Ciscos neues Netzwerkkonzept: SD-Access, mehr Sicherheit und Lizenzen im Abo

“Wir reden immer von Digitalisierung, tun aber so, als ob das auf den vorhandenen Netzwerken funktionieren könnte”, erklärte Oliver Tuszik, Deutschland-Chef von Cisco, heute anlässlich der Vorstellung von Ciscos neuem Netzwerkkonzept in der neuen Deutschlandzentrale in Garching bei München vor Journalisten. Das überarbeitete Angebot wird schlicht unter dem Begriff “The new Network” zusammengefasst und beworben. Dahinter verbirgt sich aber eine Vielzahl von technischen und auch strategisch-organisatorischen Änderungen bei Cisco. Die haben sich teilweise schon länger angedeutet, in der Klarheit umgesetzt werden sie aber erst jetzt mit Einführung der Switch-Reihe Catalyst 9000, bestehend aus den Serien Catalyst 9300, Catalyst 9400 und Catalyst 9500 ab Juli.

“Wir müssen im Ansatz neu mit den neuen Anforderungen an die Netze umgehen”, so Tuszik weiter, “sonst bekommen wird das nicht in den Griff.” “Das” ist in dem Fall die explosionsartige Zunahme der zu vernetzenden Geräte aufgrund der raschen Entwicklung des Internet of Things (IoT), die vergrößerte Angriffsfläche, die das expandierende Netzwerk bietet, die zunehmend erwartete Flexibilität und die durch all diese Faktoren steigende Komplexität in der Verwaltung. “Netzbetrieb in Handarbeit” sei damit nicht mehr möglich. Oder wie Cisco-CEO Chuck Robbins es formuliert: “Intuitiveres Networking” muss her.

Switch-Serie Cisco Catalyst 9000

Ciscos Antwort auf die neuen Aufgaben ist nun nicht die eine silberne Kugel, die alle Probleme löst, sondern eher eine Art Gatling-Gewehr mit vielen versilberten Kugeln, die diverse, wichtig Probleme aus der Welt schaffen sollen. Die erste Salve feuert der Anbieter spätestens im Juli ab, wenn die ersten Switches der neuen Generation auf den Markt kommen und die Neuvorstellungen SD-Access und die aktualisierte Managementkonsole Cisco DNA Center verfügbar werden.

Parallel mit den Switches führt Cisco ein Subskriptionsmodell für Firmware-Lizenzen ein. Das dürfte nun wirklich so manchen langjährigen Cisco-Kunden sprachlos machen, sorgt es doch letztendlich dafür, dass Funktions-Updates künftig laufend ausgeliefert werden und nicht regelmäßig neue Hardware erforderlich ist, um in den Genuss der neuen Möglichkeiten zu kommen. Genau diese “Forklift-Upgrades” waren in der Vergangenheit für Cisco aber ausgesprochen profitabel, für die Kunden nicht nur teuer und mit viel Aufwand verbunden, sondern auch ein viel genutzter Ansatzpunkt für Kritik und Alternativangebote der Konkurrenz.

Das Lizenz-Abonnement wird zwar mit der 9000-er-Serie eingeführt, aber auch für andere Produkte erhältlich sein, die sich durch ihre Hardware dafür eigenen, in einem “neuen” Cisco-Netzwerk zum Einsatz zu kommen und den “Software-Defined Access” (SD-Access) unterstützen. Dazu gehören Cisco-Vertretern zufolge eigentlich “alle Produkte, die in den vergangenen zweieinhalb bis drei Jahren auf den Markt gekommen sind.”

Konkret wurden auf einer Präsentationsfolie die Switches Catalyst 4500 E, Catalyst 6000 K, Catalyst 3850 und 3650 sowie Nexus 7700 genannt. Auch die Router ASR 1000x, ASR 100HX, ISR 4430 und ISR 4450 sowie die in den vergangenen Jahren auf den Markt gebrachten WLAN Access Points (1800, 2800, 3800 und 1700, 2700, 3700) sowie den WLAN-Controllern AIR-CT5520 und AIR-CT8540 gehören dazu. Die Lizenzkosten sollen sich nach den genutzten Plattformen berechnen, also den Geräten.

Angestrebt wird, dass Kunden eines von zwei von Cisco geschnürten Lizenzpaketen im Rahmen von Cisco One erwerben. Vorgesehen sind da die Stufen Essential und Advanced. Die umfassen dann jeweils vorausgewählte Möglichkeiten. Wer sich da nicht wiederfindet, der kann dennoch auch einzelne Funktionen auswählen und lizenzieren. Ob das allerdings attraktiv ist, kann anhand der bisher verfügbaren Informationen nicht entschieden werden – darf aber außer für Spezialfälle bezweifelt werden, da es dem gesamten Gedanken hinter den Neuerungen – Vereinfachung, Automatisierung und Vereinheitlichung – widerspricht.

Die neue Switch-Serie ist mit Intel-Prozessoren und programmierbaren ASICS ausgerüstet und soll wesentlich leistungsfähiger sein als ihre Vorgänger. Erforderlich sei das, um die immer häufiger erforderlichen und immer umfangreicheren Berechnungen überall im Netzwerk bewältigen zu können. Gerechnet wird da vor allem, um den Traffic – nicht die Daten, wie die Cisco-Manager wiederholt betonten – zu analysieren, Zugriffsrechte zu verwalten, zu überwachen und durchzusetzen sowie die Muster und Verhaltensweisen auch verschlüsselten Netzwerkverkehrs auf Konformität mit den definierten Richtlinien zu überwachen.

Ciscos ehrgeizige Security-Pläne

Denn, so Cisco, 41 Prozent der erfolgreichen Angriffe würde inzwischen schon über verschlüsselten Datenverkehr vorgetragen. Der jedoch sei für viele Security-Anbieter nicht kontrollierbar – was erhebliche Risiken schaffe. Im Juli soll die Cisco-Lösung Stealthwatch um die Möglichkeit der Analyse von verschlüsseltem Netzwerkverkehr ergänzt werden. Auch hier geht es nur um die Metadaten des Verkehrs, der Inhalt der einzelnen Datenpakete interessiert nicht. Cisco verspricht Kunden dann “See and act on all Threats”, eine Erkennungsrate von 99 Prozent und die in ersten Tests ermittelte False-Positive-Rate von 0,01 Prozent.

Auf Nachfrage wollte der Hersteller sich allerdings nicht konkret umfangreich dazu äußeren, inwieweit künftig dann andere Security-Produkte obsolet werden oder als Ergänzung auch künftig benötigt werden. Falko Binder, Architecture Lead Networking Germany, bestätigte gegenüber silicon.de, lediglich, dass Firewalls auch künftig benötigt werden und eine Lösung zur Absicherung der Endpunkte wie Cisco AMP erforderlich ist. Inwieweit aber alles aus einer Hand – also von Cisco – kommen kann oder auch künftig noch Drittanbieter empfohlen werden, ließe er offen.

Betrachtet man die Cisco-Bemühungen in dieser Richtung, dann drängt sich jedoch die Annahme auf, dass es zumindest der Anspruch ist, in Bezug auf IT-Sicherheit eine Komplettlösung zu bieten. Zur Hausmesse im Februar hatte Cisco in Berlin nicht nur eine neue Firewall-Generation vorgestellt (Firepower 2100), sondern Ruba Borno, Vice President Growth Initiatives und rechte Hand von CEO Chuck Robins, erklärt: “Security läuft nicht auf dem Netzwerk, sie ist im Netzwerk allgegenwärtig.” Gleichzeitig blies David Ulevitch, Vizepräsident und General Manager der Security Business Group, mit Cisco AMP zum Angriff auf “Symantec, McAfee und den Rest”. Damit bleibt in der Welt von Cisco für netzwerknahe Security-Spezialisten nicht mehr viel Raum.

SD-Access

Neben Security ist eine weitere wichtige Säule des neuen Cisco-Netzwerkangebots die Automatisierung. Wichtig ist sie einfach schon deshalb, weil wie Deutschland-Chef Tuszik so schön sagte, “Netzwerkbetrieb in Handarbeit” im Digitalisierungszeitalter nicht mehr denkbar ist. Schließlich soll das Netzwerk Neuerungen ermöglichen und Flexibilität bieten und nicht durch organisatorische Unzulänglichkeiten zur Breme werden.

Um den Netzwerkbetrieb in den Autopilot umzuschalten, hat Cisco zahlreiche Neuerungen für das DNA Center angekündigt und angedeutet. Verfügbar werden sollen sie dann im Juli. Grundlegend neu ist hier, dass nun von einem Optimierungskreislauf ausgegangen wird. Der beginnt bei Design und Policy-Festlegung, geht dann über die Bereitstellung und die Durchsetzung der Maßnahmen (Cisco spricht hier von “Assurance”) bis zu einem “intuitiven”, sich mit Gebrauch immer weiter verbesserndem Netzwerk.

Kleines aber feines Detail: Administratoren könne damit bei Beschwerden bis zu einem Zeitpunkt zurückgehen, an dem laut Nutzer “alles noch funktionierte” und den dann mit dem Ist-Zustand vergleichen, um so Fehler schneller aufzuspüren.

Ebenfalls erheblich erleichtern und vereinfachen soll den Netzwerkbetrieb die unter dem Begriff SD-Access zusammengefassten Neuerungen. Auch das wird im Juli verfügbar sein. Voraussetzung dafür sind die oben genannten Cisco-Produkte, für die auch das Lizenz-Abonnement angeboten werden soll. Ältere Geräte lassen sich über künftig wohl auch noch einbinden, unterstützen dann aber womöglich nicht alle Funktionen.

Wahrscheinlich ist daher, dass Anwenderunternehmen diese Neuerung erst einmal in Teilbereichen ausprobieren. Cisco gibt sich aber zuversichtlich, sie da überzeugen und letztlich dann zum Austausch auch älterer Geräte bewegen zu können. In ersten Tests bei Anwendern habe man damit die Bereitstellungszeiten deutlich reduzieren können (um 67 Prozent) und die Betriebskosten um 61 Prozent senken können. Auch die Auswirkungen von Sicherheitsvorfällen auf den Netzwerkbetrieb hätten sich damit erheblich reduziert.

Die Neuerungen sind nicht nur aufgrund der technischen Aspekte interessant und für Cisco und seine Kunden wichtig. Sie werden auch die Basis für die künftige Weiterentwicklung bilden, die voraussichtlich noch Möglichkeiten bringt, die sich durch die Übernahme des SDN-Start-ups Viptela sowie des Application-Monitoring-Spezialisten AppDynamics im Januar ergeben. Der Kauf von Viptela soll erst in der zweiten Jahreshälfte 2017 abgeschlossen sein und dann die als “Cisco Intelligent WAN” und “Meraki SD-WAN” vermarkteten Angebote ergänzen.

Ebenfalls in der zweiten Jahreshälfte hofft Cisco den Kauf von AppDynamics abschließen zu können. AppDynamics-CEO David Wadhwani soll das Unternehmen danach weiterhin leiten. Es soll als eine neue Einheit in Ciscos IoT and Applications Business fortgeführt werden.