Projekt. Systemu Bezprzewodowej Sieci Komputerowej. Wykonana dla: Uniwersytet Ekonomiczny w Poznaniu

Transkrypt

1 Projekt Systemu Bezprzewodowej Sieci Komputerowej Wykonana dla: Uniwersytet Ekonomiczny w Poznaniu Dokumentacja do projektu nr przygotowana przez: Poznań, dnia Maciej Kasiński maciej.kasinski@xcomp.pl Tel Aktualizacja Poznań, przez Przemysław Trochowski, CI UEP Xcomp spółka z ograniczoną odpowiedzialnością sp. k. (dawniej: X-comp sp. z o.o.) ul. Tama Pomorzańska Szczecin, skr. Poczt KRS: Sąd Rejonowy Szczecin-Centrum XIII Wydział Gospodarczy KRS NIP: REGON: Biuro Handlowe Szczecin: ul. Arkońska Szczecin tel fax biuro@xcomp.pl Jesteśmy certyfikowani według wymagań normy ISO 9001:2008 i 27001:2007. Biuro Handlowe Poznań: ul. Przemysłowa Poznań tel fax poznan@xcomp.pl

2 Spis treści O firmie Xcomp... 4 Założenia techniczne projektu... 5 Topologia sieci bezprzewodowej WLAN... 6 Koncepcja funkcjonowania sieci WLAN... 7 Koncepcja funkcjonowania wysokiej dostępności usługi sieci WLAN... 8 Koncepcja integracji sieci WLAN z uczelnianą siecią LAN i siecią Internet... 9 Koncepcja polityki bezpieczeństwa Końcowy raport z przeprowadzonych pomiarów (Site Survey) Docelowa ilość i modele urządzeń sieciowych oraz ilość licencji Propozycja nazewnictwa urządzeń, systemów, obiektów Lista funkcjonalności i technologii planowanych do wdrożenia Elementy konfiguracji systemu (propozycje konfiguracji sieci) Serwery Etapy wdrożenia Zadania w I Etapie wdrożenia SBSK Harmonogram I etapu wdrożenia Zadania II i III etapu wdrożenia Strona 2

3 Strona 3

4 O firmie Xcomp Firma Xcomp spółka z ograniczoną odpowiedzialnością sp. k. powstała w 1999 roku. Dewizą firmy jest oferowanie Klientom kompleksowej obsługi IT oraz sprzętu i programowania najwyższej klasy. Postawiliśmy na wiedzę i solidność w biznesie. Wraz z rozwojem firmy prowadzimy intensywne szkolenia wszystkich pracowników starając się jednocześnie stworzyć warunki pracy gwarantujące, iż wyszkoleni pracownicy zostaną w szeregach naszej firmy. Ciągłe wspólne starania owocują poszerzeniem gamy oferowanych produktów i usług tworząc stabilną i coraz silniejszą firmę. Obecnie jesteśmy certyfikowanymi partnerami największych światowych producentów sprzętu i oprogramowania. Nasza działalność skupiona jest w czterech dziedzinach IT: Dostawy sprzętu i oprogramowania - poczynając od komputerów klasy PC kończąc na dużych rozwiązaniach pamięci masowych z wykorzystaniem najnowocześniejszego sprzętu. Zabezpieczenie danych - od profilaktyki związanej z analizą zasobów, kompleksowych rozwiązań archiwizacji danych, wdrażania systemów antywirusowych, firewall-i, systemów zabezpieczania zasilania i awaryjnego podtrzymywania po procedury bezpieczeństwa dostosowane do indywidualnych potrzeb każdego klienta. Serwis - rozumiany jako zapewnienie ciągłości działania naszych klientów, poprzez stosowanie sprzętu zastępczego na czas naprawy, 24h dostęp do naszych serwisantów, po odzyskiwanie danych z uszkodzonych nośników. Outsourcing usług informatycznych oferowanie klientom kompleksowej obsługi informatycznej od małych rozwiązań po bardzo skomplikowane systemy łączących w sobie informatykę i telekomunikację. Jesteśmy certyfikowanym partnerem: Microsoft, Hewlett-Packard, F-Secure, Aruba Networks, Fortinet, DELL, VMware, Actidata, EMC, Websense Pozostając w stałym kontakcie z nabywcami naszych produktów, zapewniamy pełne wsparcie techniczne również po zakończeniu prac nad konkretnym projektem. Uznajemy, iż cele wyznaczane są przez naszych Klientów, a my dostarczamy metody ich osiągnięcia. Właściwy dobór środków, koncepcje ich wykorzystania oraz organizację traktujemy za każdym razem jak wyzwanie. Wiemy, że nasze umiejętności i podejście zapewniły nam grono wielu zadowolonych klientów. Nasza firma 27 czerwca 2003 roku otrzymała certyfikat programu Solidny Partner, potwierdzający rzetelność i odpowiedzialność w biznesie. W 2010 roku firma Xcomp spółka z ograniczoną odpowiedzialnością sp. k. rozszerzyła zasięg swojej działalności otwierając oddziały w Wielkopolsce oraz Małopolsce. Posiadamy certyfikat Systemu Zarządzania Jakością ISO 9001:2008 i Bezpieczeństwem Informacji ISO 27001:2007. Strona 4

5 Założenia techniczne projektu Na potrzeby projektu system zrealizowany będzie w oparciu o modele kontrolerów - OmniAccess OAW-4604 i OAW4504, kontroler OAW4604 jest w stanie obsłużyć 64 punkty dostępowe, natomiast OAW punkty dostępowe. Wykorzystane zostaną punkty dostępowe pracujące w standardzie n wyposażone w dwa moduły radiowe obsługujące tryb MIMO 3x3 (model AP125), oraz punkty dostępowe wyposażone w pojedynczy moduł radiowy obsługujących tryb MIMO 2x2 (model AP92). Docelowo sieć bezprzewodowa ma objąć zasięgiem wszystkie pomieszczenia Uniwersytetu Ekonomicznego zapewniając sygnał nie gorszy niż -75dBm, co pozwoli na zestawienie stabilnego połączenia z największą możliwą prędkością. Kontrolery OmniAccess OAW-4604, będące głównym punktem infrastruktury zostaną połączone w klaster niezawodnościowy. Strona 5

6 Topologia sieci bezprzewodowej WLAN Głównym punktem sieci bezprzewodowej jest kontroler. Wyróżnia się dwa rodzaje kontrolerów: -master pierwszy punkt terminacji połączenia punktu dostępowego; konfiguracja sieci bezprzewodowych i monitorowanie całej infrastruktury. Po zestawieniu połączenia punktu dostępowego z kontrolerem master, zostaje wskazany kontroler local, do którego terminowane jest połączenie. Kontroler master może również pełnić funkcję ostatecznego punktu terminacji połączenia. -local finalny punkt terminacji połączenia punktu dostępowego punkt dostępowy po otrzymaniu adresu kontrolera local zestawia z nim połączenie. Od tej chwili transmisja z punktu dostępowego jest terminowana na kontrolerze local. Przewiduje się dwa kontrolery (model OAW-4604) w Budynku Głównym. Kontrolery będą połączone w klaster niezawodnościowy. W pozostałych lokalizacjach przewiduje się kolejno: -kontrolera OAW-4504 w Budynku Głównym jako kontrolera redundantnego dla pozostałych lokalizacji -kontrolera OAW-4504 w budynku Banku -kontrolera OAW-4504 w budynku Towarowa -kontrolera OAW-4504 w budynku Taczaka -3 kontrolerów OAW-4504 w budynku Collegium Altum Punkty dostępowe zostaną podłączone do kontrolerów za pośrednictwem switchy wyposażonych w porty pracujące w standardzie PoE/PoE+ Strona 6

7 Koncepcja funkcjonowania sieci WLAN Korzystając z możliwości rozgłaszania wielu SSID na pojedynczym punkcie dostępowym zostaną uruchomione 3 sieci: -UE_Hotspot sieć bez zabezpieczeń, autoryzacja użytkowników przy wykorzystaniu Captive Portal. Użytkownik po podłączeniu się do sieci, będzie przkierowywany na Captive Portal przy próbie użycia przeglądarki internetowej. -UE_Hotspot_SEC sieć zabezpieczona protokołem WPA2-Enterprise w oparciu o hasła lub certyfikaty -EDUROAM sieć rozgłaszana w ramach europejskiego projektu EDUROAM. Każda z sieci przesyłana będzie w ramach odrębnego VLANa. Możliwość komunikowania się miedzy użytkownikami w ramach pojedynczej sieci zostanie zablokowana. Ruch z sieci bezprzewodowej będzie przesyłany w tunelu GRE między punktem dostępowym a kontrolerem. Za kontrolerem ruch zostanie przekazany do firewalla, który zarazem będzie pełnił funkcję routera. Zainstalowanie punktów dostępowych wedle projektu pozwoli na wykorzystanie funkcjonalności lokalizacji użytkowników z wykorzystaniem posiadanych planów za pomocą triangulacji. Funkcjonalność ARM (Adaptive Radio Management) zostanie wykorzystana do optymalnego rozłożenia kanałów transmisyjnych pomiędzy punktami dostępowymi. Dodatkowo będzie przeciwdziałać zakłóceniom radiowym oraz zakłóceniom wywołanym przez inne urządzenia WLAN. Funkcjonalność ARM we współpracy z oprogramowaniem AirManager będzie również realizował regulację mocy nadajników w celu optymalizacji zasięgu i pojemności systemu, detekcję czarnych dziur, dynamiczne rozłożenie klientów pomiędzy sąsiednie AP. Na etapie wdrożenia i konfiguracji planuje się podzielenie punktów dostępowych na grupy: -BGSK -Altum -Taczaka -Towarowa -Bank System złożony z 2 kontrolerów OAW-4604 oraz 7 kontrolerów OAW-4504 będzie w stanie obsłużyć do klientów. Ilość użytkowników na pojedynczy moduł radiowy nie powinna przekraczać 64 urządzeń (zaleca się do 50) należy również pamiętać o tym, że wraz ze wzrostem ilości użytkowników podłączonych do pojedynczego AP maleje dostępna dla nich przepustowość. Ponieważ kontrolery będą usytuowane w węzłach poszczególnych lokalizacji ruch pomiędzy punktami dostępowymi a kontrolerami będzie realizowany w trybie tunel. Dla zapewnienia lepszej jakości połączenia można wykorzystać mechanizmy QoS, które pozwalają na określenie priorytetów przepustowości dla użytkowników. Strona 7

8 Koncepcja funkcjonowania wysokiej dostępności usługi sieci WLAN Funkcję kontrolera Master pełnić będą dwa zakupione kontrolery OAW-4604, które zostaną połączone w klaster niezawodnościowy z wykorzystaniem protokołu VRRP. Wszystkie ustawienia będą synchronizowane między kontrolerami z wyłączeniem ustawień warstwy II, która jest indywidualna dla każdego z kontrolerów. Użycie protokołu VRRP powoduje, że od strony infrastruktury sieci bezprzewodowej (dokładnie rzecz biorąc dla punktów dostępowych), kontrolery widziane są jako pojedyncze urządzenie. Przy rozbudowie systemu o kolejne kontrolery pracujące w trybie kontrolera local, redundancję zapewniać będzie nadmiarowy kontroler znajdujący się w budynku głównym, który zostanie wskazany jako kontroler zapasowych w przypadku awarii jednego z kontrolerów lokalnych punkty dostępowe podłączone do tego kontrolera przełączą się na kontroler zapasowy. Zakłada się możliwość redundancji obszaru pokrywanego przez punkty dostępowe przy użyciu funkcjonalności ARM (Adaptive Radio Management) zostanie to zweryfikowane i uwzględnione w dokumentacji powykonawczej. Oprogramowanie AirManager stanowi centralny punkt monitorowania i zarządzania całą infrastrukturą. Jest również systemem do utrzymywania logów i statystyk. Przerwa w jego działaniu nie spowoduje utraty funkcjonalności całej infrastruktury istniejące połączenia bezprzewodowe zostaną utrzymane oraz będzie możliwość nawiązywania nowych połączeń. Utracona zostanie jedyna możliwość monitorowania i wprowadzania zmian w konfiguracji infrastruktury. Zarządzanie i monitorowanie w podstawowym stopniu można uzyskać wyłączając na kontrolerach master zarządzanie z poziomu AirManagera. Strona 8

9 Koncepcja integracji sieci WLAN z uczelnianą siecią LAN i siecią Internet Kontrolery zostaną zainstalowane w węzłach wskazanych przez Centrum Informatyki. Porty kontrolerów zostaną zagregowane i podłączone do dostępnych switchy. Pracujące porty skonfigurowane zostaną w trybie trunk. Punkty dostępowe zostaną podłączone do switchy za pomocą stworzonego na te potrzeby okablowania. Porty na switchach, do których mają zostać podłączone punkty dostępowe powinny pracować w trybie access. W porozumieniu Centrum Informatyki wskazano VLAN 104 jako połączeniowy między kontrolerami i punktami dostępowymi. Dla każdej z lokalizacji dla użytkowników końcowych z uprawnieniami typu "Student" zostanie stworzony odrębny VLAN: -Budynek Główny VLAN 360, sieć /22 -Bank VLAN 362, sieć /22 -Towarowa VLAN 363, sieć /22 -Collegium Altum + Taczaka VLAN 364, sieć /22 Dla każdej z lokalizacji dla użytkowników końcowych z uprawnieniami typu "Pracownik" zostanie stworzony odrębny VLAN: -Budynek Główny - VLAN 560, /22 -Bank VLAN 562, /22 -Towarowa - VLAN 563, /22 -Collegium Altum + Taczaka - VLAN 564, /22 Zasilanie punktów dostępowych w I etapie urządzenia zostaną podłączone do przełączników wyposażonych tylko w porty PoE, przez co AP125 uruchomiony zostanie bez radia pracującego w trybie a. W kolejnych etapach zakłada się przełączniki wyposażone w PoE+.. Strona 9

10 Koncepcja polityki bezpieczeństwa Informacje o dostępie do sieci bezprzewodowej będą osiągalne poprzez oprogramowanie Omni Vista Air Manager. Dostęp do sieci WLAN będzie ograniczony w następujący sposób: -UE_Hotspot sieć otwarta, uwierzytelnianie z wykorzystaniem Captive Portal. (dns, http, https) -UE_Hotspot_SEC transmisja szyfrowana z wykorzystaniem protokołu WPA2-Enterprise (AES) w oparciu o hasła lub certyfikaty -EDUROAM sieć zabezpieczona w mechanizm kontroli dostępu 802.1x we współpracy z serwerem RADIUS skonfigurowanych wedle wytycznych koordynatora regionalnego programu EDUROAM (załącznik nr 2). Na potrzeby EDUROAM sugeruje się stworzenie oddzielnej maszyny wirtualnej, na której zostanie zainstalowany serwer RADIUS współpracujący z siecią EDUROAM. Dostęp do usług zostanie ograniczona z wykorzystaniem firewalla będącego w posiadaniu Centrum Informatyki. Na potrzeby autoryzacji użytkowników zostanie wykorzystana istniejąca baza użytkowników, z którą należy zintegrować infrastrukturę. Urządzenie ma możliwość autoryzacji w oparciu o serwer RADIUS bądź LDAP sugeruje się wykorzystanie RADIUSa ze względu na wykorzystanie tego protokołu również w usłudze EDUROAM. Do zapewnienia bezpieczeństwa sieci bezprzewodowej zostanie również wykorzystana funkcjonalność WIP Wireless Intrusion Protection Docelowo punkty dostępowe powinny być autoryzowane na kontrolerze z wykorzystaniem funkcji CPsec. Logowanie administratorów do elementów systemu odbywać się będzie z wykorzystaniem lokalnej bazy użytkowników. Dodatkowo możliwość logowania do urządzeń dozwolona tylko z poniższych adresów źródłowych: Konfiguracja dostępu SNMP do urządzeń. Dostęp do urządzeń poprzez SNMP tylko z adresów źródłowych: Użytkownik w systemie jest widziany jako kombinacja loginu i adresu fizycznego interfejsu sieci bezprzewodowej, dzięki czemu można śledzić zmiany adresu IP użytkownika, a użytkownikowi pozwala na przemieszczanie się w ramach infrastruktury bez potrzeby przełączania się między punktami dostępowymi w ramach tego samego SSID. System daje możliwość wymuszenia korzystania z serwera DHCP przez użytkownika końcowego od wersji firmware 6.x Strona 10

11 Autoryzacja użytkowników Jak wcześniej wspomniano do autoryzacji użytkowników można wykorzystać zarówno serwery w oparciu o protokół RADIUS jak i LDAP. Wykorzystanie protokółu RADIUS pozwala nie tylko na autentykacje ale również na autoryzację użytkowników w oparciu o zapytania i kryteria o znacznie większej złożoności, niż te które ofertuje wykorzystanie LDAPa. Dodatkową zaletą wykorzystania serwera w oparciu o RADIUS jest funkcjonalności logowania (accounting). Poniżej propozycja docelowej konfiguracji: Strona 11

12 Autoryzacja użytkowników z wykorzystaniem certyfikatów Zakłada się wykorzystanie certyfikatów służących do autoryzacji użytkowników podczas II Etapu wdrożenia SBSK. Infrastruktura PKI zbudowana w oparciu o Windows Server 2008 R2 na potrzeby generowania i obsługi certyfikatów powinna składać się z kilku elementów. Wykonawca zakłada, że każdy z wymienionych komponentów znajduje się na odrębnym systemie operacyjnym Windows Server 2008 R2 w wersji Enterprise oraz, że każdy z tych systemów jest członkiem domeny dla której usługi PKI mają być świadczone. Potrzebne komponenty: 1. Active Directory Certification Authority Root CA (offline) 2. Active Directory Certification Authority Subordinate CA (online) 3. Certification Authority Web Enrollment 4. Online Responder 5. Certificate Enrollment Web Service 6. Certificate Enrolment Policy Web Service Rola 1. instalowana jest w celu wygenerowania certyfikatu Root CA. Certyfikat ten zostanie użyty do wygenerowania certyfikatu dla serwera pełniącego rolę 2. Następnie serwer z rolą 1. Powinien zostać wyłączony i zabezpieczony. Serwer pełniący rolę 2. będzie serwerem generującym i zarządzającym wystawianymi certyfikatami. Serwer pełniący rolę 3. Służy do udostępniania prostego interfejsu www na którym użytkownicy mogą zgłaszać żądanie wygenerowania certyfikatu. Dla użytkowników oraz komputerów będących członkami Active Directory certyfikaty mogą być wygenerowane automatycznie. Rola 4. umożliwia wykorzystanie funkcjonalności onlinowego sprawdzania statusu certyfikatu. Funkcja ta realizowana jest w oparciu o protokół http i dla komputerów z poza sieci lokalnej wymagane jest by usługa ta była dostępna z zewnątrz. Role 5. oraz 6. umożliwiają generowanie certyfikatów komputerom nie będących członkami domeny oraz komputerom będącymi członkami domeny ale będącymi poza siecią lokalna. Ze względu na to, iż wersja Standard systemu Windows Server 2008 R2 nie obsługuje niektórych funkcjonalności przedstawionych powyżej należy wykorzystać wersję Windows Server 2008 R2 Enterprise. Wymagane jest by komponent 1. zainstalowany był na osobnym systemie operacyjnym (zostanie on wyłączony). Komponent 2. i 3. można zainstalować na jednym systemie. Komponent 4 powinien być zainstalowany na osobnym systemie operacyjnym. Nie zalecane jest również instalowanie komponentów 5. i 6. na tym samym systemie operacyjnym. Podsumowując do realizacji zadania potrzebujemy pięciu licencji Windows Server 2008 R2 Enterprise. Dodatkowo potrzebny będzie jeden serwer RADIUS. Rolę tę pełnił będzie Network Policy Server, który najlepiej zainstalować na osobnym serwerze. Aby, jeszcze podnieść bezpieczeństwo i zawodność systemu można zdublować Subordinate CA, takie podejście sprawia, że SubCA może wystawiać Strona 12

13 certyfikaty inne dla pracowników uniwersytetu oraz inne dla studentów. Na wypadek kompromitacji CA mniejsza ilość użytkowników zostanie tym dotknięta. Jeżeli wdrożenie certyfikatów byłoby realizowane na fizycznych serwerach, potrzebne byłoby 6 (7 w przypadku dublowania usługi SubCA) licencji Windows Server 2008R2 Enterprise. Centrum Informatyczne Uniwersytetu Ekonomicznego w Poznaniu w swojej infrastrukturze serwerowej wykorzystuje wirtualizację opartą o system VMware, którą będzie można wykorzystać na cel wdrożenie certyfikatów. Zgodnie z programem licencyjnym Microsoft, system Windows Server 2008R2 w wersji Enterprise pozwala na zalicencjonowanie jednego serwera fizycznego lub czterech maszyn wirtualnych znajdujących się na tym samym host cie fizycznym. W momencie wdrażania certyfikatów, zamawiający będzie posiadał po 2 licencje na każdy serwer fizyczny, dzięki czemu będzie można zrealizować usługi certyfikatów bez zakupu dodatkowych licencji Microsoft Windows Server 2008R2. Strona 13

14 Końcowy raport z przeprowadzonych pomiarów (Site Survey) Raport końcowy z przeprowadzonych pomiarów dostępny jest w załączniku 1 do niniejszej dokumentacji. Raport zawiera: -plany wraz ze wskazaniem sugerowanej lokalizacji punktów dostępowych -mapy zasięgów wg prędkości transmisji danych -graficzną prezentację SNR Sposób wykonywania pomiarów: - pomiary dokonywane były przy pomocy telefonów komórkowych typu smartphone. Założeniem projektanta było, aby sieć bezprzewodowa działała na urządzeniach o najsłabszych nadajnikach WLAN. Podczas pomiarów wykorzystano trzy typy smartphonów: - Samsung Galaxy S i Samusng Galaxy S Plus i Samsung Galaxy Nexus i9250 Pod uwagę brane były najniższe osiągnięte wyniki. Dzięki czemu, nawet na najsłabszych urządzeniach będzie możliwe zestawienie zadowalającego połączenia. Strona 14

15 Docelowa ilość i modele urządzeń sieciowych oraz ilość licencji Docelowa ilość kontrolerów Budynek Bank Towarowa Taczaka Altum Główny OAW OAW Docelowa ilość punktów dostępowych i licencji Budynek Bank Towaro Taczaka Altum Serwis RAZEM Główny wa AP AP Razem W kolejnych etapach można rozważać wybór punktów dostępowych AP134, AP135.- dla lokalizacji gdzie wymagana jest największa przepustowość oraz AP104 i AP105 dla lokalizacji, gdzie liczy się estetyka. Aktualne port folio producenta dostępne na stronie: Informację na temat omawianych punktów dostępowych: OAW-AP135 OAW-AP134 OAW-AP105 OmniAccess AP135 Wireless Access Point, abgn, 3x3:3, dual radio, integrated antennas. OmniAccess AP134 Wireless Access Point, abgn, 3x3:3, dual radio, external antenna connectors. OmniAccess AP105 wireless access point. Dual radio IEEE a/b/g/n (draft 2.0) wireless access point with support for B/G/N and A/N operation, dual-band integral antenna, 1 x 10/100/1000Base-T (RJ-45) Ethernet Interface(Supports 802.3af Power over E thernet), 1 x 12V DC power interface. AC power adapter kit (OAW-AP-AC-UN) sold separately. Strona 15

16 Propozycja nazewnictwa urządzeń, systemów, obiektów Centrum informatyki Uniwersytetu Ekonomicznego w Poznaniu zasugerowało nazewnictwo punktów dostępowych według wzoru: Gdzie: Z - oznaczenia węzła AP - skrót acces point XX - numer pomieszczenia Y - numer przyłącza AP w pomieszczeniu Z AP-XX-Y Przykład: A-AP Gdzie: A Węzeł A AP skrót access point 002 pokój numer jeden access point w pomieszczeniu Propozycja dla członu budynek: - BGS - Bank - Towar - Altum - SPNJO Propozycje dla segmentu piętro - PI - PA - P1 - P2 - P3 W dokumentacji powykonawczej znajdzie się tabela ze spisem urządzeń wedle poniższego przykładu: Tabela Nazewnictwo urządzeń. L.p. Nazwa Hosta Urządzenie Lokalizacja Adres IP Nazewnictwo dla kontrolerów: VRRP A-OAW A-OAW A1-OAW B-OAW C-OAW Strona 16

17 D02-OAW D06-OAW D12-OAW E-OAW Nazewnictwo dla serwerów: AirManager radius1.ue.poznan.pl nps01.eu.poznan Strona 17

18 Lista funkcjonalności i technologii planowanych do wdrożenia sieć WLAN będzie obsługiwać klientów bezprzewodowych pracujących w paśmie częstotliwości 2,4GHz wg standardu IEEE n; infrastruktura WLAN wspierać będzie komunikację z klientami starszych generacji, pracującymi wg standardów b/g, szyfrowanie transmisji sieci WLAN, korzystanie z usług sieci przewodowej przez klientów otwartej sieci WLAN będzie wymagało uwierzytelnienia wdrożenie usługi CaptivePortal (uwierzytelnianie przez stronę WWW), uwierzytelnianie dostępu do usług sieci WLAN (WPA2, 802.1x) uwierzytelnianie w oparciu o bazę użytkowników na MS ActiveDirectory, uwierzytelnianie w oparciu o protokół RADIUS, współpraca z siecią EduRoam,, uruchomienie sieci WLAN zabezpieczonej zgodnie z WPA2 wraz z uwierzytelnianiem 802.1x w oparciu o bazę użytkowników na MS ActiveDirectory, przy użyciu poświadczeń: w postaci nazwa użytkownika + hasło oraz przy użyciu certyfikatów cyfrowych (PKI). wizualizacja rozmieszczenia urządzeń AP na planach budynków mapy zasięgów wg prędkości transmisji danych (mapy aktualizowane w czasie rzeczywistym) mechanizmy przeciwdziałające zakłóceniom radiowym oraz przeciwdziałające zakłóceniom wywoływanym przez inne urządzenia WLAN usługi lokalizacyjne klientów WLAN oraz obcych AP i ich klientów zabezpieczenia WIDS/WIPS, powiadamianie o zdarzeniach w sieci WLAN za pomocą komunikatów syslog oraz za pomocą a, zapewnienie wysokiej dostępności usług sieci WLAN, poprzez zastosowanie redundancji kontrolerów WLAN, tak żę awaria jednego kontrolera nie wpływała na funkcjonowanie całego systemu. Strona 18

19 Elementy konfiguracji systemu (propozycje konfiguracji sieci) VLAN dla komunikacji kontrolera z punktami dostępowymi 104 Adres sieci w VLANie /16 Adresy dla kontrolerów [10-15] Adresy dla punktów dostępowych [20-254] Serwer DHCP Serwery DNS , Serwer NTP Serwer syslog Serwer SNMP VLANy dla użytkowników: -Budynek Główny VLAN 360, sieć /22 -Bank VLAN 362, sieć /22 -Towarowa VLAN 363, sieć /22 -Collegium Altum + Taczaka VLAN 364, sieć /22 VLAN dla pracowników: -Budynek Główny - VLAN 560, /22 -Bank VLAN 562, /22 -Towarowa - VLAN 563, /22 -Collegium Altum + Taczaka - VLAN 564, /22 Adresy bramy w każdej sieci posiada w ostatnim oktecie wartość 5. Adresy przydzielane dla klientów będą począwszy od adresu 20 w ostatnim oktecie. Przy konfiguracji serwera DHCP należy pamiętać o ustawienie zakresu przydzielanych adresów w sposób niepokrywający się z adresem kontrolera. Propozycja konfiguracji dla firewalla: Od kontrolera: DNS SYSLOG RADIUS LDAP NTP SMTP W obie strony: SNMP SSH TELNET Do kontrolera: SSH HTTPS Strona 19

20 Serwery Dla uruchomienia pełnej funkcjonalności infrastruktury zamawiający powinien dostarczyć dwa serwery (maszyny wirtualne) o następujących minimalnych parametrach: Na potrzeby systemu do zarządzania i monitorowania: Procesor odpowiadający wydajnością Quad Core Intel Xeon X3460 (4 rdzenie) Pamięć operacyjną 8 GB RAM Przestrzeń dyskowa 50 GB 2 interfejsy sieciowe 32 bitowa platforma Na potrzeby współpracy z EDUROAMem: Procesor 2 GHz (1 rdzeń) Pamięć operacyjna 2 GB Przestrzeń dyskowa 10 GB 2 interfejsy sieciowe 32 bitowa platforma System operacyjny: Microsift Windows Server 2008R2 Wytyczne odnośnie konfiguracji serwera RADIUS do współpracy z systemem EDUROAM znajdują się w załączniku nr 2. Na następnej stronie znajduje się schemat wymiany informacji potrzebnych do uwierzytelnienia użytkowników zdalnych w ramach współpracy serwerów autoryzacji EDUROAM: Strona 20

21 n e t w o r k s P OW E R S TA TUS LNK ACT LNK ACT 1000 LNK ACT LNK ACT 1000 LNK ACT LNK ACT 1000 LNK ACT LNK ACT 1000 SE RIA L Użytkownik lokalny Użytkownik zdalny 3400 radius.ue.poznan.pl radius1poznan.man.poznan.pl radius2poznan.man.poznan.pl proxy.lokalizacja.zdalna serwer.radius.lokalizacja.zdalna Strona 21

22 Etapy wdrożenia W I etapie obszarem zostanie pokryty Budynek Główny wraz ze skrzydłem. W II etapie zostaną w pełni wyposażone budynki BANKu, Towarowej. Ostatni etap przewiduje zapewnienie pełnego pokrycia dla budynku Altum i Taczaka. Etap I Punkty dostępowe: AP 92 AP 125 Budynek Główny BANK 12 - Towarowa 3 - Altum II i III piętro 2 - SUMA Kontrolery: OAW 4604 OAW 4504 Budynek Główny 2 - BANK - - Towarowa - - Altum II i III piętro - - SUMA 2 - Potrzeby zakupowe I etapu Lp Pozycja kat. Lokalizacja Ilość 1 Punkty dostępowe 1 2 Alcatel-Lucent AP92 OAW-IAP92 Alcatel-Lucent AP125 OAW-AP125 2 Uchwyty montażowe do AP OmniAccess Instant AP92 Wireless Access Point, abgn, dual-band, single radio, antenna connectors. Unrestricted Regulatory Doma in. These products should be considered as `Rest of World products and MUST NOT be used for deployments in the United States, Japan or Israel. OmniAccess AP125 wireless access point. OAW- AP125 IEEE n (draft 2.0) wireless access point with support for selectable B/G/N and A/N operation, 3x3 MIMO dualband antenna, 2 x 10/100/1000Base-T (RJ-45) Ethernet Interface (Supports high Strona 22

23 1 OAW-AP90-MNT 2 OAW-AP120-MNT 3 Kontrolery WLAN Alcatel-Lucent 4604 OAW EU Licencje do oprogramowania zarządzającego Paczka 100 urządzeń- OV3600-AM100 OmniAcess AP92 Series Access Point Wall / Ceiling Mounting Kit OmniAccess AP12x series wireless access point wall / ceiling mounting kit. Includes: 1 x wall mounting cradle complete with security plate and anti-tamper screws, 1 x 15/16 to 9/16 recessed ceiling tile rail adapter and 1 x 15/16 to 15/16 recessed ceiling OAW EU-OmniAccess x 10/100/1000BASE-T (RJ-45) or 1000BASE-X (SFP) dual personality ports (no AP license included). Ca n support up to 64 APs (additional AP licenses required). OmniVista 3600 Air Manager Software suite for a single server managing up to 100 devices (controllers, wireless access points, switc hes, etc.). Includes OmniVista 3600 core platform, visualization and mapping software module (VisualRF), and Rogue Etap II Punkty dostępowe: AP 92 AP 125 Budynek Główny - 4 BANK 4 14 Towarowa 26 6 Altum - parter III piętro 8 16 Taczaka 2 0 Serwisowy 0 1 SUMA Kontrolery: OAW OAW BANK - 1 Towarowa - 1 Altum - parter III piętro - 1 SUMA - 3 Strona 23

24 Potrzeby zakupowe II etapu Lp Pozycja kat. Opis Ilość 1 Punkty dostępowe 1 2 Alcatel-Lucent AP92 OAW-IAP92 Alcatel-Lucent AP125 OAW-AP125 2 Uchwyty montażowe do AP 1 OAW-AP90-MNT 2 OAW-AP120-MNT 3 Kontrolery WLAN Alcatel-Lucent 4504 OAW EU Licencje do oprogramowania zarządzającego Paczka 50 urządzeń- OV3600-AM50 5 Licencje Licencje AP paczka 32 AP OAW-AP-LAP32 Licencje WIP paczka 32 AP OAW-AP-WIP32 Licencje PEF NG paczka 32 AP OAW-AP-PEFNG32 OmniAccess Instant AP92 Wireless Access Point, abgn, dual-band, single radio, antenna connectors. Unrestricted Regulatory Doma in. These products should be considered as `Rest of World products and MUST NOT be used for deployments in the United States, Japan or Israel. OmniAccess AP125 wireless access point. OAW- AP125 IEEE n (draft 2.0) wireless access point with support for selectable B/G/N and A/N operation, 3x3 MIMO dual-band antenna, 2 x 10/100/1000Base-T (RJ-45) Ethernet Interface (Supports high OmniAcess AP92 Series Access Point Wall / Ceiling Mounting Kit OmniAccess AP12x series wireless access point wall / ceiling mounting kit. Includes: 1 x wall mounting cradle complete with security plate and anti-tamper screws, 1 x 15/16 to 9/16 recessed ceiling tile rail adapter and 1 x 15/16 to 15/16 recessed ceiling OAW EU-OmniAccess x 10/100/1000BASE-T (RJ-45) or 1000BASE-X (SFP) dual personality ports (no AP license included). Ca n support up to 32 APs (additional AP licenses required). OmniVista 3600 Air Manager Software suite for a single server managing up to 100 devices (controllers, wireless access points, switc hes, etc.). Includes OmniVista 3600 core platform, visualization and mapping software module (VisualRF), and Rogue... Access Point License (32 Access Point License) Wireless Intrusion Protection Module License (32 AP Support) Policy Enforcement Firewall Module License (32 AP Support) Strona 24