points riceve istruzioni dallo switch centralizzato per ottimizzare le performace ed I servizi agli utenti Eliminates manual walkabout to fingerprint RF propagation Tecnologia indipendente dal brand degli Access Point e delle schede di rete

9 WiFi load balacing Move 1,2 and Lo switch WLAN distribuisce il traffico al fine di prevenire e compensare l overload di un AP

10 Wireless security Chiunque può entrare nella vostra rete Parola di hacker! Un esempio: Rogue Access Points

11 Impossessarsi della VOSTRA password di autenticazione server RADIUS non è poi così difficile RADIUS Server Un Hacker trova un rogue access point prima di voi (e se non c è, lo mette!) Usa ARP poisoning per catturare il traffico tra lap & il Gateway Invia un pacchetto di deauthentication al client

12 Impossessarsi della VOSTRA password di autenticazione server RADIUS non è poi così difficile Il Client si ri-autentica automaticamente Access Challenge RADIUS Server L Access Point manda la nuova richiesta al RADIUS server Come fare per impedire tutto ciò? Con solo 2 pacchetti ed in meno di un secondo attraverso un rogue Access Point, un hacker può eseguire un attacco off line ai segreti del Vostro RADIUS server! Access Request

13 Così ora è possibile accedere a tutti i Vostri dati! Access Accept RADIUS Server Come difendersi? Access Request Il Client termina l autenticazione e l Access Point invia la richiesta al server RADIUS Il server RADIUS accetta l utente, ed ivia l encrypted keys all Access Point Quando l hacker scoprirà la vostra password del server RADIUS, sarà anche a conoscenza del vostro meccanismo di dynamic WEP! Con la vostra WEP keys, tutto il traffico può essere monitorato direttamente!

14 Davide, aiutami, che cosa devo fare?

15 Individuazione Rogue Access Point / Devices Proteggere l infrastrutturadagli attacchi interni/esterni AP detection Vedre tutti gli AP! AP classification Are they neighbors? Rappresentano una minaccia? Rogue destruction Stop users from accessing rogue APs and leave neighbors alone

16 Centralized encryption Access Accept RADIUS Server Access Request Il Client ternina l autenticazione e l Access Point ivia il pacchetto di login allo switch WLAN Lo switch WLAN invia la richiesta d accesso al RADIUS server La vostra encription key non esece dal vostro data center! Il RADIUS server accetta la login ed invia l encrypted keys allo switch WLAN TUTTA l encryption è eseguita in modo centralizzato! Nessuna encryiption keys viene inviata agli Access Point

17 Access control Dimmi chi sei WiFi Management Radius LDAP Active Directory WiFi Security Encryption Authentication and Client Authentication and Client Integrity Check Integrity Check Authorization Control Traffic Services Policy Control Management Authentication Methods MAC Address Web-based 802.1x Client Integrity Check Sygate Secure Enterprise (802.1x based) Sygate on Demand (Agent-less) Network Services MAC based Authentication Web-Based Clientless Authentication 802.1x & client integrity check Authentication server (RADIUS) routing based on SSID Supports multiple, simultaneously authentication/encryption per SSID

18 Authorization control e ti dirò cosa puoi fare! WiFi Management WiFi Security Stateful Firewall Per User Per Flow LAN Speed Extended Attributes Encryption Authentication and Client Integrity Check Authorization Control Policy Control Management QoS / Prioritization Engine Re-direction / Load Balancing to Content Inspection Cluster System Group User Policies Traffic Services Traffic Services Network Services Network Services VLANs Routing Policy definite da: User Client Time Location Authentication method Application NAT DHCP Differentiate access Vlan/Segment Access control Time Location Authentication method Application

19 Doctors and Nurses Staff Voice over WiFi Guest Policy Driven Service Un esempio pratico Alcatel AP Virtual AP 1 SSID: HOSPITAL Virtual AP 2 SSID: GUEST Virtual AP 3 SSID: MEDICAL Single Infrastructure Universal authentication (802.1x, Web, MAC, SSID) Differentiated access by user, device, app, time, location Alcatel WLAN Switch Doctor/Nurse Staff VoIP Device Guest user Rights, Captive Portal Bandwidth Restriction, VLAN DHCP Default VLAN Medical Rights, QoS, VLAN Rights, QoS, VLAN Rights, QoS, VLAN Highest QoS Priority Rights, QoS, VLAN AAA Services Radius, LDAP/AD L2/L3 Switching 802.1p QoS tagging to existing network infrastructure Wired Network Per user / application security context protect users, the network and services like voice and medical data.

20 Vi ringraziamo per l attenzione! INTOIT Networks srl Via Gaslini Monza (MI) - Tel Fax I nostri siti: Le nostre sales@intoit.it - support@intoit.it - info@intoit.it