Как Cato использует DHCP для идентификации устройств

Эта статья объясняет, как Cato использует DHCP-сообщения для идентификации и классификации устройств в вашей сети и как выбор развертывания DHCP влияет на данные об устройствах, отображаемые на странице инвентаризации устройств и доступные в правилах файервола.

Обзор

Движок инвентаризации устройств анализирует WAN-направленный и исходящий трафик для обнаружения, идентификации и классификации устройств в вашей сети. Чтобы узнать больше о службе безопасности IoT/OT и использовании инвентаризации устройств в приложении управления Cato, см. Что такое инвентаризация устройств?.

Движок использует различные протоколы идентификации, включая DHCP, HTTP, MAC, TCP/IP и FTP. Однако DHCP является наиболее ценным для получения данных об устройствах. В процессе обмена DHCP устройство объявляет свой MAC-адрес, часто имя хоста, и дает подсказки о своей операционной системе. Это происходит по предсказуемому расписанию, когда устройство подключается к сети или продлевает свою аренду. Cato использует эти данные для заполнения атрибутов устройства, таких как MAC-адрес, Производитель, Имя устройства, и IP-адрес устройства, которые потом доступны как условия Атрибуты устройства в правилах брандмауэра. Чтобы узнать больше о использовании данных об устройствах в правилах брандмауэра, см. Добавление условий устройства в правила брандмауэра.

Чтобы Cato мог получить доступ к данным DHCP, он должен находиться на пути сообщений DHCP. Когда Cato является сервером DHCP или ретранслятором DHCP для диапазона сети, облако Cato читает обрабатываемые им DHCP-сообщения и передает извлеченные идентификаторы в движок инвентаризации устройств.

Заметка:

• Правила брандмауэра с настройками Атрибуты устройства применяются только для устройств, чей MAC-адрес был обнаружен. На практике это означает устройства, обнаруженные через DHCP. Cato рекомендует настроить ваши участки для использования сервиса DHCP Cato для гарантии обнаружения MAC-адресов.
• MAC-адрес, хранящийся в Инвентаризации устройств, берется из полезной нагрузки сообщения DHCP (chaddr), а не из заголовка Ethernet кадра. Промежуточные ретрансляторы DHCP, маршрутизаторы и сокеты не перезаписывают это значение.

Как путь сообщений DHCP влияет на получение данных об устройстве

Когда клиент в диапазоне сети сайта нуждается в IP-адресе, он отправляет сообщение DHCP DISCOVER. Что видит Cato, зависит от того, как настроен DHCP для этого диапазона:

• Cato Cloud как сервер DHCP — когда диапазон настраивается в CMA с помощью настройки Диапазон DHCP, Pop Cato является сервером DHCP. Каждый DISCOVER, REQUEST, RENEW и RELEASE от каждого клиента в диапазоне доставляется на PoP, который назначает IP-адрес и разбирает полезную нагрузку. Этот режим обеспечивает самые полные и актуальные данные об устройстве.
• Cato как ретранслятор DHCP — когда диапазон настраивается с помощью настройки Ретрансляция DHCP, ваш сервер DHCP, например сервер Microsoft DHCP в центре данных, назначает аренду. Cato Socket ретранслирует сообщения DHCP между клиентом и вашим сервером и читает полезную нагрузку во время этого.
  Примечание: Cato также может извлекать DHCP идентификаторы из ретрансляционных сообщений DHCP, проходящих через облако Cato, даже когда Socket Cato не является агентом ретрансляции DHCP. Это применимо, когда ретрансляционный трафик направляется через Cato к серверу DHCP.
• DHCP, обслуживаемый локально в ЛВС — сторонний сервер DHCP, такой как локальный маршрутизатор, точка доступа стороннего производителя или сервер Windows, отвечает клиентам в той же доменной зоне без ретрансляции Cato. Эти сообщения DHCP никогда не покидают ЛВС и Cato их не видит. Устройства в этом диапазоне могут появляться в Инвентаризации устройств через их WAN-направленный трафик, но обычно с ограниченными данными (без MAC-адреса, производителя или имени хоста) и правила брандмауэра с условиями Атрибуты устройства к ним не применяются.

Для каждого обрабатываемого сообщения DHCP, Cato извлекает идентификаторы из следующих полей и использует их для заполнения профиля устройства:

Cato сочетает эти атрибуты, полученные из DHCP, с сигналами из других протоколов и поведенческого анализа WAN-направленного трафика для уточнения классификации.

Настройка DHCP для идентификации устройств

Чтобы убедиться, что движок инвентаризации устройств может идентифицировать устройства на каждом участке, настройте DHCP так, чтобы Cato находился на пути сообщений DHCP для каждого диапазона сети, который вы хотите отслеживать. Вы можете использовать один из двух режимов.

Использование Cato в качестве вашего DHCP-сервера (рекомендуется)

В этом режиме облако Cato назначает IP-адреса клиентам в диапазоне сети и читает каждое сообщение DHCP непосредственно.

Заметка:

Cato рекомендует этот режим как для охвата идентификации устройств, так и для оперативной простоты. Дополнительную информацию см. в Рекомендациях по DHCP.

Чтобы узнать больше об использовании Cato в качестве DHCP-сервера, см. Настройка параметров DHCP.

Использование Cato как ретранслятора DHCP

Используйте этот режим, если хотите сохранить свой DHCP-сервер (например, централизованный сервер Microsoft DHCP), но все же позволить Cato видеть сообщения DHCP.
Чтобы узнать больше об использовании Cato как ретранслятора DHCP, см. Настройка Cato в качестве ретранслятора DHCP.

Где появляются данные об устройстве на основе DHCP

Cato использует извлеченные идентификаторы DHCP на следующих страницах CMA:

• Инвентаризация устройств — колонки MAC-адрес, Производитель, Имя устройства и IP-адрес устройства заполняются из перечисленных выше полей DHCP. Откройте Быстрый просмотр устройства, чтобы увидеть MAC-адрес и полный список атрибутов. Чтобы узнать больше, см. Использование страницы инвентаризации устройств.
• Базовые правила брандмауэра WAN, интернет и ЛВС — значения, выявленные движком инвентаризации устройств, становятся выбираемыми значениями в условии Атрибуты устройства правила. Правила с условиями Атрибуты устройства применяются только к устройствам, чей MAC-адрес был обнаружен.

Известные Ограничения услуг

В дополнение к ограничениями, описанными в Использование страницы инвентаризации устройств (старение в течение 3 дней, разделение по нескольким ID, коллизия общего ID), идентификация на основе DHCP имеет следующие ограничения:

• Устройства со статическим IP не генерируют сигналов DHCP. Устройство со статическим IP-адресом не отправляет сообщения DHCP, поэтому в Инвентаризации устройств нет MAC-адреса, и оно не соответствует правилам брандмауэра, использующим условия Атрибуты устройства.
• Локально обслуживаемый DHCP невидим для Cato. Если DHCP обслуживается устройством в ЛВС, которое не отправляет свои сообщения DHCP через облако Cato (как сервер или как ретранслятор), Cato не может извлечь идентичность устройства из этих сообщений.
• Рандомизация MAC. Современные операционные системы (последние версии iOS, Android, Windows 11 и macOS) могут представлять рандомизированный MAC-адрес для каждой сети. Рандомизированный MAC-адрес имеет OUI, который не относится к реальному производителю, и одно и то же физическое устройство может появляться под различными MAC-адресами в разных сетях.
• Слежение DHCP или переписывание опции 82. Если устройство между клиентом и Cato Socket изменяет сообщения DHCP (например, добавляя опцию 82 или переписывая chaddr), идентификаторы, хранящиеся в Инвентаризации устройств, отражают это изменение.

Связанные статьи

• Что такое инвентаризация устройств?
• Использование страницы инвентаризации устройств
• Настройка параметров DHCP
• Настройка Cato в качестве ретранслятора DHCP
• Рекомендации для DHCP
• Добавление условий устройства к правилам файервола