Wyszukiwarka

Smart WLAN

Smart WLAN Smart WLAN

Pierwsza generacja architektury WLAN

Pomimo, że WLAN ma wiele zalet, to pozostaje kilka problematycznych kwestii:

  • Instalacja, konfiguracja i obsługa punktów dostępowych wymaga znacznego wysiłku i wiedzy
  • Ważne funkcje jak np. kontrolowanie wejść gości lub wykrywanie nielegalnego punktu dostępu i detekcja klientów WLAN, muszą być skonfigurowana oddzielnie dla każdego punktu dostępu
  • Nakładających się częstotliwości, można uniknąć jedynie poprzez ręczne ustawienie kanałów radiowych
  • Zmiany w konfiguracji lub strukturze nie odbywają jednocześnie dla wszystkich punktów dostępu, lecz z opóźnieniem
  • Punkty dostępu w miejscach publicznych są potencjalnym niebezpieczeństwem, ponieważ same urządzenia jak i bezpieczeństwo znajdujących się w nich danych takich jak hasła itp., są podatne na kradzież

Wynik: drastyczny wzrost kosztów eksploatacji sieci WLAN, w stosunku do liczby punktów dostępu.

 

Druga generacja:  przełączanie WLAN

Pierwszym krokiem do rozwiązania tych problemów w dużej instalacji WLAN było przeniesienie systemu do centralnego punktu, przełącznika WLAN.  W sieci z przełącznikiem WLAN, punkty dostępu służą jedynie jako zdalne anteny jednostki centralnej, znane jako "thin access points" urządzenia nie wymagają konfiguracji i przekazują wszystkie dane odebrane z sieci WLAN, bezpośrednio do sieci LAN (do przełącznika WLAN). Chociaż przełączniki WLAN pozwalają znacznie ograniczyć nakłady i koszty obsługi sieci bezprzewodowej, to same stają się wąskim gardłem dla transferu danych i mogą stać się punktem awarii, powodując całkowite unieruchomienie sieci WLAN.

 

Inteligentna kontrola WLAN

Inteligentna kontrola WLAN, łączy zalety obu podejść do sieci WLAN, spełniając przy tym  następujące wymagania:

  • Elastyczny podział danych, w zależności od aplikacji i użytkownika
    • Podział w punkcie dostępu do danych o wysokich wymaganiach przepustowości (np. IEEE 802.11n) lub do punktów dostępu w zdalnych lokalizacjach
    • Podział w celu wdrożenia warstwy 3. kontrolera WLAN roamingu dla aplikacji, takich jak VoWLAN lub dla kont dostępu dla gości
  • Wszystkie punkty dostępowe i routery bezprzewodowe są centralnie uwierzytelnione i konfigurowane z sieci przez kontroler WLAN
  • Redukcja kosztów instalacji początkowej poprzez uruchomienie punktów dostępu, które mogą być wdrożone szybciej
  • Aktualizacje oprogramowania można kontrolować centralnie lub ustawić automatycznie
  • Rozszerzona strefa bezpieczeństwa obejmuje wszystkie punkty dostępu znajdujące się w domach, biurach lub oddziałach
  • Automatyczna optymalizacja częstotliwości radiowych (RF) pod względem zakłóceń (ich eliminacja) w zasięgu działania sieci WLAN i innych punktów dostępowych
  • Warstwa 3 roamingu do monitorowania krytycznych połączeń IP w centralnym kontrolerze WLAN
  • Koncepcja redundanciji i bezpiecznego backupu w przypadku awarii kontrolera WLAN, z wyłączeniem magazynowania danych bezpieczeństwa w punktach dostępowych
  • Automatyczne przypisywanie klientów WLAN do konkretnych sieci
  • Centralne wykrywanie niepożądanych AP i klientów

Cele te  zostały osiągnięte dzięki wdrożeniu standardów CAPWAP.

 

Standard CAPWAP

Protokół CAPWAP (Control And Provisioning of Wireless Access Points), wprowadzony przez IETF (Internet Engineering Task Force) jest to standard projektowy dla scentralizowanego zarządzania w dużych infrastrukturach WLAN. CAPWAP wykorzystuje różne kanały transmisji danych:

  • Kanał sterowania, szyfrowany (DTLS). Ten kanał jest używany do wymiany informacji administracyjnych, pomiędzy sterownikiem WLAN a punktem dostępowym
  • Kanał danych, opcjonalnie także szyfrowanie DTLS. Dane z sieci WLAN przesyłane są przez ten kanał od punktu dostępu przez kontroler WLAN do LAN-zamknięty w protokole CAPWAP.

Inteligentna kontrola WLAN, pozwala na bardziej efektywne wykorzystanie różnych kanałów CAPWAP: tylko dane wymagane przez kontroler WLAN przechodzą przez tunel CAPWAP. Znacznie większa objętość danych użytkowych może być bezpośrednio wydzielona w punkcie dostępu i przesłana do LAN.

 

Struktura "inteligentnego" kontrolera

Zdecentralizowana struktura WLAN z samodzielnym punktem dostępu (działa jako tak zwany "rich access points"), wszystkie funkcje przesyłania danych, funkcje kontrolne i funkcje zarządzania są zintegrowane w punkcie dostępu. System centralnego zarządzania WLAN dzieli te zadania między dwa różne urządzenia:

  • Centralny kontroler WLAN przyjmuje zadania administracyjne.
  • Zdalne punkty dostępu obsługują transmisje danych

CAPWAP określa trzy różne scenariusze przeniesienia funkcji WLAN  do centralnego kontrolera WLAN.

  • Remote MAC ( tym przypadku, wszystkie funkcje WLAN przenoszone są z punktu dostępu do  kontrolera WLAN. Punkty dostępu pełnią jedynie role "zewnętrznych anten")
  • *Split MAC (w tym wariancie, tylko część funkcji WLAN jest przesyłana do kontrolera WLAN - aplikacje będą dalej przetwarzane w punkcie dostępu w czasie rzeczywistym; w czasie nierzeczywistym są przetwarzane przez centralny kontroler WLAN)
  • Local MAC (trzecia możliwość przewiduje kompletne zarządzanie i monitorowanie ruchu danych WLAN, bezpośrednio w punkcie dostępu - tylko informacje wymieniane między punktem dostępowym a kontrolerem WLAN służą do zarządzania siecią i zapewniają, że  punkty dostępowe mają taką sama konfigurację).

Inteligentna kontrola WLAN używa lokalnej procedury MAC. Dzięki redukcji centralnych zadań, infrastruktury WLAN oferują optymalną skalowalność. Jednocześnie infrastruktura tego typu zapobiega przeładowaniu kontrolera WLAN, aby nie stał się wąskim gardłem dla centralnego ruchu danych. W architekturze Remote MAC i Split MAC wszystkie dane zmuszone są do centralnego ruchu przez kontroler WLAN.

W architekturze Local MAC dane mogą być alternatywnie wydzielone w punkcie dostępowym, bezpośrednio do sieci LAN w celu zapewnienia wysokiej wydajności transmisji danych. Inteligentna kontrola nadaje się również do sieci WLAN pracujących w standardzie IEEE 802.11n, które obecnie oferują znacznie wyższe transfery danych niż poprzednie generacje technologii WLAN. Wydzielone z sieci LAN dane mogą być bezpośrednio kierowane do specjalnych sieci VLAN. To sprawia ze stają się bardzo łatwe w konfiguracji w zamkniętych sieciach, jak np. konta dostępu gości.

 

Autoryzacja i konfiguracja   

Podstawowym zadaniem kontrolera WLAN jest ciągłe dostarczanie wszystkim podłączonym do niego punktom dostępu ważnych konfiguracji. Kontroler decyduje czy powinien skonfigurować żądający konfiguracji punkt dostępu, czy też punkt dostępu sam zidentyfikuje się w momencie rozpoczęcia komunikacji. To uwierzytelnianie oparte jest na cyfrowym certyfikacie.

W dużych instalacjach, które mogą obejmować kilka różnych miejsc, niezbędne certyfikaty nie są przechowywane w punktach dostępu. Kontroler WLAN LANCOM posiada funkcję pozwalającą na przekazanie certyfikatu do punktu dostępu w momencie rozpoczęcia negocjacji. Jedynie ważne punkty dostępu są wprowadzone do kontrolera WLAN. Alternatywą jest funkcja auto-akceptacji, zawierająca krótkie okienko czasowe, podczas którego wszystkie punkty dostępu w sieci LAN (łącznie z tymi bez wpisu kontrolera WLAN) są zaakceptowane i otrzymują ważny certyfikat.

Certyfikat pozwala na uwierzytelnienie punktu dostępowego przez kontroler WLAN, który następnie wprowadza poprawna konfigurację. Konfiguracja ta jest zapisywana w kontrolerze WLAN i odwołuje się do adresu MAC. Nawet jeśli punkt dostępu nie jest wpisany do kontrolera WLAN, może on nadal być uznany jeśli posiada przypisaną konfigurację. Może być stosowana domyślna konfiguracja w celu umożliwienia urządzeniom pracy w WLAN. Aktualne konfiguracje dla punktów dostępu są przechowywane w profilach w kontrolerze WLAN i są do nich wysyłane.

 

Prawdziwie "bezdotykowe" zarządzanie

Dzięki funkcji automatycznej akceptacji i domyślnej konfiguracji, kontrolery LANCOM mogą automatycznie wydawać certyfikaty i konfiguracje punktom dostępowym - wynikiem jest prawdziwe zarządzanie bezdotykowe. Wystarczy podłączyć nowy punkt dostępu do sieci LAN a kontroler sam skonfiguruje urządzenia zgodnie z jego przeznaczeniem w sieci. Dzięki tak uproszczonej instalacji urządzenia, zmniejsza się obciążenie działów IT, zwłaszcza w zdecentralizowanych strukturach.

 

Przekazywanie parametrów

Kontroler WLAN LANCOM jest w stanie zarządzać różnymi punktami dostępowymi w różnych lokalizacjach. Jednak profile WLAN obejmują ustawienia, które nie są odpowiednie dla każdego zarządzanego punktu dostępu. Na przykład, istnieją różnice w ustawieniach danego kraju i właściwościami urządzenia. W celu uniknięcia konieczności przetrzymywania wielu zbędnych profili sieci WLAN, aby spełnić wymagania innego kraju lub różnych rodzajów urządzeń jest możliwym dla niektórych parametrów sieci WLAN, aby "adaptował" wybrane właściwości z innych wejść. Taka "adaptacja" pozwala również na kaskadowanie, czyli np. ustawienia dla danego kraju i parametry specyficzne dla urządzenia mogą być dla wygody grupowane. Rekurencja jest również możliwa - profil A przyswaja parametry z profilu B i w tym samym czasie, profil B przyswaja parametry z profilu A.

 

Podział zarządzania dla odległych punkótw dostępowych

Punkty dostępu LANCOM obsługiwane przez kontroler WLAN, mogą znajdować się w odległych sieciach - proste połączenie IP, np. poprzez ścieżkę VPN, to wszystko co jest potrzebne. Kontroler WLAN ma wpływ na konfiguracje jedynie punktów dostępu, wszystkie inne funkcje mogą być zarządzane oddzielnie. Taki podział zadań konfiguracyjnych sprawia ze kontrolery LANCOM są idealne do tworzenia infrastruktury WLAN w całej firmie, obejmując swoim zasięgiem wszystkie lokalizacje (siedziba, oddziały, domowe biura). Pozwala to na uniknięcie wielu problemów z siecią WLAN, i łatwe ustawianie zdalnych punktów dostępu, które w innym przypadku mogłyby stanowić niebezpieczeństwo, dając klientom nieautoryzowany dostęp do sieci firmowej.

 

Tunelowanie i roaming w warstwie 3

Inteligentna kontrola WLAN polega na oddzieleniu wszystkich danych od danych kontrolnych: jedynie dane kontrolne przekazywane tunelem w warstwie 3 są istotne dla kontrolera WLAN, reszta danych przekazywana jest bezpośrednio z punktu dostępu w sieci LAN. Rozwiązanie to znacznie ogranicza ruch danych w kontrolerze WLAN i tym samym zapobiega stworzeniu się centralnego wąskiego gardła.

Jednak niektóre aplikacje potrzebują więcej jak tylko kontrolnych danych, aby przejść przez warstwę 3 tunelu do kontrolera WLAN. Klienci korzystający z takich aplikacji jak Voice over Wireless LAN (VoWLAN), mogą bez problemu przemieszczać się pomiędzy komórkami radiowymi. Podstawowe połączenie IP, nie będzie przerwane ponieważ będzie nadal zarządzane przez centralny kontroler WLAN (warstwa 3 roamingu). Dzięki temu użytkownicy mobilnych telefonów SIP, mogą bez problemu poruszać się nawet w trakcie rozmowy.

 

Centralne oprogramowanie i zarządzanie skryptem

Dzięki centralnemu zarządzaniu skryptami i oprogramowaniem, upload nowych wersji można łatwo zautomatyzować dla wszystkich urządzeń WLAN.

W tym celu pliki z aktualizacjami przechowywane są na serwerze WWW. Kontroler WLAN sprawdza automatycznie (raz dziennie), lub na polecenie użytkownika czy nie ma nowszych wersji. Alternatywnie, procedury uploadu mogą być obsługiwane przez  cron job—overnight. Jeśli dostępna jest nowa wersja oprogramowania lub punkt dostępu nie jest uruchomiony z odpowiednią wersją oprogramowania, kontroler WLAN pobiera odpowiedni plik z serwera WWW i przesyła do routerów bezprzewodowych  lub punktów dostępowych.

Aktywacja zarządzania skryptami i oprogramowaniem pozwala dokładnie kontrolować pliki. Jest możliwe na przykład, ograniczenie wybranych wersji oprogramowania dla pewnych typów urządzeń lub adresów MAC.

 

Automatyczna optymalizacja RF

Wybór kanału z listy kanałów definiuje część pasma częstotliwości, której punkt dostępu używa w jego logicznej sieci WLAN. Wszyscy klienci sieci WLAN, którzy chcą podłączyć się do punktu dostępu muszą używać tego samego kanału w tej samej częstotliwości. W 2.4 GHz zakres dostępnych kanałów to od 1 do 13 (w zależności od kraju), w 5 GHz jest to od 36 do 64. W każdym z tych kanałów tylko jeden punkt dostępu może faktycznie przesyłać dane. Funkcjonowanie kolejnego punktu dostępowego bez zakłóceń, musi wykorzystywać oddzielny kanał, inaczej wszystkie uczestniczące WLANy musiałyby dzielić się kanałami.

 

Dzięki automatycznej optymalizacji pola radiowego (RF), kontrolery LANCOM umożliwiają automatyczne ustalenia optymalnych kanałów dla punktów dostępowych pracujących w częstotliwości 2.4 GHz. Początkowo lista kanałów w punkcie dostępu jest usuwana a następnie ponownie zdefiniowana przez kontroler WLAN. Następnie moduły WLAN są wyłączane i włączane, jeden po drugim. Po włączeniu moduł automatycznie wyszukuje wolny kanał.

Wynikiem jest optymalne rozmieszczenie kanałów w polu radia. Automatyczną optymalizację RF, można uruchomić dla wszystkich (lub wybranego urządzenia) punktów dostępu zarządzanych przez kontroler WLAN.

 

Samodzielna praca

Instalacja jednego kontrolera WLAN, stanowi jeden potencjalny punkt awarii. Awaria kontrolera oznacza natychmiastowe zatrzymanie wszystkich sieci WLAN, które są przez niego zarządzane. Kontrolery LANCOM wspierają autonomiczne działanie routerów bezprzewodowych i punktów dostępowych, nawet w przypadku tymczasowego zaniku centralnego zarządzania. Ponieważ inteligentne zarządzanie WLAN używa punktów dostępowych do zarządzania danymi użytkowników, kontroler WLAN odpowiedzialny jest tylko za aktualizacje konfiguracji. Konfiguracja przeznaczona przez kontroler dla punktu dostępowego zazwyczaj przechowywana jest jedynie w pamięci RAM. Niezawodność tego działania można jeszcze zwiększyć dzięki możliwości przechowywania danych konfiguracyjnych w pamięci flash (w obszarze niedostępnym dla LANconfig lub innych narzędzi). Jeżeli podłączenie do kontrolera zostanie przerwane, punkt dostępu będzie nadal działał przez określony okres czasu z konfiguracją zapisaną w pamięci flash. Podobnie dzieje się podczas lokalnej awarii zasilania. Jeśli nie pojawi się zasilanie w kontrolerze WLAN, wtedy konfiguracja zapisana w pamięci flash zostanie usunięta, a punkt dostępu będzie nadal pracował. Kiedy tylko kontroler WLAN wykryje połączenie z punktem dostępu wyśle do niego aktualną konfigurację. Opcja ta umożliwia kontynuowanie pracy punktu dostępowego, nawet jeśli połączenie z kontrolerem jest czasowo przerwane.

 

Dedykowane sieci IP dla punktów dostępu

Punkty dostępu mogą być skonfigurowane z własnymi parametrami IP, aby były jeszcze bardziej niezależne od centralnego kontrolera WLAN. Wiąże się to z osobnym dla każdego punktu dostępu definiowaniem parametrów IP takich jak, domeny, maska, brama lub adresy serwera DNS. Taka konfiguracja pozwala urządzeniu działać nawet wtedy kiedy kontroler WLAN ulegnie awarii. DHCP jest wymagane jedynie do początkowego poszukiwania kontrolera WLAN. Kiedy punkt dostępu zostanie skonfigurowany przez kontroler, DHCP nie jest już potrzebny.

 

Rozwiązania back-up'owe

Kontrolery WLAN LANCOM, mogą zarządzać dużą liczbą punktów dostępowych, które z kolei mogą obsługiwać wielu związanych z nimi klientów. W związku z tym kontrolery WLAN odgrywają kluczową rolę w funkcjonowaniu całej infrastruktury i dlatego posiadanie rozwiązań awaryjnych, może okazać się niezbędne w momencie awarii kontrolera. W tym przypadku, zarządzany punkt dostępu powinien mieć możliwość połączenia się z alternatywnym kontrolerem WLAN. Ponieważ takie alternatywne połączenie będzie możliwe tylko wtedy, gdy punkt dostępu autoryzuje połączenie z zapasowym kontrolerem, to wszystkie kontrolery WLAN, dzięki rozwiązaniom zapasowym, posiadają identyczne certyfikaty główne.

istnieją dwie możliwości wyboru w strukturze kopii zapasowej:

  • Backup polegajacy na użyciu zapasowych kontrolerów wymaga, aby każde urządzenie było zabezpieczone innym w stosunku 1:1. Zapasowe kontrolery posiadają redundantnie dostępne certyfikaty, profile i konfirguracje, które są identyczne ze znajdującymi się w kontrolerze WLAN.
  • Przy wielu kontrolerach WLAN w użyciu, urządzenia zapewniają zabezpieczenie dla innych i ewentualnie mogą zarządzać punktami dostępowymi innych kontrolerów. Dotyczy to kombinacji z większą liczbą kontrolerów WLAN, niż zazwyczaj jest wymagane do zarządzania dostępnymi punktami dostępowymi. Punkty dostępu są wprowadzone do tablicy AP wszystkich kontrolerów WLAN: jeśli kontroler zawiedzie, wówczas inne urządzenie przejmuje jego funkcję i nadal przypisuje odpowiednie profile. Tablica AP w kontrolerze WLAN LANCOM, może pomieścić 5 razy więcej punktów dostępu niż jest w stanie zarządzać. Na każde pięć kontrolerów WLAN (identyczne modele) tylko jeden dodatkowy kontroler wystarczy do zapewnienia pełnego zabezpieczenia w razie awarii.

 

Uwierzytelnianie i zliczanie dla klientów WLAN

Serwer RADIUS są zwykle stosowany w celu uwierzytelniania dostępu i naliczania opłat. Są dwie metody dostępu do serwera RADIUS, za pośrednictwem punktów dostępu:

  • Jeśli nie jest wymagana specyficzna konfiguracja, punkt dostępowy przesyła wszystkie zapytania klientów WLAN RADIUS do centralnego kontrolera WLAN. Kontroler następnie stosuje własną tabelę użytkowników, lub przekazuje zapytania serwera RADIUS do określonego serwera.
  • Żądania RADIUS, mogą być przetwarzane niezależnie od centralnego kontrolera WLAN, profile punktów dostępu mogą być skonfigurowane z wykorzystaniem ich własnego serwera RADIUS. W tym przypadku, punkt dostępu nie wysyła zapytania do serwera RADIUS kontrolera WLAN. Żądanie przysłane jest do LAN, skąd rutowane jest do serwera RADIUS w punkcie dostępu.

 

Dynamiczne przydzielanie VLAN

Większe infrastruktury WLAN, często wymagają indywidualnego przyporządkowania klientów WLAN do wybranych sieci. Zakładając, że klienci będą zawsze w zasięgu tych samych punktów dostępu, przyporządkowanie to może być realizowane poprzez SSID w połączeniu z określonym IP sieci. Czasem jednak klienci WLAN, zmieniają swoją lokalizacje i logują się do innych punktów dostępu a następnie w zależności od konfiguracji, mogliby znaleźć się w innej sieci. Aby temu zapobiec i aby klienci pozostali w określonej sieci, niezależnie od ich aktualnej sieci WLAN, można skorzystać z dynamicznego przypisywania VLAN. W przeciwieństwie do sytuacji, w której ID VLANu jest statycznie skonfigurowany dla określonego SSID, w tym przypadku serwer RADIUS bezpośrednio przypisuje ID VLANu do klienta WLAN.

 

Przykład: Dwaj klienci WLAN logują się do tego punktu dostępu z ‘’WEWNĘTRZNEGO’’ SSID. Podczas rejestracji, żądania RADIUS od klientów WLAN, są kierowane do punktów dostępu. Jeśli odpowiedni interfejs WLAN znajduje się w trybie pracy ‘’zarządzanie’’ żądania RADIUS są automatycznie przekazywane do kontrolera WLAN. Kontroler z kolei przekazuje je do zdefiniowanego serwera RADIUS, który może sprawdzić prawa dostępu klientów WLAN. Można go również użyć do przypisania adresu MAC określonym VLANom, np. klient WLAN A otrzymuje ID VLAN ‘10’ a klient B otrzyma ‘20’

 

Podsumowanie

Inteligentna kontrola WLAN LANCOM Systems, zapewnia szeroki zakres funkcji ułatwiających obsługę dużych instalacji WLAN. Automatyczne autoryzacja i uproszczona konfiguracja ról oraz automatyczne aktualizacje oprogramowania. Optymalizacje automatyczne umożliwiają również wykorzystanie wolnych kanałów radiowych.

Poprzez rozdzielenie danych i informacji kontrolnych. Kontrolery WLAN LANCOM, zapewniają równoważenie obciążenia danych w sieci i uniknąć przeciążenia nadmiernym ruchem w kontrolerze. Dla wyspecjalizowanych aplikacji dane mogą być kierowane przez kontroler WLAN w celu zapewnienia nieprzerwanego połączenia IP, nawet wtedy gdy klient przemieszcza się miedzy komórkami radiowymi (warstwa 3 roamingu).

Konfiguracja WLAN dla odległych miejsc poprzez podział zarządzania, rozszerza bezpieczeństwo sieci WLAN firmy, domowych biur oraz oddziałów. Dynamiczne przypisywanie VLANów użytkownikom, zapewnia doskonałą ochronę w krytycznych punktach sieci i kont dostępu gości.

W sytuacjach kiedy kontroler zostanie odcięty od sieci, jego role może tym czasowo przejąć punkt dostępu (pracujący wtedy w trybie stand-alone). Dzięki różnym strategiom tworzenia rozwiązań zapasowych, urządzenia LANCOM zapewniają niezawodność.