La rete di Ateneo della Università di Parma: breve illustrazione.

Transcript

1 Università degli Studi di Parma ASI.NET La rete di Ateneo della Università di Parma: breve illustrazione. ASI.NET Area Sistemi Informativi NETworking UOS Erogazione Servizi: La nostra mission e erogare eccellenza! UNIPR 2015 ASI.NET UOS Erogazione Servizi 1

2 Rete di Ateneo: infrastruttura UNIPR 2015 ASI.NET UOS Erogazione Servizi 2

3 Rete di Ateneo: situazione attuale. I numeri della rete di ateneo: ~ 15 mila punti presa rj 45 (cat 5,5e,6,6e,7?); ~ 150 armadi di trasmissione dati; ~ 10 km fibra (monomodo, multimodo, mista) ~ 7000 dispostivi attivi durante i giorni feriali (75% Win*, 15% *nix, 10% MacOs scansione nmap del 2014); ~ 1000 computer attivi durante i giorni festivi (?); ~ 250 di server di ateneo (Web, posta, Dns, Ldap, Videoserver, Samba,Vpn, Voip, grid, Radius..); ~ 500 apparati di rete L2, 30 apparati L3; ~ 350 Access point (wi-fi) inventariati; > 30 UPS; ~ 150 apparati di telecontrollo e telesorveglianza (telecamere, controllo accessi, timbratori, controllo ambientale); ~ 1200 telefoni VoIp; UNIPR 2015 ASI.NET UOS Erogazione Servizi 3

4 Panoramica sulla rete cablata dell ateno di Parma 14 insediamenti sul territorio urbano. Con questa nomenclatura che e diventata uno standard de facto perche in ogni prompt e *sempre* presente la sede piu altre informazioni che permettono una facile indentificazione del dispositivo (es. Sede 2 Armadio C 222 ) UNIPR 2015 ASI.NET UOS Erogazione Servizi 4

5 Dimensioni delle sedi 1/2 Le sedi hanno una dimensione variabile: da qualche migliaio di client a qualche unita. In termini di apparati di rete e dispositivi collegati, la situazione e la seguente: Numerosita' appara. dispositivi Sede Sede Sede Sede Sede Sede Sede Sede Sede Sede Sede Sede Sede 14 2 Tipologia 10T100TX 1000T 1000SX 100FX 1000LX Numerosita' UNIPR 2015 ASI.NET UOS Erogazione Servizi 5

6 Dimensioni delle sedi 2/2. Sede 3 Sede 2,5,4 UNIPR 2015 ASI.NET UOS Erogazione Servizi 6

7 La dorsale della rete metropolitana dell Ateneo 1/2 4 HP/3Com/H3C 5500 divisi in due coppie una delle quali attestata presso la Sede 2 ed una presso la Sede 1. Gli apparati di ogni singola coppia sono collegati fra loro con un link in rame (10 Gb) mentre le due coppie sono collegate fra loro con due coppie distinte di fibra (10 Gb con percorso differenziato). Le porte di questo specifico collegamento sono porte IRF (Intelligent Resilient Framework) che consentono una sorta di virtualizzazione dell hardware in base alla quale tutti i nodi componenti vengono visti come un singolo oggetto e, come tale, singolarmente configurato e gestito a prescindere dallo stato reale di ciascun apparato costituente: Da ciascuna di queste due coppie di apparati parte una fibra che connette una delle 12 sedi (sede 3 -> sede 14) rimanenti seguendo, quando possibile, un percorso differente in modo da garantire al massimo la resilienza dell infrastruttura; In ciascuna delle sedi ci sono due apparati HP/3Com 5120 che, collegati ancora una volta in IRF, costituiscono la terminazione di plesso della dorsale metropolitana e su cui si attestano le varie realta locali. UNIPR 2015 ASI.NET UOS Erogazione Servizi 7

8 Dorsale della rete metropolitana dell Ateneo 2/2. La rete metropolitana di Ateneo e cosi schematizzata: UNIPR 2015 ASI.NET UOS Erogazione Servizi 8

9 Sedi specifiche 1/2. Mappe *Quasi tutte* mappe delle realta locali sono reperibili alla pagina si riporta a titolo di esempio la mappa della Sede 2 (Centrale) giusto per vedere quali informazioni possono essere dedotte. UNIPR 2015 ASI.NET UOS Erogazione Servizi 9

10 Sedi specifiche 2/2. Concatenazione switch La concatenazione degli switch e ricalcolata quotidianamente ed e visibile a questa pagina nella quale e possibile effettuare interrogazioni articolate. I dati sono sempre indicativi perche basta che ci sia un apparato senza snmp attivato o malconfigurato per rendere inattendibile parte dei risultati. Nel sito indicato e possibile trovare anche alcune mappe che riguardano architetture piu specifiche come ad esmpio quella delle sale macchine, della vpn di ateneo, dell infrastruttura wifi etc. Si invita ad utilizzare le mappe ogni qual volta sia utile e notificarci anomalie discordanze e suggerimenti che possano rendere piu significativo ed efficace il loro uso. UNIPR 2015 ASI.NET UOS Erogazione Servizi 10

11 Apparati di rete 1/4. Fatta eccezione per alcuni apparati con funzioni specifiche (trafic shaper, router di frontiera, firewall), tutti gli altri sono prodotti HP. Seppure appartenenti al medesimo produttore, la tipologia dei prodotti presenti e piuttosto varia: hp PWR 201 hp 2910al- 24G- PoE+ 88 hp PoE 43 hp CR 39 hp hp PWR 22 hp 5308XL 18 hp 2530 PPoe 15 hp CR 13 hp hp 5304XL 10 hp hp hp hp PWR 5 hp 1810G hp 2510G hp G 4 hp 2910al- 24G 4 hp 2520G- 24- PoE 3 hp PWR 3 hp 2650C 3 hp G 3 hp 5406zl 3 hp 5412zl 3 hp 8212zl 3 UNIPR 2015 ASI.NET UOS Erogazione Servizi 11

12 Apparati di rete 2/4 Abbiamo quindi differenti versioni di hardware ma, all interno di ciacuna tipologia, anche differenti le versioni di firmware, ciascuna delle quali con i propri bug e le proprie idiosincrasie. L introduzione della linea di prodotti H3c/HP non fa altro che accentuare il problema. Abbiamo a disposizione circa 20 mila porte di cui circa 10 mila in POE o POE+. In teoria (sull intero impianto) potremmo disporre di una potenza erogabile superiore ai 100 Kw mentre la potenza effettivamente erogata e di circa 5 kw; Sono apparati che funzionano correttamente anche in condizioni sub-ottimali (leggi armadi decisamente sporchi) ed in assenza di una corretta ventilazione (circa una 50ina segnalano guasti alle ventole); I dispositivi sono coperti da garanzia a vita (fatta eccezione per gli apparati di fascia alta) e questo potrebbe diventare un fattore che rallenta l aggiornamento dell infrastruttura (vedi la presenza dei 2524 con circa 10 anni di servizio); Con il bando del 2012 sono stati forniti del 2910 POE+ (per ragioni connesse alla richiesta di alimentazione degli access-point). Essendo apparati con tutte le porte 10/100/1000, la loro posa negli armadi comporta solitamente una riorganizzazione degli armadi stessi passando da una configurazione a bus ad una configurazione a stella. UNIPR 2015 ASI.NET UOS Erogazione Servizi 12

13 Apparati di rete 3/4 L accesso per scopi diagnostici e consentito a tutti in modalita di operator mentre la modalita di amministrazione e nota solo ad un sottinsieme dei network manager. L accesso e consentito via web, telnet e ssh in ipv4; Alla modalita di manager e acceduta con il classico comando di enable. Esiste una modalita sperimentale non documentata accessibile con il comando edomtset edomtset (due volte!) che mette a disposizione un numero di funzionalita piu avanzato. Come evidenzia il banner che appare si consiglia l uso in ambiente di test! In quasi tutti i casi si utilizzano le funzionalita di base. Alcune funzionalita meno comuni (accesso utente subordinato 802.1x/web, accesso alla cli digestione* via radius, limite massimo dei mac address su ciascuna singola porta, mstp vs stp/rstp, access-list basate su macaddress) sono state attivate su qualche macchina in via eccezionale ma spesso queste diffenze, a lungo termine, si trasformano piu in problemi che in benefici. UNIPR 2015 ASI.NET UOS Erogazione Servizi 13

14 Apparati di rete 4/4 Per quanto riguarda l attivazione delle funzionalità aggiuntive (multicast, vlan, ip helper, jumbo frames), per evidenti ragioni, si privilegiano necessità aziendali e la continuità di servizio piuttosto che sperimentazione ed il rischio di malfunzionamenti; La gestione dell infrastruttura viene effettuata da un software proprietario chiamato PCM in via di dismissione (EOF), affiancato da sanet netdisco ed altre procedure ad hoc; In caso di guasto, la macchina viene sostituita (da una ditta esterna) con uno di pari configurazione proveniente dal nostro magazzino e la macchina guasta viene restituita ad Hp Italia che, entro un paio di giorni lavorativi, invia una macchina di fascia simile funzionante. UNIPR 2015 ASI.NET UOS Erogazione Servizi 14

15 Rete di Ateneo: indirizzi IPv4 e domini. L Universita di Parma e proprietaria di una Classe B di indirizzamento pubblica IPv /16 segmentata prevalentemente con mascheratura */24; Alla classe pubblica e spesso sovrapposta una classe di indirizzamento privata (RFC 1918) /16 il cui utilizzo e sempre meno richiesto e ne suggerirei la dismissione; Buona prassi nell uso degli indirizzi ( Circa 210 reti ruotate; Dominio di riferimento e unipr.it. (dominio di secondo livello al di sotto del tld top level domain.it.) organizzato in di domini terzo livello *.unipr.it.; I DNS di riferimento ufficiali sono il , e il Tramite le figure di riferimento apm/apa garr e possibile effettuare registrazioni di altri domini sotto il TDL.it e.eu a titolo gratuito ma riservata ad enti accademici e ricerca. UNIPR 2015 ASI.NET UOS Erogazione Servizi 15

16 Stato di occupazione delle reti di ateneo Indirizzi occupati Rete / / / / / / / / / / / / / / / / / / / / / / / / / / / /24 Indirizzi occupati Rete / / / / / / / / / / / / / / / / / / / / /24 Indirizzi occupati Rete / / / / / / / / / / / / / / / / / / / /24 UNIPR 2015 ASI.NET UOS Erogazione Servizi 16

17 Rete di Ateneo: indirizzi IPv6 1/2 All Universita di Parma e stata assegnata 2001:760:2e04::/48 nel settembre del 2009; Agli inizi del 2010 era stata inviata alla lista dei netdamin una proposta di suddivisione qui riportata in estratto Sedi di grandi dimensioni 2001:760:2e04::/ > 0fff 4k ReR /64 desrnate ad usi futuri :760:2e04:1000::/ > 1fff 4k ReR /64 desrnate alla Sede 1 (Campus) :760:2e04:2000::/ > 2fff 4k ReR /64 desrnate alla Sede 2 (Sede Centrale) :760:2e04:3000::/ > 3fff 4k ReR /64 desrnate alla Sede 3 (Via Gramsci) Sedi piccole dimensioni :760:2e04:a100::/60 a > a10f 16 ReR /64 desrnate alla Sede 10 (Via S. Michele) :760:2e04:a110::/60 a > a11f 16 ReR /64 desrnate alla Sede 11 (via Farini) :760:2e04:a120::/60 a > a12f 16 ReR /64 desrnate alla Sede 12 (PiloYa) UNIPR 2015 ASI.NET UOS Erogazione Servizi 17

18 Rete di Ateneo: indirizzi IPv6 2/2 E stata attivata (2009) sul router di frontiera e portata all interno dell ex Centro di Calcolo come isola separata con apparati dedicati in quanto la situazione delle compatibilita e piuttosto complessa e va analizzata apparato per apparato. UNIPR 2015 ASI.NET UOS Erogazione Servizi 18

19 Rete di Ateneo: accesso ad Internet. Il collegamento della rete aziendale ad Internet è curato da un consorzio, denominato GARR, che ha come missione la l implementazione e la gestione di una dorsale di collegamento fra gli enti accademici (pubblici e privati) e culturali italiani. Gestisce il peering fra la dorsale cosi realizzata e le reti accademiche, commerciali internazionali e un peering diretto con Google; Altri servizi GARR: 1. NOC: Network Operations Center; 2. CERT: servizio di sicurezza di rete; 3. LIR, NIC & DNS: servizio di gestione indirizzi IP e domini; 4. CA: Certification Authority; 5. EduRoam: supporto alla mobilità degli utenti GARR; 6. IDEM GARR AAI:Infrastruttura di Autenticazione e Autorizzazione federata; 7. MIRROR: servizio di distribuzione software; 8. NEWS:servizio di distribuzione Usenet News; 9. VCONF: servizio di multivideoconferenza; 10. NRENum VoIP UNIPR 2015 ASI.NET UOS Erogazione Servizi 19

20 Dorsale Rete Garr e collegamenti internazionali. UNIPR 2015 ASI.NET UOS Erogazione Servizi 20

21 Rete di Ateneo: schema accesso ad Internet. UNIPR 2015 ASI.NET UOS Erogazione Servizi 21

22 Rete di Ateneo: il firewall 1/2 Il firewall di Ateneo e un Juniper IGS 2000 Junos 6.3.0r13.0; Separa la rete d Ateneo (intranet) da Internet, ha un interfaccia di amministrazione dedicata e NON ha zone DMZ; opera sulla base di ACL statiche definite ad hoc sullo stile di quanto segue: n set address "Trust" " " "ursamajor.eng" n set service "SSH" protocol tcp src-port dst-port n set group address "Trust" "gruppo-ssh" add " " n set policy id 130 from "Untrust" to "Trust" "Any" "gruppo-ssh" "SSH" permit Per un totale di 700 oggetti (address) distinti, 150 service,90 di gruppi, 180 policy per piu di 3000 righe di configurazione; E' utilizzato come "stateful packet filter", con qualche funzione di protezione dei DOS e nessuna funzione avanzata attiva (deep packet inspection, web filtering, antivirus, attack analisys, vpn terminator) perche, con l'uso, abbiamo maturato la consapevolezza che, nonostante i dati di targa, una semplice tempesta di virus e' in grado di saturare le risorse del sistema mettendolo fuori servizio; UNIPR 2015 ASI.NET UOS Erogazione Servizi 22

23 Rete di Ateneo: il firewall 2/2 Potrebbe gestire fino a 500 mila sessioni contemporanee ma, in condizioni ordinarie, opera con circa mila sessioni su un singolo canale al gbit. N.B. il traffico del wi-fi Aruba e esterno al firewall quindi nel conteggio delle sessioni contribuiscono solo quelle che accedono alle risorse di ateteo. UNIPR 2015 ASI.NET UOS Erogazione Servizi 23

24 Rete di ateneo:uso della banda Dorsale cittadina o esempio sottostante: Uplink GARR o l esempio sottostante: UNIPR 2015 ASI.NET UOS Erogazione Servizi 24

25 Traffic management, traffic shaper: Allot /2 Nel 2010 (circa) ristrettezza di banda e necessita di contenere il traffico P2P ci ha obbligati ad introdurre l uso di un traffic-shaper. Questo apparato, sulla base di firme e con la deep inspection e in teoria capace di individuare la tipologia di traffico anche nel caso di protocolli port-hopping. Per quanto ci riguarda, casi di falsi positivi hanno danneggiato la fiducia sul dispositivo e, al momento e utilizzato ad una frazione delle sue potenzialita. Serve infatti a contenere (e non chiudere!) il traffico P2P dell ateneo e come punto di controllo dettagliato sul traffico di rete Universita <-> Internet UNIPR 2015 ASI.NET UOS Erogazione Servizi 25

26 Traffic management, traffic shaper: Allot /2 previous UNIPR 2015 ASI.NET UOS Erogazione Servizi 26

27 Concentratore VPN 1/2 Gestione del concentratore vpn la cui connessione alla rete e qui rappresentata. La documentazione ed il software necessario e disponibile alla pagina vpn.unipr.it UNIPR 2015 ASI.NET UOS Erogazione Servizi 27

28 Concentratore VPN 2/2 Negli ultimo 90 giorni e stato usato da 350 ( single user ) e da circa 1500 studenti Rischioso invece e l uso del concentratore vpn Cisco che pero continua ad avere I suoi estimatori: 150 *@unipr.it e 200 *@studenti.unipr.it UNIPR 2015 ASI.NET UOS Erogazione Servizi 28