strana 1 z 7 Zpráva z prohlídky infrastruktury počítačové sítě ZŠ a MŠ Mutěnice, Brněnská 777 Dne 26.7.2016 se uskutečnila fyzická prohlídka stávajícího stavu infrastruktury počítačové sítě v sítě ZŠ a MŠ Mutěnice, Brněnská 777. Tato zpráva může sloužit jako podklad pro projekt modernizace infrastruktury lokální sítě a pokrytí učeben a dalších vybraných prostor školy bezdrátovou sítí WiFi. Záměr zadavatele rozšíření a modernizace síťové infrastruktury pro potřeby cca 300 uživatelů konsolidace stávajících a instalace nových aktivních síťových prvků 1 Gbps s možností managementu, členění do virtuálních sítí (VLAN), podporou prioritizace provozu (QoS), s páteřním propojením optickými kabely alespoň 1 Gbps, s rezervou cca 15% volných portů v síťových přepínačích vybudování robustní bezdrátové sítě 802.11ac pokrývající všechny chodby, učebny a další požadované části budovy, aktuálně s negarantovanou minimální datovou propustnosti na klienta, bez nároků na pokrytí vysoké koncentrace klientů s vysokými požadavky na přenos multimediálního obsahu, s centralizovaným řízením bezdrátové sítě WLAN kontrolérem nebo pomocí hostované služby, s možnosti napájení přístupových bodů skrze datový kabel (PoE) zajištění kontroly nad webovým obsahem dostupným z lokální sítě pomocí webového filtru zajištění krátkodobého napájení páteřních prvků síťové infrastruktury v případě výpadku proudu Popis stávající situace Součástí prohlídky infrastruktury bylo pouze zběžné zmapování stávající metalické LAN a WiFi infrastruktury. Pasivní síťové prvky (optická a metalická vedení): Budova ZŠ: v komplexu školy existuje systematicky budovaná a funkční LAN infrastruktura pasivní i aktivní LAN prvky nejsou v budově umístěny v dedikované místnosti s kontrolovaným přístupem a řízeným provozním prostředím současná topologie a kapacita LAN infrastruktury neumožňuje jednoduché doplnění a rozšíření, v budově se nachází několik nekoncepčně umístěných částí sítě s desktopvými LAN přepínači s LAN kabely vedoucími přímo ze zdi/lišty do LAN přepínačů stávající aktivní prvky jsou umístěny v několika nástěnných rozvaděčích střední velikosti, které jsou již nyní zcela zaplněny ve stávajících rozvaděčích jsou LAN kabely ukončeny v patchpanelech
strana 2 z 7 propojení dvou rozvaděčů v ZŠ a připojení MŠ je realizováno pomocí páru multimode optických kabelů s koncovkami ST existující LAN kabely jsou vedeny nejkratší cestou plastovými nástěnnými lištami nebo zdmi bez další rezervy, v některých částech budovy chybí části lištového systému nebo jsou poškozeny případný nežádoucí souběh LAN kabeláže s vedením 230 V nebyl cíleně prověřován, minimálně v některých místnostech jsou zjevně LAN kabely vedeny plastovou lištou spolu se silovými vodiči v některých částech budovy jsou použity LAN kabely ve specifikaci CAT5, tedy pouze pro nedostačující rychlost 100 Mbps naprostá většina LAN kabelů v budově je ve specifikaci CAT5e, jsou neznámého stáří a neznámé kvality, v případě jejich použití v inovované infrastruktuře je nutné ověřit jejich parametry měřením LAN zásuvky v budově nemají v místnostech unifikované umístění, nacházejí se převážně v blízkosti počítače, typicky jedna plně osazená LAN dvojzásuvka na místnost v některých místnostech LAN zásuvky zcela schází (např. zatím nebyly nainstalovány po rekonstrukci místnosti) do některých místností je v současnosti přiveden pouze jeden LAN kabel, některé další místnosti mají vzhledem k počtu uživatelů a instalované techniky nedostatečný počet LAN zásuvek (často řešeno desktopovými LAN přepínači), v několika místnostech není LAN dostupná vůbec stav mnoha LAN zásuvek je havarijní Budova MŠ: v budově školky existuje systematicky budovaná a funkční LAN infrastruktura pasivní i aktivní LAN prvky nejsou v budově umístěny v dedikované místnosti s kontrolovaným přístupem a řízeným provozním prostředím současná topologie LAN infrastruktury omezeně umožňuje jednoduché doplnění a rozšíření stávající aktivní prvky jsou vhodně umístěny v jednom centrálním nástěnném rozvaděči střední velikosti, který disponuje dostatečným volným místem pro plánované rozšíření infrastruktury všechny LAN kabely jsou v rozvaděči ukončeny v patchpanelech existující LAN kabely jsou vedeny nejkratší cestou zdmi, na několika místech jsou LAN kabely koncových zařízení vedeny od LAN zásuvek ve zdech nedostatečně kapacitními plastovými lištami případný nežádoucí souběh LAN kabeláže s vedením 230 V nebyl prověřován LAN kabely v budově jsou ve specifikaci CAT5e, jsou pravděpodobně relativně nové, přesto doporučuji před jejich použitím v rozšířené infrastruktuře ověřit jejich parametry měřením LAN zásuvky v budově mají v místnostech unifikované umístění v některých místnostech LAN zásuvky zcela schází, v některých místnostech je jejich počet nedostatečný stav instalovaných LAN zásuvek je dobrý Aktivní síťové prvky (LAN přepínače a routery): připojení k síti Internet je realizováno prostřednictvím nespecifikované technologie nesymetrickou rychlostí 50/2 Mbps
strana 3 z 7 funkci hlavního směrovače (routeru) a brány se službami DHCP a DNS v současnosti vykonává zařízení Mikrotik, které je svými parametry minimálně na hraně pro plánovaný počet uživatelů počítačové sítě instalován je produktový mix 1 Gbps a 100 Mbps LAN přepínačů, pouze některé z nich disponují možností správy, rozdělení sítě pomocí virtuálních sítí (VLAN) a dalšími funkcemi požadovanými v plánované infrastruktuře s výjimkou LAN přepínačů napájejících kamerový systém žádný další neumožňuje napájení zařízení z datového kabelu (PoE) v některých místnostech jsou na vybavení místnosti volně položené, za účelem navýšení počtu připojitelných zařízení a jako přístupové, základní LAN přepínače bez možnosti správy, většina z nich s rychlostí pouze 100 Mbps ve stávajících LAN přepínačích je nedostatečný počet volných portů pro připojení dalších LAN zásuvek, bezdrátových přístupových bodů, apod. převodníky z optiky na metaliku jsou pomalé 100 Mbps konvertory Allied Telesys AT-MC101XL na nástěnném stojanu (označen DR1) v místnosti infocentra je položen moderní kontrolér bezdrátové sítě Hewlett-Packard HPE 830 Unified Wired-WLAN Switch s osmi portovým 1 Gbps LAN přepínačem, podporou napájení zařízení z datového kabelu PoE+ a dvou SFP combo portů, který obsluhuje dva bezdrátové přístupový bod HP umístěný v jeho blízkosti (pozn. tento kontrolér může být použit pouze pro infrastrukturu bezdrátové sítě na platformě Hewlett-Packard) výjimku z předchozích konstatování (kromě konvertorů z optiky) tvoří aktivní prvky LAN instalované v budově MŠ, které disponují dostatečnou rychlostí, funkcemi i počtem volných portů Bezdrátová síť (WiFi): potřeba bezdrátového připojení je ve většině případů řešena ad-hoc bezdrátová síť není v současnosti využívána pro výuku s jedinou výjimkou, kontrolérem bezdrátové sítě HP 830 z enterprise segmentu a k němu připojených kompatibilních přístupových bodů, jsou jako přístupové body používána zařízení pro segment domácnosti, nevyhovujících provozních vlastností, bez možnosti připojení požadovaného počtu aktivních uživatelů (aktuálně cca do 5-ti aktivních klientů na AP), neumožňující centrální řízení, správu a údržbu, nepodporující rozdělení bezdrátových sítí dle účelu použití a případnou centralizovanou autentifikaci uživatelů, což přináší bezpečnostní rizika a zvýšené nároky na správu bezdrátové sítě Serverová infrastruktura: Zadavatel v nedávné době zprovoznil adresářovou službu Microsoft Active Directory na jediném, spíše méně výkonném hardware (HP PoLiant ML110 G7, Windows Server 2008 R2) a postupně tuto technologii ve škole zavádí. Pro autentifikaci uživatelů bezdrátové sítě by měl být výkon hardware dostatečný. Doporučuji dodatečně ověřit konkrétní parametry hardware (především RAM a redundantní diskový subsystém) a doplnit infrastrukturu o druhý kontrolér domény pro případ výpadku prvního. souborové služby jsou realizovány prostřednictvím NAS Synology žádné další významné serverové služby současná infrastruktura neposkytuje
strana 4 z 7 Navrhované změny síťové infrastruktury V budově ZŠ bude nezbytné instalované nástěnné lišty z větší části vyměnit za lišty s vyšší kapacitou, v některých případech bude nutné zvětšit prostupy zdmi a mezi patry. Budou-li některé původní lišty použity, je třeba vyloučit souběh LAN kabeláže s vedením 230 V. U zachovávaných lišt je nezbytné revidovat jejich stav a provedení a odstranit nedostatky, případně doplnit chybějící části. Stávající LAN kabeláž je možné z části použít pro plánované doplnění LAN infrastruktury a vybudování robustní bezdrátové sítě, je však třeba zohlednit vhodné změny v umístění a vedení páteřní infrastruktury, která je v tuto chvíli nevyhovující. Instalované LAN kabely a LAN zásuvky specifikace CAT5 musí být odstraněny a nahrazeny specifikací minimálně CAT5e. Kabely a zásuvky specifikace CAT5e, které bude z hlediska topologie sítě možné zachovat, bude třeba proměřit a na základě výsledků měření rozhodnout o jejich zachování či o jejich nahrazení. Pro zajištění požadovaného počtů zásuvek v investorem specifikovaných místnostech a pro vybudování bezdrátové WiFi infrastruktury je nutné doplnění nové LAN kabeláže v kvalitě minimálně CAT5e, ideálně CAT6, vedené dostatečně dimenzovanými nástěnnými lištami. Doporučuji revizi umístění stávajících rozvaděčů vzhledem k vhodné topologii budoucí sítě a případné doplnění rozvaděčů s páteřními a přístupovými síťovými přepínači ve všech podlažích a křídlech budovy a tyto páteřní síťové přepínače propojit optickými kabely s centrálním síťovým přepínačem v investorem zvolené technologické místnosti (pravděpodobně místnost Spisovna v 1. np). Při výběru umístění rozvaděčů doporučuji tyto umisťovat mimo místnosti užívané lidmi z důvodu hlučnosti některých aktivně chlazených síťových prvků. Např. hlavní rozvaděč je vhodné umístit do technické místnosti či skladu bez oken či se zatemněnými okny orientovanými na jinou světovou stranu než jih, místnost by ideálně měla mít možnost instalace klimatizační jednotky. Přístupové rozvaděče horizontální UTP kabeláže na jednotlivých patrech mohou být umístěny v uzamykatelných nástěnných rozvaděčích na chodbách ve výšce, do které není možné běžně dosáhnout. Doporučuji kompletní nahrazení páteřní infrastruktury aktivních prvků, všech starých a cílovým segmentem nevhodných LAN přepínačů a hlavní brány/routeru. Nová zařízení musí být minimálně ze segmentu Small Business, optimálně ze segmentu Enterprise, musí splňovat požadavky na snadnou centralizovanou správu a monitorování sítě, možnost členit LAN síť do virtuálních sítí (VLAN) a v případě doplnění infrastruktury o bezdrátovou síť musí být některá ze zařízení schopna napájet bezdrátové přístupové body pomocí datového kabelu (PoE). Páteřní LAN přepínače musí umožnit propojení s centrálním LAN přepínačem optickými kabely minimálně o rychlostí 1 Gbps. Použitý směrovač (brána/router) musí umožnit správcům sítě bezpečné připojení z veřejné do lokální sítě za účelem její správy pomocí minimálně 2 souběžných VPN kanálů. Některé v současnosti instalované aktivní síťové prvky je možné použít i v budoucí rozšířené LAN infrastruktuře, např. jako přístupové LAN přepínače. Znovu použít je možné stávající zařízení vhodné svým segmentem použití, rychlostí, možností centrální správy, bezpečnostními funkcemi a dalšími. Při rozhodování, která zařízení je možné použít, doporučuji přihlédnout i ke stáří současných zařízení a trvající podpoře modelu ze strany výrobce zařízení. V budově MŠ bude pro rozšíření LAN kabeláže a LAN zásuvek v zadavatelem specifikovaných místnostech postačovat doplnění stávajícího stavu o vedení nástěnnými plastovými lištami a příslušnými prostupy zdmi. Instalovaný střední nástěnný rozvaděč pravděpodobně svojí kapacitou postačuje. V něm instalované aktivní prvky doporučuji konsolidovat s technologií a výrobcem instalovaným v budově ZŠ pro možnost jednoduché jednotné centrální správy všech zařízení. Optické kabely propojující ZŠ a MŠ bude pravděpodobně možné ponechat a pouze vyměnit technologii konvertorů pro rychlost alespoň 1 Gbps.
strana 5 z 7 Přístup na webové stránky doporučuji chránit a monitorovat webovým filtrem s možností členění uživatelů do skupin a jejich jednoduchou autentifikaci, jednoduchou správou s přehlednými zprávami o činnosti filtru. Parametrem s největší vahou by měly být účinnosti filtru pro lokalitu ČR a pro zbytek světa. Pro implementaci bezdrátové sítě navrhuji přístupové body umístit na chodbách jako stropní nebo svislou montáž na stěnu pro prosté pokrytí budovy s negarantovanou minimální datovou propustnosti na klienta a bez nároků na pokrytí vysoké koncentrace klientů s vysokými požadavky na datové přenosy. V zadavatelem specifikovaných místnostech s vysokou koncentrací uživatelů navrhuji instalaci přístupových bodů jako stropní montáž, aby byla pro každého klienta zajištěna optimální šířka datového pásma poskytovaná přístupovým bodem, neomezovaná prostupem signálu zdmi, nebo jeho odrazy od zdí a dalších překážek. Přístupové body doporučuji napájet prostřednictvím datového kabelu (PoE). Bezdrátové přístupové body v uvažovaném počtu je nezbytně nutné řídit kontrolérem bezdrátové sítě (WLAN Controller), jenž umožní inteligentní automatické přizpůsobování bezdrátové sítě aktuálním podmínkám, umožní jednoduché nasazení nových přístupových bodů, jejich jednoduchou správu a monitoring. Kontrolér bezdrátové sítě musí umožňovat autentifikaci klientů oproti adresářové službě (např. Microsoft Active Directory) nebo jinému seznamu uživatelů (RADIUS server). Ve všech místnostech s požadavkem instalace přístupového bodu je nutné zajistit jeden datový kabel vedený z nejbližšího LAN přepínače s podporou technologie PoE na každý přístupový bod. Počet a umístění přístupových bodů musí odpovídat zadavatelem specifikovanému způsobu použití, požadavkům na šířku datového pásma na klienta a počtu předpokládaných klientů v konkrétních místnostech nebo lokalitách. V současnosti instalovaný kontrolér bezdrátové sítě HP 830 a dva kompatibilní přístupové body doporučuji vyřadit, nebo použít pro jinou neexponovanou bezdrátovou síť. Připojení k síti Internet doporučuji navýšit na minimálně 50 Mbps symetrických bez agregace. Doporučené změny: Návrh konkrétních změn bude popsán v projektu inovace a rozšíření síťové infrastruktury. Doporučený postup realizace: Zadavatelem potvrzené počty LAN zásuvek a rozmístění rozvaděčů, zadavatelem specifikované požadavky na způsob použití a parametry bezdrátové sítě, přesné zaměření prostupů zdmi a podlahami, potvrzení možnosti vedení lišt, kabelů a jejich délek, vytvoření projektové dokumentace s přesným popisem infrastruktury, jednotlivých prvků a s cenovým rozpočtem, montáž rozvaděčů pro páteřní a přístupové síťové přepínače a další prvky infrastruktury, montáž nových UTP a optických kabelů, montáž nových LAN zásuvek, otestování LAN kabeláže a LAN zásuvek, montáž WiFi přístupových bodů, montáž LAN přepínačů, hlavního routeru, případně appliance webového filtru, zapojení a konfigurace LAN přepínačů, routeru a webového filtru, zkušební provoz, zapojení a konfigurace WLAN kontroléru a WiFi přístupových bodů, zkušební provoz, předání infrastruktury.
strana 6 z 7 Doplňující informace: Ceny materiálu a práce na instalaci nové LAN kabeláže, lišt, LAN zásuvek, vytvoření prostupů ve zdech, výměna stojanů a dalších položek budou vyčísleny v projektu po doplňujícím přesném zaměření. Potřebné práce a materiál profese silnoproud, např. navýšení silových vedení, napájecích zásuvek a kapacity jističů doporučujeme řešit s místním dodavatelem. Závěr V budově ZŠ je nutné zcela rekonstruovat páteřní LAN infrastrukturu. Umístění stávajících rozvaděčů je třeba revidovat s ohledem na vhodnou topologii rozšířené LAN a WiFi sítě. Současnou LAN kabeláž je možné částečně využít, musí však být v souladu novou topologií sítě. Je zapotřebí provést rozšíření a opravu stávajícího lištového systému a LAN kabeláže. Je pravděpodobné, že stávající prvky infrastruktury bude třeba doplnit o vhodně umístěné a dimenzované rozvaděče. Instalaci nové UTP kabeláže pro rozšíření a nahrazení zastaralé infrastruktury doporučuji provést v kvalitě CAT5e, ideálně v kvalitě CAT6A. Propojení páteřních a přístupových LAN přepínačů navrhuji realizovat pomocí optických kabelů s rychlostí minimálně 1 Gbps. V budově MŠ bude možné stávající infrastrukturu pouze doplnit. Infrastrukturu páteřních LAN přepínačů doporučuji nahradit novými LAN přepínači 1 Gbps s požadovanými bezpečnostními a administrativními funkcemi a s možností propojení optickými kabely. Doporučuji instalovat zařízení páteřní infrastruktury a prvky bezdrátové WiFi od jednoho výrobce z vhodné produktové řady z důvodu konsolidované, centrální a jednoduché správy všech zařízení. Některé v současnosti instalované LAN přepínače bude možné použít v budoucí infrastruktuře jako přístupové (koncové) LAN přepínače. Pro bezproblémové fungování budoucí LAN a WiFi infrastruktury je nezbytné nahradit stávající hlavní router/bránu zařízením s dostatečným výkonem pro požadavky sítě s internetovým připojením 100 Mbps a lokální sítí s min. 300 klienty, s požadovanými bezpečnostními funkcemi a možností zabezpečeného připojení z veřejné sítě. Zadavatel může pro zajištění definovaného a monitorovaného přístupu uživatelů na internetové webové stránky zvážit instalaci filtru webového přístupu s garantovanou úspěšností pro ČR. V případě implementace robustní bezdrátové sítě WiFi je nutná instalace nových LAN přepínačů umožňujících napájení bezdrátových přístupových bodů po datovém kabelu (PoE). Bezdrátovou síť je nutné řídit kontrolérem bezdrátové sítě z důvodu automatické dynamické konfigurace parametrů sítě, jednoduché centrální správy, sledování, rozdělení sítí a autentifikaci uživatelů. Přístupové body v učebnách nebo v místnostech s větší hustotou uživatelů navrhuji jako modely určené pro stropní montáž pro zajištění optimálního příjmu signálu, ostatní prostory mohou být osazeny přístupovými body se svislou montáží na zeď. Pro velmi pravděpodobné budoucí daleko větší využívání výukového obsahu umístěného na síti Internet a pravděpodobný přesun řady výukových aplikací do prostředí cloudu doporučuji navýšit rychlost připojení k síti Internet na symetrických a neagregovaných alespoň 50 Mbps.
strana 7 z 7 Zpracoval dne 8.8.2016 František Dudek AV MEDIA, a.s. frantisek.dudek@avmedia.cz tel: 724 444 158