Routing i polityka bezpieczeństwa w Śląskiej Akademickiej Sieci Komputerowej

Transkrypt

1 POLITECHNIKA ŚLĄSKA Wydział Automatyki, Elektroniki i Informatyki Kierunek: Informatyka Routing i polityka bezpieczeństwa w Śląskiej Akademickiej Sieci Komputerowej Promotor: dr inż. Adam Domański Wykonał: Bartłomiej Królicki Gliwice 2006

2 Agenda Wstęp Cel pracy Stan sieci ŚASK przed zmianami Plan modernizacji sieci ŚASK Monitorowanie stanu sieci Wnioski Dalszy rozwój sieci ŚASK

3 Wstęp Śląska Akademicka Sieć Komputerowa Sieć regionalna łącząca wyższe uczelnie, szkoły, jednostki administracji samorządowej i instytuty naukowo- badawcze Obejmuje teren województwa śląskiego (8 miast) Jednostką wiodącą jest Politechnika Śląska Budową i funkcjonowaniem kieruje Centrum Komputerowe

4 Agenda Wstęp Cel pracy Stan sieci ŚASK przed zmianami Plan modernizacji sieci ŚASK Monitorowanie stanu sieci Wnioski Dalszy rozwój sieci ŚASK

5 Cel pracy Przeprojektowanie sieci ŚASK Zapewnienie skalowalności Rozwój przy możliwie małym nakładzie kosztów Zaprojektowanie polityki routingu Przydział klas adresowych Zapewnienie mechanizmów bezpieczeństwa Monitorowanie sieci

6 Agenda Wstęp Cel pracy Stan sieci ŚASK przed zmianami Plan modernizacji sieci ŚASK Monitorowanie stanu sieci Wnioski Dalszy rozwój sieci ŚASK

7 Stan sieci ŚASK przed zmianami Wcześniejsza struktura sieci Szkielet sieci oparty na routerach 3Com NB II Połączenia międzymiastowe w technologii ATM 155 Mb/s W obrębie miast łącza FDDI 100 Mb/s Koncentratory 100 Mb/s, sporadycznie przełączniki, jako miejsce podpięcia klientów końcowych Członkowstwo w konsorcjum Pol34/155

8 Agenda Wstęp Cel pracy Stan sieci ŚASK przed zmianami Plan modernizacji sieci ŚASK Monitorowanie stanu sieci Wnioski Dalszy rozwój sieci ŚASK

9 Plan modernizacji sieci ŚASK Członkostwo w konsorcjum PIONIER Zmiana struktury sieci Przydział adresów IP Proponowane nazwy urządzeń Klasyfikacja routerów w ŚASK Polityka routingu i implementacja Projekt bezpieczeństwa sieci

10 Członkostwo w konsorcjum PIONIER PIONIER Polski Internet Optyczny Polska sieć naukowa 10 GE Technologia DWDM z światłowodami G.652 i G.655 Przełączniki Black Diamond firmy Extreme Networks Połączenia zagraniczne GEANT2: 10 GE i 10Gb/s POS INTERNET: 2,5 Gb/s POS do operatora TeliaSonera (kraje bałtyckie i nordyckie) Własne łącza do sieci w Niemczech i Czechach Nadzór pełni PIONIER NOC

11 Plan modernizacji sieci ŚASK Członkostwo w konsorcjum PIONIER Zmiana struktury sieci Przydział adresów IP Proponowane nazwy urządzeń Klasyfikacja routerów w ŚASK Polityka routingu i implementacja Projekt bezpieczeństwa sieci

12 Zmiana struktury sieci Szkielet sieci ŚASK Technologia 1GE Przełączniki firmy Cisco, Alcatel, 3Com Głównie przełączniki L2, w niektórych miejscach L3 4 główne routery firmy Cisco Systems i Ericsson (Juniper M5) 3 punkty styku z konsorcjum PIONIER Połączenia zagraniczne za pośrednictwem PIONIERa

13 Plan modernizacji sieci ŚASK Członkostwo w konsorcjum PIONIER Zmiana struktury sieci Przydział adresów IP Proponowane nazwy urządzeń Klasyfikacja routerów w ŚASK Polityka routingu i implementacja Projekt bezpieczeństwa sieci

14 Przydział adresów IP Podział hierarchiczny pod sumaryzację / / / / / / 23 Karlik / 23 Karolinka / 23 Elektron / 23 Strzecha / 23 Ondraszek / 22 Barbara / 23 Rzepicha / 23 Piast / 23 Ziemowit / 23 Asystent / 22 Solaris / : Gliwice : Katowice : Zabrze : Domy studenckie : Rybnik : Wolne : Administracyjne / 22 Wolne Sumaryzacja akademików: /21

15 Plan modernizacji sieci ŚASK Członkostwo w konsorcjum PIONIER Zmiana struktury sieci Przydział adresów IP Proponowane nazwy urządzeń Klasyfikacja routerów w ŚASK Polityka routingu i implementacja Projekt bezpieczeństwa sieci

16 Proponowane nazwy urządzeń G CK r6 Miasto lokalizacja typ urządzenia kolejny numer BB: Bielsko- Biała B: Bytom C: Cieszyn G: Gliwice K: Katowice R: Rybnik S: Sosnowiec Z: Zabrze AEiI:Wydział Automatyki, Elektroniki i Informatyki CK: Centrum Komputerowe TP: Telekomunikacja Polska r: router s: przełącznik (ang. switch) itd.

17 Plan modernizacji sieci ŚASK Członkostwo w konsorcjum PIONIER Zmiana struktury sieci Przydział adresów IP Proponowane nazwy urządzeń Klasyfikacja routerów ŚASK Polityka routingu i implementacja Projekt bezpieczeństwa sieci

18 Klasyfikacja routerów ŚASK Dwa rodzaje ruchu Cisco Catalyst 6506: G-CK-r6 i K-PSE-r1 Juniper M5: G-CK-r2 i K-PSE-r2 Ruch komercyjny: G-CK-r6 i K-PSE-r1 Ruch edukacyjny: G-CK-r2 i K-PSE-r2 Dwa łącza 1 GE Gliwice- Katowice, przełączanie ruchu poprzez RSTP: <1s Wyjście do PIONIERa przez K-PSE-r1

19 Plan modernizacji sieci ŚASK Członkostwo w konsorcjum PIONIER Zmiana struktury sieci Przydział adresów IP Proponowane nazwy urządzeń Klasyfikacja routerów w ŚASK Polityka routingu i implementacja Projekt bezpieczeństwa sieci

20 Polityka routingu i implementacja Wybrane protokoły IGP i EGP OSPF Implementacja na routerach różnych dostawców AD: 110 CIDR + VLSM Metryka w postaci kosztu Aktualizacje o zmianach w momencie ich wystąpienia Pełne aktualizacje co 30 minut BGPv4 Powszechnie używany w sieciach komputerowych Konwergencja: 5-10 sekund

21 Polityka routingu i implementacja G-CK-r6 z działającym OSPF G-CK-r6(config)# interface vlan 205 G-CK-r6(config-if)# description #### Router CORE #### G-CK-r6(config-if)# ip address G-CK-r6(config-if)# ip ospf network broadcast G-CK-r6(config-if)# ip ospf cost 10 Vlan interfejs odpowiedzialny za łączność z innymi routerami. Typ sieci OSPF jako broadcast. Określenie kosztu łącza. G-CK-r6(config)# interface Loopback0 G-CK-r6(config-if)# ip address G-CK-r6(config)# router ospf 1 G-CK-r6(config-router)# network area G-CK-r6(config-router)# passive-interface default G-CK-r6(config-router)# no passive-interface Vlan205 G-CK-r6(config-router)# redistribute connected G-CK-r6(config-router)# redistribute static subnets G-CK-r6(config-router)# log-adjacency-changes G-CK-r6(config-router)# ignore lsa mospf Interfejs loopback jako numer RID. Uruchomienie procesu OSPF. Wysyłanie informacji o wszystkich skonfigurowanych interfejsach. Jednoznaczne określenie interfejsu Vlan 205 do rozsyłania aktualizacji. Dołączenie sieci typu stub do rozgłaszania, bez uruchamiania na nich procesu. Dołączenie wpisów statycznych w tablicy routingu do przesyłania w aktualizacjach. Wysyłanie wiadomości systemowych. Zakazanie wysyłania tych wiadomości, jeżeli router odbiera LSA typu 6 (Multicast OSPF):

22 Polityka routingu i implementacja G-CK-r6 z działającym BGP 2 DO 2 DO

23 Plan modernizacji sieci ŚASK Członkostwo w konsorcjum PIONIER Zmiana struktury sieci Przydział adresów IP Proponowane nazwy urządzęń Klasyfikacja routerów w ŚASK Polityka routingu i implementacja Projekt bezpieczeństwa sieci

24 Plan bezpieczeństwa sieci Rozwiązania sprzętowe i programowe Mechanizm iptables vs Linux: automatyczna blokada ruchu p2p, wirusów, trojanów, robaków Zdalny dostęp do urządzeń sieciowych za pomocą TELNET z wydzielonej w tym celu sieci lub SSH Listy kontroli dostępu (ACL)

25 Agenda Wstęp Cel pracy Stan sieci ŚASK przed zmianami Plan modernizacji sieci ŚASK Monitorowanie stanu sieci Wnioski Dalszy rozwój sieci ŚASK

26 Monitorowanie stanu sieci Darmowe rozwiązania

27 Agenda Wstęp Cel pracy Stan sieci ŚASK przed zmianami Plan modernizacji sieci ŚASK Monitorowanie stanu sieci Wnioski Dalszy rozwój sieci ŚASK

28 Wnioski Założenia pracy zostały spełnione Zaproponowane rozwiązania mają zastosowanie od dłuższego czasu w sieci produkcyjnej ŚASK

29 Agenda Wstęp Cel pracy Stan sieci ŚASK przed zmianami Plan modernizacji sieci ŚASK Monitorowanie stanu sieci Wnioski Dalszy rozwój sieci ŚASK

30 Dalszy rozwój sieci ŚASK Zamiana routerów G-CK-r6 i K-PSE-r1 na urządzenia Juniper M7i. Uruchomienie na wszystkich routerach Juniper wirtualnych routerów

31 Dziękuje za uwagę.