![](https://habrastorage.org/files/61f/886/f64/61f886f6427e4f0789569a2fe395f1fd.png)
Оборудование HPE Aruba не очень распространено в России, однако на американском рынке вендор достаточно тесно конкурирует с Cisco. Беспроводные решения этих производителей имеют схожий набор функций и дополнительных сервисов. Оборудование сравнимо по стоимости.
Существует множество маркетинговых тестов, сравнений технических характеристик, производительности и технологий каждого решения. Изучив документацию, убеждаешься, что по функциям решения очень похожи. Однако, кроме функционального сходства присутствует немного разный подход производителя к настройке, принципам работы, архитектурные отличия. Именно на это и хотелось бы обратить внимание. Это заметка о том, как цисководы настраивали HPE Aruba и что из этого вышло.
Функциональность. Архитектура сети
Оба вендора предлагают различные варианты построения сети. Кроме автономных точек доступа это может быть:
- централизованное решение с контроллером (или кластером контроллеров) для управления и мониторинга;
- решение для небольшого офиса с контроллером на базе точки (точек) доступа;
- распределенное решение с множеством удаленных точек (контроллер в центре; связь по VPN);
- контроллер в облаке.
Кроме базового Wi-Fi для предприятий, есть ещё множество продуктов, позволяющих внедрить различные сервисы в беспроводную сеть компании. Например, это может быть сервис позиционирования устройств в помещении, сервис идентификации\доступа в сеть на базе политик для BYOD-устройств, аналитика подключающихся устройств и др.
В качестве оборудования я рассматривал классические контроллеры (централизованное решение, контроллер управляет всеми точками доступа) для беспроводной сети начального уровня и типовые офисные точки доступа с интегрированными антеннами.
Оборудование
Cisco — контроллер 2504, точки доступа 2600i.
Aruba — контроллер 7010, точки доступа 205.
Aruba — контроллер 7010, точки доступа 205.
Сравним наличие основных функций в решении на базе контроллеров Cisco и HPE:
Функция | Cisco | Aruba |
Автоматическое управление радиосредой | RRM | ARM |
Мониторинг интерференции | CleanAir | Spectrum Analysis |
Обнаружение соседних ТД | Rogue Detection | Rogue Detection |
Мониторинг и контроль приложений | AVC | AppRF + URL Filtering |
Оптимизация роуминга | Optimized Roaming | Client Match |
Шифрование данных (точка-контроллер) | DTLS | IPSec |
Резервирование | SSO,N+1 | Active/Active, Active/Standby |
Предотвращение вторжений | wIPS | wIPS |
Позиционирование | Hyperlocation | -(только BLE) |
Оптимизация передачи сигнала | ClientLink | - |
Межсетевой экран | - | Stateful Firewall |
Маршрутизация | - | Static, OSPF |
Удаленный доступ IPsec/SSL VPN | - | Virtual Intranet Access (VIA) |
Лицензирование
Обычно Cisco отличается довольно сложными схемами лицензирования, лицензированием отдельных функций. Но не в случае с беспроводной сетью. Тут всё ровно наоборот, HPE выходит на “первое” место.
HPE Aruba
На контроллере есть с десяток различных лицензий. Любая важная функция лицензируется отдельно (тот же межсетевой экран, анализ спектра или анализ приложений (DPI)). Если вы захотите протестировать у себя контроллер от Aruba, вам необходимо будет вручную запросить временную лицензию (сертификат), как уже было сказано, на каждую фичу отдельно.
Cisco
Все функции доступны в базовой лицензии. Есть временная на 12 недель.
Настройка GUI
HPE Aruba
На контроллере HPE Aruba настройка осуществляется через профили. Разветвленная структура профилей для настройки беспроводных параметров на точке\группе точек представлена ниже. Логично и понятно.
![](https://habrastorage.org/files/fda/195/462/fda1954627ed4b6fb82824a1fa0bbfb3.png)
Например, чтобы создать беспроводную сеть, необходимо создать профиль Virtual AP, затем прикрепить к нему AAA profile и SSID profile. Есть меню упрощенной настройки с указанием основных профилей (управление радиосредой, QoS, AAA и др).
В меню раздела Configuration присутствуют вкладки для настройки разных функций.
Из-за обилия детальных настроек, предварительно настроенных политик и профилей, при настройке в первый раз можно запутаться. Тут может помочь кнопка Show reference, показывающая связи различных сущностей (профиль, политика) друг с другом.
![](https://habrastorage.org/files/16b/b72/9b6/16bb729b6999411a8496e76f16e0488a.png)
Когда заходишь во вкладку All Profiles, видишь, насколько много различных тонких деталей можно настроить на контроллере Aruba. Кастомизация здесь более детальная нежели в Cisco.
![](https://habrastorage.org/files/482/079/0b0/4820790b00f84db7b479f11fe7634c5d.png)
Cisco
Интерфейс поделен на разделы (WLANs, SECURITY, MANAGEMENT и др.). В каждом — меню с вкладками. Нет профилей и референсов. Интерфейс выглядит более удобным и интуитивно понятным. Однако здесь нет такого числа детальных настроек и дополнительных функций как в Aruba.
Например, меню настройки WLAN.
![](https://habrastorage.org/files/7a7/9a5/cf0/7a79a5cf0f6d493aa529d81d07a215fc.png)
HPE Aruba
Каждому подключенному клиенту привязывается определенную роль со своими политиками доступа (User-centric network, Stateful Firewall). На контроллере есть предустановленные профили и правила фаервола. С одной стороны, это очень удобно: например, не нужно настраивать с нуля политики гостевого доступа, можно только добавлять конкретные правила для данной роли.
![](https://habrastorage.org/files/c27/b9c/f2a/c27b9cf2af3b469ab7323aeec37a4065.png)
С другой, если у вас нет лицензии на межсетевой экран (PEFNG), то роли теряют смысл. При этом в настройках (профили ААА, например) они всё равно остаются, так как это одна из ключевых сущностей, используемых при конфигурировании.
![](https://habrastorage.org/files/6e5/fac/e81/6e5face81d784445932ebc24fbad2287.png)
Раз уж мы коснулись настройки межсетевого экрана, ниже представлено меню общих параметров. Весьма обширное. Есть разделы со списками доступа (ACL), сервисами, ограничения полосы пропускания и др.
![](https://habrastorage.org/files/ffe/521/87f/ffe52187f91c4240a8f3e8733c49b8f5.png)
Cisco
На контроллере нет функции межсетевого экрана. Полноценный МЭ можно реализовать на отдельном устройстве. Однако, для анализа трафика в беспроводной сети одной из ключевых функций является разбор трафика по приложениям (DPI), возможность его приоритезации или блокировки. Эта опция есть у обоих вендоров. У Cisco она называется AVC (Application Visibility and Control), у HPE Aruba — AppRF. Также на контроллере Cisco можно настроить (кроме стандартных ACL) политики ограничения доступа для определенного типа устройств.
Cisco, как и Aruba, умеет определять тип клиента (profiling) по заголовкам HTTP, DHCP. Для определенного типа клиентов (например, iPad или Android-Samsung) на контроллере можно создать политику доступа (local policy) с необходимыми параметрами и ограничениями — ACL, VLAN, QoS, часы работы и др.
![](https://habrastorage.org/files/ca5/097/27c/ca509727c45f40fdadbbd502d77cbfdb.png)
Настройка CLI
Настраивать контроллер беспроводной сети комфортнее через графический интерфейс. В командной строке скорее удобно делать выборку по параметрам или выполнять отладку проблемы. Для сравнения, приведу пример конфигурации WLAN на контроллерах. Многие знают, что CLI на контроллерах Cisco мало похож на обычную командную строку Cisco IOS (привет Aironet), привычную многим. Так вот, когда смотришь на пример ниже, закрадывается мысль, что Aruba больше похожа на Cisco IOS.
HPE Aruba
aaa profile "tst-dot1x-peap"
mac-default-role "employee"
authentication-dot1x "ad-users-radius"
dot1x-default-role "employee"
dot1x-server-group "default"
!
wlan ssid-profile "test123"
essid "test123"
opmode wpa2-aes
!
wlan virtual-ap "virt-ap"
aaa-profile "tst-dot1x-peap"
ssid-profile "test123"
vlan 21
Cisco
config radius auth add 1 1.1.1 1645 ascii secret123
config wlan create 3 test123 test123
config wlan interface 3 users_vlan21
config wlan security wpa akm 802.1x enable 3
config wlan radius_server auth add 3 1
config wlan broadcast-ssid enable 3
config wlan enable 3
Мониторинг
В плане мониторинга оба решения выглядят хорошо. Если использовать только контроллер (без дополнительных серверов), Aruba предоставляет более детальную информацию. У Cisco данных по мониторингу сети меньше. Связано это как с отсутствием некоторых функций в принципе (например, межсетевой экран), так и с общим подходом Cisco, когда для мониторинга беспроводной сети, хранения статистики, нам предлагают установить отдельную систему (разумеется, от Cisco).
У HPE Aruba система управления и мониторинга, конечно, тоже есть. Но при этом в базе много вещей, которые у Cisco можно получить только с дополнительным сервером. Например, гостевой доступ с распечаткой информации по подключению, отправкой по почте, статистика по трафику (адреса, url, категории). В последней версии ПО у Aruba появились также средства проактивного мониторинга трафика и беспроводной сети.
Мониторинг радиопараметров
HPE Aruba
Aruba предоставляет общую картину по всем беспроводным пользователям сети. Тут мы видим распределение по диапазонам, скорости подключения, уровень сигнала и пр.
![](https://habrastorage.org/files/149/883/b26/149883b26466423398ca1d5806040b51.png)
Cisco
У Cisco мы также видим общую статистику подключений на данный момент.
![](https://habrastorage.org/files/771/2f9/3f2/7712f93f25e445758f43143b6dd2acbf.jpg)
Мониторинг трафика (приложения, пользователи, сессии)
Здесь сравнивать решения не совсем корректно, так как у Aruba есть Stateful Firewall, а значит и более детальная информация о сессии.
HPE Aruba
Aruba предоставляет информацию по используемым приложениям. Есть сигнатуры для наших ресурсов вроде vkontakte и yandex. Присутствуют данные по сессиям, распределение по ролям пользователей, информация по URL.
![](https://habrastorage.org/files/7e5/17d/48f/7e517d48fe404ca89a722ed539caaab3.png)
![](https://habrastorage.org/files/9cd/dc9/8a3/9cddc98a310c435cb31415b25c74e940.jpg)
Cisco
Тут все скромнее — только приложения и тип устройств. Можно посмотреть статистику по конкретному пользователю. Сигнатуры для российских приложений тоже есть.
![](https://habrastorage.org/files/34a/0c7/d2e/34a0c7d2e60243169583f2dc19e07877.png)
![](https://habrastorage.org/files/e7c/942/b9f/e7c942b9fb0f46d9b0ab11a300d37741.png)
Общая статистика использования приложений у Cisco
Логирование
HPE Aruba
Основным протоколом для ведения системных сообщений является syslog. В системе используется распределение логов по категориям (системные, AAA, фаервол и т.п.). Для каждой настраивается необходимый уровень логирования. Хранятся они в отдельных файлах.
![](https://habrastorage.org/files/841/594/d30/841594d303874311be0e49f26e8720ba.png)
Cisco
Системные логи собираются в единой консоли syslog. Важным инструментом для отслеживания событий в беспроводной сети являются уведомления snmp. Сбор сообщений можно настроить по типам (auth\deauth и т.п.) и категориям (ap, security и т.п.).
![](https://habrastorage.org/files/10f/645/48c/10f64548cf844c288f24bde6f97a7b21.png)
![](https://habrastorage.org/files/d13/99a/ce3/d1399ace329446b295ed989e2cdcbf14.png)
Вывод
Материал — субъективный взгляд на разницу подходов, интерфейсов управления двух решений. Описана лишь небольшая часть функций, которые предоставляют устройства. По беспроводным функциям решения схожи. Cisco показалось более интуитивно понятно и логично в настройке (хотя, возможно, дело привычки). Aruba сложнее, но не стоит забывать, что там больше различных дополнительных сервисов (VPN, FW, Routing). Конечно, при выборе решения стоит ориентироваться и на другие стороны: надежность решения; стабильность его работы, обслуживания пользователей; техподдержка вендора и др.