Transcript

1 Il progetto WiFi M. Maggiora, C. Pacheco Politecnico di Torino

2 Agenda La rete wired del Politecnico di Torino Il progetto " WiFi Architettura Prestazioni Sicurezza

3 Il Politecnico di Torino Circa nodi distribuiti su 17 sedi 10 in ambito metropolitano e 7 in ambito regionale Vengono forniti servizi di dati e fonia a più di 40 Strutture Circa utenti tra personale e studenti

4 Il Politecnico di Torino L infrastruttura è di tipo routed Organizzata con switch di livello 3 alla frontiera di ogni struttura con un doppio anello Gb di backbone (2+10 Gbps) Routing a livello applicativo

5 La rete del Politecnico AREA 3 AREA 1 AREA 2... RING 1 (2Gbps) AREA RING 2 (1Gbps) Ce.S.I.T. SERVERFARM (Other) SERVERFARM (WEB) INTERNET Border Router Remote Access Remote Site

6 Perché una rete Wireless Facilitare l utilizzo delle risorse informative Adattare l accesso ai servizi informatici secondo il nuovo modello didattico Ampliamento virtuale degli spazi di lavoro per personale e studenti Supporto alla micromobilità

7 Il progetto -WiFi Il gruppo di lavoro del progetto è costituito da personale dei Dipartimenti del Politecnico, Operatori di Telecomunicazione, Istituti di Ricerca e Compagnie ICT: Ce.S.I.T. (Gruppo Reti) M. Maggiora (Coordinatore), C. Pacheco, A. Lantieri DAUIN (Control and Computer Engineering) - Antonio Lioy DELEN (Electronics) - TLC - Fabio Neri GESD (Student Support Services) - Enrico Venuto ISMB (Istituto Superiore Mario Boella Research Institute) - Daniele Mazzocchi, Daniele Brevi Telecom Italia - Marco Boasso TiLAB Supporto esterno Cisco Systems Supporto esterno Hewlett-Packard Supporto esterno

8 Il progetto WiFi Gli obiettivi: Accesso WiFi sicuro Architettura scalabile ed affidabile Management integrato Integrazione con la rete wired di Ateneo Estensione a livello geografico Utenti eterogenei

9 Il progetto WiFi WiFi Copertura Wireless

10 Il progetto WiFi Warchalking

11 Il modello WiFi La Wireless Lan deve essere considerata una estensione della rete wired Un nuovo modo di accesso ai servizi non la sostituzione della rete wired Particolare attenzione è stata posta ai meccanismi di cross-authentication, alla sicurezza e alla facilità d uso

12 Il modello WiFi WiFi Cross Authentication Sono stati presi accordi con altri istituti ed enti di ricerca per estendere virtualmente le aree WiFi sul territorio metropolitano:

13 Il modello WiFi EduRoam

14 Il modello WiFi WiFi Tipologie di utenti Studenti Personale interno Guest istituzionali Guest Anybody

15 Il modello WiFi Scalabilità Le soluzioni devono essere adattabili ad un ambiente di tipo Campus/Enterprise ma anche a livello di Branch Office Anche il modello di sicurezza dovrà poter scalare a secondo della criticità dell ambiente coperto e del profilo dell utente

16 S YSTE M RPS STAT UTIL DUPLE X SPEE D LIN E PWR STA T U TIL DU PLEX S PEED LINE P WR SY STEM RP S CORE CATALYST 3550INLINE POWER 1 2 CATALYST 3550INLINE POWER 1 2 FAN STATUS INPUT OK RUN FAN OK WS- X6K -SUP 1A- 2GE OUTPUT F AIL STATUS SYST EM SU PER VIS OR 1 WS- X6K -SUP 1A- 2GE STATUS SYSTEM SU PER VIS OR 1 W S-X6516-G BIC ST ATUS 16 PO RT GIGA BIT ETH ERN ET WS- X6516-GE -TX STA TUS 16 POR T 1000 BA SE- T GE WS- X6548-RJ-45 STA TUS ACTIVE PWR MGMT RESE T ACTIVE PWR MGMT RESET CO N SO LE CO N SO LE LIN K LI NK 12 DT E/D CE DTE/DCE LIN K 100% 1% S WITCH LO AD 100% 1% S WITCH LO AD LIN K LIN K INPUT OK Power Supp ly 1 Power Supply 2 RUN Catalyst 6500 SERIES LIN K LIN K PCMCIA PCMCIA FAN OK LIN K OUTPUT FAIL 10 EJECT EJECT LIN K LIN K LIN K LI NK LI NK P OR T 1 P OR T LI NK LI NK LI NK LIN K PO RT 2 PO RT P HO N E C ISC O A IRO NET 1200 I W IR ELESS ACCE SS P OIN T SY STEM R PS S TAT U TIL D UPLEX S PEED LIN E PWR 1 2 CI SCO AI RONE T I WI RELES S AC CESS POI NT INPU T V~ 12-5 A 50/60 Hz Catalyst 4506 FA N STA TUS S witch must be in off "O" position to Install/Remove power supply. Fastener must be fully enaged prior to oper atin g power supply. INPUT OK FAN O K O UTPUT FAIL WS -X4 515 S UP ERV IS OR E NGINE IV S TA TUS UPL INK 1 UP ACT IV E L INK A CTIV E 1000AC A CTIVE CI SCO AI RON ET 1200 I WI RELES S A CCESS PO INT INPUT V~ 12-5 A 50/60 Hz UT IL IZ AT ION CIS CO AIR ONET 1200 I W I RELESS AC CESS POI NT S witch must be in off " O" positio n to Install/Remove power supply. Fastener must be fully en aged prior to oper ating powe r supply. INPUT OK FAN OK O UTPUT FAIL CONSOL E 1 0/100 MGT 1 % 1 00% EJ ECT L INK CATALYST 3550INLINE POWER 1 2 FL AS H 1000AC RES E T C ISC O A IRO NET 1200 CI SCO AI RON ET 1200 I W IR ELESS ACCE SS P OIN T I WI RELES S A CCESS PO INT Architettura WiFi ap1x3.polito.it 1,10,11 Power injector gi1/0/23 L3-A WLSE Engine gi1/0/25 apx31.polito.it L3-B wlse.polito.it 1,10,13 gi8/12 1,10,13 fa0/24 gi0/25 TRUNKs ap3x2.polito.it fa0/1 fa0/3 12 fa0/11 fa0/9 INSTAL L INSTAL L gi1/0/25 L3-C HP760 HP760 gi1/0/27 portale.polito.it u plink portale2.polito.it uplink fa0/1 sw-.polito.it fa0/3 fa0/24 fa0/12 14 gi0/1 1000Base-T gi0/1 fa0/1 fa0/2 fa0/3 Cross-Authentication radius.polito.it 1,10,12 1,10,11 1,10,11 apx11.polito.it apx12.polito.it ap2x1.polito.it TRUNKs VLAN 1 - GESTIONE WIFI VLAN 10 - PEAP VLAN 11 - WIFI-OPEN-1 VLAN 12 - WIFI-OPEN-2 VLAN 13 - WIFI-OPEN-3

17 Captive Portal

18 Sicurezza SICUREZZA Modello di Autent. Disp. Autent. Mutua Livello di Sicurezza (air) Prot. Username Prot. Password Prot. Dati Attività Consigliabili Open HTTPS Browse Based tutte le aree Password Cliente Certificato Server Alta Alta Nessuna Navigare Internet Delega Sicurez. Livello applic. Tunnel VPN IPsec tutte le aree Password Cliente Certificato Server Alta Alta Alta Come PC fisso 802.1x PEAP- MSCHAP WPA field test Password Cliente Certificato Server Bassa in client XP Alta Alta Come PC fisso 802.1x EAP/TLS- WPA lab. test Certificato Cliente Certificato Server Bassa Non applicabile Alta Come PC fisso

19 Sicurezza Di norma sono tre le fase del processo di autenticazione: Autenticazione Autorizzazione Accounting Processo definito AAA

20 Architettura Radius Proxy radius Backbone Ateneo Proxy radius Altre Istituzioni Internet Central Proxy Radius radius.polito.it Radius per LDAP Studenti Garr Proxy radius Edu-Roam LDAP Personale LDAP Studenti

21 CISCOAIRONET120 WIRELESACESPOINT Accesso VPN per il personale VPN client Pc esterno alla rete LAN Politecnico Destinazioni esterne al (Internet) - Traffico NON protetto Rete Internet Destinazioni interne al (rete LAN) - Traffico protetto Destinazioni interne al (rete LAN) - Traffico protetto VPN concentrator LAN Destinazioni esterne al (Internet) - Traffico NON protetto VPN client non abilitato VPN client Pc connesso alla rete LAN Politecnico

22 CISCOAIRONET120 WIRELESACESPOINT Accesso VPN per gli studenti VPN concentrator Rete Internet LAN VPN client Tutte le destinazioni Rete Traffico protetto Pc connesso alla rete LAN Politecnico VPN client non abilitato Traffico NON protetto

23 Servizi Wireless Internet LAN wired Politecnico Campus Politecnico

24 Portale informativo