Sécurité réseau

Les Cisco Catalyst 2960-X offrent un ensemble de fonctionnalités de sécurité pour contrôler et limiter les accès au réseau et prévenir les menaces. Cela inclut :

• Cisco TrustSec utilise SXP pour simplifier la sécurité et la mise en place de politique de sécurité sur l'ensemble du réseau
• Fonctionnalités complètes 802.1X pour contrôler les accès au réseau, en intégrant Flexible Authentication, 802.1x Monitor Mode, et RADIUS Change of Authorization
• IPv6 First-Hop Security améliore la sécurité des accès réseau de niveau 2 et 3 dans un contexte de prolifération des équipements IPv6, en particulier dans les environnements BYOD. Cette ensemble de fonctionnalité protègera le réseau de router advertisements erronés, du vol d'adresse, de fausses réponses DHCP et de tous les autres risques introduits par le protocole IPv6
• Device Sensor et Device Classifier permettent de profiler les équipements connectés au réseau en intégrant les terminaux "BYOD". Ces solutions s'intègrent avec Cisco Identity Services Engine (ISE) pour offrir un accès automatique et sécurisé aux terminaux connectés
• Cisco Trust Anchor Technology (TAT) permet la distribution simple d'une seule image IOS pour tous les modèles de la famille Catalyst 2960-X en vérifiant l'authenticité des logiciels IOS. Cette technologie permet au commutateur de vérifier l'intégrité de l'image logicielle au moment du démarrage et d'authentifier les licences en place
• Cisco Threat Defense inclut les fonctionnalités Port Security, Dynamic ARP Inspection (DAI), et IP Source Guard
• Private VLAN Edge fournit une sécurité et une étanchéité entre les ports d'un unique commutateur, permettant d'éviter qu'un utilisateur connecté au réseau ne puisse voir le trafic d'un autre utilisateur
• L'Authentification Multidomaine permet à téléphone IP et à un PC de s'authentifier sur le même port et de les placer sur leur VLAN respectif
• Access Control Lists pour le filtrage IPv6 et IPv4 et la définition de règles de QoS
  • Les VLAN ACLs sur tous les VLANs vont empêcher les flux non autorisés dêtre commutés vers d'autres VLANs
  • Les router ACLs définissent des politiques de sécurité sur les interfaces routées pour le trafic des plans de données et de contrôle. Les ACLs IPv6 peuvent s'appliquer au trafic IPv6
  • Les ACLs basées sur les ports permettent un filtrage pour chaque port de niveau 2 du réseau
• Secure Shell (SSH) Protocol, Kerberos, et Simple Network Management Protocol Version 3 (SNMPv3) améliorent la sécurité en chiffrant le trafic d'administration durant les sessions Telnet et SNMP. Le protocole SSH, Kerberos, et la version cryptographique SNMPv3 nécessite une image logicielle spéciale en raison de restrictions sur les exportations depuis les Etats-Unis
• Switched Port Analyzer (SPAN), avec le support d'un trafic bidirectionnel, permet d'interconnecter aisément un Intrusion Detection System (IDS) qui pourra détecter les intrusions/anomalies et prendre des actions le cas échéant
• L'authentification TACACS+ et RADIUS facilitent le contrôle centralisé du commutateur et empêche les utilisateurs non autorisés de modifier la configuration
• MAC Address Notification permet de notifier l'administrateur quand des utilisateurs se connectent ou se déconnectent du réseau
• Les multiples niveaux de sécurité sur les accès console empêchent les utilisateurs non autorisés de modifier la configuration
• Bridge protocol data unit (BPDU) Guard coupe les interfaces où Spanning Tree Port Fast est activé quand des BPDUs sont reçus pour éviter des boucles
• Spanning Tree Root Guard (STRG) permet que des commutateurs administrés par un tiers puissent se connecter au réseau tout en les empêchant de devenir noeuds racine Spanning Tree
• Le filtrage IGMP fournit une authentification multicast en filtrant les abonnements et en limitant le nombre de flux multicast simultanés par port
• L'allocation de VLAN dynamique est supportée à travers la mise en place le client VLAN Membership Policy Server (VMPS) intégré qui permet avec flexibilité d'assigner les ports à des VLANs. Les VLAN dynamiques facilitent l'allocation rapide d'adresses IP

Mécanismes de résilience et de redondance

Les commutateurs de la série Cisco Catalyst 2960-X offrent plusieurs fonctionnalités de résilience et de redondance permettant d'éviter les pannes et d'assurer la haute disponibilité du réseau:

• Les Cross-stack EtherChannel offrent la possibilité de configurer la solution Cisco Etherchannel sur des ports de commutateurs différents d'une pile pour une plus grande disponibilité
• Flexlink offre un mécanisme de redondance de lien avec un temps de convergence inférieur à 100 millisecondes
• IEEE 802.1s/w Rapid Spanning Tree Protocol (RSTP) et Multiple Spanning Tree Protocol (MSTP) fournissent une convergence spanning-tree rapide indépendamment des décomptes usuels, et permettent de répartir le trafic de niveau 2 sur le réseau. Une pile de commutateurs se comporte comme un seul noeud spanning-tree
• Per-VLAN Rapid Spanning Tree (PVRST+) permet une convergence rapide de spanning-tree ainsi que des topologies associées à chacun des VLANs, sans nécessiter l'implémentation de diverse instances Spanning-Tree
• Switch-port auto-recovery (Error Disable) va automatiquement essayer de réactiver un lien après que ce dernier soit désactivé du fait d'une erreur réseau
• La redondance des alimentations électriques avec une seconde alimentation optionnelle sur les modèles 2960-XR, ou avec un RPS externe sur les modèles 2960-X

Qualité de service améliorée

Les commutateurs de la série Cisco Catalyst 2960-X offrent une gestion de trafic intelligente qui permettent aux flux de s'écouler conformément aux requis techniques imposés par les applications. Des mécanismes flexibles de marquage, classification, gestion de queue offrent une performance supérieure aux flux de voix, vidéo et données, tout cela au débit des interfaces. Les fonctions principales de QoS sont les suivantes :

• Jusqu'à huit files d'attente en sortie par port (quatre quand empilés)
• Le strict priority queuing permet de traiter systématiquement les paquets de plus grande priorité avant le reste du trafic
• Les mécanismes Shaped Round Robin (SRR) et Weighted Tail Drop (WTD)
• Flow-based rate limiting et jusqu'à 256 policers agrégés ou individuels par port
• Classification 802.1p class of service (CoS) et Differentiated Services Code Point (DSCP), avec marquage et reclassification par paquet selon les adresses IP source et destination, les adresses MAC ou bien les numéros de port TCP/UDP
• Cross-stack QoS va configurer la QoS à travers une pile de commutateurs 2960-X
• La fonction Cisco committed information rate (CIR) offre la possibilité de définir des bandes-passantes en incréments aussi faibles que 8 kbps
• Le Rate limiting se configure pour des adresses IP source et destination, des adresses MAC source et destination, des informations TCP/UDP ou toute combinaison de ces champs, en utilisant des ACLs (IP ou MAC), des class-maps et des policy-maps

Cisco FlexStack-Plus

Cisco FlexStack-Plus permet d'empiler jusqu'à huit 2960-X avec le module optionnel FlexStack-Plus. Ce module peut être inséré ou remplacé à chaud et s'insère dans tout 2960-X et 2960-XR qui dispose d'un emplacement ad-hoc. Les commutateurs connectés à la pile vont automatiquement se mettre à jour avec la bonne version d'IOS de celle-ci et vont devenir membre de la pile sans aucune intervention nécessaire. Cisco FlexStack-Plus et le logiciel Cisco IOS Software offrent une véritable pile, tous les commutateurs de celle-ci étant vu comme un seul équipement réseau. FlexStack-Plus fournit des plans de données et de management unifiés avec une seule configuration et une seule adresse IP de management pour l'ensemble de la pile. Les avantages d'un véritable mécanisme d'empilement comprend la diminution du coût total de possession, et une meilleure disponibilité grâce à un management simplifié et des fonctions activables sur la pile de commutateurs telles que Etherchannel, SPAN et FlexLink.

Afin de fournir une protection des investissements, FlexStack-Plus est compatible avec la technologie FlexStack. Les commutateurs 2960-X LAN Base équipés d'un module FlexStack-Plus peuvent être empilés avec des commutateurs Catalyst 2960-S et 2960-SF LAN Base disposant d'un module FlexStack (voir Tableau 5)

Alimentations électriques

Les commutateurs Catalyst 2960-X disposent d'une alimentation électrique fixe et la possibilité d'ajouter en option un mécanisme externe d'alimentation électrique redondant (RPS2300).

Intelligent Power over Ethernet Plus

Les commutateurs Catalyst 2960-X supportent à la fois les standards IEEE 802.3af Power over Ethernet (PoE) et IEEE 802.3at PoE+ (jusqu'à 30W par port) afin d'offrir le coût total de possession le plus bas pour les déploiements qui intègrent des téléphones IP Cisco, des points d'accès WiFi Cisco Aironet, ou d'autres terminaux supportant les standards PoE/PoE+. Le PoE supprime la nécessité des prises de courant pour ces terminaux et le coût des câblages électriques qui seraient autrement nécessaires. L'allocation de la puissance PoE par le commutateur est dynamique et permet de fournir au maximum une puissance de 740W aux terminaux connectés.

Visibilité applicative

Les commutateurs Catalyst 2960-X supportent Netflow Lite, qui offre aux équipes réseau la possibilité de comprendre les types de trafic sur le réseau et d'identifier les anomalies grâce à la capture des flux transitant sur le commutateur. Netflow Lite supporte un échantillonnage flexible du trafic, et exporte les données des flux au format Netflow v9 pour analyse sur divers collecteurs existant sur le marché.

Cisco Catalyst SmartOperations

Cisco Catalyst SmartOperations est un ensemble de fonctionnalités simplifiant sur le LAN la planification d'opérations, les déploiements et la résolution de problèmes. Déployer les outils SmartOperations réduit le temps et les efforts nécessaires pour opérer le réseau et diminue ainsi le coût total de possession (TCO).

• Cisco Smart Install permet un déploiement automatique du commutateur (installation du logiciel Cisco IOS, téléchargement d'une configuration quand un nouveau commutateur est ajouté sur le réseau). Cela permet à distance de contrôler et de simplifier les procédures de déploiement
• Cisco Auto SmartPorts active des configurations automatiques sur les ports du commutateur quand les terminaux se connectent sur le commutateur, avec des paramètres optimisés selon le type d'équipement connecté. Cela permet d'automatiser complètement les configurations des ports du commutateur
• Cisco Auto QoS active automatiquement des règles de QoS sur les ports du commutateurs
• Cisco Smart Troubleshooting est un ensemble complet de commandes de diagnostique et de vérification du système au sein du commutateur, ceci inclut Smart Call Home. Cisco GOLD (Generic Online Diagnostics) et les autres commandes disponibles sur le commutateur vont permettre d'anticiper et de détecter les pannes plus vite

D'autres fonctions pour simplifier les opérations

 

• L'auto-configuration avec Dynamic Host Configuration Protocol (DHCP) de multiples commutateurs via un "boot server" simplifie le déploiement
• Stacking master configuration management et la technologie Cisco FlexStack Plus aident à assurer que tous les commutateurs d'une pile sont mis à jour quand le maître de la pile est lui-même mis à jour. Des vérifications automatiques vont assurer que les divers logiciels de la pile ont la même version logicielle
• L'Autonegotiation sur tous les ports du mode de transmission half- ou full-duplex va permettre d'obtenir la plus bande-passante possible
• Dynamic Trunking Protocol (DTP) facilite la configuration dynamique des trunks sur tous les ports du commutateur
• Port Aggregation Protocol (PAgP) automatise la création d'Etherchannel vers d'autres commutateurs, routeurs ou terminaux
• Link Aggregation Control Protocol (LACP) permet d'agréger des liens Ethernet avec des équipements qui sont conformes à la norme IEEE 802.3ad. Cette fonctionnalité est similaire à la technologie Etherchannel et PagP
• Automatic media-dependent interface crossover (MDIX) ajuste automatiquement les connecteurs de transmission et réception des paquets sur le port si un câble incorrect (par exemple un cable croisé) est branché
• Unidirectional Link Detection Protocol (UDLD) et Aggressive UDLD vont détecter les liens unidirectionnels (en raison d'un câblage incorrect ou d'un problème quelconque) et désactiver les interfaces associées
• Les Switching Database Manager (SDM) templates vont permettre à l'administrateur d'optimiser l'allocation de mémoire du commutateur selon le type de déploiement désiré et les fonctionnalités associées (mode accès, routage ou déploiement de VLANs...)
• Local Proxy Address Resolution Protocol (ARP) fonctionne en conjonction avec les "Private VLAN Edge" pour limiter les broadcasts sur les liens et ne pas utiliser inutilement leur bande-passante
• VLAN1 minimization permet la désactivation du VLAN 1 sur chaque trunk
• Smart Multicast, en combinaison avec la technologie Cisco FlexStack-Plus, permet au Cisco Catalyst 2960-X d'offrir une plus grande efficacité dans la diffusion des flux multicast, chaque flux étant transporté une seule fois au sein de la pile du commutateur. Cela permet également d'assurer la diffusion de davantage de flux multicast simultanément
• Internet Group Management Protocol (IGMP) Snooping pour IPv4 et IPv6 MLD v1 et v2 Snooping vont permettre aux terminaux de joindre et quitter les flux multicast plus rapidement tout en limitant les diffusions inutiles de vidéo sur les ports où aucun abonné n'est présent
• Multicast VLAN Registration (MVR) va envoyer les flux multicast dans un VLAN dédié tout en maintenant les abonnés dans des VLANs distincts pour des raisons de sécurité et d'optimisation de bande-passante
• Broadcast, multicast, et unicast storm control par port va empêcher un terminal dont le comportement n'est pas conforme aux attentes de dégrader les performances de l'ensemble du réseau
• Voice VLAN simplifie l'installation de systèmes de téléphonie IP en gardant les flux voix séparés sur un VLAN dédié pour simplifier l'administration et la résolution des problèmes
• Cisco VLAN Trunking Protocol (VTP) permet de configurer dynamiquement les VLANs et les trunks sur les différents commutateurs du réseau.
• Remote Switch Port Analyzer (RSPAN) permet aux administrateurs de contrôler/superviser un port du commutateur à distance depuis n'importe quel autre commutateur du même réseau
• L'agent embarqué Remote Monitoring (RMON) permet la gestion avancée du trafic, sa supervision et son analyse. Quatre groupes sont supportés (historique, statistiques, alarmes, et évènements)
• Le Traceroute de niveau 2 facilite la résolution de problème de performance en indentifiant le chemin physique suivi par un paquet de sa source à sa destination
• Trivial File Transfer Protocol (TFTP) réduit les coûts de mise à jour logiciel en permettant leur téléchargement depuis un serveur central sur le réseau
• Network Timing Protocol (NTP) va permettre d'avoir la même heure sur l'ensemble des commutateurs du réseau

Gestion de la puissance électrique

Les commutateurs de la série 2960-X offrent de nombreuses fonctionnalités inédites sur le marché pour réduire et contrôler la consommation de courant électrique.

• Switch Hibernation Mode (SHM) est une innovation Cisco disponible sur l'ensemble des commutateurs 2960-X. Cette fonctionnalité va mettre le commutateur en hibernation et réduire ainsi considérablement sa consommation électrique durant les périodes de fermeture (soir et week-ends par exemple). L'hibernation du commutateur peut être pilotée par tout logiciel de management EnergyWise
• IEEE 802.3az EEE (Energy Efficient Ethernet) permet aux de détecter dynamiquement les périodes d'inactivité sur les ports et ports et de les placer les cas échéant dans un mode nécessitant moins de puissance électrique, réduisant ainsi la consommation électrique globale
• Des règles Cisco EnergyWise peuvent être utilisées pour contrôler l'alimentation, et la puissance consommée par des terminaux alimentés en PoE, et bien d'autres terminaux disponibles sur le marché. Pour plus d'information sur Cisco EnergyWise, visitez cisco.com/go/energywise

Management réseau

Les commutateurs Catalyst 2960-X offrent une CLI complète pour les configurations et l'administration détaillées. De nombreuses autres solutions de management sont supportées.

Les solutions Cisco Prime™ fournissent une solution complète pour la supervision et le management pour toutes les phases d'opération du réseau (déploiement, mises à jour, opération courante, ajout de services, résolution de problèmes...) Cisco Prime Infrastructure fournit une suite exhaustive de fonctionnalités pour automatiser le déploiement initial du réseau ainsi que tous les autres déploiements consécutifs (extensions, nouveaux services...) Cisco Prime bénéficie de la connaissance complète des matériels et logiciels ainsi que de l'expertise sur les opérations pour offrir un ensemble complet de processus automatisés permettant de configurer, superviser, analyser le réseau.

Il s'agit d'une application de management réseau Cisco conçue pour les petites et moyennes entreprises avec jusqu'à 250 utilisateurs connectés, et qui s'installe simplement sur PC, tablette ou même smartphone. Cisco Network Assistant (CNA) offre la possibilité de manager et de configurer globalement le réseau (routeurs, commutateurs et point d'accès) à travers une interface graphique conviviale. Pour davantage d'informations sur Cisco Network Assistant, visitez cisco.com/go/cna.

Cisco Identity Services Engine (ISE) est supporté sur les 2960-X et permet d'administrer la sécurité pour l'ensemble des terminaux connectés sur le commutateur.