Об эволюции гостевых сетей

Первым функционалом, который ИТ-подразделение Cisco развернуло на платформе Identity Services Engine (ISE), стала организация гостевых сетей. Предыдущее решение, имевшее рабочее название NextGen Guest Networking (NGGN), базировалось на 12 серверах, установленных по всему миру, и большом списке контроля доступа (access control list, ACL). Целесообразность организации гостевой сети на платформе ISE обусловлена тремя причинами:

• гостевой формат представляет собой простое, необходимое практически всем организациям решение для доступа к сети с учетом контекста;
• развертывание этого сервиса как инфраструктуры или политики на платформе ISE выполняется достаточно просто;
• реализация гостевых сервисов – необходимое условие для того, чтобы устройства, не соответствующие политикам безопасности, развернутым на платформе ISE, могли получить определенный уровень доступа.

Упомянутая в последнем пункте проблема несоответствия устройств политикам безопасности волнует и ИТ-специалистов Cisco, и заказчиков компании. Она неоднократно обсуждалась в ходе дискуссий о том, как технологии и продукты Cisco использовать в самой Cisco.

Начнем с возможностей, предоставляемых платформой ISE. Во-первых, она позволяет развернуть гостевую сеть (у нас в компании мы называем ее «только интернет-доступ» (Internet Only Networking, ION) и обеспечить мониторинг и профилирование (802.1X Monitor Mode and Profiling). С помощью ISE мы видим, что происходит в сети, и даем тем, кто не аутентифицирован в режиме мониторинга, возможность исправить ситуацию. Потом выполняется аутентификация (802.1X Authenticated mode), за которой следуют оценка состояния (Posture Assessment) и применение политик безопасности (Posture Enforcement). Последний этап включает использование механизмов управления устройствами (Device Management, DM), работающими на базе различных ОС (Android, iOS, Mac, Windows, Linux). Эти механизмы проверяют совместимость устройств, передавая результаты в ISE. По результатам проверки открывается соответствующий доступ.

При таком режиме обеспечения соответствия политикам логично было бы задать вопрос: что делать с устройствами несовместимыми, которые никогда не станут совместимыми или которые пользователь предпочел сделать таковыми? Последние месяцы ИТ-архитекторы, проектировщики, руководители технических отделов, специалисты по пользовательскому восприятию и другие эксперты Cisco активно обсуждали, как будет организована сеть, которая сейчас называется гостевой, но быстро становится сетью по умолчанию. В данном случае использование термина «сеть по умолчанию» — попытка по возможности кратко описать суть происходящего. По умолчанию организация определяет, какой доступ будет предоставлен большинству устройств, которые по своим характеристикам, по решению пользователя или по необходимости являются несовместимыми. Эта категория может включать довольно большое количество устройств, относящихся к Всеобъемлющему Интернету (Internet of Everything, IoE).

Функционал сети по умолчанию не сводится только лишь к обеспечению гостевого доступа в Интернет. Представим, что ИТ-отдел выдает сотруднику новый ноутбук, который довольно долго пролежал на складе и стал несовместим с политиками из-за устаревшей версии антивирусного ПО (мы берем ситуацию в перспективе, когда будут строго соблюдаться политики информационной безопасности). Когда пользователь попытается получить доступ к корпоративной беспроводной сети, платформа ISE с помощью решения DM для ноутбуков определит несоответствие данного устройства корпоративным требованиям. Затем пользователю будет предложено подключиться к сети ION, т.е. к сети по умолчанию, где реализованы сервисы и открыты порты, с помощью которых можно восстановить уровень совместимости и подключиться к корпоративной сети.

Второй из возможных сценариев предполагает, что пользователь подключается со своим собственным устройством, которое он по каким-либо причинам (необходимость установки антивируса, средств шифрования, использования пин-кода и соответствие другим требованиям, определяемым решением DM) не хочет делать совместимым. В этом случае пользователь точно так же подключится к сети ION и сможет оставаться в ней до тех пор, пока ему нужен доступ к Интернету. При этом сотрудник организации получит возможность использовать отдельные корпоративные ресурсы, если ему будет открыт доступ к серверу печати, веб-почте или сервисам, учитывающим местоположение. Возможно, мы разрешим использование сервисов VPN и подключение к сети через AnyConnect, но в конце концов клиентам AnyConnect тоже придется соблюдать требования совместимости, определяемые на этапе применения политик безопасности.

Можно предположить, что в какой-то момент развития Всеобъемлющего Интернета число несовместимых с политиками устройств превысит число других оконечных точек в корпоративной сети. Такая ситуация повлияет на набор предлагаемых  сервисов, изменит ожидания пользователей и скорректирует разработку решений, осуществляемую  ИТ-специалистами компании Cisco.