CESNET, jeho e-infrastruktura a služby

Transkript

1 CESNET, jeho e-infrastruktura a služby Tomáš Košňar CESNET Olomouc

2 Sdružení CESNET historie založeno 1996 veřejné VŠ a AV ČR převzetí provozu sítě CESNET (od ČVUT) budování nové sítě pro VVV ~ NREN, v roce 2000 prodej původní komerční sítě orientace na potřeby VVV, několik generací sítí, přibývají nové skupiny služeb od počátku součástí koordinovaného vývoje v rámci pan-evropských aktivit e-infrastruktura 2011: cestovní mapa velkých infrastruktur pro VV NREN e-infrastruktura CESNET komplexní IT prostředí pro VVV

3 e-infrastruktura CESNET e-infrastruktura symbolická architektura

4 e-infrastruktura CESNET společná komunikační infrastruktura

5 e-infrastruktura CESNET náročné výpočty MetaCentrum zajišťuje a koordinuje provoz NGI (součást EGI) ~ sdružení výpočetních zdrojů pro řešení velmi náročných úloh, které jsou za hranicemi výpočetních možností samostatného pracoviště grid + cloud + MapReduce výpočty, integrace a správa zdrojů, aplikační SW, uživatelská podpora

6 e-infrastruktura CESNET datová úložiště geograficky distribuované ukládání dat v administrativní doméně komunity zálohy, archivace, sdílení dat, speciální aplikace NFS CIFS FTP sftp scp Grid Storage Element dcache

7 e-infrastruktura CESNET podpora spolupráce uživatelů videokonference, webkonference, integrace zařízení do infrastruktury, rezervační portál, IP telefonie (infrastruktura), streaming, videoarchiv, speciální obrazové přenosy a vizualizace prostředí prostředí pro prospolupráci spolupráci prostředí prostředí pro prospolupráci spolupráci prostředí prostředí pro prospolupráci spolupráci

8 e-infrastruktura CESNET? správa identit, AAI, PKI zdroje zdroje zdroje zdroje? zdroje zdroje zdroje zdroje? zdroje zdroje prostředí prostředí pro pro osobní spolupráci osobní spolupráci serverové serverové prostředí prostředí pro prospolupráci spolupráci

9 e-infrastruktura CESNET bezpečnost, monitoring školení školení na namíru, míru, konzultace konzultace AntiSpam AntiSpam dohled dohled 24x7 24x7 pohotovost pohotovost specialistů specialistů čistička čistička provozu gateway gateway IDS, IDS,IPS IPS HoneyPot HoneyPot prostředí prostředí pro prospolupráci spolupráci provozu BCP38 BCP38 BGP BGP FlowSpec FlowSpec prostředí prostředí pro prospolupráci spolupráci sondy sondy na perimetru na perimetru sítě sítě G3-SNMP G3-SNMP monitoring monitoring

10 e-infrastruktura CESNET další služby monitorování kvalitativních charakteristik sítě propustnost, zpoždění, jitter, ztrátovost apod. - pro uživatele náročných aplikací, správce sítí apod. časové služby cesium, rubidium, GPS synchronizace (NTP Stratum 1), časová razítka (Time-Stamp Authority) technické konzultace ve všech oblastech provázení organizací celým procesem (např. zřízení LIR, AS, multihome připojení, zapojení do MetaCentra, monitoring,..) veříme v komunitní přístup

11 e-infrastruktura CESNET skupiny služeb v kontextu času bezpečností nástroje & SIEM IaaS, Hadoop, SDN testbed owncloud, virtualizace Internet GÉANT Akademická síť Me tace ntrum Cross Border Fibers CzechLight, GLIF eduroam, CSIRT DWDM 2005 IPv6, CESNET CA 2009 datová úložiště 44 forenzní laboratoř filesender 38 metacloud 36 webkonference 34 PKI, eduid.cz streaming, videoconference 31

12 e-infrastruktura CESNET přístup k e-infrastruktuře a jejím službám přístup k e-infrastruktuře není veřejný, uživatelská komunita vymezena: Politika přístupu ~ Access Policy - vymezení typem organizace nebo pro konkrétní činnost některé služby nejsou svázané s e-infrastrukturou přístup bez omezení uživatel NEvyhovuje AP služba 1 služba 2 e-infrastruktura CESNET služba N služba 2 uživatel vyhovuje AP služba M výsledky výzkumu a vývoje přenesené do praxe bezpečnostní oblast, Flab, monitoring, vzdálený dohled, UltraGrid, Shongo, design opt. sítí, apod.. služba M služba 3 služba M

13 uživatelé e-infrastruktury CESNET uživatelé e-infrastruktury 300+ organizací (~ 450 tisíc individuálních uživatelů) 94% vědeckého výkonu ČR (RIV) souvisí s využití e-infrastruktury CESNET veřejné (24), státní (2), soukromé VŠ nemocnice, polikliniky ústavy AV ČR (57), výzkumné organizace, velké infrastruktury knihovny, muzea, galerie základní, střední, vyšší odborné školy veřejná správa, samospráva

14 uživatelé e-infrastruktury CESNET specifická skupina uživatelů a partnerů - velké výzkumné infrastruktury v ČR WCZV IPMINFRA WCZV IPMINFRA LVR-15, LR-0 CLB LVR-15, LR-0 JHR-CZ CLB SUSEN JHR-CZ LNSM SUSEN LNSM SPIRAL2-CZ PALS SPIRAL2-CZ PALS FAIR-CZ CNC FAIR-CZ BIOCEV CNC BIOCEV AUGER-CZ AUGER-CZ CEMNAT RIDICS COMPASS CSDA CEMNAT RIDICS VdG COMPASS CSDA VdG LSM-CZ CTA-CZ LSM-CZ SPL-MSB ELI Beamlines HILASE CTA-CZ SPL-MSB ELI Beamlines HILASE IT4I EU-ARC.CZ ESS CZ NCMG IT4I EU-ARC.CZ ESS CZ CANAM NCMG BNL-CZ CANAM EATRIS-CZ BNL-CZ ELIXIR-CZ EATRIS-CZ NanoEnviCz FERMILAB-CZ ILL-CZ ELIXIR-CZ NanoEnviCz FERMILAB-CZ ILL-CZ SAFMAT BBMRI-CZ ESS Scandinavia-CZ SAFMAT CzechGeo/EPOS BBMRI-CZ ESS Scandinavia-CZ CzechGeo/EPOS Share-CZ ACTRIS RECETOX RINGEN Share-CZ ACTRIS RECETOX RINGEN CEITEC CzeCOS CVVOZEPowerLab LINDAT/CLARIN CEITEC CzeCOS CVVOZEPowerLab LINDAT/CLARIN C4SYS C4SYS AIS CR AIS CR CERN-CZ CPP CERN-CZ CERIT-SC CIISB CPP CERIT-SC CIISB Czech-BioImaging CzechPolar2 Czech-BioImaging CzechPolar2 CZ-OPENSCREEN CZ-OPENSCREEN CZECRIN CZECRIN SoWa SoWa

15 výzkum CESNET výzkumná organizace výzkum a výzkumná spolupráce v oblastech perspektivních pro budoucí e-infrastrukturu nebo její služby v důležitých oblastech oboru..u toho musíme být spolupráce nad konkrétní problematikou s konkrétními partnery (množina subjektů není nijak omezena) společné projekty s partnery, smluvní výzkum publikace, prototypy, užitné vzory (13), patenty (14 CZ, 7 USA, 4 EU), konkrétní věcné výsledky ( vyřešení problému ), nové/povýšené služby, spin-off (3), licence většina služeb e-infrastruktury je výsledkem vlastního vývoje/výzkumu vč. spolupráce s dalšími subjekty v roce 2017 celkem 30 projektů, z toho 15 mezinárodních

16 spolupráce obecná spolupráce v širším kontextu - všechny typy subjektů bez omezení systematická koncepční řešení v infrastrukturní oblasti využití nástrojů, konceptů nebo služeb vyvinutých primárně pro potřeby infrastruktury spolupráce na úrovni state-of-the-art v konkrétních oblastech budování komunit uživatelé e-infrastruktury (asistence při optimalizaci vlastní infrastruktury, zabezpečení, adaptace na služby e-infrastruktury, školení, konzultace, řešení incidentů, multi-mediální podpora akcí...) státní správa, samospráva, samosprávné celky, asociace krajů (architektura sítě, implementace technologických standardů a konceptů, bezpečnost, služby pro jejich infrastruktury, osvěta) bezpečnostní složky, NÚKIB (semináře, bezpečnostní koncepty, bezpečnostní monitoring, obrana infrastruktur, konzultace při řešení incidentů) průmysl, finanční sektor, ISP, IXP (technologie, obrana infrastruktur, monitoring, penetrační/zátěžové testy, analýzy) kulturní dědictví (muzea, digitalizace sbírek, IoT, NFA) podíl na rozvoji IT v ČR NIX.CZ, CZ.NIC, národní CSIRT, ZKB, FENIX

17 rozvoj e-infrastruktury strategie e-infrastruktura == komplexní prostředí dialog, spolupráce s a provázení typových uživatelských skupin pochopit potřeby, přeložit do vlastního jazyka, promítnout do služeb e-infrastruktury optimálně provázané komponenty, efektivní AAI & mapování uživatelé zdroje, transparentní (topologicky neutrální), zabezpečené na všech úrovních neustálé hledání rovnováhy - customizace pro různé uživatelské skupiny / obecný kompromis udržitelná modularita celku přenos výsledků mimo komunitu e-infrastruktura nemá tržní ekvivalent, ale její výstupy vnější prostředí a trh pozitivně ovlivňují průběžné hodnocení e-infrastruktury CESNET 2017 MŠMT panel složený z významných zahraničních odborníků nejvyšší možné ohodnocení, pozitivní zpráva mj.: "CESNET can be considered a true national treasure"

18 služby - kontakt sluzby@cesnet.cz

19 Společná komunikační infrastruktura

20 společná komunikační infrastruktura charakteristika uživatelé rozsáhlé sítě, unikátní a specifická zařízení charakter provozu drobný provoz && velmi robustní relace (single-session) aplikace citlivé na ztrátovost, zpoždění a rozptyl zpoždění (obousměrně) velká data - místo vzniku místo uložení místo zpracování místo uložení zpracování... volná kapacita, bezpečný agregační poměr optimální topologie, spolehlivost, stabilita parametrů potřeby uživatelů odvozeny od projektů a ad hoc příležitostí plánování? flexibilita

21 společná komunikační infrastruktura budování a správa převážně vlastními silami fyzická vrstva dominantně optická vlákna (pronájem) celkem cca 6000 km, jedno (cca 1800km) a dvou-vláknové trasy redundantní propojení páteřních uzlů optická přenosová vrstva 2 komplementární systémy Gb/s kanály, až 80 kanálů (jádro) platforma pro vytváření spojení bod-bod stavební prvek pro vyšší vrstvy sítě fotonické služby pro uživatele

22 společná komunikační infrastruktura IP/MPLS vrstva 100 GE jádro, uzly jádro GE nebo Nx10 GE duální páteřní uzly redundantní připojení uzlů do páteře sdílená IP síť (IPv4, IPv6 dual stack; unicast, multicast) samostatné sítě pro specifické účely EoMPLS VPLS lambda P-box PE-box CE, ostatní

23 společná komunikační infrastruktura externí propojení sdílená IP síť ~ 230 Gb/s 100 Gb/s GÉANT 40 Gb/s NIX.CZ 20 Gb/s ACONET (VIX) 20 Gb/s SANET (SIX) 10 Gb/s AMS-X 20 Gb/s Google 10 Gb/s Tier-1 10 Gb/s PIONIER vyhrazené E2E propoje Nx10 Gb/s (GÉANT, LHCONE) Nx10 Gb/s CBF

24 společná komunikační infrastruktura zabezpečení původní slide souvislý monitoring stavu a využití celé sítě souvislý monitoring IP provozu (flow-based) HW sondy na perimetru sítě veškerý přeshraniční provoz plošný Flow-based monitoring celé páteře detekce anomálií, uchování provozních dat (ZKB, vyhláška 485) kontrola zdrojových IP adres na vstupu do páteře (RPF check, filtry, BCP-38) RTBH jako služba pro uživatele (BGP připojené sítě) automatická rate-limit policy na perimetru sítě (amplifikační DDoS útoky) obrana proti dalším typickým útokům (aut. detekce analýza opatření) BGP FlowSpec v páteři + čistička provozu CSIRT (CESNET-CERTS), service-desk + pohotovost specialistů (24x365) CESNET - zakládající člen NIX.CZ

25 společná komunikační infrastruktura zabezpečení souvislý monitoring stavu a využití celé sítě souvislý monitoring IP provozu (na bázi toků, možnost analýzy plného provozu) kontrola zdrojových IP adres eliminace podvržení zdrojových IP adres v provozu na vstupu do páteře RPF check + statické filtry (tam kde není možný striktní mód) RTBH jako služba pro uživatele (BGP připojené sítě) zahození nežádoucího provozu v předchozí síti

26 společná komunikační infrastruktura zabezpečení automatická rate-limit policy na perimetru sítě obrana (především) proti amplifikačním DDoS útokům

27 společná komunikační infrastruktura zabezpečení selektivní čištění provozu BGP FlowSpec v páteři čistička provozu selektivní přesměrování provozu na čističku pomocí BGP FlowSpec vyčištění provozu (na čističčce) vhodnou strategií

28 společná komunikační infrastruktura zabezpečení obrana proti dalším útokům 1. detekce (monitorovací systémy), indikace 2. analýza (specialista, síťový specialista v pohotovosti) 3. opatření (správa sítě, síťový specialista v pohotovosti) 4. verifikace (monitorovací systémy) CSIRT (CESNET-CERTS) service-desk (24x365) pohotovost specialistů (24x365) CESNET - zakládající člen NIX.CZ

29 společná komunikační infrastruktura služby společné komunikační infrastruktury služba připojení k e-infrastruktuře symetrické připojení, kapacitně bez omezení (technologická, smluvní rychlost) bez jakékoli regulace (legitimního provozu) možnost redundantního připojení do dalšího uzlu s automatickou aplikací zabezpečovacích a monitorovacích mechanismů asistence při připojení (změně architektuře připojení, LIR, AS, multihome), konzultace vyhrazené okruhy a sítě pro uživatele EoMPLS, VPLS lambda služby fotonické služby

30 společná komunikační infrastruktura budoucnost 2018/2019 NIX.CZ: 2x20 Gb/s 2x100 Gb/s AMS-IX: 10 Gb/s 2x10 Gb/s GÉANT backup: 10 Gb/s 2x10 Gb/s + řada upgradů v optické vrstvě a uvnitř IP/MPLS páteře obecnější plány, delší horizont nová generace sítě diskuze o architektuře + flexibilita v oblasti uživatelských portů ( Gb/s)? multicast? scientific DMZ vyšší automatizace řízení a zabezpečení (strojové řízení BGP Flow Spec, čištění provozu na vysokých rychlostech)

31 Děkuji za pozornost a trpělivost..