La rete d Ateneo: relazione del Servizio Gestione e controllo Rete di Trasmissione. giugno 2013.

Transcript

1 Settore Informatica e Telecomunicazioni di Ateneo (S.I.T.A.) La rete d Ateneo: relazione del Servizio Gestione e controllo Rete di Trasmissione. giugno

2 Introduzione. Questo documento riassume il bilancio dell attività effettuata dal Servizio Gestione e controllo Rete di Trasmissione Dati (di seguito identificato come Siti-car) durante il periodo primo semestre 2013 e indica quali saranno, presumibilmente, le aree di maggior coinvolgimento per l anno In estrema sintesi, a fianco della ordinaria attività di manutenzione ed assistenza che occupa buona parte del tempo del personale del Siti-car, gli eventi che hanno maggiormente caratterizzato il periodo in questione sono stati: Configurazione e coordinamento dell installazione di circa 60 di apparati HP L2; Manutenzione della rete wireless HP già in servizio; Affiancamento ai tecnici di BTEnia nella migrazione della dorsale cittadina dalla infrastruttura Telecom (bando fonia-dati anno 2008) alla infrastruttura BTEnia; Installazione guidata, setup avviamento e consolidamento della nuova rete wireless, fornita da Aruba Networks e frutto dell acquisizione prevista dal bando fonia-dati; Migrazione di alcuni edifici del campus su una nuova dorsale di Campus su HP 8212; Ottimizzazione della procedura di gestione degli utenti temporanei sul sistema wifi e gestione dei log. Sono qui di seguito presi in esame con maggior dettaglio specifici aspetti delle attività del Siti-car. La rete d Ateneo: giugno La situazione contemporanea attraverso i numeri. L intero sistema della rete d Ateneo è contraddistinto da una notevole variabilità temporale legata ai ritmi delle presenze e delle attività di tutti i suoi utenti: per questa ragione non è possibile descriverla con dei numeri esatti. Qui di seguito sono pertanto riportati dei valori indicativi. Intendendo con nodo un qualsiasi oggetto collegato alla rete, ci sono circa cinque mila nodi attivi durante i giorni feriali, dei quali circa 1500 rimangono attivi anche durante i giorni festivi e la notte. Il numero complessivo è ormai stabile da alcuni anni, segno che è stata raggiunta da tempo la massima espansione possibile. L unico apporto significativo alla crescita dei nodi è la progressiva installazione dei telefoni in tecnologia VoIP. La componente di crescita al momento è a carico del BYOD, vale a dire l uso di terminali personali portatili a disposizione degli utenti. La categoria di nodi sicuramente più numerosa è costituita da personal computer o workstation (circa 4200); la maggioranza di essi sono finalizzati all"'office automation" e all accesso ai servizi presenti in rete mentre circa duecento svolgono la funzione di server, offrono cioè servizi per la comunità. I n questo numero pero' non sono contabilizzati i server dell amministrazione in quanto sono collocati al di là di un firewall oltre il quale, dal punto di osservazione del Siti-car, non è possibile fare statistiche. Insieme ai client ed ai server, un'altra categoria di nodi piuttosto numerosa è costituita dagli apparati di rete. Essa è suddivisa in circa 500 apparati L2 (che svolgono la funzione di concentratori locali, consentendo cioè la connessione fra uffici adiacenti) ed una trentina di apparati L3 con funzioni di connessione intersede. Gli apparati di connessione alla rete sono distribuiti, seguendo le indicazioni del cablaggio strutturato, in circa 150 armadi di rete presso i quali sono attestati tutti i cavi che da qui si estendono fino agli uffici degli utenti. L'insieme degli apparati L2, L3 appena citati ed un numero limitato di altri dispostivi costituiscono quella che di seguito sara' citata come infrastrurtura di rete.

3 Gli apparati di rete, così come generalmente i server, sono in funzione 24 ore su 24. Infine ci sono circa 300 access point e un centinaio di dispositivi per il telecontrollo e la telesorveglianza (rilevatori di presenze, telecontrollo allarmi e telecamere su IP). E probabile che nel prossimo futuro il numero di questi apparati sia destinato ad aumentare in quanto i fornitori convergono inesorabilmente verso l utilizzo della rete di trasmissione dati come veicolo preferenziale per la trasmissione di informazioni, abbandonando progressivamente l uso di infrastrutture proprietarie (cavi coassiali o altre reti specializzate). Riassumendo dunque la situazione generale è la seguente: Numero complessivo di nodi Apparati di rete L2 Telefoni VoIP Server d Ateneo Access Point Telecontrollo/telesorveglianza Tabella 1: numerosità dei nodi di rete mentre per quanto riguarda più specificatamente gli apparati di rete il quadro è:

4 L intera infrastruttura di rete wired è praticamente monomarca (HP) quindi le procedure di configurazione, il controllo e la conoscenza sugli apparati sono ottimizzati; per quanto riguarda l omogeneità dell hardware prossimo venturo, il futuro non è così promettente a causa della acquisizione di H3C (3Com) da parte di HP con il conseguente riassetto per l intero portafoglio degli apparati di rete e la convivenza di due sistemi operativi (ProcurveOS e ComwareOS) e due filosofie differenti. E quindi quasi certo che perderemo il primato ed i vantaggi dell omogeneità. Tutti i nodi dell Ateno sono distribuiti in quattordici plessi cittadini, di dimensioni variabili da circa un migliaio di nodi a qualche nodo, collegati in fibra ottica a 1 Gbit/sec con percorso ridondato e magliato con due percorsi complessivi per ciascuna sede, ciascuno attestato su un apparato diverso e collegato alla dorsale, ancora una volta su switch diversi, secondo uno schema descritto in figura 1. Fig.1 Topologia della dorsale di rete dell Ateneo. La dorsale e costituita da apparati HP della classe 5000, con firmware ComWare mutuato dalla acquisita H3c, che offre una funzionalità avanzata di stacking IRF. Questa funzione consente di vedere, trattare e configurare una serie di apparati come un singolo dispositivo fisico nascondendo all operatore l intera complessità fisica. Le sedi si trovano tutte quante sul territorio cittadino con una distribuzione geografica qui raffigurata:

5 Il collegamento fra la rete d Ateneo ed Internet. L Università di Parma si allaccia ad Internet tramite un consorzio denominato GARR (Gruppo Armonizzazione Reti per la Ricerca). Il consorzio gestisce la dorsale di collegamento fra gli enti accademici e culturali italiani le reti di ricerca europee, la rete commerciale e le reti internazionali. Il canale utilizzato è una rilegatura di due canali, in fibra, al Gigabit in fibra. Al momento una coppia di fibre è utilizzata come canale principale mentre l altra coppia ha la funzione di backup.se l'aumento delle necessita' lo richiedranno, previa la sostituzione di un apparato, le coppie potranno essere utilizzate in modalità di bilanciamento di carico, mettendo a disposizione 2 Gibits complessivo. Al momento, l utilizzo medio è nell ordine del 20% (sul giga) con punte nell ordine del 50% e con un andamento che, ovviamente, risente dei ritmi giornalieri del lavoro. Qui di seguito è riportato il grafico dell andamento del traffico durante una generica settimana. Fig. 2

6 Il traffico di rete, prima di entrare nella rete di ateneo o uscire sulla rete GARR/Internet, viene analizzato da alcuni apparati che hanno la funzione di firewalling (consentire/proibire particolari attività sulla rete) o di profilazione del traffico, limitando ad esempio, solo tipologie di traffico specifiche (es. scambio di materiale coperto da diritti d'autore). La catena degli apparati coinvolti è qui rappresentata (fig.3): Fig.3 Sul canale di comunicazione, il protocollo più attivo è sicuramente l http come si evince dalla fig.4 Fig.4: distribuzione traffico fra i protocolli.

7 Il ruolo del Siti-car Definita a grandi linee la consistenza dell infrastruttura su cui operiamo, descriviamo qui di seguito quale è l attività effettuata dal Siti-car, andando ad espandere alcune voci che definivano il profilo operativo del servizio all interno del precedente (e più dettagliato) organigramma. 1) controllo dell accesso alla rete e ai servizi erogati in rete dalle strutture d Ateneo, sulla base delle leggi in vigore e dei regolamenti interni all Ateneo o di quanto stabilito da organi interni In questo contesto rientrano le attività di gestione e manutenzione del firewall d Ateneo (Juniper) del Traffic shaper (Allot) e delle access-list distribuite sui vari router di plesso (Cisco e Procurve OS). L evoluzione moderata della rete che caratterizza questo momento fa si che le attività in oggetto siano prevalentemente quelle di ordinaria manutenzione, quindi aggiunta e/o rimozione di host o servizi dalle access list. 2) implementazione e gestione delle tecnologie per il controllo di accessi alla rete intranet e dell autenticazione degli utenti che si collegano da remoto L attività sopra descritta consiste nell installare (quando assente), mantenere ed aggiornare ogni tipo di hardware o software che autorizza o controlla l accesso alla rete. La centralità di questa funzione diventa evidente quando si pensa alla modalità d accesso alla rete wireless. La copertura radio di un comune access-point non è facilmente confinabile all interno di locali di proprietà dell Amministrazione ed è pertanto necessario effettuare dei controlli in modo da consentire gli accessi solo ai titolari di requisiti ben definiti e che, in ogni caso, abbiano un preciso rapporto con l Università. Il processo è noto come processo di autenticazione, autorizzazione (ed accounting) solitamente abbreviato con l acronimo AAA. Per questo specifico aspetto, l'attività è stata fortemente polarizzata dalla installazione, configurazione, setup e tuning della nuova infrastruttura wi-fi, oggetto di un paragrafo dedicato. 3) attività necessarie al funzionamento, all'aggiornamento e allo sviluppo della rete di trasmissione dati dell'ateneo, alcune delle quali svolte in collaborazione con il Servizio Reti-Fonia In quest ambito rientrano ad esempio le modifiche alla topologia della rete legate a ristrutturazioni, riorganizzazione e riallocazione del personale o installazione del materiale hardware approvigionato, tipicamente via bando Fonia Dati. A seguito dell'assegnazione della fornitura dei servizi di fonia-dati avvenuta a giugno 2012, nel settembre del 2012 si è verificato l'avvicendamento del fornitore dell'infrastruttura di rete metropolitana passando da Telecom a BTEnia. Questo passaggio ha obbligato la ricollocazione dei punti di attestazione di ciascuna singola sede cittadina su una nuova architettura (fig.1). L'impatto di un progetto di tale portata è sempre elevato e, sebbene condotto principalemente dal personale di BTEnia, ci ha visti impegnati nel supporto, tuning per parecchi mesi. Ad operazione conclusa, entro i tempi previsti, possiamo certamente affermare che i disagi per l'utenza sono stati molto contenuti. 4) gestione del DNS (domain name-server) primario per la registrazione degli indirizzi di rete delle stazioni della rete d'ateneo (IP-address del dominio unipr.it) e coordinamento del piano di indirizzamento delle reti locali di tutti gli insediamenti (sottoreti) L attività è stata già descritta nel corso della relazioni precedenti e non presenta alcuna variazione sostanziale: è prevista solo l attività di ordinaria amministrazione.

8 5) rapporto tecnico con il GARR Il GARR, gestore della dorsale di comunicazione che collega le università italiane fra loro e con le altre comunità accademiche internazionali, opera in ambito locale con l ausilio di figure tecniche di riferimento denominate APM (Access Port Manager riferimento tecnico) e APA (Access Port Administrator riferimento amministrativo) che fungono da intermediari. 6) monitoraggio del traffico di rete e degli incidenti di sicurezza informatica quali intrusioni sui sistemi informatici, diffusione virus e abusi vari Il monitoraggio del traffico di rete è spesso un attività legata al degrado ingiustificato delle prestazioni di rete d interi plessi, generalmente causato da virus o occasionali malfunzionamenti software/hardware. Gli eventi sono fortunatamente rari ma per la loro imprevedibilità e variabilità degli effetti sono di difficile diagnosi e possono richiedere molto tempo. In genere è effettuato con il supporto degli amministratori di rete locali (se presenti). Altro tipo di monitoraggio è quello continuo (24/24) effettuato su alcuni collegamenti strategici al fine di valutare lo stato di occupazione della banda. 7) supporto alla gestione e segnalazione degli incidenti di sicurezza informatica per i gestori di sistemi di elaborazione di tutto l'ateneo L attività viene svolta, in genere, sulla base di una segnalazione da parte del GARR di un evento fraudolento, generato da un computer d Ateneo. Classicamente sono relativi ad eventi di violazione dei diritti d autore o a diffusione di virus informatici. In seguito alla segnalazione si procede ad avvisare gli amministratori di rete (se esistenti) e a bloccare il nodo autore della violazione. La frequenza di questi eventi è quasi quotidiana. La procedura non è automatizzabile e, per evitare falsi positivi e disagi ad utenti inconsapevoli, è anche piuttosto onerosa e ci vede impegnati con una frequenza giornaliera. 8) diagnostica dei problemi di collegamento alla rete e relativa assistenza per l'ateneo E una attività ordinaria di manutenzione e supporto all utenza generica. Per quanto riguarda i collegamenti wired, essendo aumentata nel tempo la familiarità degli utenti con i software di rete ed avendo raggiunto un assetto che potremmo chiamare stazionario, il tempo dedicato all assistenza va progressivamente diminuendo: per opposto è sempre più invocata nel caso si tratti di collegamenti wireless a causa della notevole varietà di apparati e di software impiegato. 9) partecipazione a progetti di sviluppo e aggiornamento della rete d'ateneo e all interconnessione con altre reti Nel corso del 2013 è stato speso un pò di tempo per valutare la fattibilità della interconnessione della rete di Ateneo con la costruenda rete deli istituto Zooprofilattico di Parma senza aver avuto, per il momento, alcun riscontro. L'ipotesi comunque potrebbe avere delle ripercussioni di rilievo sulla struttura del polo Garr Parma. 10) gestione degli apparati di rete distribuiti negli insediamenti dell'ateneo, ivi comprese le nuove installazioni L attività prevede il controllo e la gestione degli apparati al fine di garantire un buon funzionamento della rete. Si tratta talora di modificare le configurazioni al fine di accogliere nuove esigenze o riassetti organizzativi o la gestione dei guasti, sia in caso di guasti bloccanti che nel caso di guasti di minore rilevanza.

9 Durante questo intervallo di tempo si è provveduto ad una armonizzazione della nomenclatura degli apparati e delle loro porte, con criteri che consentono un immediato riconoscimento e collocazione dell'apparato all'interno della rete di ateneo, in modo di accorciare i tempi di intervento e agevolare sensibilmente la diagnostica. Gli effetti di queste modifiche devono ancora trovare applicazione sulla piattaforma di controllo quotidiano Sanet mentre sono effettive sul sistema di raccolta dati Netdisco. 11) Installazione, collaudo, gestione e tuning della nuova infrastruttura Wi-Fi di Aruba Network L infrastruttra WiFi esistente, basata su concentratori HP Procurve 745wl e access point legacy (studiata nel 2006 e implementata solo a partire dal secondo semestre del 2007) risulta ormai ampiamente obsoleta in relazione alle esigenze architetturali e di scalabilità odierne. Nel bando Fonia/Dati è stata quindi richiesta la fornitura di una nuova infrastruttura, la cui implementazione resta comunque a carico di questo servizio visto il forte livello di integrazione con il sistema informatico di Ateneo che tale tecnologia richiede. Adesso si è quindi in un pieno periodo di transizione in cui sono presenti: la vecchia infrastruttura, gestita e mantenuta in produzione, con interventi che la riguardano limitati a quelli di natura straordinaria (tipicamente sostituzioni di access-point, a seguito di malfunzionamenti dovuti all approssimarsi del termine del ciclo di vita); la nuova infrastruttura, basata su dispositivi ArubaNetworks, in via di implementazione, sia per quanto riguarda la succitata integrazione, sia per quanto riguarda la posa dei nuovi access point Il grosso delle attività di quest anno sul nuovo WiFi ha necessariamente riguardato la fase di integrazione dei controller Aruba. Tali dispositivi sono infatti elementi centrali dell infrastruttura, a differenza di quanto avveniva precedentemente: tutto il deployment delle configurazioni avviene dai controller verso gli access point, e il traffico dei client agganciati all infrastruttura viene tunnelizzato verso i controller (che si occupano poi di riversarlo in rete dopo aver fatto policyenforcement). Particolarmente onerose sono state la scelta dell architettura di rete e l implementazione delle politiche di autenticazione/autorizzazione tramite i server OpenLDAP e FreeRadius già presenti nella base dati ufficiale dell Ateneo:

10 I controller sono stati configurati per funzionare in configurazione master-slave, in modo da garantire rindondanza e al tempo stesso un punto unico di configurazione, al netto di eventuali modifiche invasive che possono essere testate sullo slave. Per ragioni di sicurezza tutto il traffico dei client, seppur autenticati, viene riversato esternamente al firewall di frontiera, tramite interfacce esplicitamente adibite allo scopo: i tunnel verso gli access-point (ovviamente interni alla rete dell Ateneo) e il management degli apparati avviene attraverso altre interfacce. I client seppur autenticati sono considerati utenti potenzialmente dannosi (da cui la collocazione oltre la frontiera della MAN) perchè costituiti per la quasi totalità da dispositivi BYOD estremamente variegati nella tipologia e nello stato di configurazione, e sui quali comunque il servizio non ha, per evidenti ragioni, alcun controllo. La gestione di eventuali incidenti informatici che coinvolgano postazioni WiFi è stata nettamente potenziata grazie alla nuova infrastruttura: a ciascun utente viene infatti ora assegnato un indirizzo IP univoco per la durata della sessione di navigazione. In questo modo le segnalazioni di incidenti (che tipicamente riportano indirizzo IP e timestamp) possono essere ricondotte al titolare della credenziale o, nel caso di delega a terzi strutturati per il rilascio di credenziali per convegni, workshop, etc, alle segreterie organizzative dell evento. E quindi stato implementato un meccanismo di blacklisting che impedisce temporaneamente l accesso alla rete di Ateneo tramite WiFi (e per naturale estensione via VPN) per quelle credenziali coinvolte in incidenti, e al contempo ne mantiene traccia storica. Tutto questo è stato possibile grazie a un complesso meccanismo di autenticazione e autorizzazione implementato tramite Radius (punto di controllo unico per gli accessi in rete), che utilizza i dati di autenticazione ufficiali di ateneo su OpenLDAP (per gli studenti, il personale tecnico-amministrativo e i docenti) e database di credenziali su MySQL (per gli ospiti temporanei con solo accesso al WiFi). Il funzionamento della logica di AAA è schematizzata, nei suoi aspetti salienti, dal seguente diagramma a blocchi:

11 12) Infine viene qui riportata la distribuzione dei tempi ripartito per ciascun tipo di attività:

12 Progetti per l'anno Firewall di ateneo Descrizione del progetto Il firewall di ateneo è il dispositivo che consente alla rete aziendale di comunicare verso Internet tramite una dorsale gestita dal consorzio GARR. L apparato è superato e non consente l ampliamento della banda di accesso ad Internet qualora la richiesta dovesse eccedere il Gigabit. Scopo del progetto Sostituzione di un apparato strategico ammortizzato. Personale coinvolto Massimo Golinelli, Andrea Barontini, unità di personale in via di selezione Attività L'ipotesi che prevede l'acquisto di un nuovo apparato, ipotizza una spesa di 70 mila euro ed un investimento in tempo uomo, impiegato per attivare l apparato, che può variare dai cinque ai trenta giorni lavorativi a seconda che il dispositivo abbia un sistema operativo noto e sul quale gli esecutori sono già in grado di operare oppure sistemi operativi sconosciuti per i quali è necessario calcolare un tempo di apprendimento necessario per poter operare in sicurezza. Priorità: alta. Collegamento diretto delle due sale macchine del SITA. Descrizione del progetto. Le due sale macchine sono collocate presso la sede Centrale di Via Università e il campus di via Langhirano. Attualmente le comunicazioni tra le macchine avvengono attraversando la normale infrastruttura di rete. Nel bando Fonia-Dati è stato richiesto l'uso dedicato di quattro coppie di fibre che collegano direttamente le due sale macchine potendo mettere in comunicazione diretta SAN e/o macchine virtuali. Il progetto al momento non ha dei contorni ben definiti in quanto siamo in una fase di raccolta delle esigenze dei sistemisti ed rilascio della fibra da parte di BTEnia. (Fig 5) Scopo del progetto Condivisione delle risorse delle sale macchina nella massima semplicità architetturale e massima velocità possibile.

13 Personale coinvolto Massimo Golinelli, Andrea Barontini, unità di personale in via di selezione. Fig. 5 Attività I tempi d esecuzione sono nell ordine di 200 ore, procedendo comunque con cautela in quanto la massima priorità è data alla continuità di servizio. Priorità: moderata. Wi-Fi Descrizione del progetto. Completare la distribuzione degli Access-Point facenti parte della fornitura del bando Fonia Dati, portando avanti al contempo il tuning dell infrastruttura man mano ci si avvicina al funzionamento a regime definitivo. Scopo del progetto Necessità dell Amministrazione di dotarsi di questa infrastruttura essenziale e qualificante. Personale coinvolto Massimo Golinelli, Andrea Barontini, unità di personale in via di selezione.

14 Costi espliciti I plessi in questione sono ampi, complessi e con esigenze piuttosto articolate L inventario delle necessità, le misure di propagazione, interferenza ed assorbimento delle radiazioni richiedono un investimento in termini di tempo e strumentazione al di fuori della portata del SITI-CAR. Riteniamo che una ditta esterna possa svolgere questa attività di analisi per un importo non inferiore ai 60 mila euro. Fatto l inventario ed individuata la distribuzione ottimale, si procede alla posa dell'antenna da parte degli elettricisti. Priorità: alta/moderata. Attivazione di una linea di backup verso Internet. Descrizione del progetto Al momento la connessione della nostra Amministrazione verso Internet è effettuata attraverso due collegamenti che si attestano su un singolo apparato in una singola sede. Dal punto di vista della garanzia di servizio questa non rappresenta la situazione ideale. Si stanno perciò valutando le possibilità di attivare un altro collegamento a partire dalla sala macchine della Centrale. (Fig. 6) Scopo del progetto. Garantire l'accesso alla rete aziendale anche in presenza di un evento avverso. Personale coinvolto Massimo Golinelli, Andrea Barontini, unità di personale in via di selezione. Fig.6

15 Portale dati Trasmissione Dati Ateno Parma Realizzazione di un (mini)portale per la pubblicazione organica di tutto ciò che concerne la rete di Ateneo. Scopo del progetto Esistono in ateneo parecchie basi dati attinenti ad aspetti di rete. Ci riferiamo, ad esempio, a documentazione relativa alle mappe di rete, all occupazione degli indirizzi, all archivio delle configurazioni e all archivio dei log, alla documentazione per l utenza. Anche evadere richieste di servizio o eseguire consulenze in questo momento richiedono dal parte del servizio accessi molteplici e inomogenei a risorse svariate. Lo sviluppo di un portale consentirebbe di raccogliere tutte queste informazioni sotto un singolo punto di fruizione, agevolando l accesso anche a coloro che ne fanno un uso saltuario. Personale coinvolto unità di personale in via di selezione, Massimo Golinelli, Andrea Barontini Attività In assenza di precise richieste da parte dell amministrazione l attività sopra descritta sarà effettuata a margine di tutte le altre mansioni istituzionali. Non è pertanto valutabile il monte ore destinabile a questo scopo.