Об эволюции гостевых сетей

Целесообразность организации гостевой сети на платформе ISE обусловлена тремя причинами: 

• гостевой формат представляет собой простое, необходимое практически всем организациям решение для доступа к сети с учетом контекста;
• развертывание этого сервиса как инфраструктуры или политики на платформе ISEвыполняется достаточно просто;
• реализация гостевых сервисов – необходимое условие для того, чтобы устройства, не соответствующие политикам безопасности, развернутым на платформе ISE, могли получить определенный уровень доступа.

Упомянутая в последнем пункте проблема несоответствия устройств политикам безопасности волнует и ИТ-специалистов Cisco, и заказчиков компании. Она неоднократно обсуждалась в ходе дискуссий о том, как технологии и продукты Cisco использовать в самой Cisco.

Начнем с возможностей, предоставляемых платформой ISE. Во-первых, она позволяет развернуть гостевую сеть (у нас в компании мы называем ее «только интернет-доступ» (InternetOnlyNetworking, ION) и обеспечить мониторинг и профилирование (802.1XMonitorModeandProfiling). С помощью ISE мы видим, что происходит в сети, и даем тем, кто не аутентифицирован в режиме мониторинга, возможность исправить ситуацию. Потом выполняется аутентификация (802.1XAuthenticatedmode), за которой следуют оценка состояния (PostureAssessment) и применение политик безопасности (PostureEnforcement). Последний этап включает использование механизмов управления устройствами (Device Management, DM), работающими на базе различных ОС (Android, iOS, Mac, Windows, Linux). Эти механизмы проверяют совместимость устройств, передавая результаты в ISE. По результатам проверки открывается соответствующий доступ.

При таком режиме обеспечения соответствия политикам логично было бы задать вопрос: что делать с устройствами несовместимыми, которые никогда не станут совместимыми или которые пользователь предпочел сделать таковыми? Последние месяцы ИТ-архитекторы, проектировщики, руководители технических отделов, специалисты по пользовательскому восприятию и другие эксперты Ciscoактивно обсуждали, как будет организована сеть, которая сейчас называется гостевой, но быстро становится сетью по умолчанию. В данном случае использование термина «сеть по умолчанию» — попытка по возможности кратко описать суть происходящего. По умолчанию организация определяет, какой доступ будет предоставлен большинству устройств, которые по своим характеристикам, по решению пользователя или по необходимости являются несовместимыми. Эта категория может включать довольно большое количество устройств, относящихся к Всеобъемлющему Интернету (InternetofEverything, IoE).

Функционал сети по умолчанию не сводится только лишь к обеспечению гостевого доступа в Интернет. Представим, что ИТ-отдел выдает сотруднику новый ноутбук, который довольно долго пролежал на складе и стал несовместим с политиками из-за устаревшей версии антивирусного ПО (мы берем ситуацию в перспективе, когда будут строго соблюдаться политики информационной безопасности). Когда пользователь попытается получить доступ к корпоративной беспроводной сети, платформа ISEс помощью решения DMдля ноутбуков определит несоответствие данного устройства корпоративным требованиям. Затем пользователю будет предложено подключиться к сети ION, т.е. к сети по умолчанию, где реализованы сервисы и открыты порты, с помощью которых можно восстановить уровень совместимости и подключиться к корпоративной сети.

Второй из возможных сценариев предполагает, что пользователь подключается со своим собственным устройством, которое он по каким-либо причинам (необходимость установки антивируса, средств шифрования, использования пин-кода и соответствие другим требованиям, определяемым решением DM) не хочет делать совместимым. В этом случае пользователь точно так же подключится к сети IONи сможет оставаться в ней до тех пор, пока ему нужен доступ к Интернету. При этом сотрудник организации получит возможность использовать отдельные корпоративные ресурсы, если ему будет открыт доступ к серверу печати, веб-почте или сервисам, учитывающим местоположение. Возможно, мы разрешим использование сервисов VPNи подключение к сети через AnyConnect, но в конце концов клиентам AnyConnect тоже придется соблюдать требования совместимости, определяемые на этапе применения политик безопасности.

Можно предположить, что в какой-то момент развития Всеобъемлющего Интернета число несовместимых с политиками устройств превысит число других оконечных точек в корпоративной сети. Такая ситуация повлияет на набор предлагаемых  сервисов, изменит ожидания пользователей и скорректирует разработку решений, осуществляемую  ИТ-специалистами компании Cisco.

© Cisco Systems, 2014
© Издание 12NEWS (ИП Маринин А.Л.), 2014