Cisco Meraki vous ne savez plus ce que c'est ?
Identifier une application aide à comprendre les flux ; ce n’est ni une preuve exhaustive des usages ni une détection garantie de tous les programmes malveillants.
Cisco Meraki est une solution de gestion de réseau cloud qui simplifie l'administration et la surveillance des infrastructures réseau. Grâce à une interface de gestion centralisée basée sur le cloud, Meraki offre aux administrateurs une visibilité et un contrôle en temps réel sur l'ensemble de leur infrastructure, permettant de déployer, configurer et surveiller les équipements facilement et rapidement.
La gamme de produits Cisco Meraki englobe les points d'accès WiFi, les switches Ethernet, les appliances de sécurité (routeurs), les caméras de surveillance et les solutions MDM (Mobile Device Management).
On en apprécie à la fois la simplicité d'utilisation, la flexibilité et les puissantes fonctionnalités de gestion et de sécurité, permettant aux entreprises de déployer et de gérer leurs réseaux avec efficacité et sérénité.
Qu'est-ce que Cisco NBAR ?
NBAR, ou Network-Based Application Recognition, est une technologie développée par Cisco dont on vous parlait en 2021 qui permet aux administrateurs réseau de détecter et d'identifier les différentes applications qui circulent sur leur réseau.
La classification des flux aide à définir des règles de qualité de service ou de filtrage selon les fonctions disponibles. Elle peut contribuer à l’exploitation du réseau ; elle ne garantit pas la performance de toutes les applications.
Comment fonctionne NBAR ?
La technologie NBAR utilise une approche heuristique pour identifier les applications en examinant les paquets de données qui traversent le réseau.
Le système se base sur l'analyse de trafic des couches 3 à 7 ainsi que des listes de ports TCP/UDP mais également non UDP/TCP pour classifier et identifier les paquets.
En analysant les signatures de protocoles, les caractéristiques de trafic et les schémas de communication, NBAR est capable de classer les applications en différentes catégories, telles que les applications de streaming vidéo, les jeux en ligne ou les services de VoIP.
Le référentiel d’applications et les capacités de reconnaissance évoluent. Le taux de trafic inconnu dépend du réseau et du chiffrement : il ne faut pas garantir moins de 1 % de trafic non identifié sur toute installation.
Exemple d'options de blocage applicatif dans Meraki sans NBAR / avec NBAR :
Les avantages de Cisco NBAR
L'utilisation de NBAR au sein de l'écosystème Cisco Meraki présente plusieurs avantages pour les entreprises :
a) Gestion optimisée de la qualité de service (QoS) : En identifiant les applications qui consomment le plus de bande passante ou qui sont les plus sensibles aux latences, les administrateurs réseau peuvent définir des politiques de QoS pour garantir une expérience utilisateur optimale. Cela sert également dans les applications SD-WAN.
b) Sécurité accrue : NBAR permet d'identifier les applications potentiellement malveillantes ou non autorisées qui pourraient constituer un risque pour la sécurité du réseau. On peut s'en servir pour identifier du Shadow IT. En 2006 déjà, le côté innovant de ce système permettait aux administrateurs réseau de bloquer sur leurs réseaux le ver "Code Red".
c) Visibilité et contrôle : Grâce à la classification des applications par NBAR, les administrateurs réseau peuvent surveiller et contrôler l'utilisation des applications sur leur réseau, permettant ainsi de mieux gérer les ressources et d'optimiser les performances.
Mise en œuvre de Cisco Meraki NBAR
Avant toute activation ou modification, vérifiez le modèle, le logiciel, le mode d’analyse et les éventuelles conditions de licence.
Les menus et fonctions disponibles varient selon la famille d’équipement. Une règle visible dans le dashboard ne prouve pas qu’un flux réel sera classé comme attendu.
L'analyse peut prendre place à trois niveaux:
- Identifier les familles de matériels qui observeront les flux.
- Consulter la matrice de prise en charge NBAR actuelle.
- Tester la classification sur des applications connues.
- Contrôler l’effet des règles de QoS ou de filtrage.
La documentation Cisco Meraki est assez exhaustive sur le sujet et vous pouvez la trouver ici.
Les règles NBAR "matchent" du trafic selon un référentiel et sont classées avec un "NBAR ID" qui est documenté ici.
Si vous cherchez le référentiel côté "maison mère" de Cisco, c'est par ici et là .. pléthore de détails vous attendent. Voici quelques exemples de données de ce référentiel :
GOOGLE-ACCOUNTS
| Name/CLI Keyword | google-accounts |
| Full Name | Google Accounts Authentication |
| Description | Google Accounts Authentication protocol covers the traffic logging into Google services using Google certificates. |
| Reference | http://en.wikipedia.org/wiki/Google_Account |
| Global ID | L7:528 |
| ID | 1440 |
| IP Version | |
| IPv4 Support | Yes |
| IPv6 Support | Yes |
| Application Group | google-group |
| Business Relevance | business-irrelevant. From Cisco IOS XE 3.16S and IOS 15.5(3)M only. |
| Category | browsing |
| Sub Category | authentication-services |
| P2P Technology | No |
| Encrypted | Yes |
| Traffic-class | transactional-data. From Cisco IOS XE 3.16S and IOS 15.5(3)M only. |
| Tunnel | No |
| Underlying Protocols | ssl,dns,quic |
TEAMVIEWER
| Name/CLI Keyword | teamviewer |
| Full Name | remote access and desktop sharing |
| Description | TeamViewer is a computer software package for remote control, desktop sharing, and file transfer between computers. The software operates with the Microsoft Windows, Mac OS X Linux, iOS and Android operating systems. |
| Reference | http://www.teamviewer.com/en/index.aspx |
| Global ID | L7:494 |
| ID | 1430 |
| Known Mappings | |
| UDP Port | - |
| TCP Port | 80 |
| IP Protocol | - |
| IP Version | |
| IPv4 Support | Yes |
| IPv6 Support | Yes |
| Application Group | other |
| Business Relevance | business-relevant. From Cisco IOS XE 3.16S and IOS 15.5(3)M only. |
| Category | business-and-productivity-tools |
| Sub Category | desktop-virtualization |
| P2P Technology | No |
| Encrypted | Yes |
| Traffic-class | multimedia-streaming. From Cisco IOS XE 3.16S and IOS 15.5(3)M only. |
| Tunnel | No |
| Underlying Protocols | - |
Moins connue, chez Cisco il existe aussi la CBAR – Controller Based Application Recognition (oui encore un acronyme) qui s'appuie sur Cisco Application Visibility Control (AVC).
Bref on ne les arrête pas quand il s'agit de créer des noms un peu techniques et sorciers .. à des technologies qui sont mine de rien.. bien utiles.
La QoS organise les flux ; le Shadow IT demande aussi un inventaire et une gouvernance. Les exemples de signatures ci-dessus illustrent un référentiel, pas la liste actuelle de toutes les applications.
Questions fréquentes
Que signifie NBAR ?
NBAR signifie Network-Based Application Recognition. C’est une technologie Cisco qui aide à identifier les applications qui circulent sur le réseau au-delà des simples ports TCP ou UDP.
Pourquoi NBAR est utile dans Meraki ?
NBAR améliore la visibilité applicative, ce qui aide à appliquer de la QoS, repérer du shadow IT, prioriser des usages métiers ou limiter des applications non souhaitées.
NBAR fonctionne-t-il seulement sur les routeurs MX ?
Non. L’article indique des usages sur MX, certains switches et certaines bornes WiFi, selon les modèles et versions de firmware compatibles.
NBAR identifie-t-il tout le trafic chiffré ?
Non. Il améliore fortement la classification, mais le chiffrement, les tunnels, les CDN et les applications changeantes peuvent limiter ou complexifier l’identification.
BoucheCousue peut-il aider à exploiter NBAR ?
Oui. BoucheCousue peut activer la visibilité applicative, définir les règles adaptées, éviter les blocages trop larges et documenter les politiques réseau.