Urząd Komunikacji Projekt PLI CBD Elektronicznej Faza projektu: Etap III Rodzaj dokumentu: Specyfikacja Techniczna Odpowiedzialny: UKE Data utworzenia dok.: Wersja nr: z dnia 08.10.2010 Obszar projektu: Procesy biznesowe Status dokumentu: Do implementacji Autor: T4B Spółka z o.o. Ramowy opis konfiguracji połączeń sieciowych pomiędzy dostawcami usług a PLI CBD
SPIS TREŚCI 1 Czynności związane z podłączeniem Operatora / Dostawcy Usług do PLI CBD... 3 2 Informacje związane z podłączeniem operatora... 4 3 Adresacja IP... 4 4 Konfiguracja szyfrowania IPSec... 5 5 Wymagania sprzętowe dla urządzeń terminujących tunele IPsec.... 5 6 Mapa adresacji po stronie PLI CBD... 6 7 Mapa adresacji po stronie Operatora/Dostawcy usług... 7 2/9
1 Czynności związane z podłączeniem Operatora / Dostawcy Usług do PLI CBD W ramach czynności związanych z podłączeniem Operatora / Dostawcy Usług posiadającego powyŝej miliona uŝytkowników, do PLI CBD muszą zostać wykonane następujące elementy: 1.1 ZłoŜenie przez Operatora / Dostawcę Usług do UKE Wniosku o podłączenie do PLI CBD (zgodnie z punktem 7 dokumentu 009 010 Specyfikacja lokalizacja operatorzy. 1.2 ZłoŜenie przez Operatora / Dostawcy Usług Wniosku jest jednocześnie złoŝeniem prośby do PLI CBD o wydanie stosownego certyfikatu, niezbędnego do weryfikacji na poziomie komunikacji pomiędzy Operatorem / Dostawcą Usług a PLI CBD 1.3 Przekazanie certyfikatu przez Obsługę PLI CBD do Operatora / Dostawcy Usług 1.4 Fizyczne podłączenie lokalizacji Operatora / Dostawcy usług mającego poniŝej miliona uŝytkowników: łączy się z PLI CBD za pośrednictwem sieci Internet, niezaleŝnie do dwóch lokalizacji (adresów) PLI CBD zgodnie z zasadami określonymi dalej w niniejszym dokumencie (patrz pkt. 2 i dalej) oraz zgodnie z dokumentem 009 010 Specyfikacja lokalizacja operatorzy 1.5 Przeprowadzenie testów integracyjnych i testów funkcjonalnych zgodnie ze scenariuszami testowymi związanymi z przekazywaniem danych na potrzeby lokalizacji (patrz punkt dotyczący scenariuszy testowych w dokumencie interfejsu SłuŜb) 1.6 Produkcyjne uruchomienie Operatora / Dostawcy Usług 3/9
2 Informacje związane z podłączeniem operatora Połączenie do systemu PLI CBD zrealizowane zostanie z wykorzystaniem dwóch tuneli IPSec, po jednym do kaŝdego z ośrodków. Tunele IPSec zestawione zostaną z wykorzystaniem interfejsów tunelowych np. interfejsy VTI na urządzeniach Cisco lub tryb route-based na urządzeniach Juniper. Zestawione zostaną 2 tunele IPSec: Tunnel 1 tunel IPSec zestawiony do lokalizacji Siemianowice Tunnel 2 tunel IPSec zestawiony do lokalizacji Borucza 3 Adresacja IP Plan adresacji IP przedstawiony został w postaci formuł arkusza kalkulacyjnego Excel, w której X oznacza kolejny numer operatora. Plan adresacji IP zakłada przydzielenie kaŝdemu operatorowi trzech podsieci: Podsieć /30 do zaadresowania tunelu IPSec: Tunnel 1 Podsieć /30 do zaadresowania tunelu IPSec: Tunnel 2 Podsieć /28 do zaadresowania adresów źródłowych po stronie operatora 3.1 Tunnel 1 Sieć połączeniowa: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)) Adres UKE: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)+1) Adres operatora: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)+2) 3.2 Tunnel 2 Sieć połączeniowa: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)+4) Adres UKE: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)+5) Adres operatora: =ZŁĄCZ.TEKSTY("10.";"104.";ZAOKR.DO.CAŁK((X -1)/32);".";( X -1)*8-256*ZAOKR.DO.CAŁK((X -1)/32)+6) 3.3 Adresy źródłowe po stronie operatora =ZŁĄCZ.TEKSTY("10.";"104.";128+ZAOKR.DO.CAŁK((X -1)/16);".";( X -1)*16-256*ZAOKR.DO.CAŁK((X -1)/16)) 4/9
Przy realizacji połączenia do PLI CBD operator powinien uŝywać adresów źródłowych naleŝących do przydzielonej mu podsieci IP. W tym celu moŝe pojawić się konieczność zastosowania translacji adresów IP po stronie operatora. 4 Konfiguracja szyfrowania IPSec Tunele IPSec zestawione zostaną z wykorzystaniem interfejsów tunelowych np. interfejsy VTI na urządzeniach Cisco lub tryb route-based na urządzeniach Juniper. Adresacja tuneli IPSec przedstawiona została w planie adresacji IP. PoniŜej przedstawione zostały parametry tuneli IPSec: Faza 1 Authentication-method:.. Diffie-Hellman-group:.. Authentication-algorithm:. Encryption-algorithm:. Lifetime-seconds:.. Faza 2 Protocol:. Authentication-algorithm:.. Encryption-algorithm:.. Lifetime-seconds:. Adresy peerów po stronie UKE są następujące:.217.24.14 w Siemianowicach (tunel 1)..25.14 w Boruczy (tunel 2) Przez tunele IPSec osiągalne będą następujące hosty po stronie UKE:.217.24.19,.27 i..217.24.35 przez tunel 1.217.25.19,,,,,,,,,,,,,,,7 i.217.25.35 przez tunel 2 5 Wymagania sprzętowe dla urządzeń terminujących tunele IPsec. Urządzenia powinny umoŝliwiać zestawienie tuneli IPSec z następującymi parametrami I i II fazy: Faza 1 Authentication-method:. Diffie-Hellman-group:.. Authentication-algorithm:.. Encryption-algorithm: 5/9
Lifetime-seconds:. Faza 2 Protocol:. Authentication-algorithm:.. Encryption-algorithm:. Lifetime-seconds:. Urządzenia powinny wspierać zestawianie tunelu IPSec, uwierzytelnianego certyfikatami. Urządzenia powinny umoŝliwiać zestawienie dwóch tuneli w trybie route-based, tj. bez definiowania local proxy id oraz remote proxy id. Oba parametry będą miały wartość 0.0.0.0/0 a zaszyfrowanie ruchu będzie następowało po skierowaniu go na odpowiedni interfejs tunelujący z wykorzystaniem routingu statycznego. Urządzenia powinny obsługiwać mechanizm Dead Peer Detection (DPD) opisany w RFC 3706. W przypadku konieczności zastosowania translacji adresów urządzenia powinny umoŝliwiać wykonanie translacji adresów przed zaszyfrowaniem ruchu. Adresacja po obu stronach będzie bowiem narzucona przez PLICBD zgodnie z ogólnym planem adresacji przyjętym w projekcie. Przykładowymi urządzeniami spełniającymi powyŝsze załoŝenia są routery Juniper serii J (np. seria J2300 lub wyŝsza) lub routery Cisco ISR/ISR G2 (np. seria 800 lub wyŝsza) z odpowiednim oprogramowaniem. W przypadku innych producentów urządzeń umoŝliwiających realizację tuneli VPN, naleŝy zwrócić szczególną uwagę na punkty 3 oraz 4, gdyŝ jak pokazują doświadczenia wiele urządzeń ma z tym problem. Ponadto, zaleca się aby zastosowane rozwiązania były rozwiązaniami komercyjnymi, posiadającymi wsparcie producenta. W przeciwnym bowiem wypadku w sytuacji wystąpienia problemów z połączeniem (zestawieniem tunelu), nie gwarantujemy śadnego wsparcia przy ich rozwiązywaniu. 6 Mapa adresacji po stronie PLI CBD PoniŜej przedstawiono zestawienie docelowych adresów IP usług eksponowanych przez PLI CBD. Siemianowice.217.24.19 webserwis przyjmujący zgłoszenia E112 6/9
..217.24.35 webserwis przyjmujący komunikaty NP..217.24.10 adres źródłowych wszystkich połączeń inicjowanych przez PLI CBD (dostęp do FTPS Operatora, wywoływanie webserwisów NP Operatora).217.24.100 adres serwera HTTP udostępniającego listy CRL z CA PLI CBD Borucza.217.25.19 webserwis przyjmujący zgłoszenia E112.217.25.35 webserwis przyjmujący komunikaty NP..217.25.10 adres źródłowych wszystkich połączeń inicjowanych przez PLI CBD (dostęp do FTPS Operatora, wywoływanie webserwisów NP Operatora).217.25.100 adres serwera HTTP udostępniającego listy CRL z CA PLI CBD Tabela adresów URL usług PLI CBD Siemianowice https://...217.24.19/e112interface/e112publicinterface.asmx webserwis przyjmujący zgłoszenia E112 https://...217.24.35/npinterface/nppublicinterface.asmx webserwis przyjmujący komunikaty NP (lokalizacja zapasowa) Borucza https://...217.25.19/e112interface/e112publicinterface.asmx webserwis przyjmujący zgłoszenia E112 https://...217.25.35/npinterface/nppublicinterface.asmx webserwis przyjmujący komunikaty NP (lokalizacja główna) 7 Mapa adresacji po stronie Operatora/Dostawcy usług PoniŜej przedstawiono zestawienie docelowych adresów eksponowanych przez Operatora/Dostawcę usług. adres źródłowy z którego naleŝy przysyłać do PLICBD komunikaty E112 =ZŁĄCZ.TEKSTY("10.";"104.";128+ZAOKR.DO.CAŁK((X -1)/16);".";( X -1)*16-256*ZAOKR.DO.CAŁK((X -1)/16)+1) (pierwszy adres w przyznanej sieci) udostępnianie i umieszczanie plików wsadowych poprzez FTPS, przyjmowanie plików E24 7/9
=ZŁĄCZ.TEKSTY("10.";"104.";128+ZAOKR.DO.CAŁK((X -1)/16);".";( X -1)*16-256*ZAOKR.DO.CAŁK((X -1)/16)+2) (drugi adres w sieci) adres źródłowy, z którego naleŝy przysyłać do PLICBD komunikaty NP =ZŁĄCZ.TEKSTY("10.";"104.";128+ZAOKR.DO.CAŁK((X -1)/16);".";( X -1)*16-256*ZAOKR.DO.CAŁK((X -1)/16)+3) (trzeci adres w sieci) adres źródłowy, na którym naleŝy nasłuchiwać/odbierać z PLICBD komunikaty NP =ZŁĄCZ.TEKSTY("10.";"104.";128+ZAOKR.DO.CAŁK((X -1)/16);".";( X -1)*16-256*ZAOKR.DO.CAŁK((X -1)/16)+4) (czwarty adres w sieci) 8/9
Rejestr zmian w dokumencie Data Opis zmiany Uwagi 1. Zatarto adresy częściowo zatarto adresy IP w instrukcji przykładowej 2. Po złoŝeniu wniosku o dołączenie do PLI CBD KaŜdy operator otrzyma instrukcję pełną z wygenerowanymi adresami IP 9/9