ARUBA Performances/support de bornes radio Bande passante non cryptée : 1 Gbps-16 Gbps Bande passante cryptée : 200 Mbps-8 Gbps 6000-6100 256-512 APs 2400 48 APs 5000-5100 48-128-256 APs 800-4/800-16 04-16 APs 200 06 APs Evolution en connectivité La caractéristique essentielle des réseaux sans fil LAN (WLAN) réside dans le fait qu ils permettent aux clients de se brancher directement et de s y déplacer à leur guise. Les WLANs simplifient ainsi les mouvements et les changements au fur et à mesure que les employés et les visiteurs de l entreprise opèrent leurs va-et-vient sur le réseau. Conséquence : la voix sur réseaux IP (VoIP) est aujourd hui de plus en plus répandue dans les entreprises, ces dernières ayant constaté au fil du temps une réduction des coûts par rapport à ceux générés par des communications longues distances traditionnelles. La voix sur Wi-Fi (VoWlan) va encore au-delà de ces avantages en offrant une meilleure sécurité et couverture que la voix sur réseau cellulaire classique. Les nouveaux téléphones voix sur Wi-Fi (VoWlan), qui au fil du temps deviennent de plus en plus populaires et qui par définition exigent une mobilité très étendue, mettent fortement ces architectures à l'épreuve. Un téléphone VoWlan doit être capable de supporter une application de transmission de média en continu, alors qu il est en mouvement au sein du réseau. D un point de vue interne au WLAN, le téléphone se déplace rapidement de point d accès en point d accès et le réseau doit s assurer que ce transfert soit le plus rapide possible. Les opinions divergent quant au temps de latence de transfert acceptable pour une conversation téléphonique. La plupart des experts s accordent néanmoins sur un objectif de 50 ms (millièmes de seconde). Le réseau dispose ainsi de 50 ms pour réaliser une pléthore de tâches : Préserver l authentification du client. Les équipements souhaitant se connecter à un WLAN doivent s authentifier. Le réseau peut ainsi reconnaître et autoriser l'accès au client, ce dernier s'assurant ainsi de se connecter au réseau approprié. Dans les architectures WLAN d anciennes générations, la procédure d authentification était assurée par le point d accès avec lequel le client s'associait. La mobilité d un client d un point d accès vers un autre déclenchait une nouvelle authentification. Préserver le cryptage de la connexion. Tous les WLANs sollicitent le cryptage des connexions par voie hertzienne, empêchant ainsi les équipements tiers de capter les données émises ou reçues par le client. Les normes récentes, tel le 802.11i, exigent l utilisation de nouvelles clés de cryptage lorsqu un client évolue d un point d accès vers un autre. Ces clés doivent être échangées pendant le processus de transfert. Préserver et rediriger les connexions filaires. Selon le paramétrage du réseau, une nouvelle adresse IP pourrait être attribuée à l issue du transfert à un client qui se déplace d un point d accès à un autre. Le réseau doit également s assurer que le trafic descendant (vers le client) s effectue désormais à partir du nouveau point d accès associé. Tél. : 01 39 56 00 25 - www.teldata.fr 27
ARUBA (SUITE) Modifier le contexte de la qualité de service Ceci est une conséquence de l adoption du multimédia par la plupart des applications mobiles. Pour fonctionner correctement sur les réseaux locaux et les WLANs, ces connexions doivent demander un traitement prioritaire pour que les paquets échangés ne souffrent que d un minimum de retard ou d erreurs. La qualité de service s évaluant de bout en bout pour une connexion, ceci affecte le réseau aussi bien dans sa partie filaire que dans sa partie sans fil qui utilise un protocole tel que le 802.11e. Ces tâches (nouvelle authentification, nouvelles clés de cryptage, redirection de la connexion et changement du contexte de qualité de service) doivent s exécuter chaque fois qu un téléphone VoWlan change de point d accès. Les futurs téléphones VoWlan Le groupe de normalisation 802.11 a conçu de nouvelles normes dédiées aux services de voix. La norme 802.11e propose la fonctionnalité de qualité de service. Le 802.11i est une norme de sécurité qui propose notamment des mécanismes de transfert sécurisé. Les téléphones proposant les normes 802.11e et 802.11i seront bientôt sur le marché. Une meilleure sécurité, similaire à celle des PC portables sera proposée ainsi qu un transfert plus rapide, mais néanmoins encore trop lent pour la majorité des architectures WLAN. Le groupe de normalisation du 802.11 prend en compte cette insuffisance et un nouveau groupe de travail, dédié au 802.11r, a été constitué afin d améliorer la performance du transfert. Architectures WLAN précédentes et prise en charge de la mobilité. Les architectures de première génération utilisaient des points d accès «lourds». Ces points d accès étaient des équipements de liaison réseau autonomes qui utilisaient la couche réseau 2. Un client souhaitant accéder au réseau le signalait au point d accès. Ce dernier transmettait les références d'authentification du client à un serveur de sécurité d entreprise (Kerberos ou RADIUS par exemple). Le client s associait complètement au point d accès et se connectait au réseau filaire lorsque l échange entre le client et le serveur était réalisé avec succès. Les clés de cryptage étaient fournies par le serveur de sécurité au client et au point d issue de l authentification. Cette architecture, parfaite pour les utilisateurs fixes tels que les PC, se révèle déficiente pour les téléphones VoWlan. Plusieurs raisons à cela : - Le réseau ne dispose d aucun historique lorsqu un client se déplace vers un nouveau point d accès. Le client est traité en tant que nouvel équipement. Il doit initier un nouveau cycle complet d authentification avant d accéder au réseau via le nouveau point d accès. - L architecture d authentification, adossée à un serveur d authentification d entreprise, ne fonctionne pas en temps réel. L objectif initial de cette fonctionnalité était de se positionner en tant que serveur d entreprise unique pour les connexions filaires. Les utilisateurs filaires ne s authentifient qu une seule fois par session et ne se déplacent pas. Les téléphones VoWlan sont susceptibles de s associer à un nouveau point d accès en l espace de 28 Tél. : 01 39 56 00 25 - www.teldata.fr
ARUBA (SUITE) quelques secondes ce qui augmente la charge du serveur de sécurité et pèse sur les performances. - Le serveur de sécurité est généralement distant de l utilisateur sans fil, et peut se situer au niveau national, voire international. Le serveur n a pas été conçu pour le temps réel et la connexion entre le point d accès et le serveur sur des longues distances échappe à la fonctionnalité de qualité de service. Les architectures de première génération ne peuvent répondre aux exigences d un transfert rapide des téléphones VoWlan. Cette situation a conduit à de nouvelles architectures WLAN. Les architectures de seconde génération ont pris en compte les déficiences sécuritaires des architectures de première génération en instituant un pare-feu de sécurité qui filtre l ensemble des flux en amont du réseau filaire d entreprise. Deux innovations sont caractéristiques des architectures de troisième génération : les points d accès «légers» et un commutateur WLAN dédié doté d un pare-feu. Cette conception décharge le point d accès et transfère au commutateur WLAN une partie importante du traitement et des équipements. Le commutateur WLAN, plate-forme idéale pour un «point d ancrage» des équipements mobiles représente une innovation majeure en matière de mobilité. Ce point d ancrage des connexions permet au réseau en amont de considérer l emplacement d un téléphone VoWlan comme unique : les équipements sur le réseau local communiquent avec le commutateur WLAN et la connexion consécutive au transfert peut être redirigée par le commutateur WLAN. En aval, le commutateur WLAN se connecte à chaque point d accès de l établissement ou du réseau (le transfert entre commutateurs est également assuré par les architectures de troisième génération). Un téléphone VoWlan est toujours géré par un commutateur WLAN, quel que soit le point d accès auquel il est associé. Le maillage sans fil (wireless grid) Les services voix représentent une option particulièrement intéressante pour les WLANs d entreprise. Ils permettent de nouvelles fonctionnalités comme l utilisation de téléphones VoWlan raccordés au PABX de l entreprise, offrent un service similaire à celui des téléphones cellulaires sans les coûts de communication et consolident les fonctionnalités du PABX. Les normes Wi-Fi pour les clients PC sont relativement stables, contrairement aux technologies nécessaires à la fiabilité des services, encore en cours d élaboration par les organismes de normalisation. Ces contraintes et celles liées à la conception du combiné ne permettent pas aux téléphones VoWlan actuels de disposer des normes de sécurité les plus récentes. Les responsables réseaux ont le choix : ils peuvent accepter ces contraintes et mettre en œuvre des mesures spécifiques au sein de l architecture sans fil pour maîtriser ces risques ou patienter jusqu au lancement de nouveaux équipements mieux sécurisés. Tél. : 01 39 56 00 25 - www.teldata.fr 29
GAMME D INTÉRIEUR Mono radio 802.11a ou 802.11b/g Bi radio 802.11a ou 802.11b/g AP-41 AP-60/61 AP65 AP-70 GAMME D EXTÉRIEUR Mono radio 802.11a ou 802.11b/g Bi radio 802.11a ou 802.11b/g AP-80 Extension du LAN sur campus AP-80SB/80MB Liaison point à point ou point à multipoints ANTENNES DETACHABLES POUR POINTS D ACCES ARUBA AP-ANT1 Omni-directionnel 4dbi AP-ANT2 Omni-directionnel 6dbi AP-ANT3 Bi-directionnel 5dbi AP-ANT4 Directionnel 9dbi AP-ANT5 3,5dbi AP-ANT6 5dbi AP-ANT7 12dbi AP-ANT8 Omni-directionnel 5dbi AP-ANT9 7dbi AP-ANT10 Omni-directionnel 6dbi AP-ANT11 3dbi AP-ANT12 14dbi 30 Tél. : 01 39 56 00 25 - www.teldata.fr
CARACTERISTIQUES DE SECURITE Layer 1 Détecttion d'intrusion et prévention. Rogue AP détection, classification, triangulation et inhibition. Upgrade des signatures IDS/IPS. Layer 2 Authentification/encryptage 802.1x. MS-PEAP, EAP-TLS, EAP- TTLS, LEAP. WPAI/II, TKIP, AES, WEP. Rôle et AAA basés sur les VLANs. Intégration Secure-ID, RADIUS, LDAP. Evolutif au niveau des nouvelles authentifications et méchanismes d'encryptage. Layer 3 Concentrateur VPN puissant et souple. L2TP/IPSEC, PPTP. ACLs, Time Range, QoS. NAT. Layers 4-7 Stateful firewall. Mobilité totale des utilisateurs. Inspection des paquets. Séparation totale des profils. Portail captif. Protection des utilisateurs, du réseau et des ressources partout. Tél. : 01 39 56 00 25 - www.teldata.fr 31
CONTROLE DE SON RESEAU WLAN Map dynamique Vues Temps Réel : Rapport Signal / Bruit (SNR) Interférences Couverture à différents débits Visualisation simple par couche Permet une exploitation simplifiée et économique! Automatique et uniquement avec les bornes AP/AM Point d accès distant/personnel (AP41/60/61/65/70) Pour étendre le réseau d entreprise partout, quand on veut et avec le même niveau de sécurité, la gestion et la sécurité sont toujours centralisées. 32 Tél. : 01 39 56 00 25 - www.teldata.fr
LA VOIX SÉCURISÉE PARTOUT QOS EN WI-FI Tél. : 01 39 56 00 25 - www.teldata.fr 33
Wi-Fi pass un programme «simple comme bonjour» pour ajouter, lister, supprimer des utilisateurs, et gérer plusieurs commutateurs... WI-FI PASS? EXPLICATIONS... A l écoute des besoins et des désirs de ses clients, TELDATA a créé un programme de gestion des utilisateurs pour les commutateurs ARUBA. En effet, la configuration et par la même occasion la gestion des utilisateurs des commutateurs ARUBA se font par l interface Web ou en mode console. Or, un utilisateur n ayant que peu de connaissances en informatique, se retrouvant derrière ces modes de configurations, peut s avérer très dangereux car il est possible de tout modifier. C est ainsi que TELDATA a eu l idée de développer ce programme dont la fonction principale était de permettre la gestion des utilisateurs par n importe quel novice en informatique. La configuration et par la même occasion, la gestion des utilisateurs des commutateurs ARUBA se fait par interface Web ou en mode console. Or, l interface Web permettant de configurer au maximum ces produits, (puisqu il est beaucoup plus facile de cliquer sur quelques boutons que de se connecter en mode «console» et de taper à la main toutes les commandes pour la configuration) a un gros inconvénient : il est très facile de modifier la configuration et donc, dans certains cas, de perturber voire interrompre son bon fonctionnement. Wi-Fi PASS vous simplifie la tâche, il comporte différentes fonctionnalités telles que : Ajouter un utilisateur (avec un temps prédéfini) Supprimer un utilisateur Lister tous les utilisateurs Ajouter une liste d utilisateurs en important un fichier (de type CSV) Supprimer une liste d utilisateurs Gérer plusieurs commutateurs Imprimer une carte personnalisée avec les informations de l utilisateur pour pouvoir se connecter Ce programme est développé en C++, avec Windows MFC, (ce langage propre à Microsoft permettant une intégration des programmes idéale dans l environnement Windows). Grâce à un système d identification crypté, il est impossible de diffuser ce programme pour l installer dans un autre réseau avec un commutateur différent. De même il est possible de choisir quel commutateur configurer à chaque lancement du programme. Wi-Fi PASS est fourni en plusieurs versions : 1 licence, 5 licences, 10 licences. Wi-Fi PASS doit être installé par les équipes TELDATA ; plusieurs installations Wi-Fi PASS peuvent configurer un même commutateur ARUBA. L installation de Wi-Fi PASS est intégrée dans le prix du produit (hors déplacement). Wi-Fi pass : pour qui? Vous souhaitez pouvoir configurer facilement les utilisateurs de votre réseau sur le commutateur ARUBA ; cette manipulation sera effectuée par vous-même ou par toute autre personne pouvant être novice en informatique (secrétaire, hôtesse d accueil ). 34 Tél. : 01 39 56 00 25 - www.teldata.fr