Projektová dokumentace. Bezdrátová škola - Jihomoravský kraj. Gymnázium T.G. Masaryka, U školy 39, Zastávka

Transkript

1 Projektová dokumentace Bezdrátová škola - Jihomoravský kraj Gymnázium T.G. Masaryka, U školy 39, Zastávka

2 Obsah OBSAH POPIS PROJEKTU BEZDRÁTOVÁ ŠKOLA - JIHOMORAVSKÝ KRAJ GYMNÁZIUM T.G. MASARYKA, U ŠKOLY 39, ZASTÁVKA STAV LAN SÍTĚ ŠKOLY ROZMÍSTĚNÍ PŘÍSTUPOVÝCH BODŮ (AP), HW A KABELÁŽE POTŘEBNÉ PRO PŘIPOJENÍ DO LAN SÍTĚ ŠKOLY KONFIGURACE BEZDRÁTOVÉ INFRASTRUKTURY ŠKOLENÍ POPIS TECHNICKÉHO ŘEŠENÍ CENTRALIZOVANÉ ŘEŠENÍ TECHNICKÝ POPIS NAINSTALOVANÉHO HARDWARE ZAŘÍZENÍ...17 Přístupový bod (AP) Cisco AIR-LAP1131AG-E-K9:...17 Kontrolér Cisco AIR-WLC K9:...21 Přepínač Cisco Catalyst SEZNAM HW

3 1 Popis projektu Bezdrátová škola - Jihomoravský kraj Výsledkem projektu Bezdrátová škola - Jihomoravský kraj je vybudování bezpečné bezdrátové (WiFi) infrastruktury na 28 školských zařízeních Jihomoravského kraje a Středisku služeb školám Brno. Zadavatel - Středisko služeb školám, Brno - předpokládá, že prostřednictvím dodané infrastruktury budou realizovány v rámci jednotlivých školských zařízení následující aktivity: přístup k on-line aplikacím školy, komunikace školy s rodiči o prospěchu studenta, stavu chování, výjimečných aktivitách školy, výměny obsahu výuky mezi jednotlivými školami, přístup rodičů k výsledkům dítěte (studijní výsledky), přístup rodičů k aplikacím školy, přístup rodičů k pedagogům. Vybudování bezdrátové infrastruktury na jednotlivém školském zařízení proběhlo ve čtyřech fázích: 1. Průzkum místa instalace bezdrátové infrastruktury Vzhledem k tomu, že zadavatel zakázky dodal podklady potřebné pro realizaci této fáze (tj. počet přístupových bodů a jejich umístění včetně potřebného hardwaru), byla tato fáze realizována během jednoho dne, kdy došlo k prohlédnutí místa instalace bezdrátové infrastruktury, převzetí potřebných plánů školských zařízení se zakreslenými přístupovými body a byla ujasněna instalace UTP kabeláže potřebné k zapojení přístupových bodů do stávající pevné infrastruktury. 2. Instalace strukturované kabeláže, montáž HW zařízení včetně přístupových bodů Tato fáze zahrnovala: 3

4 instalaci potřebné strukturované kabeláže pro připojení jednotlivých přístupových bodů k novým a stávajícím přepínačům, instalaci a propojení jednotlivých nových a stávajících racků, montáž Access pointů na místa určená zadavatelem. 3. Konfigurace nainstalované bezdrátové infrastruktury Tato fáze zahrnovala: konfiguraci všech nainstalovaných síťových prvků (tj. přístupových bodů, přepínačů, a kontroléru), úpravy konfigurací stávajících síťových aktivních prvků zákazníka v těch školách, kde to bylo potřeba implementaci nově nainstalované WiFi sítě do stávající LAN sítě každé školy a do stávajících síťových služeb. nastavení dvou VLAN - jedna pro učitele a druhá pro žáky školy. 4. Školení pracovníků školy Zadavatelem vybraní dva pracovníci z každé školy, kteří budou obsluhovat či používat dodaná zařízení nebo jejich služby, byli seznámeni se základní obsluhou a funkcionalitou dodaného řešení a s postupem přihlášení se do systému. 4

5 2 Gymnázium T.G. Masaryka, U školy 39, Zastávka Dle požadavků zadavatele byla v budově Gymnázia vybudována bezdrátová infrastruktura pokrývající WiFi signálem dle standardu a/b/g hlavní budovu školy a přístavbu. Před začátkem instalace bezdrátové infrastruktury byla zmapována stávající infrastruktura školy - LAN síť školy, aby byla dle požadavků zadavatele maximálně využita. Stávající infrastruktura školy byla doplněna o novou UTP kabeláž potřebnou k zapojení přístupových bodů do sítě školy. Nainstalovaná HW zařízení (přístupové body, řídící jednotka pro bezdrátové přístupové body a síťový přepínač) byla nakonfigurována tak, aby bezdrátový signál pokrýval požadované části školy a byly nadefinovány dvě virtuální sítě, tzv. VLANy, umožňující oddělený přístup do sítě žákům a učitelům. Autentizace do jednotlivých VLAN je řešena pomocí EAP-PEAP. Součástí projektu bylo také zaškolení dvou pracovníků školy, kteří budou obsluhovat nebo používat dodaná zařízení. Toto školení bylo zaměřeno na osvojení schopnosti kvalifikované obsluhy dodaných zařízení a možnosti využití jejich služeb. 5

6 2.1 Stav LAN sítě školy Školní LAN síť není segmentována (L2 síť). Hlavní datový rozvaděč se nachází ve 3NP školní školy, odkud jsou vedeny kabelové trasy po celé budově. Konektivita do sítě Internet je realizována 2Mb/s, bezpečnost zajišťuje server OS Linux. Ostatní serverové služby zajišťuji servery s OS Windows 2003 Počet studentu je cca 500, zaměstnanců školy 50. 6

7 2.2 Rozmístění přístupových bodů (AP), HW a kabeláže potřebné pro připojení do LAN sítě školy Zadání uvádělo přesný počet požadovaných přístupových bodů a z poskytnutých plánů vyplývalo umístění přístupových bodů po budově školy tak, aby WiFi signál pokrýval požadované části budovy. Rozmístění přístupových bodů znázorňuje obrázek č Školní infrastruktura umožnila stáhnout veškeré AP do hlavního rozvaděče budovy, proto je všech 9 AP staženo do hlavního rozvaděče, kde jsou zapojeny do Cat3560 s porty podporujícími PoE. AP jsou instalovány na chodbách školní budovy. Rozmístění WiFi přístupových bodů: AP Umístění Jídelna 2NP 2NP 3NP 3NP 3NP 3NP 3NP 3NP Switch a wlan controller je umístěn v hlavní serverovně na 3NP školní budovy. 7

8 Obrázek 1. 8

9 Obrázek 2. 9

10 Obrázek 3. 10

11 Obrázek 4. 11

12 2.3 Konfigurace bezdrátové infrastruktury WLC i switch i AP jsou ve stávající školní VLANě /24. WLC má adresu , switch DNS běží na adrese a na adrese SSID je jedno s WPA-PSK s názvem GZASTAVKA a heslem "Xca97sD3". 12

13 2.4 Školení Osnova pro vyškolení vybraných správců: - Způsoby zabezpečení WiFi, jejich výhody a nevýhody. Statistiky v kontrolérech Konfigurace nejběžnějších klientů (Windows XP, Windows Vista, Intel ProWireless) 13

14 3 Popis technického řešení Ze zadání vyplýval jasný požadavek na použití řešení umožňující centralizovanou správu nainstalovaných přístupových bodů a ověřování uživatelů vůči úložišti uživatelských účtů. Toto řešení je schematicky znázorněné na obrázku č. 5. Obrázek č. 5 Vzhledem k požadavkům zadavatele na technické parametry nainstalovaného řešení byla zvolena technologie od společnosti Cisco Systems. Pomocí této technologie nainstalované řešení splňuje požadované technické parametry zadavatele. 14

15 3.1 Centralizované řešení Centralizované řešení je postaveno na tzv. lightweight access pointech, které jsou řízeny a administrovány z centrálního kontroléru (obr. 6). Obrázek 6. Toto řešení má jedinečnou výhodu ve zjednodušeném managementu jednotlivých AP, jelikož veškeré access pointy jsou řízeny z jednoho místa. Pokud to stávající infrastruktura umožňuje, je možné jednotlivé AP napájet ze switchů pomocí PoE (power over ethernet), takže v místě instalace AP je potřeba mít doveden pouze kabel FastEthernet 100Mbit UTP Cat5. V případě, že toto možné není, lze AP napájet pomocí tzv. Power Injectorů (802.1af), který je umístěn na vhodném místě infrastruktury. Jelikož RADIUS není v současné době korektně zkonfigurován, přístup do WiFi sítě je řešen pomocí WPA-PSK. Až bude připraven, bude možné přejít na jakoukoliv metodu 802.1x PEAP (obr. 7). 15

16 Obrázek 7. 16

17 3.2 Technický popis nainstalovaného hardware zařízení Přístupový bod (AP) Cisco AIR-LAP1131AG-E-K9: Řada Access Pointů Aironet 11XX je určena do vnitřních prostor kanceláří, škol apod. Tyto AP mají antény integrovány v chassis. Aironet 1130AG má dvě rádia jak pro standard b/g, tak i pro a. Teoretická agregovaná rychlost může být 108 Mbps. Antény jsou všesměrové, se ziskem 3 dbi pro 2,4 GHz (802.11b/g), respektive 4,5 dbi pro 5 GHz (802.11a). Antény podporují diverzitu pro eliminaci násobných odrazů (multipath interference). Jako uplink do pevné infrastruktury slouží 1 rozhraní Fast Ethernet. K napájení AP je možné využít Power-over-Ethernet (IEEE 802.3af). Toto zařízení může fungovat jako Standalone Access Point tedy samostatně pracující jednotka nebo jako Lightweight Access Point pro Unified Wireless Network architekturu. V režimu Standalone je možné využít WLSE k centrální správě a dohledu nad AP. Mezi oběma režimy práce je možné konvertovat není třeba pořizovat nové AP. Hlavní výhody Elegantní design hodící se do vnitřních prostor Integrované antény (s podporou diverzity) Podpora bezpečnostních standardů i, WPA, WPA 2, WEP, 802.1x (LEAP, PEAP, EAP-TLS atd.) Základní technická specifikace Aironet 1130AG podporuje bezpečnostní standard i. Je implementováno jak WPA, tak WPA 2 (šifrování pomocí standardu AES, který je hardwarově akcelerovaný, takže nedochází k degradaci výkonu) a řada 802.1x autentizačních algoritmů na bázi protokolu EAP (Cisco LEAP, PEAP, EAP-TLS, EAP-TTLS, EAP-FAST, EAP-GTC a další). Podporován je i WEP (40 bitů i 128 bitů). 17

18 Technické parametry AP jsou popsány v následující tabulce: Funkce Duální a a g radia Popis Poskytují kapacitu až 108 Mbps v jednom zařízení a kompatibilitu se staršími b klienty Možnost nastavení vysílacího výkonu umožňuje vyladění velikosti prostoru pro pokrytí signálem, nízké vysílací výkony umožňují umístění AP ve velkých hustotách Integrované antény speciálně určeno pro pokrytí kancelářských prostor všesměrovými integrovanými anténami Hardwarové AES šifrování Poskytuje vysokou bezpečnost bez snížení výkonnosti AP IEEE i-compliant, WPA2-certified, Splňuje standardy pro interoperabilitu s Wireless WPA certified LAN klienty od jiných výrobců 18

19 Cisco Unified IDS/IPS Tato funkcionalita je součástí Cisco SelfDefending Network, pokud se důvěryhodný klient začne chovat podezřele, wired IDS detekuje atak a pošle shun request k Cisco WLAN kontroleru, který tohoto klienta deasociuje Víceúčelový a zamknutelný držák Ochrana proti krádeži Ochrana pro management frame Tato funkcionalita poskytuje autentizaci pro management frame pomocí wireless infrastruktury. To umožnuje detekci spoofed frames od Access pointů nebo záludně nainstalovaných AP. Pokud AP detekuje takový útok, vygeneruje incident a reporty jsou posílány a sbírány wireless LAN controller, Cisco WCS nebo CiscoWorks WLSE Authentication Security Standards WPA WPA2 (802.11i) Cisco TKIP Cisco message integrity check (MIC) IEEE WEP keys of 40 bits and 128 bits 802.1X EAP types: Bezpečnost/Security EAP-Flexible Authentication via Secure Tunneling (EAP-FAST) Protected EAP-Generic Token Card (PEAPGTC) PEAP-Microsoft Challenge Authentication Protocol Version 2 (PEAP-MSCHAP) EAP-Transport Layer Security (EAP-TLS) EAP-Tunneled TLS (EAP-TTLS) EAP-Subscriber Identity Module (EAP-SIM) Cisco LEAP Encryption: AES-CCMP encryption (WPA2) TKIP (WPA) Cisco TKIP WPA TKIP IEEE WEP keys of 40 bits and 128 bits Současná podpora až 12-ti Nižší míra interference se sousedními AP nepřekrývajících se kanálů, potenciálně až usnadňuje nasazení. Menší počet chyb při 23 kanálů přenosu dat poskytuje větší propustnost. 19

20 Podpora lokálního napájení i Inline Power, podpora 802.1af PoE Napájení může být provedeno pomocí Ethernet kabelů, což snižuje náklady na instalaci, AP mohou být napájeny pomocí 802.3af PoE, Cisco inline switchů, single port power injectory nebo lokálně. 20

21 Kontrolér Cisco AIR-WLC K9: Cisco wireless LAN kontroléry jsou ideální pro malé, středně velké i enterprise a service provider nasazení a poskytují pro bezdrátovou síť funkce jako security, policy, intrusion prevention, RF management, QoS (quality of services) a mobilitu. Kontroléry komunikují s Cisco lightweight access pointy přes L2 (Ethernet) nebo L3 (IP) síť pomocí Lighweight Access Point protokolu (LWAPP). Tento IETF standard umožňuje, že komunikace mezi AP a wireless LAN kontrolérem je bezpečná a dovoluje úplnou automatizaci a časově nenáročnou konfiguraci a management bezdrátové sítě. Model kontroléru AIR-WLC K9 má dva gigabit Ethernet porty a podporuje až 25 lightweight AP. Intelligent RF management: Cisco WLAN kontroléry používají Radio Resource Management (RRM), patentovaný společností Cisco Systems, který real-time detekuje a reaguje na změny v zarušení přenosového media (vzduchu). Tyto úpravy vytvářejí ideální topologii pro wireless networking, stejně jako routovací protokoly počítají nejlepší cestu pro IP sítě. Dynamické přidělování kanálů Detekce interference a její predikce Load balancing Detekce děr v pokrytí 21

22 Dynamická kontrola vysílacího výkonu Security (bezpečnost): i Wi-Fi Protected Access 2 (WPA2), WPA, a Wired Equivalent Privacy (WEP) 802.1X s multiple Extensible Authentication Protocol (EAP) types-protected EAP (PEAP), EAP stransport Layer Security (EAP-TLS), EAP s Tunneled TLS (EAPTTLS), EAP-FAST, EAP-SIM a Cisco LEAP VPN termination-volitelný modul pro ukončení IP Security (IPSec) VPN tunelů Management Frame Protection Federal Information Processing Standards (FIPS) Level 2 Validation Wireless LAN intrusion prevention (IPS) Identity-based networking 22

23 Přepínač Cisco Catalyst 3560 Řada nemodulárních, gigabitových přepínačů s podporou IP směrování (L3 přepínače). Podporují napájení přes Ethernet (standard 802.3af). Řada Catalyst 3560E (Enhanced) obsahuje proti řadě 3560 navíc některé funkce v oblasti redundance a IP směrování. Obě řady jsou dodávány s dvěma verzemi operačního systému IP Base (obsahuje základní funkce) a IP Services (rozšířená funkčnost). Tyto přepínače jsou vhodné jako access switche do velkých podnikových LAN sítí, v nichž umožňují souběžný provoz datově náročných a sofistikovaných aplikací (IP telefonie, přenos videa, informační systémy, ERP systémy apod.). Základní technická specifikace Catalysty 3560 jsou nabízeny ve variantách s 8, 24 a 48 10/100 porty, s 24 nebo 48 10/100/1000 porty a 1, 2 a 4 uplink porty. Modely s označením PS nabízí PoE. Vnitřní sběrnice 32/128 (3560E)Gbps, propustnost až 38,7/101,2 (3560E) Mpps, až VLAN, až MAC adres, jumbo frames (9 216 bytů), možnost připojení na záložní zdroj. Hlavní výhody Intelligent Power Management nastavování napájecího výkonu per port Směrování multicastů (PIM*, IGMPv3) Směrovací protokol RIP, OSPF*, IGRP*, EIGRP*, BGPv4* Policy-based routing (PBR)* 23

24 Inter-VLAN routing IPv6 routing (RIPng a OSPFv3)* Redundance HSRP, Equal Cost Routing (ECR) Způsoby nasazení Přepínače Cisco Catalyst 3560 jsou vhodné pro: Použití jako access switche ve velkých podnikových sítích Sítě, kde jsou požadovány pokročilé bezpečnostní funkce Sítě, kde jsou požadovány funkce QoS Použití v menších a středních sítích jako distribuční přepínače s možností směrování provozu 24

25 4 Seznam HW Popis: AIR-LAP1131AG-E-K ag LWAPP AP Integrated Antennas ETSI Cnfg MAC. FCZ1302Q1E BD129C FCZ1302Q1E BD17D0 FCZ1302Q1DZ B7EFDA FCZ1302Q1E B7EA44 FCZ1302Q1CU B7EC74 FCZ1302Q1CL B7EF22 FCZ1302Q1CZ BCD3D2 FCZ1302Q1CS B7EEE6 FCZ1302Q1DQ BD17CA pol. SN Popis: Power injektor for 1100, 1130, 1200, 1230AG Series - 18x pol. SN FOC1249M4DU FOC1249M4B5 FOC1249M4BG FOC1249M4E0 FOC1248M241 FOC1249M4B8 Popis: 4400 Series WLAN Controler foe up to 12 Lightweight Aps 1x MAC. Pol. SN. SFOC1248F0B3 0021A037AE40 1. Popis: Catalyst /100 PoE + 2 SFP + IPB Image 1x Pol. SN. SFDO1250X27H 1. Popis: 1000BASE-T SFP 2x Pol. SN SMTC123902NV SMTC124001M5 25