【WLAN 安全】无线产品攻防手册(针对Aruba篇)(V11).ppt

1、产品市场部更新：2008年9月15日，无线产品攻防手册(阿鲁巴)，1。修订记录，2。概要、阿鲁巴产品规格表，1。阿鲁巴与我公司产品对比总结，3。阿鲁巴公司简介阿鲁巴是美国三大无线制造商之一(另外两家是思科(CISCO)和Trap(Trap)，产品主要是瘦ap产品线(包括无线控制器和网络管理产品)，2005年至2007年在国内高等教育校园网领域一度超过CISCO。2007年底，随着人员和渠道的巨大变化，中国高等教育校园网板块的销售情况明显萎缩，出现了中国政法、华中科技大学和浙江大学等重点案例。4、主要推什么产品，主要推瘦AP产品；无线控制器(我公司称之为无线交换机)主要推广6000系列，接入点主

2、要推广AP60/61，不推广网管产品。主要价值点，强调无线专业级高端制造商的地位，世界上唯一依靠无线局域网获得纳斯达克上市的公司；它声称世界上第一个推出无线控制器产品的制造商声称是无线局域网领域最专业的制造商；强调无线安全领域的专业性，关注基于角色的用户安全管理状态防火墙。它声称是一个具有高移动性和高安全性的无线解决方案，侧重于“以用户为中心的网络”的概念。产品和解决方案功能，基于角色的用户安全权限管理目前在行业中做得更好；高端产品6000系列无线控制器的性能得到业界的认可。阿鲁巴公司基本背景、5、软件模块、无线接入点系列、接入点41单通道双频接入点、无线控制器系列、阿鲁巴800管理16个接入

3、点、阿鲁巴2400管理48个接入点、阿鲁巴6000最多管理512个接入点、阿鲁巴操作系统软件模块、AP60/61单通道双频接入点、AP65双通道双频接入点、阿鲁巴无线产品系列列表、AP70双通道双频接入点、AP80室外双通道双频带它支持在802.11a或802.11 b/g中使用自己的天线，天线是不可拆卸的，不能连接到天线。 目前没有本地交流电源接口的低端产品基本没有销售。AP61和AP60支持内置天线工作在802.11a或802.11 b/g，非外置天线有交流电源接口，外置天线不用天线也可以工作在802.11a或802.11 b/g，即所谓的单通道。7、阿鲁巴双通道AP产品列表(室内型)，A

4、P65、802.11a和802.11b/g可与内置全向天线同时工作，非外置天线有交流电源接口，AP70、802.11a和802.11b/g可与内置全向天线同时工作，内置全向天线有外置天线接口、交流电源接口和两个以太网端口。它由有线电视用户使用。所谓双通道是指接入点有两套射频硬件，一套支持802.11b/g，另一套支持802.11a，可以同时工作(类似于我们公司的MP-372产品)。8、阿鲁巴双通道接入点产品列表(室外型)、AP80M、薄型接入点、802.11a和802.11b/g可同时工作，仅支持802.11a和802.11b/g无天线覆盖模式，并为以太网供电提供2.4G和5.8G外部天线接口

5、(非标准802.3AF PoE)，AP880 802.11a和802.11b/g可同时支持802.11a和802.11b/g在点对点桥接环境中，建议使用AP80MB作为没有内置天线的根桥设备，并为以太网电源提供外部天线接口(不是标准的802.3 AF PoE)。阿鲁巴的户外双向接入点产品基于相同的硬件，并根据不同的灌装软件分为三种类型(注：本产品采用与我公司MP-620相同的产品外壳，外观相同。)AP80SB、fat AP、802.11a和802.11b/g可以同时支持802.11a和802.11b/g覆盖和桥接模式。在点对点桥接环境中，建议使用AP80SB作为5GHz，并在远程桥接设备中内置

6、17dBi。同时，还有一个外部天线接口，用于以太网电源(非标准802.3af POE)、9、典型应用场景、1楼、2楼、10/100 Mbps、主干、数据中心部署模式(无线控制器与AP间接连接)、10/100 Mbps、主干、数据中心、配线间部署模式(无线控制器与AP直接连接)、ARUBA 6000、ARUBA 800、数据中心、Aruba 2400、和ARUBA 2400 宣传点1:瘦接入点无线控制器的集中式架构，(1)阿鲁巴经常宣传其网络架构是一种科学的、有利于管理和控制的集中式架构，其宣传理念背后的实质是用户随着网络规模的扩大和接入点数量的增加，中央无线控制器会增加加密和解密处理的负荷。

7、(2)阿鲁巴的集中式体系结构也表现为集中的流量处理，即所有用户数据都必须绕过控制器，这使得流量不合理，降低了性能。特别是在语音应用中，对延时非常敏感，而且AP下的客户端在本地通话时不会去无线控制器打圈，所以这种流量是不合理的。因此，在阿鲁巴集中的建筑宣传背后，其建筑本身的非理性在本质上是隐藏的，但这是我们公司可以大做文章的攻击点。12、阿鲁巴产品宣传点分析，阿鲁巴经常引导客户，宣传其控制器是一个三层设备，支持路由协议和NAT，明显优于其他竞争对手，更方便客户联网。(1)无线控制器的任务是控制和管理整个网络的接入点，而不是用作三层数据转发的路由器。这只会大大增加无线控制器的资源使用和负载，而不会

8、用高效率来完成对无线网络的管理和控制。阿鲁巴实际上理解这一点。虽然它总是谈论三层路由功能，但它从不建议用户使用三层路由功能，因为他们也知道使用无线控制器作为路由器会大大增加负担。此外，与三层交换机和路由器相比，阿鲁巴无线控制器的路由功能不是一个水平产品。(2)在大型无线网络中，L2架构是最合适的架构，它可以满足所有无线局域网的需求，因此没有必要采用L3架构，这只会带来一些不必要的复杂性。宣传点2:无线控制器是一个三层设备，13。阿鲁巴产品宣传点分析3:强大的防火墙功能，阿鲁巴向客户宣传的另一个价值点是其无线控制器具有强大的防火墙功能。(1)无线控制器上需要的所谓防火墙实际上是客户身份的ACL特

9、权区分策略，这在我们公司、思科和其他制造商的产品中实际存在，不是亮点。此外，针对无线控制器的防火墙功能，并不是要将无线控制器变成防火墙设备。这不是无线控制器的使命，也不是它的专业技术和优势。专业防火墙制造商拥有完美的产品。当你已经有一个好的防火墙产品，没有必要使用无线控制器作为防火墙。(2)阿鲁巴声称的防火墙功能不是我们公司和思科随机附带的。只能通过购买额外的防火墙软件模块许可证来增加。它的硬件系统没有这个功能。阿鲁巴一般不向用户提及这个问题，只是宣传这个功能。如果用户在购买时不注意，阿鲁巴就不配获得价格优势。这是他们惯用的伎俩。，14，(1)我们的MXR-2和Aruba200无线控制器之间的

10、指数比较，以及我们相应产品的优缺点，15。我们公司主要是推动实验室市场，但是在实验室市场，无线交换机支持的APS数量是一个劣势，一个实验组一两个APS就足够了，所以我们公司支持的APS数量不多，正好满足了实验室的需求，而阿鲁巴没有代理人为他编写实验教材，所以在这个细分市场，用户注重性价比，这是我们MXR-2的优势，阿鲁巴比我们贵得多。在小型企业的三、四个接入点的竞争中，只要在竞价参数中使用“可以给每个用户分配不同的角色”和“无线入侵防御”，防火墙和无线入侵防御模块就会配合在一起，价格会提得很高，这自然会失去竞争力。(1)我们的MXR-2与阿鲁巴200无线控制器的指标比较(续)，阿鲁巴产品与我们

11、公司相比的优势，(1)阿鲁巴200支持的接入点最大数量超过我们的MXR-2，硬件指标优越；(2)Aruba200有一个千兆位的上行端口，我们公司的上行端口是100兆位。与我公司的劣势相比，Aruba200的以太网端口不支持PoE功能，在功能相同的情况下，Aruba200需要额外购买大量的软件模块许可证，其价格远远高于我公司的MXR-2，在价格上与我公司没有竞争力；结论：与我们相应的产品相比，16。(1)与我们的MX-8和Aruba800无线控制器的指标相比，与我们相应的产品相比，17。在小规模无线局域网控制器产品的竞争中，硬件形式不是最重要的，用户会关注性价比，这正是我们MX-8的优势。只要我

12、们在竞价参数中使用“可以给每个用户分配不同的角色”和“无线入侵防御”，防火墙和无线入侵防御模块就会配合在一起，价格会提得很高，这自然会失去竞争力，其硬件指标的优势在这面前就会显得苍白无力。(1)我们的MX-8和Aruba800无线控制器的指标比较(续)，Aruba产品与我们公司相比的优势，(Aruba 800支持的APS最大数量大于我们的MX-8，硬件指标优越；(2)阿鲁巴800有8个PoE端口，比我公司的6个PoE端口多；(3)Aruba800有一个千兆位上行端口，我们公司的上行端口是100兆位。与我们公司相比，阿鲁巴产品有缺点。在功能相同的情况下，Aruba800需要购买大量的附加软件模块

13、许可证，其价格远远高于我们的MX-8，在价格上与我们公司没有竞争力；结论：与我们相应的产品相比，18。(2)将我们的MX-200R与Aruba6000无线控制器指示器进行比较，19。与我们相应的产品相比，(2)将我们的MX-200R与阿鲁巴6000无线控制器指示器进行比较(续)，阿鲁巴6000可以提供多达4个千兆位端口或48个100千兆位端口，这比我们的MX-200R要多。与我们的公司相比，阿鲁巴产品有缺点。(1)不支持802.11n接入点设备的管理；(2)仅支持VRRP冗余，不支持N:1集群冗余；(3)采用集中式转发，存在流量瓶颈，不支持智能转发；(4)如果软件功能模块许可证配备齐全，价格远

14、远高于同等规模的MX-200R，20，这与我们相应产品的优缺点相比。(2)比较我们的MX-200R和Aruba6000无线控制器的指标(续)，Aruba6000在早期的大型项目中，由于其庞大的AP控制数，曾经没有竞争对手，但现在其竞争力正在慢慢下降。结论：(1)随着无线技术的普及，用户越来越依赖无线网络，越来越重视无线网络的稳定性。如果一个拥有数百个接入点的网络不接受这种传统的单核网络架构，它更倾向于分布式核心，即N:1集群核心网络模式，分担核心压力和单点故障风险；(2)Aruba6000本身非常昂贵，并且只支持VRRP冗余。如果您想消除单核单点故障的风险，您还必须购买另一个完整的许可证配置，

15、但它平时不使用，只用于备份，这对普通客户来说简直是无法承受的；(3)Aruba6000的所有软件模块都必须销售许可证产品，许可证产品通常比主机更贵，这使得该产品的价格远远高于我们的MX-200R；(4)阿鲁巴的无线控制器产品直接从2400个产品(支持48个接入点)跃升至6000个产品，中间没有过渡产品。因此，在一个大规模的无线项目中，只要我们在控制参数中要求“单个无线控制器控制的接入点数量大于128个”或“双冗余电源”，我们就会挤出其6000个产品，被迫成为冠军；(5)由于不支持802.11n、智能转发和万兆端口，阿鲁巴6000产品越来越不适合用户对未来无线网络的需求，这也是阿鲁巴6000现在

16、不被客户认可的原因。21，与我们相应的产品相比，(3)MP-71与阿鲁巴AP41/60/61之间的指数比较，AP60、AP61、22与阿鲁巴产品与我们公司相比的优势，(1)AP41/60/61均支持802.11 b/g；协议和我们的议员。(2)AP41的价格略低于MP-71。阿鲁巴产品与我们公司相比的缺点(1)AP60/61的价格比我们公司的MP-71贵；(2)AP41没有外置天线接口，所以不能扩大天线的使用范围。(3)MP-71与阿鲁巴AP41/60/61的指数比较(续)，与我们相应产品的优缺点进行比较。23.从产品的竞争优势和劣势来看，我们的优势并不明显，但在实际项目中却不是这样。(1)阿鲁巴岛的AP41很难在实际项目中使用，因为它不能与外部天线连接。此外，由于经常出现质量问题，它基本上不再销售，其主要的室内低端薄型AP产品已经转向AP60/61；(2)AP60/61的指数实际上在MP-71和MP-372之间，价格也在MP-71和MP-372之间；因此，在项目中处理AP60/61的最佳策略是使用我们的MP-71，而不是被迫退出我们的高价MP-372；我们的竞争对手；实现这一策略的关键是说服客户不要考虑8