Produtos

Sistema Operacional ExtremeXOS®, Versão 12.1

Arquitetura de Alta Disponibilidade

·         Reduz o tempo de indisponibilidade da rede com hitless failover/upgrade e atualização de software modular

·         Impede a parada do sistema com proteção de memória para os processos

·         Evita reinicializações do sistema com o processo de auto-recuperação

Flexibilidade

·         Integra as melhores ferramentas para sua rede com o XML-based Application Programming Interface (API)

·         Integra aplicações desenvolvidas pela Extreme Networks e por terceiros com padrões abertos baseados em interfaces POSIX

·         Gerenciamento baseado em script para configurações adicionais e gerenciamento simplificado

Segurança Integrada

·         Controle de acesso à rede através de autenticação, Network Login/802.1x e checagem de integridade de host

·         Infra-estrutura de rede avançada com proteção Denial of Service (DoS) e IP security contra ataques DoS e man-in-the-middle.

·         Gerenciamento seguro com autenticação e encriptação

A Extreme Networks^® revolucionou o mercado com o ExtremeXOS — uma software modular com alta disponibilidade para redes convergentes. O ExtremeXOS eleva o padrão de disponibilidade, que é crítico quando são oferecidos serviços de voz e vídeo de operadora de telefonia IP e para suporte à aplicativos de missão crítica.

Mecanismos de segurança permitem controle de acesso à rede integrado à checagem de integridade de host e proteção de gerenciamento.

Com o ExtremeXOS você pode ampliar a capacidade de sua rede integrando aplicações especializadas tal como dispositivos de segurança, permitindo visualização e controle de usuários e aplicações de rede.

O ExtremeXOS foi projetado para suportar IPv6. Mesmo que você não esteja planejando utilizar IPv6 agora, o ExtremeXOS protege a rede com IPv6 Access Control Lists (ACLs), protegendo o investimento de sua rede.

O ExtremeXOS oferece um conjunto de características de switching que foram desenvolvidas durante dois anos, tornando-se único sistema operacional da próxima geração do mercado que pode ser seguramente distribuído.

Arquitetura Avançada

·         Modularidade para Alta Disponibilidade

·         Proteção de Memória para Processos

·         Auto-recuperação de Processos

·         Carga Dinâmica de Novas Funcionalidades

·         XML Open APIs para Integrar Aplicações de Terceiros

·         Suporte à Dual-stack IPv4 e IPv6

Alta Disponibilidade

Disponibilidade contínua da rede e qualidade de serviço são vitais para armazenamento de dados corporativos e callcenters IP. A alta disponibilidade do ExtremeXOS cria uma infra-estrutura resiliente capaz de maximizar a integridade da rede para aplicações de missão crítica.

Sistema Operacional Modular

Programação preventiva e proteção de memória permitem às diversas aplicações tais como Open Shortest Path First (OSPF) e Spanning Tree Protocol (STP) trabalharem como um processo separado do Sistema Operacional (SO). Isto permite aumento da integridade do sistema e protege contra ataques DoS.

O ExtremeXOS aumenta bastante a disponibilidade da rede através de monitoramento e reinicialização de processos. Cada processo é monitorado em tempo real. Se um processo parar de responder, ele pode ser reiniciado automaticamente.

A arquitetura modular do ExtremeXOS permite atualização de módulos individuais de software. (veja Figura 1).

Hitless Failover e Graceful Restart

Em sistemas com módulo de gerenciamento dual ou com empilhamento de switches, o ExtremeXOS é capaz de preservar os protocolos de resiliência e segurança tais como STP, EAPS e Network Login. Isto permite hitless failover entre módulos de gerenciamento e módulos redundantes caso ocorra falha em um dos módulos. No BlackDiamond® 10808 e BlackDiamond 12804, esta mesma infra-estrutura pode ser usada para hitless upgrades.

Graceful restart é um método para as funções de controle dos protocolos OSPF-2 e BGP-4 serem reiniciadas sem interromper o roteamento. Sem o graceful restart, roteadores vizinhos vão considerar que a informação recebida anteriormente pelo roteador que está reiniciando é velha e não serão utilizadas para encaminhar o tráfego para aquele roteador. Entretanto, em muitos casos, existem duas condições que permitem ao roteador que está reiniciando continuar a rotear corretamente.

A primeira condição permite que o roteamento continue operando enquanto as funções de controle são reiniciadas. A maioria dos sistemas modernos de roteadores separam as funções de roteamento das funções de controle para que o tráfego possa continuar independente do estado do OSPF. Roteadores reconhecidos por OSPF permanecem na tabela de roteamento e os pacotes continuam a ser roteados.

A segunda condição necessária para o graceful restart é que a rede permanece estável durante o período de reinicialização. Se a topologia da rede não está mudando, a tabela de permanece correta. Na maioria dos casos, as redes podem se manter estáveis durante o tempo de reinicialização do OSPF. O OSPF e o BGP são processos que podem ser reinicializados no ExtremeXOS. Com isto, os switches ganham resiliência adicional à nível de rede e os processos de roteamento podem ser atualizados sem a necessidade de atualizar todo o sistema operacional.

Proteção CPU Denial of Service

Um ataque DoS é uma tentativa de travar um switch sobrecarregando os recursos do sistema. A proteção de CPU DoS evita ataques que causam impacto no switch. A capacidade de proteção avançada de CPU DoS da Extreme Networks pode detectar, analisar e responder às ameaças direcionadas para a CPU. Esta técnica utiliza contadores para caracterizar e monitorar o fluxo de tráfego para a CPU. Se o tráfego para a CPU exceder certos limites, o switch examinará o tráfego verificando se existe alguma ameaça e ativa uma ACL dinâmica para evitar que pacotes do mesmo tipo venham à interromper as operações do switch.

Flexibilidade

Módulos de aplicações de software carregados dinamicamente e XML APIs externas tornam o ExtremeXOS mais flexível. Isto permite integração com diversar aplicações e dispositivos, permitindo ampliar as funcionalidades das redes. Exemplos disto incluem monitoramento de VoIP e segurança avançada de rede.

Carga Dinâmica de Aplicativos

O ExtremeXOS possui uma infra-estrutura para dinamicamente carregar, iniciar e parar novas aplicações com segurança. O ExtremeXOS possui interfaces compatíveis com POSIX para facilitar a integração com novas aplicações. O ExtremeXOS utiliza esta infra-estrutura para carregar dinamicamente funcionalidades tais como SSH/SCP/SSL. A mesma infra-estrutura também é utilizada para integrar aplicações de terceiros. Um exemplo disto é o agente de monitoramento  de aplicações VoIP desenvolvido pela Avaya para simular e monitorar o comportamento das conexões de voz.

Scripting

O ExtremeXOS utiliza infra-estrutura de scripts. Os scripts podem ser usados para adicionar configurações complementares, como uma lista de VLANs. Variáveis de sistema e definidas pelo usuário com arquitetura if/then permitem gerenciamento automático de tarefas e criação de configurações tais como QoS rate limiting and ACLs para múltiplas portas ou múltiplos switches.

Interface Programável de Aplicação XML

Com XML APIs o ExtremeXOS proporciona mecanismos simples e seguros para acessar os processos do switch (veja Figura 2).

Por exemplo, uma ferramenta de segurança pode utilizar o ExtremeXOS para limitar o acesso, controlar banda ou redirecionar o tráfego de um cliente que está tentando se conectar na rede.

A infra-estrutura de XML segue o conceito de comunicações abertas e seguras permitindo às aplicações interagirem com a rede com implementações de políticas de segurança e gerenciamento de desempenho.

Em conjunto com o CLEAR-Flow nos switches de core BlackDiamond 10808 e BlackDiamond 12804, XML APIs são a base para a arquitetura Virtual Security Resource (VSR) da Extreme Networks (veja Figura 3).

O CLEAR-Flow pode examinar todos os pacotes da rede, identificar tráfego suspeito e encaminhá-lo para recursos de segurança para análise futura. Este recurso de segurança pode se comunicar com a infra-estrutura da rede (com XML APIs) para limitar, filtrar e parar o fluxo de tráfego na rede.

A infra-estrutura de XML também é usada pela interface web de gerenciamento ExtremeXOS.

Gerenciamento Simplificado

Descoberta de dispositivos e monitoramento de fluxo de tráfego permitem visibilidade completa do inventário e tráfego da rede. ExtremeXOS Universal Port simplifica bastante a implementação de VoIP através de configurações automáticas das portas de acesso e telefones.

Link Layer Discovery Protocol (LLDP, IEEE 802.1ab)

As redes atuais necessitam incorporar soluções avançadas em todos os níveis da rede, independente de qual fabricante você escolha, permitindo construir redes convergentes mais avançadas.

Seu protocolo de detecção baseado em padrões IEEE 802.1ab fornece detecção de switch independente de fornecedor, além de integração perfeita com a infra-estrutura e os telefones  VoIP.

LLDP não apenas simplifica o desenvolvimento e a localização de dispositivos de acesso, mas também pode ser usada como ferramenta de gerenciamento de firmware e troubleshooting.

LLDP é um padrão que permite que as empresas utilizem extensões específicas de determinadas aplicações sem causar problemas de compatibilidade. O padrão ANSI/TIA-1057 LLDP-Media Endpoint Discovery (LLDP-MED) define extensões especialmente para VoIP. Essas extensões fornecem informações específicas de voz transmitindo dados de configuração e localização para os telefones VoIP.

·         Network Policy (quais informações como VLAN tag, .1p, DSCP, … o telefone deverá utilizar)

·         ECS Location ID (coordenadas de rua/prédio/andar), compatível com as direções  NENA e TIA-TSB-146. O switch divulga informações de localização para o telefone

·         Aumento de Energia via MDI (gerenciamento de utilização de PoE)

·         Informações de inventário tais como versão de firmware, número de série, etc.

LLDP é integrado com a autenticação IEEE 802.1x nas portas de acesso. Assim que os dispositivos são autenticados, as informações divulgadas pelo LLDP podem ser utilizadas para configurações automáticas.

sFlow

O sFlow do ExtremeXOS suporta monitoramento de dados de Camada 2 à 7, incluindo estatísticas das aplicações presentes na rede.

Com o aumento constante dos serviços de rede para aplicações corporativas críticas, qualquer alteração de quantidade de tráfego pode impactar no desempenho e credibilidade da rede. Isso tem impacto direto na habilidade que a companhia tem de conduzir os negócios e os custos para manter os serviços da rede ativos. Portanto, é importante monitorar o tráfego da rede para manter a operação da rede confiável e com os níveis de performance corretos. sFlow é uma tecnologia simplificada que atende às necessidades de uma solução de monitoramento de tráfego: o sFlow permite visualizar a utilização da rede e as rotas ativas. Essa é uma técnica para medir o tráfego na rede, coletando, armazenando e analisando os dados. Isso permite que diversas interfaces sejam monitoradas à partir de um único local.

O sFlow permite monitorar links de até 10Gbps sem impactar no desempenho dos switches e roteadores e sem sobrecarregar a rede.

Porta Universal

A infra-estrutura de Porta Universal do ExtremeXOS é um sistema poderoso para ativação de scripts de CLI. A funcionalidade de porta universal possui políticas de segurança dinâmicas baseadas em hora/usuário/local bem como configuração automática de voz sobre IP. Isto utiliza os padrões de autenticação (Network Login/802.1x) e protocolos de descoberta de dispositivos (LLDP + LLDP-MED) como ativação de eventos. Ações com scripts configuráveis de CLI podem ser associadas à eventos por porta. Enquanto isso, políticas de segurança incluindo controle de acesso via ACLs podem controlar usuários independente de onde ele tenha se conectado na rede. Telefones VoIP e as portas de acesso dos switches podem ser automaticamente configuradas para uma VLAN de voz e QoS. O switch pode receber a quantidade exata de energia necessária pelos telefones e provisionar isso conforme a necessidade. O telefone pode receber a localização do switch bem como o endereço IP do servidor de chamada para receber configurações adicionais. Observe que os passos 1 e 2 são realizados apenas uma vez e os passos de 3 a 5 são eventos automáticos.

Segurança Integrada

O ExtremeXOS permite proteção na camada de acesso através de autenticação, checagem de integridade de host e políticas de segurança dinâmicas baseadas em usuário, hora e local. O tráfego de gerência é protegido por autenticação e encriptação.

Network Login

A Extreme Networks foi pioneira em segurança de acesso à rede mesmo antes dos padrões dedicados entrarem em vigor. Este método permite o controle de acesso à rede em todas as portas de acesso. Este controle trabalha com ou sem autenticação em dispositivos tais como telefones VoIP e impressoras.

O Network Login reforça a autenticação antes de permitir o acesso à rede. Os pacotes enviados por um cliente em uma porta não serão liberados até que seja feita a autenticação com o servidor RADIUS. Em muitos casos, o servidor RADIUS interage com o Active Directory ou um LDAP directory para autenticação de usuário (veja figura 5).

O Network Login do ExtremeXOS suporta múltiplos suplicantes em uma mesma porta, mesmo em VLANs distintas. Isto permite, por exemplo, autenticação de um telefone VoIP em uma VLAN de voz e que um PC conectado à porta de dados deste telefone seja autenticado em uma VLAN específica de usuário.

O Network Login suporta três métodos: 802.1x, web-based e MAC based. Todos estes métodos podem ser habilitados individualmente ou em conjunto.

802.1x é um padrão que necessita que softwares específicos sejam instalados no sistema que está acessando a rede. O 802.1x será um componente padrão nos sistemas operacionais dos PCs bem como em dispositivos de rede tal como telefones VoIP. O 802.1x foi projetado como um protocolo de segurança e utiliza diversas técnicas de autenticação. O ExtremeXOS foi testado com várias dessas técnicas, incluindo MD5, PEAP, TLS e TTLS, com suporte à autenticação com senha e baseada em certificados.

O método web-based não necessita de nenhum software adicional (um desafio para 802.1x). Apesar desse método utilizar tecnologias padrões nos clientes (DHCP e um web browser), é um mecanismo de segurança fácil de implementar em todos os clientes que suportam essas tecnologias. Apesar do navegador requisitar tráfego de qualquer servidor HTTP da rede, os switches da Extreme Networks com o web-based Network Login habilitado, redirecionarão este tráfego para uma página de boas vindas do Network Login.

Com o método web-based, ao invés de instalar os softwares de cliente 802.1x antes de ativar o Network Login, os usuários podem se conectar na rede pelo método web-based, serem redirecionados para um servidor de TI para receber informações de como baixar e instalar um client 802.1x e softwares adicionais. Isto reduz os custos e a complexidade na implementação de autenticação na rede.

O método MAC-based é voltado para dispositivos de rede que não suportam métodos de autenticação manual tais como telefones IP ou impressoras, permitindo a implementação de autenticação em todas as portas na rede.

MAC address security permite associar a porta à um endereço MAC específico e limitar o número de endereços MAC em uma porta.

Você pode desenvolver políticas de segurança dinâmicas com RADIUS Vendor Specific Attributes (VSAs). Por exemplo, uma VLAN pode ser associada à um usuário ou dispositivo dinamicamente. O Network Login opcionalmente criará a VLAN caso ela não existe no switch de acesso, reduzindo a sobrecarga no gerenciamento das VLANs. Na implementação da Extreme Networks de infra-estrutura de Porta Universal, as políticas de segurança vão além das associações dinâmicas de VLANs (veja figura 6).

As políticas dinâmicas podem incluir rate-limiting, QoS e ACLs dinâmicas. Estas são aplicadas imediatamente durante o processo de autenticação, sem depender de outro dispositivo externo para gerenciar as políticas. Além disso, é possível trabalhar com RADIUS ou LDAP/Active Directory. Políticas de segurança dinâmicas são ativadas e desativadas baseado na autenticação e hosts conectando ou desconectando na rede.  A implementação destas políticas pode variar de acordo com a porta de conexão. A integração com eventos programados de acordo com o horário, permite, por exemplo, desabilitar o acesso wireless depois do horário comercial.

MAC Security

MAC Security permite associar um endereço MAC é uma porta específica e limitar o número de endereços MAC em uma porta. Isto pode ser utilizado para dedicar portas para host específicos ou dispositivos como telefones VoIP ou impressoras. Além disso, um período de ativação pode ser utilizado nessa definição de MAC, protegendo a rede de ataques onde a origem fica trocando de endereço MAC rapidamente.

IP Security

O suporte de IP Security do ExtremeXOS protege a infra-estrutura da rede, serviços de rede tais como DHCP e DNS e até mesmo hosts de ataques de spoofing e man-in-the-middle. Isto também permite a proteção da rede de endereços IP configurados estaticamente, além de contruir uma tabela confiável com MAC/IP/Porta para que você identifique de onde vem o tráfego de um endereço específico para defesa imediata. As funcionalidades específicas incluem:

·         Construir uma base de dados confiável com informações de MAC/IP/Porta para saber quando tomar uma atitude caso algo de errado aconteça

-         “DHCP Option 82”, adiciona a porta + o ID da VLAN nas solicitações de DHCP

·         Proteger o Servidor DHCP contra IP estático

-         “Disable ARP Learning”, apenas aprendido via DHCP

·         Proteger a rede contra ameaças à partir de endereços de origem aleatórios

-         “Source IP Lockdown”

-        Proteger a rede contra ataques man-in-the-middle e gravação de chamadas de VoIP

-         “Gratuitous ARP Protection” para default gateway

·         Proteger os serviços da rede (DHCP, DNS, ...) contra servidores não autorizados

-         “Trusted DHCP Server”

-         “Gratuitous ARP Protection” para servidores DNS, etc.

·         Proteger aplicações e dispositivos contra ataques de spoofing

-         “DHCP secured ARP”

Gerenciamento Seguro

O ExtremeXOS fornece gerenciamento seguro via SSH2/SCP2/SSL e SNMPv3, permitindo autenticação e proteção contra ataques, bem como privacidade nos dados via encriptação. Protocolos de roteamento tal como OSPF-2 e BGP4 podem ser autenticados via MD5.

Switching: Resiliência de Rede e Controle de Tráfego

O ExtremeXOS fornece flexibilidade completa para vários tipos de rede através de um conjunto de protocolos de camada 2 e camada 3, oferecendo resiliência e controle para grandes redes.

Layer 2+

Para resiliência de rede, o ExtremeXOS permite escolher entre protocolos padrões e protocolos de camada 2 mais avançados, otimizados para rápida resiliência e operação simplificada.

Spanning Tree Protocol: O ExtremeXOS suporta IEEE 802.1D STP, 802.1w RSTP e 802.1s MSTP. No modo Extreme Multiple Instance Spanning Tree Protocol, o ExtremeXOS permite uma porta ou uma VLAN pertencer à múltiplos domínios STP, permitindo maior flexibilidade em projetos de rede com STP. A implementação também é compatível com PVST+ e pode trabalhar em conjunto com IEEE 802.1Q.

Ethernet Automatic Protection Switching (EAPS, RFC 3619) é um protocolo que foi desenvolvido pela Extreme Networks, projetado para previnir loops em uma rede de Camada 2 com topologia anel. Sua função é similar ao STP, entretanto ele tem a vantagem de ter rápida convergência quando um link falha e é transparente para chamadas de voz, independente do número de switches no anel. O tempo é inferior à 50 milésimos de segundo na maioria das implementações.

A implementação de Virtual Router Redundancy Protocol (VRRP) do ExtremeXOS permite à um grupo de roteadores atuarem como um único default gateway virtual. Outra ferramenta de resiliência do ExtremeXOS é o Extreme Standby Routing Protocol™ (ESRP), que pode ser implementado em ambas as camadas 2 e 3. O ESRP pode ser utilizado no lugar de VRRP e STP permitindo simplicidade através de um único protocolo para redundância em Camada 2 e Camada 3.

A funcionalidade “software redundant port” permite resiliência de link e é fácil de implementar sem a complexidade dos protocolos de rede.

Extreme Link Status Monitoring (ELSM) protege a rede e a resiliência de protocolos contra links unidirecionais. Para aumento de banda, o link aggregation (estático e dinâmico via LACP) utiliza a banda de múltiplos links. IGMP Snooping e Multicast VLAN Registration protegem a banda da rede encaminhando para as portas e VLANs somente os pacotes de uma única vlan de multicast. EAPS, ESRP e VRRP suportam múltiplos domínios.

IPv4

O ExtremeXOS oferece diversas funcionalidades de Camada 3 ideais para aumentar o controle e o gerenciamento de grandes redes. O software implementa rotas estáticas, RIP, OSPFv2 e BGP4 para External BGP (EBGP) e Internal BGP (IBGP).

O ExtremeXOS possui um amplo conjunto de protocolos de Roteamento IP multicast, incluindo PIM Dense Mode (PIM/DM), PIM Sparse Mode (PIM/ SM) e PIM Source Specific Multicast (PIM-SSM), que trabalham em conjunto com IGMPv1/v2/v3. Para escalabilidade de banda em ambientes roteados, o Equal Cost Multi Path (ECMP) utiliza a banda de múltiplos links.

Projetado para IPv6

IPv6 permite maior inteligência na rede e novas funcionalidades superiores ao IPV4. Entretanto, existem desafios específicos quando se fala em participar ativamente na transição para IPv6. A Extreme Networks desenvolveu a inteligência de IPv6 no ExtremeXOS desde o início. A Extreme Networks desenvolveu uma arquitetura que atende às necessidades de desempenho, flexibilidade e segurança do IPv6 sem comprometer a simplicidade operacional (veja figura 7).

As funcinalidades incluem forwarding IPv6 em camada 2 e camada 3, protocolos de roteamento e túneis. O ExtremeXOS permite proteção de investimento e permite transição segura tunelando o tráfego IPv6 através de partes da rede que não suportam IPv6.

A plataforma ExtremeXOS possui wire-speed ACLs, permitindo defesa e controle sobre os Protocolos de Internet da próxima geração que é parcialmente suportado pela maioria dos sistemas operacionais de clientes e servidores de hoje.