Transcript PPT
PSU Week 2015 May ［RS-1］ Catalyst 最新 mGig 対応スイッチご紹介 ～Catalyst だからできること～ シスコシステムズ合同会社 エンタープライズネットワーキング事業 プロダクトマネージメント シニアプロダクトマネージャー 渡邊 靖博 Agenda 1. 無線LANに絡めたCatalyst提案 • mGig/NBASE-T規格対応 • Converged Access • StackWise利用の10G Fiberモデル 2. • 3. • セキュリティに絡めたCatalyst提案 Network as a Sensor (NaaS) 競合スイッチに対する優位機能 Err-disable, VTP, DAI等 無線LANに絡めたCatalyst提案 mGig/NBASE-T対応 © 2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 3 802.11ac導入に向けた「利点」と「懸念点」 11acによるLANインフラ増強は、コストが伴います。 無線アクセスポイントとLANスイッチ間の帯域がボトルネックとなる。 下位〜上位スイッチ間の帯域もボトルネックになり得る。 10Gbps接続には、光ファイバやカテゴリ6A品質のケーブルが必要です。 10G接続でカテゴリ6A/光ケーブルが 必要。しかもPOE+の給電ができない。 ノートPC タブレット 無線アクセスポイント Wave1: 規格値1.3Gbps 無線アクセスポイント スマホ Wave2: 規格値3.5Gbps 下位 LANスイッチ 下位スイッチからのトラ フィック次第で10Gbps接 続が求められる。 上位 LANスイッチ インターネット向け トラフィック Wave1: AP数 x 1.3Gbps Wave2: AP数 x 3.5Gbps 1.3G/3.5Gbpsの帯域に対応する ネットワークインフラが必要になる。 NBASE-Tアライアンスの創設 www.nbaset.org アライアンスの目的 • カテゴリ5e/6のケーブルで、より高速な伝送速を実現するソリューションを推進していく。 • 業界内での合意と推進力をNBASE-Tアライアンスを通じて構築していく。 • IEEEのような標準化に向けて調整していく。 2014年10月31日 以下のメンバーにより報道発表しました。 それ以降、続々とメンバーがNBASE-Tアライアンスに加入しました。（全34社加入 2015/5/14現在） ほか mGig/NBASE-Tによる“高速化”と“コスト低減” 既設ケーブルの利用でコスト低減しながら11ac導入を！ mGig(Multi-Gigabit Ethernet)接続なら、コスト抑えて高速化！ 既設のUTPカテゴリ5eケーブルを利用して、2.5Gbps、5Gbps接続を実現します。 しかも、ケーブル長100m対応可能です。 POE+(802.11at)でアクセスポイントに給電できます。(AP用電源不要) カテゴリ5e/6ケーブルで2.5G/5Gbps接続 ノートPC タブレット Wave1: 規格値1.3Gbps mGig: 最大2.5Gbps 下位スイッチからのトラフィック次第で 10Gbps接続が求められる。 Catalyst ３８５０ インターネット向け トラフィック Wave1: AP数 x 1.3Gbps Wave2: AP数 x 3.5Gbps スマホ Wave2: 規格値3.5Gbps mGig 5Gbps mGig対応LANスイッチ Catalyst 4500-E/3850/3560-CX スタック接続可能 無線LANコントローラ内蔵 モジュラー型LANスイッチ 無線LANコントローラ内蔵 固定型LANスイッチ コンパクトスイッチ Catalyst 4500-E Catalyst 3850 Catalyst 3560-CX 48 port mGig対応ラインカード 48 / 24 port mGig対応12 / 24 ports 8 port Multigigabit Switch 12 ports mGig対応 mGig対応 2 ports mGig対応 10Gアップリンクにも対応可 10Gアップリンクにも対応可 10Gアップリンクにも対応可 無線LANに絡めたCatalyst提案 Converged Access and 10G © 2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 8 シスコの提供する設置モデル コントローラ型、自律型 ＋ LANスイッチ内蔵型 コントローラ型 自律型 • アプライアンス(/VM) 必要 • 1つのコントローラで多数拠点を制御 • 優れた電波管理機能 • LANスイッチ接続が必要 • アプライアンス(/VM)不要 • 個々のアクセスポイントが独立動作 • 電波監理・監視機能の弱さ • LANスイッチ接続が必要 Cisco 無線LANコントローラ LANスイッチ 性能 vs. 価格 比較 LANスイッチ 投資保護 vs. 短期間投資 Aironet アクセスポイント Aironet アクセスポイント シスコの提供する設置モデル コントローラ型、自律型 ＋ LANスイッチ内蔵型 ココ コントローラ型 • アプライアンス(/VM) 必要 • 1つのコントローラで多数拠点を制御 • 優れた電波管理機能 • LANスイッチ接続が必要 LANスイッチ内蔵型 • アプライアンス(/VM)不要 • 1つのLANスイッチで単一拠点を制御 • 優れた電波監理機能 • Catalyst LANスイッチを共用 自律型 • アプライアンス(/VM)不要 • 個々のアクセスポイントが独立動作 • 電波監理・監視機能の弱さ • LANスイッチ接続が必要 Cisco 無線LANコントローラ Cisco Catalyst LANスイッチ LANスイッチ Aironet アクセスポイント 無線LANコントローラ内蔵 Aironet アクセスポイント コストを抑えて、コントローラ型の性能 有線LANと無線LANの導入可能 LANスイッチ Aironet アクセスポイント Catalyst 4500-E/3850/3650 無線LANコントローラ内蔵（Converged Access対応） 製品概要 Catalyst 4500-E 86%のオフィスは50台以下のアクセスポイント （弊社販売実績より。） Catalyst 3850 項目 無線LAN 有線LAN POE給電 コントローラ内蔵 4500-E ✔100APs 3850 ✔ 対応 ✔ 対応 ClientLink ✔ 対応 シャーシ型/スタック接続 ✔シャーシ 型 3650 Catalyst 3850 Catalyst 3850 Catalyst 3850 ✔ 100APs ✔ 50AP CleanAir 928Gbps Cisco Prime Infrastructure （PI) Catalyst 3650 802.11ac Wave1 スイッチ容量 Converged Accessの展開 480Gbps MA MC MA MC MA MC Aironet Aironet Aironet オフィスA オフィスX 160Gbps ✔ スタック型 10Gインターフェース ✔ 対応 TrustSec ✔ 対応 イーサネット経由の給電 ✔ 対応 MC: Mobility Controller MA: Mobility Agent オフィスZ Converged Access 導入メリットと効果 導入コスト低減 • • ３階層モデルから２階層モデルで導入コスト低減 アクセスポイントは、LANスイッチの位置付け。 Catalyst 3850 コンパクトスイッチ デスクトップPC /プリンタ(有線LAN) アクセスポイント スマートフォン ノートPC(無線LAN) フロア２ Catalyst 3850 POE給電 MC +MA 無線LANコントローラ プリンタ PC 無線LANコントローラのアプライアンス不 要 • フロア１ MA POE給電 自律型のようにアプライアンスは不要 追加設置スペース無し Catalyst 3850 有線LAN設定と統合 有線・無線LANを併せて管理可 • Prime Infrastructureで干渉源や通信品質を可視化できます。 プリンタ PC Catalyst 3850シリーズ 10G Fiber対応スイッチ 型番 説明 WS-C3850-12XS 写真 価格（予価） IP Base 価格（予価） IP Services 10Gx12ポート NHD: $14,350 NHD: $18,450 WS-C3850-16XS 10Gx16ポート NHD: $18,450 NHD: $22,550 WS-C3850-24XS 10Gx24ポート NHD: $24,600 NHD: $28,700 WS-C3850-32XS 10Gx32ポート NHD: $32,800 NHD: $36,900 ※ネットワークモジュール（アップリンク）は別売です。 Catalyst 3850シリーズ 新ネットワークモジュール 型番 説明 写真 価格（予価） C3850-NM-8-10G 10Gx8ポート NHD: $8,200 C3850-NM-2-40G 40Gx2ポート NHD: $8,200 サンプル構成 StackWiseによる既存スイッチの組合せ 40Gbps接続(QSFP) x4 Catalyst 3850 StackWise & StackPower 有線LAN 無線LAN 10Gbps接続(SFP+) mGig (5Gbps) 無線LAN コントローラ内蔵 1Gbps接続(SFP) 100APまで Catalyst コンパクトスイッチ Aironet アクセスポイント 今回のご紹介 10G/40Gに対応し、高速・広帯域化への拡張性 12/16/24/32の10G接続に対応する固定型スイッチで既存Catalyst 3850とのスタック接続を実現しています。 ダウンリンクの高速化に対応できるように、10Gx8ポート/40Gx2 ポートのアップリンクモジュールを搭載できます。 Cisco StackWiseでバックプレーンを480Gで接続すると共に、動作 中の機器追加・交換が可能です。IPアドレスレベルでは、1つのIPア ドレスで管理できようになっています。 Cisco StackPower技術で電源を共通化すると共に、1つの電源故障 に対してバックアップすることが出来ます。さらに、個々の電源の独 立性があるため、活線による故障電源の交換も実現しています。 先日からご紹介していたこと。 mGig/NBASE-T規格に対応 無線LANの802.11ac Wave2に備えた規格値2.34Gbps/3.5Gbpsのトラフィックに対し、無線 アクセスポイントとLANスイッチ間の1Gbps接続のボトルネックを解消するため、既存のカテ ゴリ5Eケーブルで2.5G/5Gbpsを提供します。 802.3af/atによる給電も可能であ、無線アクセスポイントへの給電を提供します。 (10GBASE-Tでは給電できないため、mGigの速度に加えた優位点) 無線LANコントローラをLANスイッチに内蔵 最大100台のAironetアクセスポイントを制御できます。 自律型無線LANを検討するお客様は、コントローラの設置スペースと導入コストを懸念点と して挙げますが、LANをスイッチに内蔵するため、アプライアンス不要設置スペース不要、 コスト低減が得られます。 コントローラ型無線LANの優れた電波管理はそのままに、アプライアンス不要で（自律型と は違う）無線LAN環境を導入できます。 セキュリティリスクの低減 Network as a Sensor (NaaS) © 2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 18 セキュリティリスクの低減 NetFlowでデータ収集し、“ふるまい”を分析 Network as a Sensor (NaaS) データセンター NetFlowを利用したInvea-tech社/LANcope社の 製品と連携することで、怪しい”ふるまいを検出“ します。 外部の特定サイトに連続してデータを送信してい る。 ブラックリストのIPアドレスへデータを送信している。 Web認証で辞書アタックが行われている。 SMTP/sSMTPでスパムメールを送信している。 SSHサービスに対する偽の証明書でログインする 動き。 大量のDNSクエリ等を行うDNSサーバの検知 悪意あるマルウェアの疑いを検出する。 DoS攻撃の検出 望ましくないアプリ利用の検出 感染 サーバ C&C/攻撃 サーバ 攻撃対象 サーバ インターネット イントラネット NetFlowコレクター + ふるまい検出 Copy オフィス 感染端末 攻撃感染端末 Network as a Sensor(NaaS) NetFlowを利用した“ふるまい検出” NetFlowを利用した怪しい”ふるまい”を検知するソリューションです。 NetFlowコレクターでネットワーク上に流れるフローを集めて、ビッグデータ解析することで、“怪しいふるま い“を検知し、アラームを出すことができます。 既知の脅威・外部からの攻撃だけでなく、内部感染や暗号データにも有効で、シグネチャを必要としませ ん。（ふるまいを分析します。） 端末やサーバにソフトウェアをインストールすることは不要です。 NetFlowデータ NetFlow NetFlow コレクター ビッグデータ 分析 アラーム 管理画面 メール通知 ※API連携による端末の隔離機能をサポート予定 ※sFlowでは、全フローを解析出来るだけのデータを取得できません。 IPS ≠ NetFlowによるセンサー 補完関係にあるセキュリティ機能 NetFlowセンサー IPS “ふるまいの変化“や”不信な パケットパターンを検査することで 挙動”を検出する。 統計分析による検査 未知の攻撃パターンの検出 シグネチャ不要 内部からの脅威検出に有効 暗号トラフィックにも有効 攻撃を検出 既知の攻撃や決められた攻撃パ ターンに対する防御 内部の攻撃に対しては効果が無 い。 暗号トラフィックには有効に機能 しない。 Network as a Sensor(NaaS) Value Sellingのポイント NetFlow機能の利用は無料 Cisco製品でNetFlowを利用するためのソフトウェア・ライセンスはありません。（無料です。） Cisco製品を前提としたネットワークであれば、データ収集用の装置（Probe）は必要ありません。 NetFlowコレクターは、Invea-Tech社/Lancope社の製品が必要 “ふるまい“を分析するため、シグネチャ不要 “ふるまい”を分析するため、未知の攻撃/怪しい動きにも対応できます。（シグネチャ不要） イントラネット内で発症した攻撃や暗号化通信にも対応できます。（IPSとの違い） クライアントの挙動も、デバイス側（PCやサーバ）にソフトウェアのインストールが必要ありません。 他社がサポートしている ｓFlowでは全フローのデータ収集が出来ないため、“ふるまい”を分析することができ ません。 有線LAN・無線LANの双方のフロー収集に対応できます。 • ネットワーク全体のデータ通信フローをデータ収集するため、無線LAN・有線LANを問わず、対応できます。 Catalyst提案の差別化機能 © 2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 23 Catalystの差別化機能 チョット出し。 機能 概要 Flapping等発生時にPortを一時的にオ フ VTP スイッチ間でダイナミックにVLANを学習 Time-based ACL ACLの有効な日時を指定 NEAT スイッチ自体をdot1x認証 EEE トラフィック量を見てPort電力を調整 DAI 不正端末のARP Spoofをブロック IPSG 不正端末の固定IPすり抜けをブロック error-disable ※ 各メーカの全機種が上記機能を持っていない訳ではありません。 VTP 利用シーン マスタースイッチでVLANを作成することで、全スイッチに自動で VLANを作成することが出来るため、キャンパスNWにおけるVLAN 整合性を自動で取ることが出来ます。また、利用していないVLANが ある場合は、トラフィックが無駄にブロードキャストされないように自 動でプルーニングすることが出来ます。 設定変更に関わるコストの削減 VLAN設定の変更と工数削減 導入前（コスト要因は様々です。） Cisco導入後 サイトあたり何十台ものLANスイッチのVLAN変 更には、相当な工数が掛かる。 1つのスイッチへVLAN設定することで、VLAN情報 が対象LANスイッチへ設定が適用されます。 「ログイン変更モードコマンド投入 設定変更設定保存」の作業を対象LANス イッチ全てに実行するには工数が多すぎます。 グループ分け、サーバ・クライアント等のクラス分け より、VLAN設定における細かい設定範囲も特定で きるため、個別設定と同じVLAN設定ができます。 お客様サイト お客様サイト LANスイッチ ログイン 変更モード コマンド投入 設定変更 設定保存 LANスイッチ 設定者 設定者 PC 個々設定による作業工数（増） ログイン 変更モード コマンド投入 設定変更 設定保存 設定投入 PC 設定の自動伝搬による作業工数（減） Dynamic ARP Inspection(DAI) ＆IP Source Guard(IPSG) • 利用シーン 許可していない端末を勝手に情報コンセントに接続させることで、通信 情報を盗聴したり、通信妨害をすることを防止することが出来ます。 安全なネットワークの構築 アドレス偽装による不正アクセスを防止したい。 導入前（通信傍受の恐れがあります。） ユーザIDと端末MACアドレスによる認証だけでは、多要素認 証として100％はありません。 端末のMACアドレスは偽装（書き換え）できます。 • 情報漏洩における内部犯行は少なくありません。 Cisco導入後 持ち込みデバイス/端末による社内接続を禁 止できます。 • MACアドレス・IPアドレス偽装を検出し、偽装 端末を社内ネットから遮断します。 情報漏えいの内部犯行は珍しくありません。 情報漏洩教育に加えて、システム上の防止策が求められます。 データセンター MACアドレスの 偽装により、 データ搾取の 危険性あり サーバ IPアドレスで アクセス制御しても IPアドレス偽装により、 データ搾取の 危険性あり LANスイッチ IPアドレス 偽装 MACアドレス 偽装 ネットワーク規模や運用方法により、柔軟なシステムをご提案できます。 データセンター アドレス偽装 防止機能 導入 IPアドレスの 偽装を検出し、 偽装端末への データ転送を 遮断します。 サーバ 認証サーバ MACアドレスの 偽装を検出し、 偽装端末を 遮断します。 Catalyst LANスイッチ MACアドレス 偽装 IPアドレス 偽装 (泣) NEAT 利用シーン 空きポートに勝手に島Hubや野良AP等をつなげたりすることを禁止 することが出来ます。 安全で確実なループ防止機能 不許可デバイスの接続を遮断したい。 導入前（問題は引き起こされます。） Cisco導入後（問題の発生前後の予防策） 不許可デバイスの社内接続により、セキュリティ リスクや障害要因を抱えることになります。 データ搾取を目的とした持ち込みPC • ウィルス感染デバイスの社内接続 • LANポート不足の解決を目的にした持ち込み LANスイッチ デバイス認証の導入により、不許可デバイスの社内接 続を遮断できます。 • • データセンター 持ち込みPCの社内 接続によるウィルス 感染やデータ搾取の 可能性あり。 PCに加え、LANスイッチを含めたデバイスの認証機能を実装 できます。 無用なトラブルを未然に防止できます。 • • • 不許可スイッチによるL2ループのトラブル データ搾取を目的とした持ち込みPC ウィルス・マルウェア感染の可能性ある端末の遮断 データセンター サーバ 持ち込みLANス イッチの接続は、 ループ発生の要 因とデータ搾取の 恐れがある。 認証サーバ 不許可デバイス 遮断機能 導入 ISE デバイス認証さ れない持ち込み PCを遮断します。 サーバ Catalyst LANスイッチ 802.1x認証により、 認証できない不許 可デバイスを 遮断します。 ネットワークの可視化 顧客要望: ネットワークの稼働状況を知りたい。 導入前（稼働状況は解らない。） 導入後（Ciscoの可視化システム） ネットワーク上の稼働状況が解らないため、問題の 解決に時間が掛かる。 トラフック集中？高負荷トラフィック端末？電波干渉源に よる実行速度の低下？ 稼働中のネットワークトポロジは？ どういったトラフィックがインターネットに流れてる？ お客様サイト データセンター ネットワーク・トポロジーの可視化 アプリ毎のトラフィックレートの分析と可視化 無線LANの電波干渉源の可視化 通信量の多い端末やサーバの分析と可視化 ネットワーク遅延の可視化 拠点×アプリのサーバ応答時間 お客様サイト インターネット PC Cisco Prime Infrastructureが稼働状況を可視化しま す。 トラフィック 集中 お客様 サイト データセンター インターネット PC ネットワー ク上で何 が起こって いるのか 解らな い。。。 可視化 システム の導入 トラフィック 集中 管理・可視化サーバ Prime Infrastructure お客様 サイト 電波干渉 源 高トラフィック 端末 電波干渉源 高トラフィック 端末 ネットワークトポロジーが解る。 誰が帯域を使っているのか解る！ 電波干渉源が見える！ ネット利用率やプロトコルが解る！ ネットワークの可視化 Cisco Prime Infrastructure(PI)とCisco Network Assistant(CNA) ネットワーク可視化 Cisco Network Assistant (CNA) • • • CNA: トポロジと状態表示 小規模、または限定機能で良いお客様向け 無償提供（40台のCiscoデバイスまで） ネットワークトポロジの表示機能をCNA GUIで 提供 Cisco Prime Infrastructure（PI） • • • • • • • 要求される機能レベルが高いお客様向け ネットワークトポロジの可視化 アプリ毎のトラフィックレートの分析と可視化 無線LANの電波干渉源の可視化 通信量の多い端末やサーバの分析と可視化 ネットワーク遅延の可視化 拠点×アプリのサーバ応答時間 PI: トポロジと状態表示 PI: ネットワーク遅延やアプリ毎のトラフィック CPU負荷が高い装置を抽出 装置種別ごとの到達性 エリアごと・種別ごとの障害把握 無線LANクライアント数の推移 無線LAN/有線LANの利用状況 メモリー利用率が大きい装置を抽出 アプリケーションごとのトラフィックレート推移 ネットワーク遅延・サーバ遅延・トランザクション時間 アプリケーションごとのトラフィック割合推移 拠点×アプリケーションでのサーバ応答遅延 通信量の多いクライアント抽出 通信量の多いクライアント 通信量の多いサーバ 特定アプリケーショントラフィック通信量推移 特定アプリケーショントラフィックのインターフェースごとの通信量 トポロジーマップと装置ごとの状態把握 電波干渉源の見え方 干渉源の位置 シスコの干渉管理技術 AirQuality 通信の安定化 CleanAir＋PIソリューションで通信品質を可視化！ 無線LANに影響する干渉源（電子レンジ、BlueTooth、コードレスホン等）を見える化し、かつ干渉の影響を緩和させることができます。 干渉で通信品質が 劣化しているエリア ネットワークの可視化 Value Sellingのポイント • アプリ・端末レベルで利用状況の把握 • YouTube他、ネットワーク上に流れるアプリを可視化できる。 • 大量データ通信している端末を特定できる。 • 有線LAN・無線LANの双方の状況把握 • ネットワーク全体を通して、LAN種別を問わず、利用状況が把握できる。 競合は、無線LAN専用ツールだけ提供したり、中途半端なツールです。 キッティングに関わるコストを削減 機器設置時/機器交換時 導入前（コスト要因は様々です。） Cisco導入後 機器設置は高スキル/高コスト人員の派遣 が必要。 機器障害の際、機器交換の停止時間短縮 には、コンフィグ投入時間の短縮が必要。 出荷状態から、ケーブル接続するだけで設 定が完了します。 機器交換時は、設定の自動化により、停止 時間が短縮できます。 ネットワーク規模や運用方法により、柔軟なシステムをご提案できます。 お客様サイト お客様サイト 事前設定 現地作業 接続 出荷のみ PC システム 自動化 導入 設定 出荷 ケーブル LANスイッチ 開梱 設置 &現地設定 敷設・接続 現地作業 接続 PC 設定 設定 自動化 出荷 ケーブル LANスイッチ 開梱 設置 &現地設定 敷設・接続 SDカードによる起動は、カード紛失リスクがあるためオススメできません。 DHCP TFTP VLAN・ACLの運用 Cisco Prime Infrastructure(PI)とCisco Network Assistant(CNA) VLAN/ACLの運用について For Small accounts VLAN設定 Cisco Network Assistant (CNA) • 無償提供 • VLAN/ACLの設定変更をCNA GUIで提供 • 80台のCiscoデバイスまで For For Smaller Accounts, CNA Mid-Large accounts Prime Infrastructure (2つの選択肢/Best&Better) 1. PI Notrthbound APIでお客様の要件に合ったアプリケー ションをアプリ開発の下、提供できる。 • 2. 現時点の最適なソリューションだが、開発ベンダーを探す必要 がある。（募集中） PIのGUIを利用したCLIテンプレート機能でVLAN・ACL設 定機能を提供できる。 • しかし、お客様側に一定のIT/Cisco知識が要求されるため、2 番手提案となる。 Option1: PI Apps w/ NBAPI Option2: PI CLI Template 上位APIを利用した操作画面のカスタマイズ例 動作イメージ お客様の ウェブサイト … HTTP/HTTPS (REST-API) アプリ ケーション HTTP/HTTPS (REST-API) PI2.2 CLI Template PIサポート機器へ コマンドラインアクセス LAN/WAN その他の提案アプローチ 入室許可の時間帯以外のネットワークシャットダウン • Time based ACL on PI App 機器故障時のネットワークダウンタイムの短縮 • Plug and Play(PnP) with PI VLAN・ACLの簡単運用 Value Sellingのポイント 運用コスト低減 簡単な設定変更は、お客様自身で実行できるため、変更費用が低減できます。 • 決められた項目のみ表示することで、設定ミスを低減できます。 • PIにより変更差分の管理 設定変更の実行履歴をPIは管理できます。 • 履歴により、保守ベンダーはトラブルの際の切り戻しの目安を得られます。 • 本日のお伝えできたこと。 mGig/NBASE-T規格対応Catalyst 高速・広帯域化による10G対応Catalyst 無線LAN内蔵型Catalyst NetFlowを利用したセキュリティ機能 Catalystの差別化機能あれこれ