Projekt eduroam. Tomasz Wolniewicz. UCI UMK w Toruniu

Transkrypt

1 Projekt eduroam Tomasz Wolniewicz UCI UMK w Toruniu Seminarium NASK

2 Włączam urządzenie i jestem w sieci Pracownik i student instytucji biorącej udział w eduroam uzyska dostęp do sieci na terenie dowolnej innej takiej instytucji niepotrzebna konfiguracja niepotrzebny kontakt z lokalnym administratorem Zasada pełnej wzajemności instytucji uczestników Pełna poufność danych Bezpieczeństwo użytkowników pewna sieć szyfrowana transmisja Bezpieczeństwo instytucji udostępniających sieć uwierzytelnieni użytkownicy odpowiedzialność użytkownika za jego działania Seminarium NASK Tomasz Wolniewicz UCI UMK 2

3 Europa i szerzej Inicjatywa Surfnet (holenderskiej sieci akademickiej) (2003 r) Połączenie kilku krajowych inicjatyw roamingowych (Holandia, Wielka Brytania, Szwajcaria, Chorwacja) Rozwój w ramach TERENA (Task Force Mobility) Dołączenie Australli, Singapuru, Tajwanu, Chin, Japonii Prace w USA Rozwój w ramach projektu GEANT2 (Joint Research Activity 2) Powołanie Service Activity 5 Polska 2004 uruchomiony serwer krajowy na UMK i serwer uczelniany 2005 pierwsza sieć w ramach eduroam (UMK) początek 2006 seminarium eduroam w Toruniu koniec 2006 ponad 10 polskich instytucji w eduroam 2007 temat mobilnego dostępu wpisany do Programu Rozwoju Infrastruktury Informatycznej Nauki Seminarium NASK Tomasz Wolniewicz UCI UMK 3

4 Seminarium NASK Tomasz Wolniewicz UCI UMK 4

5 Suplikant lub Pracownicy jednostki serwer uwierzytelniający UMK Internet Pracownicy UMK Studenci Goście Seminarium NASK pomysł zaczerpnięty z surfnet.nl Tomasz Wolniewicz UCI UMK 5

6 Pracownicy jednostki serwer uwierzytelniający UMK Pracownicy UMK Studenci Goście Internet serwer pośredniczący Seminarium NASK pomysł zaczerpnięty z surfnet.nl Tomasz Wolniewicz UCI UMK 6

7 Formalny koordynator PCSS Poznań (jako operator sieci PIONIER) Operator Uczelniane Centrum Informatyczne UMK Strona projektu: materiały z seminarium z 2006 r dostęp do listy dyskusyjnej dostęp do materiałów zgromadzonych w systemie Moodle informacje dla administratorów Informacje dla użytkowników Strona UMK: wyniki testów kart bezprzewodowych szczegółowe instrukcje instalacyjne Kontakt Tomasz Wolniewicz (twoln@umk.pl) Seminarium NASK Tomasz Wolniewicz UCI UMK 7

8 Seminarium NASK Tomasz Wolniewicz UCI UMK 8

9 1. Obserwatorium Astrogeodynamiczne w Borowcu 2. PCSS Poznań 3. Politechnika Częstochowska 4. Politechnika Gdańska 5. Politechnika Krakowska 6. Politechnika Łódzka 7. Politechnika Śląska 8. Polsko Japońska Wyższa Szkoła Technik Komputerowych (Warszawa, Bytom) 9. Uniwersytet A. Mickiewicza 10. Uniwersytet Łódzki 11. Uniwersytet M. Kopernika (Toruń, Grudziądz) 12. Uniwersytet Warszawski 13. Uniwersytet Zielonogórski 14. WCSS Wrocław 15. Uniwersytet Gdański 16. Uniwersytet Opolski 17. Uniwersytet Warmińsko Mazurski Seminarium NASK Tomasz Wolniewicz UCI UMK 9

10 Decyzja o budowie ogólnouczelnianej sieci bezprzewodowej Wniosek o dofinansowanie w ramach LAN Założenia techniczne sieć przeznaczona dla wszystkich pracowników studentów konieczność zabezpieczenia sieci przed nieuprawnionym dostępem możliwość rozdziału grup użytkowników do różnych VLAN ów możliwość obsługi konferencji (na wydzielonym SSID) Seminarium NASK Tomasz Wolniewicz UCI UMK 10

11 Wyniki analizy Ochrona dostępu oparta o mechanizmy wspólnego klucza jest niemożliwa w takiej skali Logowanie do sieci powinno bazować na tym samym identyfikatorze i haśle, co logowanie do konta Logowanie przez interfejs WWW naraża dane użytkownika na wykradzenie (podstawienie fałszywej strony logowania na fałszywym access poincie) Jedynym mechanizmem zapewniającym powszechny, bezpieczny, kontrolowany dostęp jest 802.1x Realizacja Faza I sieć ponad 50 indywidualnych AP 802.1x + dynamiczny WEP Połączenie z eduroam Faza II przejście na WPA/TKIP Faza III połączenie AP z kontrolerem Seminarium NASK Tomasz Wolniewicz UCI UMK 11

12 Sieć uczelniana jest wyjątkowym polem doświadczalnym wyniki laboratoryjnych testów sprzętu nie przenoszą się na sieć produkcyjną System instrukcji oraz przygotowanych pakietów oprogramowania pozwala na samodzielną konfigurację nawet mało doświadczonym użytkownikom problemy z wyłącznikiem karty sieciowej problemy z oprogramowaniem firewall problemy ze sterownikami pod Windows Vista mnogość urządzeń klienckich palmtopy, telefony z WiFi Uruchomienie sieci bezprzewodowej napędza popyt w ciągu pierwszych 6 tygodni roku akademickiego 2007/8 w sieci zarejestrowało się 500 nowych użytkowników Warto dostosować system uwierzytelniania do potrzeb użytkownika pracownicy UMK EAP TLS (certyfikaty), ew. PEAP studenci UMK EAP TTLS, PEAP Pojawiają się dodatkowe grupy użytkowników, których można obsłygiwać tylko lokalnie (np. absolwenci UMK) Seminarium NASK Tomasz Wolniewicz UCI UMK 12

13 Powinniśmy mieć sieć bezprzewodową spełniającą warunki: uwierzytelnianie 802.1x możliwość rozdzielenia grup użytkowników Połączenie do eduroam wymaga: utworzenia połączenia między lokalnym serwerem Radius a serwerem wyższego poziomu zaakceptowania zasad (polityki eduroam) SSID eduroam uruchomienie informacyjnej strony WWW przyjmowanie gości uwierzytelnionych przez strukturę eduroam przechowywanie logów uwierzytelnień i udostępnienie ich na żądanie uprawnionym organom ścigania podpisanie umowy o przestrzeganiu zasad eduroam z PCSS Seminarium NASK Tomasz Wolniewicz UCI UMK 13

14 Sieć zbudowana w oparciu o WPA Enterprise jest najlepszym rozwiązaniem Podłączenie do eduroam nie stanowi dodatkowego obciążenia Nasi użytkownicy uzyskują dostęp do sieci we wszystkich lokalizacjach eduroam Im więcej tym weselej eduroam ma sens jeżeli jest powszechny eduroam już jest powszechny na europejskich uczelniach wielu krajów Seminarium NASK Tomasz Wolniewicz UCI UMK 14

15 Przeczytać założenia na stronie strona będzie intensywnie rozwijana Skontaktować się bezpośrednio ze mną w przyszłości system kantaktów zostanie zregionalizowany Uruchomić serwer Radius Pomagamy!!! Uruchomić przynajmniej jeden punkt dostępu gościnnego Podłączyć serwer Radius do struktury ogólnopolskiej Seminarium NASK Tomasz Wolniewicz UCI UMK 15