ITCG Gino Zappa Isili - Cagliari. Progetto di Controllo Accessi. Zero. Ipotesi di Hort Spot Mutitasking. Sperimentazione. Scheda di Presentazione

Transcript

1 ITCG Gino Zappa Isili - Cagliari Progetto di Controllo Accessi Zero Ipotesi di Hort Spot Mutitasking Sperimentazione Scheda di Presentazione Anno Scolastico Referente: Fabrizio Rosi R01 del 08/10/2015

2 Premessa I progetto nasce nel marzo 2013 a seguito della presentazione da parte dell F.S. n 2 dell analisi progettuale R01_170214_Controllo_Hardware_PC, e al progetto di fornitura di attrezzature Hardware e Software presentato sempre dalla F.S. n 2 al fine di permettere il potenziamento delle attrezzature atte al riconoscimento accessi alle apparecchiature informatiche presenti nell istituo sede di isili e di orroli. In particolare a seguito di: 1. Verifica del costo delle attrezzature, come preventivato da alcne ditte del settore, pur basso ma oltre ai limiti delle dotazioni economiche dell istituo, 2. la necessità di poter disporre dei fondi presenti per il rinnovo oltremodo necessario di altre apparecchiature e strumentazioni. Schema del Progetto Realizzazione di una struttura Hardware e Software per server e dispositivi embedded il cui scopo è fornire i principali servizi di rete di cui una LAN necessita. In particolare: 1. Utilizzo sia nella sede di isili che di Orroli 2. Accesso alla rete internet anche mediante bilanciamento tra più reti ADSL qualora necessario 3. Controllo accessi dei PC, dei dispositivi WiFi, e ad Internet mediante le medesime credenziali. Gli utenti ricevono delle credenziali d'accesso che permettono di usare sia la rete WiFi, con un proprio dispositivo, sia i PC scolastici e di avere automaticamente l'autorizzazione a navigare in Internet. Le credenziali d'accesso degli allievi possono valere solo per l'uso dei PC scolastici e/o per gli accessi ad Internet tramite il WiFi. Le credenziali d accesso dei docenti permettono l uso dei PC presenti in Aula, funzionalità non permessa agli allievi, a tutti i PC scolastici e e/o per gli accessi ad Internet tramite il WiFi. Le credenziali d'accesso sono unificate: 4. User Name fornita dal sistema al momento dell iscrizione o della registrazione da parte della segreteria, vale sia per i Docenti che per gli Allievi 5. La PWD può essere impostata autonomamente dagli utenti (dopo l accesso con la prima pwd codificata fornita dalla segreteria) e potrà essere resa uguale a quella per il RE o altro a discrezione dell Utente. 6. Le credenziali, anche nel caso siano uguali, non permettono in ogni caso l interfaccia tra i sistemi RE e altro, non sarà cioè possibile in alcun modo realizzare un bridge tra i due sistemi che resteranno interdipendenti. La struttura di riconoscimento degli accessi si svilupperà su diversi livelli, (subreti) associando gli utenti in gruppi separati: 1. Pc d aula e i Pc della sala docenti apparterranno alla stessa subrete (01) e avranno IP fisso definito dall Ufficio Tecnico 2. Laboratori apparterranno alla stessa subrete (02/03/04/05) e avranno IP fisso definito dall Ufficio Tecnico 3. Gli accessi WiFi avranno un indirizzo IP dinamico e saranno permessi entro un limitato numero di simultaneità. La struttura permetterà ad opera dei tecnici o in maniera automatica il funzionamento di sole alcune zone (subrete) al fine di ottimizzare l utenza, ad esempi alla prima ora verrannop abilitati solo gli accessi PC d aula e sala docenti ecc. ecc. In particolare è stato sviluppato il sistema di utilizzo dei PC d aula che eviterà l accesso non autorizzato agli allievi: 1. Il docente dovrà loggarsi all accensione tramite l inserimento di una per drive con apposita chiave memorizzata e inserimento delle sue personali credenziali. Ciò permetterà la navigazione e quindi l uso del RE e delle altre funzionalità ma verrà immediatamente bloccato l accesso e l uso al rimuovere della PenDrive. Le credenziali d'accesso di allievi e professori saranno caricate nel sstema importando un semplice file CSv generato in automatico dalla segreteria e sincronizzate all interno del sistema per il riconoscimento e autorizzaqzione dei Pc e/o Internet. 2

3 Potranno anhe essere caricate tramite una funzione sul pannello di controllo per la gestione in tempo reale di nuovi utente. Gli utenti potranno personalizzarsi la propria password. Sarà impostabile un tempo massimo di utilizzo per prevenire dimenticanze (di norma non superiore a 60 minuti) Tempi di Attuazione del Progetto La realizzazione del progetto avverrà in fasi sequenziali nell arco dell anno dei mesi di Aprile, Maggio per permettere la sua messa in funzione entro la fine dell anno scolastico Locali Attrezzature Mezzi tecnologici Hardwra e Software Materiale didattico 1. PC dismessi non in uso e/o di recupero 2. Schede di rete di nuova acquisizione 3. Materiale vario già presnte in Istituto come cavetterie etc. 4. Il software di gestione si baserà su due elementi di base a. Software di controllo ZeroShell b. Script appositamente elaborati dal Team Valutazione in Corso d opera e finale Verifica di betatesting a partire dal mesi di maggio 2014 Risorse Umane - Interne A) La Funzione Strumentale a. Prof.ssa Maria gabriella Ortu (controllo e testing) B) N 2 assistenti tecnici a. Sig. Marco Prasciolu b. Sig. Gianni Caria C) N 1 responsabile del progetto a. Prof. Fabrizio Rosi (FS n 2) con il compito di: 1. coordinare il gruppo di progetto 2. sovrintendere, organizzare e coordinare tutte le attività 3. elaborare il calendario delle attività 4. verificare con sistematicità la rispondenza ai risultati attesi,.elaborare report sulle attività. 5. Coordinare e interfacciare il Team con le strutture scolastiche Piano finanziario Non sono previsti impegni finanziari da parte dell istituto, salvo quelli di ordinaria manutenzione. 3

4 Caratteristiche di baase del software ZeroShell: Zeroshell è una distribuzione Linux per server e dispositivi embedded il cui scopo è fornire i principali servizi di rete di cui una LAN necessita. È configurabile ed amministrabile tramite un browser web. Bilanciamento e Failover di connessioni multiple a Internet; Connessioni UMTS/HSDPA mediante modem 3G; Server RADIUS per fornire autenticazione e gestione automatica delle chiavi di cifratura alle reti Wireless b, g e a supportando il protocollo 802.1x nella forma EAP-TLS, EAP-TTLS e PEAP; sono supportate le modalità WPA con TKIP e WPA2 con CCMP conforme allo standard i; il server RADIUS può inoltre, in base allo username, il gruppo di appartenenza o MAC Address del supplicant smistare l'accesso su di una VLAN 802.1Q assegnata ad un SSID; Captive Portal per il supporto del web login su reti wireless e wired. Zeroshell agisce da gateway per la rete su cui è attivo il Captive Portal e su cui gli indirizzi IP (di solito appartenenti a classi private) vengono forniti dinamicamente dal DHCP. Un client che accede a questa network privata deve autenticarsi mediante un web browser con username e password Kerberos 5 prima che il firewall di Zeroshell gli permetta di accedere alla LAN pubblica. I gateway Captive Portal sono utilizzati spesso per fornire accesso a Internet negli HotSpot in alternativa all'autenticazione 802.1X troppo complicata da configurare per gli utenti. Zeroshell implementa la funzionalità di Captive Portal in maniera nativa, senza utilizzare altro software specifico come NoCat o Chillispot; Gestione del QoS (Quality of Service) e traffic shaping per il controllo del traffico su reti congestionate. Si possono imporre vincoli sulla banda minima garantita, sulla banda massima e sulla priorità di un pacchetto (utile nelle connessioni realtime come le VoIP). Tali vincoli potranno essere applicati sulle interfacce Ethernet, sulle VPN, sui point to point PPPoE, sui bridge e sui bonding (aggregati) di VPN. La classificazione del traffico può avvenire anche mediante i filtri Layer 7 che permettono il Deep Packet Inspection (DPI) e quindi di regolare la banda e la priorità da assegnare ai flussi di applicazioni come VoIP e P2P; HTTP Proxy con antivirus open source ClamAV in grado di bloccare in maniera centralizzata le pagine web contenenti Virus. Il proxy, realizzato con HAVP, potrà funziona in modalità transparent proxy, intendendo con ciò, che non è necessario configurare i web browser degli utenti per utilizzare il server proxy, ma, le richieste http verranno automaticamente reindirizzate a quest'ultimo. È ovvio, che in questo caso, la macchina che fa da proxy deve essere anche un gateway (router IP o bridge); Supporto per la funzionalità di Wireless Access Point con Multi SSID utilizzando schede di rete WiFi basate sui chipset Atheros. In altre parole, un box Zeroshell con una di tali schede WI-FI può funzionare come Access Point per le reti IEEE supportando i protocolli 802.1X, WPA per l'autenticazione e la generazione di chiavi dinamiche. Ovviamente l'autenticazione avviene tramite EAP-TLS o PEAP sfruttando il server RADIUS integrato; VPN host-to-lan con protocollo L2TP/IPsec in cui L2TP (Layer 2 Tunneling Protocol) autenticato con username e password Kerberos v5 viene incapsulato all'interno di IPsec autenticato mediante IKE con certificati X.509; VPN lan-to-lan con incapsulamento delle trame Ethernet in tunnel SSL/TLS, con supporto per VLAN 802.1Q e aggregabili in load balancing (incremento di banda) o fault tollerance (incremento di affidabilità); Router con route statiche e dinamiche (RIPv2 con autenticazione MD5 o plain text e algoritmi Split Horizon e Poisoned Reverse); Bridge 802.1d con protocollo Spanning Tree per evitare loop anche in presenza di percorsi ridondati; Firewall Packet Filter e Stateful Packet Inspection (SPI) con filtri applicabili sia in routing sia in bridging su tutti i tipi di interfaccia di rete comprese le VPN e le VLAN; Controllo mediante Firewall e Classificatore QoS del traffico di tipo File sharing P2P; NAT per utilizzare sulla LAN indirizzi di classi private mascherandoli sulla WAN con indirizzi pubblici; TCP/UDP port forwarding (PAT) per creare Virtual Server, ovvero cluster di server reali visti con un unico indirizzo IP (l'indirizzo del Virtual Server). Le richieste sul server virtuale saranno smistate sui server reali in Round-Robin (ciclicamente) preservando le connessioni e le sessioni già esistenti. Si può così ottenere il load balancing su web farm, cluster SQL e farm di calcolo; Server DNS multizona e con gestione automatica della Reverse Resolution in-addr.arpa; Server DHCP multi subnet con possibilità di assegnare l'indirizzo IP in base al MAC Address del richiedente; Virtual LAN 802.1Q (tagged VLAN) applicabili sulle interfacce Ethernet, sulle VPN lan-to-lan, sui bonding di VPN e sui bridge composti da interfacce Ethernet, VPN e bond di VPN; Client PPPoE per la connessione alla WAN tramite linee ADSL, DSL e cavo (richiede MODEM adeguato); 4

5 Client DNS dinamico che permette la rintracciabilità su WAN anche quando l'ip è dinamico. Gestione dinamica del record dns MX per l'instradamento SMTP della posta elettronica su mail server con IP variabile; Server e client NTP (Network Time Protocol) per mantenere gli orologi degli host sincronizzati; Server syslog per la ricezione e la catalogazione dei log di sistema prodotti da host remoti quali sistemi Unix, router, switch, access point WI-FI, stampanti di rete e altro compatibile con protocollo syslog; Autenticazione Kerberos 5 mediante un KDC integrato e cross autenticazione tra domini; Autorizzazione LDAP, NIS e RADIUS; Autorità di certificazione X.509 per l'emissione e la gestione di certificati elettronici; Integrazione tra sistemi Unix e domini Windows Active Directory in un unico sistema di autenticazione e autorizzazione mediante LDAP e Kerberos 5 cross realm authentication. Si tratta di una distribuzione Live CD, intendendo con ciò che non è necessario installarla su hard disk poiché può funzionare direttamente dal CDROM su cui è distribuita. Ovviamente il database, contenente l'insieme dei dati e delle configurazioni, può essere memorizzato su dischi ATA, SATA, SCSI e USB. Eventuali Bug Fix di sicurezza potranno essere scaricati dal sistema automatico di update incrementale via Internet e installati nel database. Tali patch saranno automaticamente rimosse dal database da successive release del Live CD di Zeroshell che già contengono gli updates. Oltre all'immagine ISO per CD è disponibile anche un'immagine per Compact Flash da 512MB (di cui 400MB dedicati alla memorizzazione della configurazione e dei dati) da cui è possibile il boot su sistemi che dispongono di un adattatore ATA CF come per esempio i dispositivi embedded per netwok appliance. Il nome Zeroshell sottolinea che pur trattandosi di un sistema Linux (tradizionalmente amministrabile da shell), tutte le operazioni di amministrazione possono essere svolte tramite un'interfaccia Web: è sufficiente infatti, dopo aver assegnato un indirizzo IP tramite un terminale VGA o seriale, collegarsi con un browser all'indirizzo assegnato per configurare il tutto 5