Ramowy opis konfiguracji połączeń sieciowych pomiędzy dostawcami usług a PLI CBD

Transkrypt

1 Urząd Komunikacji Projekt PLI CBD Elektronicznej Faza projektu: Etap III Rodzaj dokumentu: Specyfikacja Techniczna Odpowiedzialny: UKE Data utworzenia dok.: Wersja nr: z dnia Obszar projektu: Procesy biznesowe Status dokumentu: Do implementacji Autor: T4B Spółka z o.o. Ramowy opis konfiguracji połączeń sieciowych pomiędzy dostawcami usług a PLI CBD

2 SPIS TREŚCI 1 Czynności związane z podłączeniem Operatora / Dostawcy Usług do PLI CBD Informacje związane z podłączeniem operatora Adresacja IP Konfiguracja szyfrowania IPSec Wymagania sprzętowe dla urządzeń terminujących tunele IPsec Mapa adresacji po stronie PLI CBD Mapa adresacji po stronie Operatora/Dostawcy usług /9

3 1 Czynności związane z podłączeniem Operatora / Dostawcy Usług do PLI CBD W ramach czynności związanych z podłączeniem Operatora / Dostawcy Usług posiadającego powyŝej miliona uŝytkowników, do PLI CBD muszą zostać wykonane następujące elementy: 1.1 ZłoŜenie przez Operatora / Dostawcę Usług do UKE Wniosku o podłączenie do PLI CBD (zgodnie z punktem 7 dokumentu Specyfikacja lokalizacja operatorzy. 1.2 ZłoŜenie przez Operatora / Dostawcy Usług Wniosku jest jednocześnie złoŝeniem prośby do PLI CBD o wydanie stosownego certyfikatu, niezbędnego do weryfikacji na poziomie komunikacji pomiędzy Operatorem / Dostawcą Usług a PLI CBD 1.3 Przekazanie certyfikatu przez Obsługę PLI CBD do Operatora / Dostawcy Usług 1.4 Fizyczne podłączenie lokalizacji Operatora / Dostawcy usług mającego poniŝej miliona uŝytkowników: łączy się z PLI CBD za pośrednictwem sieci Internet, niezaleŝnie do dwóch lokalizacji (adresów) PLI CBD zgodnie z zasadami określonymi dalej w niniejszym dokumencie (patrz pkt. 2 i dalej) oraz zgodnie z dokumentem Specyfikacja lokalizacja operatorzy 1.5 Przeprowadzenie testów integracyjnych i testów funkcjonalnych zgodnie ze scenariuszami testowymi związanymi z przekazywaniem danych na potrzeby lokalizacji (patrz punkt dotyczący scenariuszy testowych w dokumencie interfejsu SłuŜb) 1.6 Produkcyjne uruchomienie Operatora / Dostawcy Usług 3/9

4 2 Informacje związane z podłączeniem operatora Połączenie do systemu PLI CBD zrealizowane zostanie z wykorzystaniem dwóch tuneli IPSec, po jednym do kaŝdego z ośrodków. Tunele IPSec zestawione zostaną z wykorzystaniem interfejsów tunelowych np. interfejsy VTI na urządzeniach Cisco lub tryb route-based na urządzeniach Juniper. Zestawione zostaną 2 tunele IPSec: Tunnel 1 tunel IPSec zestawiony do lokalizacji Siemianowice Tunnel 2 tunel IPSec zestawiony do lokalizacji Borucza 3 Adresacja IP Plan adresacji IP przedstawiony został w postaci formuł arkusza kalkulacyjnego Excel, w której X oznacza kolejny numer operatora. Plan adresacji IP zakłada przydzielenie kaŝdemu operatorowi trzech podsieci: Podsieć /30 do zaadresowania tunelu IPSec: Tunnel 1 Podsieć /30 do zaadresowania tunelu IPSec: Tunnel 2 Podsieć /28 do zaadresowania adresów źródłowych po stronie operatora 3.1 Tunnel 1 Sieć połączeniowa: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)) Adres UKE: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)+1) Adres operatora: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)+2) 3.2 Tunnel 2 Sieć połączeniowa: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)+4) Adres UKE: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)+5) Adres operatora: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)+6) 3.3 Adresy źródłowe po stronie operatora =ZŁĄCZ.TEKSTY("10.";"104.";128+ZAOKR.DO.CAŁK((X -1)/16);".";( X -1)*16-256*ZAOKR.DO.CAŁK((X -1)/16)) 4/9

5 Przy realizacji połączenia do PLI CBD operator powinien uŝywać adresów źródłowych naleŝących do przydzielonej mu podsieci IP. W tym celu moŝe pojawić się konieczność zastosowania translacji adresów IP po stronie operatora. 4 Konfiguracja szyfrowania IPSec Tunele IPSec zestawione zostaną z wykorzystaniem interfejsów tunelowych np. interfejsy VTI na urządzeniach Cisco lub tryb route-based na urządzeniach Juniper. Adresacja tuneli IPSec przedstawiona została w planie adresacji IP. PoniŜej przedstawione zostały parametry tuneli IPSec: Faza 1 Authentication-method:.. Diffie-Hellman-group:.. Authentication-algorithm:. Encryption-algorithm:. Lifetime-seconds:.. Faza 2 Protocol:. Authentication-algorithm:.. Encryption-algorithm:.. Lifetime-seconds:. Adresy peerów po stronie UKE są następujące: w Siemianowicach (tunel 1) w Boruczy (tunel 2) Przez tunele IPSec osiągalne będą następujące hosty po stronie UKE: ,.27 i przez tunel ,,,,,,,,,,,,,,,7 i przez tunel 2 5 Wymagania sprzętowe dla urządzeń terminujących tunele IPsec. Urządzenia powinny umoŝliwiać zestawienie tuneli IPSec z następującymi parametrami I i II fazy: Faza 1 Authentication-method:. Diffie-Hellman-group:.. Authentication-algorithm:.. Encryption-algorithm: 5/9

6 Lifetime-seconds:. Faza 2 Protocol:. Authentication-algorithm:.. Encryption-algorithm:. Lifetime-seconds:. Urządzenia powinny wspierać zestawianie tunelu IPSec, uwierzytelnianego certyfikatami. Urządzenia powinny umoŝliwiać zestawienie dwóch tuneli w trybie route-based, tj. bez definiowania local proxy id oraz remote proxy id. Oba parametry będą miały wartość /0 a zaszyfrowanie ruchu będzie następowało po skierowaniu go na odpowiedni interfejs tunelujący z wykorzystaniem routingu statycznego. Urządzenia powinny obsługiwać mechanizm Dead Peer Detection (DPD) opisany w RFC W przypadku konieczności zastosowania translacji adresów urządzenia powinny umoŝliwiać wykonanie translacji adresów przed zaszyfrowaniem ruchu. Adresacja po obu stronach będzie bowiem narzucona przez PLICBD zgodnie z ogólnym planem adresacji przyjętym w projekcie. Przykładowymi urządzeniami spełniającymi powyŝsze załoŝenia są routery Juniper serii J (np. seria J2300 lub wyŝsza) lub routery Cisco ISR/ISR G2 (np. seria 800 lub wyŝsza) z odpowiednim oprogramowaniem. W przypadku innych producentów urządzeń umoŝliwiających realizację tuneli VPN, naleŝy zwrócić szczególną uwagę na punkty 3 oraz 4, gdyŝ jak pokazują doświadczenia wiele urządzeń ma z tym problem. Ponadto, zaleca się aby zastosowane rozwiązania były rozwiązaniami komercyjnymi, posiadającymi wsparcie producenta. W przeciwnym bowiem wypadku w sytuacji wystąpienia problemów z połączeniem (zestawieniem tunelu), nie gwarantujemy śadnego wsparcia przy ich rozwiązywaniu. 6 Mapa adresacji po stronie PLI CBD PoniŜej przedstawiono zestawienie docelowych adresów IP usług eksponowanych przez PLI CBD. Siemianowice webserwis przyjmujący zgłoszenia E112 6/9

7 webserwis przyjmujący komunikaty NP adres źródłowych wszystkich połączeń inicjowanych przez PLI CBD (dostęp do FTPS Operatora, wywoływanie webserwisów NP Operatora) adres serwera HTTP udostępniającego listy CRL z CA PLI CBD Borucza webserwis przyjmujący zgłoszenia E webserwis przyjmujący komunikaty NP adres źródłowych wszystkich połączeń inicjowanych przez PLI CBD (dostęp do FTPS Operatora, wywoływanie webserwisów NP Operatora) adres serwera HTTP udostępniającego listy CRL z CA PLI CBD Tabela adresów URL usług PLI CBD Siemianowice webserwis przyjmujący zgłoszenia E112 webserwis przyjmujący komunikaty NP (lokalizacja zapasowa) Borucza webserwis przyjmujący zgłoszenia E112 webserwis przyjmujący komunikaty NP (lokalizacja główna) 7 Mapa adresacji po stronie Operatora/Dostawcy usług PoniŜej przedstawiono zestawienie docelowych adresów eksponowanych przez Operatora/Dostawcę usług. adres źródłowy z którego naleŝy przysyłać do PLICBD komunikaty E112 =ZŁĄCZ.TEKSTY("10.";"104.";128+ZAOKR.DO.CAŁK((X -1)/16);".";( X -1)*16-256*ZAOKR.DO.CAŁK((X -1)/16)+1) (pierwszy adres w przyznanej sieci) udostępnianie i umieszczanie plików wsadowych poprzez FTPS, przyjmowanie plików E24 7/9

8 =ZŁĄCZ.TEKSTY("10.";"104.";128+ZAOKR.DO.CAŁK((X -1)/16);".";( X -1)*16-256*ZAOKR.DO.CAŁK((X -1)/16)+2) (drugi adres w sieci) adres źródłowy, z którego naleŝy przysyłać do PLICBD komunikaty NP =ZŁĄCZ.TEKSTY("10.";"104.";128+ZAOKR.DO.CAŁK((X -1)/16);".";( X -1)*16-256*ZAOKR.DO.CAŁK((X -1)/16)+3) (trzeci adres w sieci) adres źródłowy, na którym naleŝy nasłuchiwać/odbierać z PLICBD komunikaty NP =ZŁĄCZ.TEKSTY("10.";"104.";128+ZAOKR.DO.CAŁK((X -1)/16);".";( X -1)*16-256*ZAOKR.DO.CAŁK((X -1)/16)+4) (czwarty adres w sieci) 8/9

9 Rejestr zmian w dokumencie Data Opis zmiany Uwagi 1. Zatarto adresy częściowo zatarto adresy IP w instrukcji przykładowej 2. Po złoŝeniu wniosku o dołączenie do PLI CBD KaŜdy operator otrzyma instrukcję pełną z wygenerowanymi adresami IP 9/9