深入理解 Cisco SUDI：网络准入控制中基于硬件的设备身份识别

了解 Cisco SUDI：网络接入控制中基于硬件的的设备身份 Purple 技术简报 - 完整播客脚本（约 10 分钟） --- 第 1 部分：介绍与背景（约 1 分钟） 您好，欢迎收听 Purple 技术简报。在接下来的十分钟里，我将带您了解 Cisco SUDI - 安全唯一设备标识符（Secure Unique Device Identifier） - 它的实际定义、它如何融入您的网络接入控制架构，以及如果您正在大规模运行 Cisco 基础设施，您需要对此做些什么。 本期内容面向场所（酒店、零售物业、体育场馆、会议中心等）的网络架构师、IT 经理和 CTO - 只要您在这些场所运行企业级 WiFi，并需要确信网络上的硬件与声明的完全一致。 让我们从 SUDI 解决的问题开始。在任何大型场所网络中，您都拥有数十个或数百个接入点、交换机和控制器。您的安全状况所取决于的问题是：您如何知道这些设备中的每一个都是真正的、未经修改的 Cisco 产品 - 而不是假冒产品、受损设备或在运输过程中被篡改的设备？这就是 SUDI 填补的空白。 --- 第 2 部分：技术深度剖析（约 5 分钟） SUDI 代表安全唯一设备标识符（Secure Unique Device Identifier）。它是一个 X.509 版本 3 证书 - 与 HTTPS 和 TLS 中使用的证书格式相同 - 但它不是颁发给个人或服务器，而是在制造过程中颁发给特定的硬件。它包含设备的产品标识符和序列号，并植根于 Cisco 自己的公钥基础设施中。 以下是 SUDI 与您自己安装的软件证书的不同之处。SUDI 证书及其关联的密钥对位于名为信赖锚模块（Trust Anchor module，简称 TAm）的防篡改芯片内。私钥在该芯片内部生成，且永远不会离开该芯片。您无法导出它，也无法克隆它。如果有人物理篡改芯片，密钥就会被销毁。这就是硬件信任根。 SUDI 是 Cisco 对 IEEE 802.1AR 标准的实现 - 该标准是安全设备标识符（DevIDs）的行业标准。在 802.1AR 下，制造商安装的凭据称为初始设备标识符（IDevID）。Cisco 的 SUDI 正是如此 - 一种由 Cisco 在工厂安装的 IDevID。您可以使用本地有效设备标识符（LDevID）对其进行补充，该标识符由您自己的 PKI 颁发，用于本地授权策略。 那么，这如何插入到网络访问控制中呢？最常见的集成点是 IEEE 802.1X - 基于端口的网络访问控制标准。当 Cisco 接入点或交换机上线时，它可以向 RADIUS 服务器（通常是 Cisco ISE，即 Identity Services Engine）出示其 SUDI 证书，此过程使用 EAP-TLS（即带有传输层安全性的可扩展身份验证协议）。RADIUS 服务器根据 Cisco 的公共证书颁发机构验证该证书，确认设备真实无误，然后应用相应的网络策略。 这明显优于 MAC 地址旁路，而 MAC 地址旁路是大多数网络对基础设施设备使用的备用方案。MAC 地址在不到一分钟内就可被伪造。而保存在防篡改芯片中的硬件绑定证书，在不物理损坏设备的情况下是无法被伪造的。 在场馆场景中，这之所以重要有三个原因。首先，它消除了流氓接入点加入您网络的风险。伪造或未授权的设备根本无法提供有效的 SUDI。其次，它支持自动化的零接触部署（Zero Touch Provisioning） - 新设备运抵您的场馆，开机，出示其 SUDI，然后您的管理系统在推送配置之前根据您的库存验证该设备。无需人工干预。第三，它为您提供了可进行密码学验证的审计轨迹。每个向您的网络进行身份验证的设备都是通过证明其是特定、命名的 Cisco 产品的证书来进行的。 让我更详细地介绍一下 Trust Anchor 模块，因为它是其他所有功能赖以存在的基础。TAm 是一款 Cisco 专有芯片，可提供三样东西：用于 SUDI 和密钥的非易失性安全存储、包括随机数生成在内的密码学服务以及硬件指纹识别。最后一点值得注意 - Cisco 在制造时会对设备的关键硬件组件进行指纹识别，并将该指纹存储在 TAm 中。当设备启动时，它会对比检测到的硬件指纹与存储的指纹。如果它们不匹配，设备将无法启动。这可以检测到运输过程中的硬件篡改 - 对于硬件在安装前可能会经过多人之手的大型场馆部署来说，这是一个真正需要担心的问题。 您需要注意的一个运维问题是：2019 年 5 月之前颁发的 SUDI 证书将在自制造之日起十年或 2029 年 5 月 14 日过期，以先到者为准。Cisco 已通过名为 SUDI-2099 的新一代证书解决了这一问题，该证书有效期至 2099 年 12 月。如果您运行的是 2019 年之前制造的 Catalyst 9000 系列硬件，您现在需要检查您的 SUDI 到期日期。在 IOS-XE 上的命令是 show crypto pki certificate。查找 CISCO_IDEVID_SUDI 信任点并检查截止日期。如果您使用的是 Catalyst 9200，请升级到 IOS-XE 17.12.2 或更高版本，以确保您使用的是正确的 2099 证书。 - - - 分段 3：实施建议与常见陷阱（约 2 分钟） 让我为您介绍实际部署时的具体情况。如果您要在场馆环境中部署基于 SUDI 的认证，以下是行之有效的实施顺序。 首先从您的 RADIUS 基础设施开始。如果您已处于 Cisco 生态系统中，Cisco ISE 自然是首选，但任何支持 EAP-TLS 并能针对外部 CA 进行验证的 RADIUS 服务器均可。您需要将 Cisco 的根 CA 和 ACT2 SUDI CA 证书导入到您的 RADIUS 信任存储中。这些证书可以从 Cisco 的 PKI 门户公开获取。 接下来，配置您的 802.1X 策略，要求对基础设施设备进行基于证书的认证。将其与您的终端用户认证策略分开 - 员工和访客的认证流程不同，在 ISE 中应位于不同的策略集中。 对于新部署，请启用零接触配置（Zero Touch Provisioning）。您的网络管理系统 - Cisco DNA Centre 或 Catalyst Centre - 可以使用 SUDI 在推送配置前验证设备身份。这消除了手动分阶段部署的过程，并将每台设备的配置时间从几小时缩短到几分钟。 现在来看看可能遇到的陷阱。我最常见的一个陷阱是在同一端口上将 SUDI 认证与 MAC 地址旁路（MAB）混用。如果在 SUDI 失败时回退到 MAB，您就破坏了安全模型。请制定清晰的策略：支持 SUDI 的设备必须通过 SUDI 进行认证，仅此而已。不支持 SUDI 的设备则进入隔离 VLAN 待人工审核。 第二个陷阱是证书过期。现在就在您的整个网络资产中设置对 SUDI 到期日期的监控。不要等到服务中断时才发现您的接入点已无法通过认证。Purple 的平台与 Cisco Meraki 及其他硬件厂商无缝集成，在单一仪表板中呈现设备健康信号 - 包括认证状态 - 这使得这种主动监控在规模化应用中变得非常实用。 第三个陷阱是范围蔓延。SUDI 认证的是硬件设备，它并不认证通过该设备连接的用户。您仍然需要为访客、员工和常驻人员建立一个独立的身份层。这正是像 Purple 这样的平台发挥作用的地方 - 我们处理人类身份层、同意书捕获、访客流量的 VLAN 分配以及分析，而 SUDI 则在底层处理基础设施层。 - 第 4 部分：快速问答（约 1 分钟） 让我快速解答三个经常被问到的问题。 SUDI 是否会取代我现有的 PKI？不会。SUDI 是厂商安装的 IDevID。它证明该设备是正品 Cisco 硬件。您的企业 PKI 则为其他所有内容颁发 LDevIDs 和用户证书。它们并行工作。 我可以在非 Cisco 硬件上使用 SUDI 吗？不能。SUDI 是 Cisco 专有的。HPE Aruba 具有名为 IAP 配置证书的等效机制。Ruckus 和 Juniper Mist 也有其自身的设备身份识别机制。底层标准 - IEEE 802.1AR - 是厂商中立的，但每个制造商的实现方式有所不同。 当 SUDI 证书过期时会发生什么？依赖于 SUDI 进行身份验证的服务（HTTPS、使用证书验证的 SSH、零接触配置）将会失效。设备本身虽然会继续运行，但它已无法通过密码学证明其身份。这就是为什么要进行 SUDI-2099 迁移的原因。 --- 第 5 部分：总结和后续步骤（约 1 分钟） 总结一下：Cisco SUDI 为您提供了基于硬件根源的设备身份，该身份无法被欺骗、克隆或导出。它是值得信赖的基础设施层的基础。结合 IEEE 802.1X 和配置合理的 RADIUS 策略，它可以消除流氓设备风险，并实现大规模的自动化配置。 您需要立即采取的三个行动：第一，使用 show crypto pki certificate 审计您的 Cisco 资产以获取 SUDI 过期日期。第二，将 Cisco 的根 CA 导入您的 RADIUS 信任库，并为基础设施设备配置 EAP-TLS 策略。第三，将您的基础设施身份验证策略与最终用户身份验证策略分开 - 它们的目的不同，应该独立管理。 如果您想深入了解 Purple 如何与 Cisco Meraki 及其他硬件供应商集成，为访客、员工和居民提供基于身份的 WiFi 网络细分，请访问 purple.ai 或阅读本集下方链接的相关指南。 感谢收听。我们在下一次简报中再见。 --- 脚本结束