Počítačová síť TUONET a její služby

Transkript

1 Počítačová síť TUONET a její služby Petr Grygárek katedra informatiky Fakulta elektrotechniky a informatiky VŠB-TU Ostrava

2 Osnova Síťové technologie provozované v TUONETu. Připojení TUONETu do Internetu Možnosti přímého připojování zařízení do TUONETu Význam a konfigurace parametrů pro připojení Autentizace zařízení Přístup ke službám Internetu z TUONETu Přístup ke službám TUONETu z Internetu

3 Síťové technologie v TUONETu Ethernet struktura přepínačů (huby jen výjimečně) klientské porty: 10/100 Mbps, servery 1Gbps páteřní spoje: 100Mbps, 1Gbps WiFi (IEEE ) b: 2.5 GHz, max. 11 Mbps g: 2.5 GHz, max. 54 Mbps zpětně kompatibliní většina AP reálné propustnosti max. cca 1/2 teoretických, závisí na vzdálenosti od AP a počtu aktivních klientů

4 im a c i M ac i M ac Ethernet (1) Internet Smerovac (router) Prepinace (switch) Pevne pripojena zarízení 802.1x Zarizeni studentu

5 Ethernet (2) Propojení nestíněnou kroucenou dvoulinkou (UTP5e) přímé propojení (1:1) Konektor RJ-45 (8 pinů) Catalyst 2950 Switch:

6 WiFi Access Point (AP) vykrývá signálem jednu buňku Pro připojení v klientovi nutno nadefinovat identifikaci sítě (SSID) na VŠB není vysílán tuonet-eap, tuonet-vpn fyzicky tatáž AP

7 WiFi-pokrytí počítačové učebny, studovna, veřejné prostory,... označení WiFi hotspot postupné pokrývání dalších prostor aktuální stav viz

8 Identifikace zařízení v síti MAC adresa 48 bitů, např. 00:c0:ae:1c:20:7e napevno vypálená v síťovém rozhraní zařízení celosvětově jednoznačná (3B kód výrobce, 3B přiděluje výrobce) IP adresa 32 bitů, např zařízení přiřazena administrátorem, konfigurovaná v OS nastavená manuálně staticky přidělena na požádání síťovou službou DHCP (Dynamic Host Configuration Protocol) dynamická volba adresy (mobilní zařízení) stále stejná adresa přidělovaná podle MAC adresy (pevně připojená zařízení)

9 Identifikace procesu v síti - porty Proces = program právě běžící na některé stanici (připojené k síti) Na stanici s jednou IP adresou současně běží více různých procesů Procesy v rámci stanice rozlišeny číslem portu Čísla portů obecně používaných služeb dohodnuta 80 WWW 23 Telnet 22 Secure Shell 110 Post Office Protocol (čtení pošty)

10 IP adresa dělení na dvě části: adresa sítě a adresa uzlu v rámci sítě hranici částí určuje maska podsítě (subnet mask) sekvence 32 bitů počet jedniček zleva určuje počet bitů v adrese sítě zapisuje se jako čtveřice dekadických číslic :-( Příklad: IP adresa: Maska podsítě: ( ) adresa sítě je adresa uzlu je.123

11 IP adresa (příklad) X X.X router (1000)xxxx

12 IP adresy VŠB-TU prefix x.x jednotlivým segmentům sítě přiřazeny delší prefixy lišící se v dalších bitech maska podsítě na různých segmentech na VŠB různá (VLSM) podle počtu stanic na segmentu rozsahy adres různých segmentů se nesmí překrývat Přidělování starostí správců. Uživatelská zařízení získávají adresu přes DHCP nebo VPN klienta.

13 Parametry síťového připojení IP adresa Maska podsítě (subnet mask) Výchozí brána (default gateway) adresa směrovače, kam posílat pakety pro stanice mimo lokální síť zpravidla nejnižší adresa na podsíti IP adresa serveru DNS pro mapování doménových jmen na IP adresy (dns1.vsb.cz), (dns2.vsb.cz) Implicitní doména: pro relativní jména DNS VSB.CZ

14 im a c i M ac i M ac i M ac im a c im a c i M ac im a c ima c Parametry síťového připojení (příklad) DNS Server DHCP Server = Internet TUONET subnet mask default gw subnet mask default gw subnet mask default gw

15 Parametry síťového připojení (konfigurace) Autorizovaná zařízení mohou vše získat z DHCP Nenastavujte nepřidělené adresy manuálně! přestane fungovat legálnímu vlastníkovi nebude delší dobu fungovat ani vám i v případě nekoliznosti mnohé servery (služby) legálnost adres testují

16 i M ac i M ac im a c Způsoby přístupu do TUONETu Pevne pripojení k prepinaci Pripojeni pres VPN (nutna registrace) VPN klient Internet 802.1x pevná struktura TUONET VPN koncentrator Firewall (filtrace) Modemova pripojeni modem Terminal Server tuonet-eap tuonet-vpn Telefonní sít WiFi dynamicky WEP EAP TLS WiFi nesifrovano VPN (IPSec) CZFree Pripojeni pres VPN

17 Přístup přes Ethernet Vhodný pro přenos větších objemů dat Připojení do veřejného portu přepínače (10/100Mbps) Před vpuštěním do sítě bude požadována autentizace certifikátem Operační systém musí podporovat 802.1x

18 Přístup přes WiFi s EAP-TLS Pokud ovladač WiFi klienta podporuje EAP-TLS Autentizace certifikátem (předaným přes EAP) Použit WEP s dynamickou výměnou klíčů (128-bitových)

19 Přístup přes VPN (princip) Šifrovaný tunel přes veřejný Internet (nebo WiFi infrastrukturu tuonet-vpn) (šifrovaný tunel IPSec, prvotní symetrická hesla předsdílená, dále dynamická dohoda) Tunel ukončen na hraničním bodu TUONETu VPN koncentrátoru VPN koncentrátor vpustí uživatele až po autentizaci uživatelským jménem a heslem (LDAP) Je potřebný speciální software-vpn klient Po přihlášení platným jménem a heslem uživatele z LDAP lze získat z WWW stránek VŠB-TU Pro Win/Linux zdarma, pro WinCE/Palm komerční

20 Přístup přes VPN (vlastnosti) Po autentizaci přidělení IP adresy z rozsahu VŠB-TU stanice se logicky ( virtuálně ) stává součástí TUONETu Přístupová práva a omezení jako pro stanice pevně připojené k TUONETu Vhodné i pro WiFi klienty nepodporující EAP-TLS a WEP s dynamickou výměnou klíčů Pokud ISP nepropouští IPSec, možno jej tunelovat v UDP (port 4500) nebo TCP (port 10000) Tunelování řeší i problém NAT

21 Přístup přes VPN (konfigurace) Přístup z WiFi VŠB-TU nebo z CZFree funguje automaticky (po nastavení VPN klienta) Přístup přes VPN z Internetu musí zvlášť povolit administrátor Ing. Jiří Grygárek (CVT) Pro přístup z WiFi VŠB-TU použijte SSID tuonet-vpn bez WEP (zabezpečení řeší vyšší vrstva-ipsec) POZOR: adresa VPN koncentrátoru jiná pro přístup z Internetu, WiFi VŠB-TU a CZFree Informace viz

22 Modemová připojení Omezený počet kont (100) Terminálový server disponuje 14 modemy Autentizace TACACS (generována zvláštní hesla) Denní a měsíční časová kvóta Přidělování vždy na začátku semestru Ing. Ivan Doležal (CVT) Viz

23 Další možnosti připojení do TUONETu Internetové kiosky Koleje-internetová patra Budova B: 2.,3.,4. patro; budova C: 2.,3.,4. patro Žádosti o připojení: Ing. Jiří Grygárek (CVT)

24 Autentizace uživatelů a zařízení při přístupu do TUONETu Ověření identity uživatele před vstupem do sítě Vstup dovolen jen pro autentizovaná zařízení MAC adresou na konkrétním portu konkrétního přepínače Ethernetu jen pevně připojená zařízení patřící VŠB-TU Certifikátem uživatele na Ethernet přepínačích s veřejnými porty (802.1x) na WiFi AP s podporou 802.1x (SSID tuonet-eap) Uživatelským jménem a heslem (LDAP,TACACS) Přístup přes VPN koncentrátor Modemové připojení

25 Autentizace certifikátem vydává certifikační autorita VŠB-TU nebo FEI Ing. Ivan Doležal, CVT Pavel Stoklasa, děkanát FEI informace viz nutno fyzicky kontaktovat správce certifikační autority s občanským průkazem a průkazem studenta vydávané certifikáty platné do r možnost odvolání zneužitého certifikátu CRL-Certificate Revocation List Použití pro WiFi VŠB-TU (tuonet-eap) a porty Ethernet s 802.1x

26 Autentizace jménem a heslem Jménem a heslem LDAP V databázi všichni studenti, hesla jako v Novellu Pro VPN přes WiFi VŠB-TU (tuonet-vpn) Pro VPN z CZFree Pro VPN z Internetu (po registraci) Ing. Jiří Grygárek (CVT) Jménem a heslem TACACS Pro modemová připojení jen registrovaní uživatelé Ing. Ivan Doležal (CVT)

27 Nastavení a ověření hesla http: // uzivatel.vsb.cz Obsahuje i kontakty na příslušné fakultní správce

28 Připojení TUONETu do Internetu (CESNET)

29 CZFree Síť WiFi s volným připojováním uživatelů Podmínky definuje správce konkrétního AP Možnost přístupu do Internetu placená podle lokálních podmínek Ostrava: VŠB-TU je uzlem CZFree Vstup do sítě školy (a dále do Internetu) možný pro oprávněné uživatele pomocí VPN VŠB-TU není zodpovědná za provoz CZFree

30 Přístup ke službám Internetu z TUONETu Bezpečnostní omezení povolen jen vybraný provoz dočasné (ephemeral) porty nepropouštěny WWW, POP, IMAP klienti odkudkoli SSH (+scp) odkudkoli Telnet a pasivní FTP jen z homel.vsb.cz FTP z WWW prohlížeče přes cache.vsb.cz:3128 Možnost přeposílání dalšího provozu po dohodě přes Socks5 server Ping mezi TUONETem a Internetem jen z homel.vsb.cz (a služebních sítí)

31 Přístup ke službám Internetu přes server Socks 1.Nejprve autentizace uživatele u Socks serveru Konkrétní uživatel musí být k použití autorizován Správcem Ing. Ivan Doležal (CVT) 2.Aplikace naváže spojení se Socks serverem a požádá jej o zřízení spojení se serverem služby Socks server je oprávněn zřizovat spojení přes firewall 3.Socks server dále pouze přemosťuje obě spojení pro server služby je Socks transparentní - Mnohé aplikace mají podporu Socks vestavěnu - Knihovna SocksCap pro aplikace bez podpory Socks (náhrada knihoven pro komunikaci v síti)

32 Přístup ke službám TUONETu z Internetu Z veřejného Internetu (bez použití VPN) přístup do TUONET velmi omezený WWW na vybrané servery Doručení pošty na vybrané servery SSH na homel.vsb.cz Po dohodě se správcem z dohodnuté adresy Ing. Martin Pustka (CVT) Čtení pošty (POP3S, IMAPS) na homel.vsb.cz Přístup k Novell Serverům přes VPN IP Client od Novellu, ne vestavěný od Microsoftu

33 Elektronická pošta Antivirový filtr Dočasná archivace zavirovaných zpráv Antispamový filtr označování při filtraci a možnost třídění ovým klientem Odesílání pošty jen smtp.vsb.cz (jen z TUONETu), prochází antivirem max 20 MB zpráva (ale ostatní často méně) Čtení pošty WWW rozhraní: posta.vsb.cz (HTTPS) i posílání POP3S, IMAPS z homel.vsb.cz POP3 a IMAP na servery vně TUONETu povolen odevšad El. pošta není šifrovaná ani autentizovaná služba!

34 Studium počítačových sítí na FEI Bc: Počítačové sítě (3.ročník ZS) Specializace (Ing.): Přepínané a směrované sítě (4.ročník LS) Technologie počítačových sítí (5.ročník ZS) Cisco Networking Academy Program CCNA (semestry 1-4) CCNP (semestry 5-8) jen VŠB-TU a ČVUT

35 Proč studovat počítačové sítě? Postavte si vlastní TUONET ;-)!