Startseite > Netzwerke & IT-Infrastruktur > Test: Smart-Switch Consentry LANShield CS4024

Edge-Switch mit NAC-Funktion

Test: Smart-Switch Consentry LANShield CS4024

30. Oktober 2009, 15:16 Uhr | Bernd Reder

Das Testobjekt: der Consentry LANshield CS4024 mit 24 Ports.

Consentry hat ihren Edge-Switch LANShield CS4024 aktualisiert. Hervorstechendes Merkmal: eine robuste Health-Check-Fähigkeit.

Wäre das Angebot von Consentry lediglich ein weiterer Ethernet-Switch, hätte sich Network Computing kaum die Mühe gemacht, das Gerät einem Test zu unterziehen. Was der Switch jedoch unter der Haube hat, ist es wert, genauer unter die Lupe genommen zu werden.

Oberflächlich betrachtet gleicht der CS4024 den meisten Edge-Switches auf dem Markt. Das Gerät kommt mit oder ohne Power-over-Ethernet. Beide Modelle enthalten 24 10/100/1000-MBit/s-Ports für Kupfer, von denen zwei jedoch Shared-Kupfer/Fiber-Ports für Uplinks zu Core- oder Distribution-Switches sind.

Der CS4024 ist ein Edge-Switching- und -Security-Produkt, das sich relativ leicht in Betrieb nehmen lässt. Das Gerät ist zwar nicht ganz so »Plug-and-Play« wie Naperas N24-NAC-Switch, aber Consentrys Feature-Sammlung ist robuster und komplexer.

Tief greifenden Datenpaket-Analyse

Vor einem produktiven Einsatz des Switches ist notwendigerweise »Consentry Insight«, eine Komponente für zentralisiertes Richtlinien-Management und Distribution, auf einer Maschine der Server-Klasse zu installieren.

Unter Verwendung einer Kombination aus speziellen ASICs und intelligentem Switching-Code bietet der Switch Network-Access-Control (NAC) Funktionen wie die tief greifende Untersuchung von Datenpaketen (Deep Packet Inspection) sowie Threat- und User-Access-Control in einem Paket.

Consentry und andere Smart-Switch-Hersteller versuchen, das zu tun, was Firewalls, Virus-Engines, Anti-Malware und URL-Filter nicht können: Richtlinien am Switch-Port durchsetzen. Das ist eine Strategie, die mehr und mehr IT-Manager nutzen. Wer würde es auch nicht bevorzugen, potenzielle Einbrecher zu stoppen, bevor sie im Haus sind?

Log-off-Mechanismus nicht hundertprozentig wasserdicht

Die aktuelle Version des CS4024 unterstützt Session-Time-outs und ist in der Lage, eine Sitzung vollständig zu terminieren, wenn ein Netzwerkkabel von einem Port getrennt wird. Das ist ein guter Start, um das Eindringen unbefugter Benutzer zu verhindern.

Aber leider gelang es trotzdem, den Log-off-Mechanismus des Switches zu knacken, und zwar durch Abmelden eines Benutzers mit vollständigem Netzwerkzugriff in der Domäne und nachfolgendem Log-in mit einem lokalen Benutzerkonto.

Natürlich benötigt ein Eindringling dann zwar immer noch Anmeldeinformationen, um sich gegen Domänenressourcen zu authentifizieren. Ohne diese Informationen ist der Hacker auf lokale Systemdateien oder schwach geschützte Netzwerk-Shares beschränkt, aber immerhin.