Импортозамещение NAC: обзор российского решения WNAM
Сегодня расскажем про российскую разработку WNAM от Netams. Мы знакомы с этим вендором много лет, и они заметно выросли после 2022 года. Сейчас это отечественный ACS/NAC-продукт, который является альтернативой ушедшим с рынка импортным решениям. И несмотря на название, реализует авторизацию не только по Wi-Fi, но и по LAN и VPN.
О том, что такое NAC, каким компаниям нужен и почему все сейчас переходят на российские продукты рассказывали в предыдущем материале.
Краткая история WNAM
Гостевая авторизация от WNAM
В 2014 году в России приняли закон, который запрещает раздавать Wi-Fi без авторизации по SMS или через Госуслуги. Это подстегнуло развитие рынка решений гостевой авторизации. К тому же можно зарабатывать дополнительные деньги на показе пользователям рекламы, особенно если у вас большой поток посетителей.
WNAM — отличный пример подобного отечественного NAC решения. Он знаком нам около семи лет, а сам производитель присутствует на рынке с 2008 года. До этого WNAM являлся решением для беспроводной веб-авторизации, то есть hotspot-порталом для Wi-Fi. Но в последние годы особенно быстро развивается в корпоративный сегмент.
Глобальные изменения произошли после ухода с рынка зарубежных вендоров и их продуктов для авторизации Enterprise, к которым все привыкли: Cisco ISE, HPE/Aruba ClearPass, а следом и Huawei NCE-Campus. На этом фоне компания Netams решила доработать WNAM: расширить функционал и занять освободившуюся часть рынка. Сделать из ПО для гостевой веб-авторизации многофункциональное решение, которое будет:
- осуществлять корпоративную аутентификацию и авторизацию через dot1x,
- поддерживать интеграцию с каталогом MS AD и центром сертификации MS CA,
- реализовывать профилирование устройств пользователей,
- логировать сессии,
- создавать отчеты о подключениях.
Детальные отчеты о подключениях
И еще много других дополнительных функций. В целом у Netams все получилось: они создали полноценный Enterprise-продукт, способный удовлетворить запросы корпоративных клиентов.
WNAM на чемпионате мира
Конструктор гостевого портала
Первый опыт взаимодействия с WNAM у нас в К2Тех состоялся во время чемпионата мира по футболу 2018 года. Мы проектировали и внедряли Wi-Fi высокой плотности на одном из стадионов. И в качестве портала гостевой авторизации по всей России использовался именно WNAM: работал на 10 из 12 стадионов, а также в пяти фан-зонах. Если вы подключались к Wi-Fi на Чемпионате мира, то с большой вероятностью пользовались именно системой WNAM.
Соответственно, уже тогда было реализовано:
- пять языков в интерфейсе абонента;
- поддержка оборудования Cisco, Ruckus, Huawei, Avaya;
- интеграция с СОРМ, системой аккредитаций и Fan ID болельщиков;
- расширенная отчетность (онлайн и по расписанию).
WNAM был развернут в облаке Ростелекома, а мы настраивали интеграцию Wi-Fi оборудования с системой. Как и другие интеграторы, работали на одной из площадок. Уже тогда было понятно — это простой и доступный продукт, с хорошо продуманной документацией, позволяющий быстро настроить подключение.
WNAM после 2022
Профили корпоративной аутентификации
Когда Cisco и другие вендоры ушли из России, поначалу было непросто. Потому что Cisco ISE крутой продукт с миллионом всяких фич, которые можно тонко тюнить. А еще в нем множество готовых интеграций с самыми разными продуктами, в том числе и проприетарные интеграции (например, с теми же самыми продуктами Cisco).
Но это решение в РФ официально больше недоступно. Поэтому отечественные разработчики подтянулись и активно развивают свои продукты — например, GIS Efros ACS/DO, DECK.Auth или Netams WNAM. Ситуация развивается динамично, обновления продуктов выходят регулярно, а новые функции добавляются быстро. Это позволило той же WNAM обогнать китайские аналоги, а по некоторым показателям даже выбиться в лидеры. Особенно если не учитывать недоступные в РФ NAC-решения.
Что представляет собой WNAM сейчас
Архитектура решения WNAM
WNAM — специализированное программное обеспечение для контроля доступа к сети. Его основная задача состоит в аутентификации и авторизации устройств и пользователей при подключении к проводной и беспроводной локальной сети или через VPN. В том числе — гостевая авторизация через web-порталы.
Основные функции, которые хочется отметить:
- Корпоративная аутентифкация (dot1x) по протоколам PEAP и EAP-TLS;
- Аутентификация устройств по MAC-адресу;
- Интеграция с внешними каталогами MS AD и FreeIPA;
- Встроенный центр управления сертификатами;
- Поддержка атрибутов авторизации (VLAN ID, Downloadable ACL, Dynamic ACL, ограничение скорости, в том числе проприетарных RADIUS атрибутов);
- Профилирование устройств;
- Аутентификация, авторизация и учет действий для административного доступа на сетевые устройства (RADIUS и TACACS+) ;
- Гостевые порталы с аутентификацией, соответствующей законодательству РФ (обратный вызов, SMS, Госуслуги/ЕСИА);
- Детальное логирование действий пользователей в сети: длительность сессий, скорость, количество подключений, объем трафика.
Детальные логи подключения
Дизайн интерфейса не похож на конкурентов. Потому что изначально WNAM пошли по собственному пути в построении UI, а не привязывались к интерфейсу Cisco ISE. На наш взгляд, получилось наглядно и удобно.
Дашборды с ключевыми метриками
Разберем некоторые фичи этого решения поподробнее.
1. Интеграция с внешними БД, такими как MS AD и FreeIPA — open-source аналогом решения от Microsoft. Вообще многие интеграторы (в том числе и мы) замечают, что open-source становится все более популярным среди заказчиков. Поэтому Netams не отстает и активно внедряет его в свои продукты.
2. Гостевой портал с SMS-авторизацией, помимо корпоративной аутентификации — главный плюс WNAM лично для нас. Потому что не приходится покупать два продукта: WNAM закрывает все потребности, которые обычно нужны Enterprise. Особенно если есть не только локальная сеть, но и Wi-Fi, через который компания предоставляет гостевой доступ своим посетителям в соответствии с текущим законодательством.
3. Профилирование — возможность определения типа устройств, подключающихся к сети. Чтобы понять, насколько это важная функция, разберем на примере.
Скажем, в вашей сети аутентификация сотрудниками осуществляется с корпоративных ноутбуков, по логину и паролю. Но внезапно к сети пытается подключиться смартфон. Или у вас есть подсеть принтеров, но с нее пытается подключиться какой-то ноутбук на Linux.
Если логин и пароль правильные — устройство успешно пройдет аутентификацию и попадет в сеть. В стандартной ситуации вы не поймете, что что-то идет не так.
Политики профилирования устройств
Профилирование позволяет определить тип устройства и тип операционной системы по атрибутам DHCP и RADIUS запросов, MAC-адресу и другим косвенным признакам. Так WNAM оценивает, не происходит ли подмена — причем делает это весьма качественно. В последние полтора года из-за участившихся атак на инфраструктуру российских предприятий, это стало особенно актуально.
У Netams есть отдельный продукт — Quality of Wireless, который позволяет мониторить качество Wi-Fi, имитируя работу Wi-Fi клиентов — реальные подключения ноутбуков и смартфонов. Для этого по офису расставляются специальные сенсоры — они сами подключаются к Wi-Fi, проходят аутентификацию, получают IP-адрес, пытаются заходить на разные ресурсы и замеряют метрики. Так можно получить данные о том, как функционирует Wi-Fi в контексте пользовательского опыта.
В итоге по функционалу надо отметить, что у WNAM пока нет некоторых функций, которые были в Cisco ISE. Например отсутствует:
- NAC-агент для проверки соответствия устройства корпоративным политикам безопасности (Device Posture Assessment в терминологии Cisco ISE);
- Полноценный BYOD сервис для онбординга личных устройств в корпоративной сети;
- Интеграция с Mobile Device Management (MDM) системами.
Но раньше список отсутствующих функций был гораздо больше, и он быстро сокращается (например, буквально недавно не было того же профилирования). Есть уверенность, что через год-полтора отличий от Cisco ISE в плане функционала у WNAM не будет.
Установка WNAM
WNAM — серверное приложение, работающее под управлением операционной системы Linux либо Windows. Продукт поставляется в виде как отдельного пакета, так и готовой OVF сборки с Astra Linux под капотом. Netams предлагает гибкое решение — несколько видов сборки, в зависимости от конкретной задачи заказчика. Если требуется только гостевой доступ, то это будет одна сборка, если же нужно только корпоративное включение — другая сборка.
Что мы хотим отметить:
- Системные требования у WNAM минимальные: от 4 ГБ ОЗУ, 200 ГБ дискового пространства, процессор от Core i5. Этого более чем достаточно, если у вас одновременно подключены меньше 500 сотрудников.
- WNAM можно поставить на Ubuntu, Debian или Astra Linux, а версии WNAM от 1.5 даже запускаются под Windows. Получается решение, совсем не требовательное к ОС (по сравнению почти со всеми другими NAC) и гибкое: многим админам не придется переучиваться под Astra Linux или еще что-то более специфическое.
- WNAM — полностью коробочное решение, on premises. Вы ставите продукт на собственном сервере и дальше поддерживаете его внутренними силами — лицензия покупается один раз и навсегда. Это не облачный продукт, за который вы платите каждый месяц, и цены на него могут постоянно меняться. Еще коробочное решение лучше с точки зрения безопасности: многие заказчики после ухода западных вендоров поняли, что если ты покупаешь облачный продукт, то по сути он тебе не принадлежат.
- У WNAM очень подробная документация, в отличие от тех же китайских аналогов, которые пытаются выйти на рынок. Здесь отличная Вики: детальная, удобная, на русском языке, со множеством полезных разделов и пошаговых гайдов с примерами. Одна из лучших документаций, с которой мы сталкивались. Так что вряд ли с установкой возникнут сложности, особенно если есть хотя бы минимальный опыт (а если нет, К2Тех поможет
