Mobilita a roaming v sítích národního výzkumu. Jan.Furman@CESNET.CZ

Transkript

1 Mobilita a roaming v sítích národního výzkumu Jan.Furman@CESNET.CZ

2 Program: Důvody k mobilitě a roamingu Nutnost jednotnéaai Popis autentifikačních mechanizmů Hierarchickástruktura serverů (AAI) Roamingovápolitika Aktuálnístav Jak se zapojit??? Výhledy, plány

3 Důvody k mobilitě a roamingu Volný pohyb uživatelů s možností konektivity (domácí síť, republika, Evropa) Transparentnípřístup k síti jednotný ověřovací mechanizmus Uživatelés jednotnou identitou Nejen bezdrátovésítě

4 TERENA Mobility Task Force Snaha sjednotit autentifikaci Inter-NREN-Roaming Doporučenípro budování WLAN sítí Výstupy: dokumenty popisující konkrétní řešení

5 Autentifikační mechanizmy 802.1x (deliverable D) VPN based (deliverable E) Web based (deliverable F) Všechny dokumenty jsou k dispozici na webových stránkách Tereny( -pracovní skupina mobility).

6 802.1x User DB User DB Supplicant Authenticator (AP nebo sw itch) instituce A instituce B Guest VLAN Student VLAN INET INET Top-level

7 Výhody: Relativně jednoduché na implementaci Bezpečné Dobře škálovatelné Nevýhody: Nutná podpora výrobce (klient i přístupový bod) Odkazy: implementace 802.1x pro Linux a množství odkazů hostap.epitest.fi HostAP driver pro Linux x řešenísurfnetu

8 VPN based FIREWALL povolenopouze na INET Domácí VPNkoncentrátor IP= Uživatel Domácí síť

9 Výhody: Nevýhody: VELMI VYSOKÁ míra bezpečnosti Hůře škálovatelné Problém toku dat (provoz jde od klienta do jeho domovské sítě a pak teprve k cíli) Odkazy: VPN based řešeníautorizace WLAN roaming University of Bremen

10 Web based AAA server Ověřovací WWW stránka Uživatel FIREWALL INET

11 Výhody: Není potřeba žádný speciální software na straně klienta jen web browser Nevýhody: Dobrá škálovatelnost Poněkud nižší míra bezpečnosti nežnapř. u VPN řešení Odkazy: web based řešení z Tampere university of technology stránka se zaměřením na roaming

12 Inter-NREN-Roaming Autorizace přes servery (popsáno v Del D) Top-level Národní ".uk" Národní ".cz" Národní ".nl" Organizační "cesnet.cz" Organizační "zcu.cz" Organizační "cvut.cz"

13 Hierarchickástruktura serverů NeníuniverzálníAAI, pro mobilitu dostačuje Organizační, národní, top-level servery backend k lokálnímu AAS Koncepce realmů Připojeník národnímu serveru pomocíipsec protokolu

14 Roamingovápolitika Pravidla pro Chováníuživatelů Domácísíť uživatele Hostujícísíť Autentifikačníproxy systém Sankce při nedodržovánípravidel Postupy řešeníbezpečnostních incidentů

15 Aktuální stav Běží národní servery (radius1.eduroam.cz a radius2.eduroam.cz) Pracujeme na připojení k top-level u Je vyčleněn IP blok pro VPN koncentrátory ( /25) Probíhá diskuse nad návrhem roamingové politiky Testují se různé konfigurace Pracujeme na informačním portálu

16 Jak se zapojit??? Schválení roamingové politiky Vytvoření vlastních zásad přijatelného užití sítě (jak pro domácí uživatele, tak pro návštěvníky) Zapojení do hierarchie přes IPSec (.1x, web) Vybudování VPN brány, žádost o IP adresu, otevření definovaných bloků na firewallu (VPN) Velmi doporučeno je použitíjednotného ssid EDUROAM Zveřejněníinformací o konfiguraci sítě (z pohledu uživatele ssid, autentifikační mechanizmy, pokrytí, )

17 Výhledy, plány, Pilotníprojekt (s největšípravděpodobností: VŠB Ostrava, TUL Liberec, ZČU Plzeň, ČVUT Praha, VŠCHT Praha, Cesnet) Informačníportál VybudováníuniverzálníAAI (nejen pro účely mobility) Napojenído celoevropského roamingu Spolupráce na aktivitě GN2-JRA5 (Geant 2)