SANET 2.0: software di monitoraggio degli apparati di rete e server dell Ateneo.

Transcript

1 Università degli Studi di Parma SANET 2.0: software di monitoraggio degli apparati di rete e server dell Ateneo. Schema della presentazione: - la struttura della rete di Ateneo (); - visione generale della soluzione software SANET (Marconi Labs); - SANET nella rete di Ateneo (Marconi Labs); - alcuni esempi in dettaglio (Marconi Labs); - possibili personalizzazioni della soluzione.!

2 Università degli Studi di Parma La rete di Ateneo della : breve illustrazione. net working and not working differ only for one vowel "

3 Rete di Ateneo: infrastruttura #

4 Rete di Ateneo: evoluzione $

5 Rete di Ateneo: situazione attuale. I numeri della rete di ateneo: Settore Innovazione Tecnologie Informatiche > 10 mila punti presa rj 45; > 150 armadi di trasmissione dati; ~ 4800 computer attivi durante i giorni feriali (80% Win*, 15% *nix, 5% MacOs); > 1000 computer attivi durante i giorni festivi (?); un centinaio di server di ateneo (Web, posta, Dns, Ldap, Videoserver, Samba,Vpn, Voip, grid, Radius, p2p ); ~ 400 apparati di rete L2, 30 apparati L3; ~ 240 Access point istituzionali che irradiano una rete con l identificativo UNIPR ; ~ 100 apparati di telecontrollo e telesorveglianza o altri dispositivi (telecamere, controllo accessi, timbratori, UPS); 14 centralini telefonici, collegati alla rete, con piu di 3200 numeri interni attivati; > 250 telefoni VoIp; %

6 Rete di Ateneo: situazione attuale(2). Circa dipendenti; Circa studenti; 12 plessi cittadini collegati fra loro in fibra (Telecom) a 1 Gbit con percorso ridondato; 4 sedi minori collegate con hdsl. &

7 Rete di Ateneo: dislocazione delle sedi in ambito cittadino ( '

8 Rete di Ateneo: mappa logica. (

9 Rete di Ateneo: la mappa generata da automaticamente da software di gestione. )

10 Rete di Ateneo: indirizzi e domini. Classe B di indirizzamento pubblica IPv /16 (e /24 per l INFN) segmentata con mascheratura */24; Classe B agli indirizzi pubblici è sovrapposta una classe di indirizzamento privata (RFC 1918) /16; Buona prassi nell uso degli indirizzi ( netadmin/); Circa 150 reti ruotate; Dominio di riferimento per l Ateneo è unipr.it. (dominio di secondo livello al di sotto del tld top level domain.it.) organizzato in 60 di domini terzo livello *.unipr.it. e 100 domini xxx in-addr.arpa; I DNS di riferimento ufficiali sono il , e il !*

11 Rete di Ateneo: collegamento verso Internet. Il collegamento della rete aziendale ad Internet è curato da un consorzio, denominato GARR, che ha come missione la l implementazione e la gestione di una dorsale di collegamento fra gli enti accademici (pubblici e privati) e culturali italiani. Gestisce il peering fra la dorsale cosi realizzata e le altre reti accademiche e le commerciali;!!

12 Rete di Ateneo: la rete GARR.!"

13 Rete d ateneo: altri servizi del GARR NOC: Network Operations Center; CERT: servizio di sicurezza di rete; LIR, NIC & DNS: servizio di gestione indirizzi IP e domini; CA: Certification Authority; EduRoam: supporto alla mobilità degli utenti GARR; IDEM GARR AAI:Infrastruttura di Autenticazione e Autorizzazione federata; MIRROR: servizio di distribuzione software; NEWS: servizio di distribuzione Usenet News; VCONF: servizio di multivideoconferenza; NRENum VoIP!#

14 Rete di Ateneo: canale verso Internet. Il canale fisico utilizzato è un ATM 155 Mb/s sul quale viene ritagliata, per l Università, una banda garantita di 32 Mb ed una banda massima consentita di 100 Mb e l utilizzo medio è nell ordine del 80-90% della banda massima consentita (ovviamente i valori risentono dell andamento ciclico giornaliero);!$

15 Rete di ateneo: occupazione della banda. Verde: traffico in uscita Blu: traffico in entrata Fonte: Banda verde: traffico in ingresso Linea blu: taffico in uscita!%

16 Rete di ateneo:protocolli. http ed il protocollo di condivisione di Microsoft prevalgono nettamente su qualsiasi altro protocollo; Posta, terminale remoto, dns sono generalmente nell ordine di qualche punto percentuale;!&

17 Rete di Ateneo: architettura collegamento verso Internet.!'

18 Rete di Ateneo: amministrazione della rete. La gestione ed il controllo è affidata a due unità operative ciascuna delle quali costituita da un paio di persone; Alcuni dipartimenti hanno delle unità di personale dedicate ed operano con elevata autonomia; In tutti i casi è indispensabile ed insostituibile il contributo degli amministratori di rete locali; Esiste una lista di (distribuzione di) posta elettronica chiusa e non moderata netadmin@listserv.unipr.it con la quale vengono scambiate informazioni relative a problemi di rete. L attività della lista e *modesta*; Altra lista di qualche interesse è il gsi@listserv.unipr.it (gruppo sicurezza informatico) orientato ai problemi di sicurezza informatica in tutte le sue declinazioni. (L attività è nulla!!)!(

19 Rete d ateneo: la rete telefonica!)

20 Rete di ateneo: cablaggio. Si seguono i criteri delineati nelle norme cablaggio strutturato in cui molti aspetti sono strettamente codificati e standardizzati (mezzi trasmissivi, connettori, spine e prese, adattatori supporti, canaline, armadi, modalità di stesura e collaudo). Si adotta una topologia stellare che prevede un centro stella di piano (armadio) che si collega ad un centro stella di edificio quindi ad un centro stella di plesso. Mezzi trasmissivi: cavo in rame rj45 (Cat 5e,6,7) per distanze inferiori a 90 m e fibra multimodo fino a circa 500 metri e monomodo per distanze superiori; In caso di anomalie, controlli e (ri)sistemazione di un numero limitato di prese di rete è necessario effettuare una richiesta di manutenzione reperibile alla pagina Per gli interventi piu complessi invece bisogna rivolgersi al Servizio energia ed impianti. "*

21 Rete di Ateneo: apparati. Fino al 2004 l approvigionamento del materiale di rete per la connessione dei desktop era effettuato sostanzialmente sulla base di convenienze economiche o opportunità di mercato. In quella data erano presenti in ateneo apparati di produttori diversi quali Cisco, 3Com, Allied Telesyn, Bay Network, Netgear con modelli diversi e generazioni hardware/ software differenti. La gestione e la diagnostica in caso di malfunzionamenti era pressochè un incubo raramente coadiuvata da software di NMS (network management system) "!

22 Rete di Ateneo: apparati. Dal 2005 è in atto un processo di sostituzione e consolidamento che vede gli apparati dell HP come dispositivi privilegiati sui quali oggi sono attestati 85% dei computer. Qualora fossero intrapprese delle iniziative autonome di ampliamento/modifica della rete (es. rete di laboratorio), se non ci sono controindicazioni specifiche si consiglia di attenersi a questo standard de facto. ""

23 Rete di ateneo: switch L2. Uno switch L2 è un apparato che consente la comunicazione fra due computer impegnando solo le porte strettamente necessarie; Tutti gli switch hanno un indirizzo IP (pubblico/privato) raggiungibile da una qualsiasi postazione di rete universitaria; Prevedono d ufficio due figure di gestione operator e manager il primo con mansioni di verifica e controllo mentre il secondo con mansioni di gestione. Per utilizzare le funzioni di operator è sufficiente collegarsi con il telnet e digitare la password. o, in alternativa, con l ssh e l utente operator e la medesima password. Una volta connessi all apparato si utilizza il comando menu per accedere alle informazioni relative allo stato dell apparato e della rete circostante. Per coloro poco propensi all uso della CLI si può utilizzare l interfaccia web. "#

24 Rete di ateneo: switch L2. Caratteristiche salienti: Porte 10/100(1000 per alcune versioni) + 2 dual personality ; Auto-MDIX, full/half duplex Gestione via telnet, ssh, web e https; Vlan support; Spanning tree (multiple spanning tree); Diagnostica: logging remoto, port mirror; Access-list basate sul Mac Address Apprendimento mac address dinamico o statico; Link aggregation; Attività della porta condizionata**: 802.1x, web authentication; Broadcast limit e virus throttling**; QOS prioritarizzazione del traffico; Gestione remota via snmp, xflow, sflow. "$

25 Rete di ateneo: switch L2. Vlan: segmentazione logica della rete. L uso delle vlan è capillarmente diffuso per la suddivisione del traffico VoIp e Wi-Fi dal traffico di rete locale; Avvertenza: a differenza di quanto accadeva poco tempo fa dove gli attacchi di rete erano del tutto equivalenti, ora ci si può trovare di fronte ad un apparato con un partizionamento delle porte inaspettato quindi il collegamento di un computer in un qualsiasi apparato può essere destinato ad un insuccesso. "%

26 Rete di ateneo: router/switch Layer3. Questi dispositivi hanno il compito di selezionare il percorso geografico più opportuno per mettere in comunicazione due computer; Il solo protocollo che transita attraverso i router di ateneo è l IPv4; Protocolli di routing in uso: RIP (ragioni storiche e di compatibilità con macchine windows), EIGRP (protocollo proprietario Cisco ed in via di dismissione ) e OSPF (di recente adozione); "&

27 Rete di ateneo: router/switch Layer3. Cisco 720x (Router di frontiera), Cisco 3550 (router di plesso in via di dismissione),hp9308 (dorsale di campus), Hp 6200 (Man Telecom) Sono dotati di numerose funzionalità (Multicast, VRRP, NAT..) Access-list di livello 3 o 4 Supporto di tecnologie trasmissive differenti. (802.3, CDN, ATM, xdsl..) "'

28 Rete di ateneo: router/switch Layer3 La gestione di questi apparati è carico di Telecom per la parte di infrastruttura metropolitana (con gli obiettivi concordati con il personale universitario) e al personale universitario per quanto riguarda tutti gli altri distribuiti nei vari plessi; Anche su questi dispositivi sono previste le due figure di gestione: operator e manager ed anche in questo caso l operator ha mansioni di verifica e controllo che sono richiamabili con lo stesso criterio previsto per gli switch L2; Per quanto riguarda l attivazione delle funzionalità aggiuntive (multicast, nat, ipv6, vlan) si privilegiano necessità aziendali e la continuità di servizio piuttosto che sperimentazione ed il rischio di malfunzionamenti. "(

29 Rete di Ateneo: il firewall. Il firewall di Ateneo è un Juniper IGS 2000; Separa la rete d Ateneo (intranet) da Internet e NON ha zone DMZ; opera sulla base di ACL statiche definite ad hoc sullo stile di quanto segue:! set address "Trust" " " "ursamajor.eng"! set service "SSH" protocol tcp src-port dst-port 21-21! set group address "Trust" "gruppo-ssh" add " "! set policy id 130 from "Untrust" to "Trust" "Any" "gruppo-ssh" "SSH" permit effettua la statefull inspection ; gestisce fino a 500 mila sessioni contemporanee; ")

30 Rete di ateneo: gestione della banda verso Internet. Necessità, diffusa presso tutte le aziende, di controllare il traffico di rete in modo tale da riservare alle applicazioni istituzionali o strategiche la banda necessaria limitando la banda a tutto il traffico non istituzionale (file sharing, audio/video streaming, gaming, chat, icq etc). La funzione e svolta da un traffic shaper Allot NetEnforcer in grado di effettuare un analisi approfondita sui pacchetti in transito e classificarli all interno di categorie sulle quali vengono applicate politiche di prioritarizzazione o restrizione. #*

31 Rete di Ateneo: Concentratore VPN Esistono due modalità di fruizione differente chiamate rispettivamente clientless e client. Per la modalità clientless è sufficiente collegarsi con il proprio browser alla pagina effettuare l autenticazione e navigare. In questa modalità funziona come proxy web autenticato; #!

32 Settore Innovazione Tecnologie Informatiche Rete di Ateneo: Concentratore VPN In modalità client necessità dell installazione di un software. Si consiglia l uso del software proprietario cisco vpn client in quanto è materialmente imossibile effettuare test su tutte le permutazioni software vpn/sistema operativo. Client Mode vs Clientless VPN su Ipsec (Client) Lancio il client Fase dell autenticazione Lancio una qualsiasi applicazione (web, mail, accesso ai dischi) Lavoro VPN su SSL (Clientless) Lancio il browser Fase dell autenticazione Se esiste carico applet Lavoro in html (l applet trasforma tutto in html) Chiudo le applicazioni locali Chiudo il VPN client Chiudo il browser Info: vpn@unipr.it #"

33 Rete d ateneo: strumenti software per la gestione. Solitamente ciascun amministratore di rete/sistema si dota di un insieme di strumenti software/ hardware(?)/ procedure che gli consentono di conseguire l obiettivo di mantenere i sistemi attivi e funzionanti (Fault, Configuration, Accounting / Administration, Performance, Security FCAPS); Nella nostra realtà queste soluzioni hanno un uso limitato al singolo elemento o al gruppo di lavoro; Per migliorare l esecuzione di alcune mansioni sopra citate, abbiamo pensato di condividere l uso di Sanet con la funzione di fornire a tutti un cruscotto dove visualizzare numerose informazioni diagnostiche e di funzionamento degli apparati di rete e dei server. ##