Seminář pro správce univerzitních sí4 Informace o nasazení IPv6 v PASNETu a v univerzitní sí3 FTAS Flow- Based Traffic Analysis Systém CESNETu pro monitorování provozu TERENA CerIficate Service (TCS) Vydávání serverových a osobních cer3fikátů pro potřeby univerzity 16. října 2012 Vladimír Horák, ÚVT UK, vhor@cuni.cz
Informace o nasazení IPv6
IPv6 ve světě IPv4 adresy došly Podpora v OS Windows7, Mac OS X, Linux/FreeBSD/Win Dostupné služby IPv6 day 6. 6. 2012 Google, Yahoo, Facebook, Seznam
IPv6 v PASNETu - historie 2004 první implementace Na3vně na cetrální 6500 Koncové sítě dedikované FreeBSD, RIP tunely L2 VLAN Postupný upgrade ak3vních prvků Podpora IPv6 v hardwaru BGP, OSPFv3
IPv6 v PASNETu současnost Na3vní rou3ng na většině páteřních prvků Kopíruje topologii IPv4 Možnost na3vního připojení většiny síi Dedikovaný router pro GRE tunely Používá: AV ČR, CUNI, VŠE, AVU, MŠMT, ÚIV
IPv6 v PASNETu - adresace 2001:718:1e00::/42 2001:718:1e00::/48 páteř 2001:718:1e01::/48 AV ČR 2001:718:1e02::/48 VŠE 2001:718:1e03::/48 CUNI 2001:718:1e04::/48 AVU
Sta3s3ky PASNET x CESNET
Sta3s3ky PASNET x CESNET
Poměr IPv4 x IPv6
IPv6 na CUNI - konek3vita Praha: RUK, areál Jinonice, koleje pod správou ÚVT Eduroam pod správou ÚVT MFF, kolej 17. listopadu CTS ÚJOP Hradec Králové: FAF Poděbrady: ÚJOP Mariánské lázně: ÚJOP
IPv6 na CUNI - služby DNS WWW.CUNI.CZ - 3,1% IS.CUNI.CZ 8,2% SMTP pro @cuni.cz, @ruk.cuni.cz 1% ze světa 10% z *.cuni.cz 1 spam/den
Investovat jen do věcí s podporou IPv6 Hardware L3 Rou3ng v hardwaru L2 FHS (First- Hop- Security ekviv. DHCP snooping, ARP snooping) Implementováno nebo v plánu Mul3cast Management Soyware Management, monitoring, logy Aplikační sw
Nasazení IPv6 Ne nahrazení IPv4, ale paralelně IPv4 a IPv6 Služby Klien3 Přechod na čistě IPv6 LAN NAT64
Nasazení IPv6 ve fakultní sí3 Přidělení IPv6 prefixu Velké fakulty: /52 (4096 subnetů) Menší pracoviště: /56 (256 subnetů) Delegace reverzních domén Konfigurace IPv6 rou3ngu Na3vní GRE tunel (/60 prefix)
Podpora ÚVT Konfigurace ak3vních prvků (CISCO) Konfigurace DNS, www Školení základů IPv6
FTAS Flow- Based Traffic Analysis System Tomáš Košnár, CESNET
FTAS Systém pro analýzu síťového provozu Zdroj dat: NetFlow Autor: Tomáš Košnár, CESNET Služba pro členy CESNETu
NetFlow Logování L3 provozu rychlých síi Zajímavé údaje: Kdo s kým Co (protokol h~p, dns, ping ) Kdy Kolik paketů a byte Logování toků (flow), ne paketů
Flow Charakteris3ka flow Src, dst, protokol, src_port, dst_port Informace o flow Charakteris3ka Počet paketů a bajtů Čas začátku a konce Fyzický interface, AS
Zdroje Router (catalyst 4500, firewall ) Pasivní sonda Na span portu switche Na lince (tap) Vzorkování (sampling) Bytes- measured Bytes- es3mated
Architektura Exporter Router PC s kartou & soy Kolektor Soyware pro analýzu Problém velký objem dat, zpracování a archivace
FTAS pro správce síi Tabulka pro IP rozsah fakultní sítě Zdroje hraniční routery CESNETu R92 C7600 195.113.156.6 po102 ten2/4t ten8/3 R114 C7600 195.113.156.8 ten2/2 2x10Gb! záložní linka! Zikova 2x10Gb! hlavní linka! Ovocný trh - KCP ten1/1 ten4/1 po102 BGP-OVC C6500 195.113.68.2 PASNET ten1/1 ten4/1 BGP-RUK C6500 195.113.68.17
FTAS - použii Top žebříčky Analýza podivných jevů Zákaznické sta3s3ky h~ps://www.pasnet.cz/info Nalezení špičky FTAS Selekce podle času Top žebříček Selekce IP adresy Podrobný výpis
FTAS příklad
FTAS - přístup Zkusit se přihlásit na h~ps://ozzik.cesnet.cz/yas/stat.pl Pokus o autorizaci přes CAS, neúspěšně: There is no access to FTAS system for idenity you are presening!!! You are introducing yourself as ' h~ps:// cas.cuni.cz/idp/shibboleth!hxps://yas.cesnet.cz/shibboleth! Xzm6lwGupj2nY7sdfsfgoGF4m4s= '. However you may be registered user of FTAS service, but the system was not able to verify it automa3cally (it works only for accounts managed by Iden3ty Provider CESNET). Presented iden3ty is different from what is registered in your FTAS system profile in that case. Poslat řetězec ze stránky na vhor@cuni.cz (+ jméno, pracoviště, rozsah IP adres)
Terena Cer3ficate Service
TERENA Cer3ficate Services Serverové a osobní cer3fikáty Vydává firma Comodo CA Limited Zprostředkovává CESNET Cena zahrnuta v příspěvcích CESNETu Kontakt: tcs@cuni.cz
Serverové cer3fikáty h~ps://tcs.cesnet.cz/req Authen3kace přes CAS Pro cuni.cz (domény ve vlastnictví CUNI) Vydání cer3fikátu: druhý pracovní den dopoledne
Osobní cer3fikáty h~ps://ldap.cuni.cz Ověřené heslo v CAS Ověřená emailová adresa Požádat o cer3fikát podle návodu h~p://pki.cesnet.cz/cs/tcs- personal- user.html