C) supponendo che la scuola voglia collegarsi in modo sicuro con una sede remota, valutare le possibili soluzioni (non risolto)

Transcript

1 PROGETTO DI UNA SEMPLICE RETE Testo In una scuola media si vuole realizzare un laboratorio informatico con 12 stazioni di lavoro. Per tale scopo si decide di creare un unica rete locale che colleghi fra loro i PC del laboratorio e i quattro computer già presenti nella scuola e installati negli adiacenti uffici di presidenza (n 1 PC) e segreteria (n 3 PC). Tale rete deve permettere a tutti i gli utenti della scuola di condividere, oltre ad altre risorse, l accesso a Internet. Il candidato, dopo aver formulato le necessarie ipotesi aggiuntive, in particolare riguardanti: - topologia della scuola - presenza di eventuali reti preesistenti - tipologia dei computer presenti nella scuola - numero di stampanti da installare A) fornisca una soluzione di massima per il progetto della rete scolastica; illustri, in dettaglio, tipologia, struttura e architettura della rete con riferimento ai livelli del modello ISO/OSI. (dal livello fisico fino alle applicazioni) B) supponendo che la scuola voglia scambiare via Internet e via posta elettronica informazioni di libero accesso con un altra scuola, valutare le modifiche da apportare al progetto nei due seguenti casi: - per raggiungere tale obiettivo la scuola usa le risorse interne alla rete scolastica - la scuola si appoggia ad una struttura esterna. C) supponendo che la scuola voglia collegarsi in modo sicuro con una sede remota, valutare le possibili soluzioni (non risolto) Soluzione del punto A Obiettivo Il testo prevede la realizzazione di una rete locale che metta in comunicazione i computer della scuola al fine di permettere la condivisione delle risorse (file, cartelle, stampanti) e l accesso a Internet di tutti gli utenti della rete tramite un unica connessione. Ipotesi aggiuntive Facciamo le seguenti ipotesi aggiuntive: la scuola è un edificio costituito da un unico piano e, oltre ai locali indicati nel testo, possiede un piccolo locale tecnico dove arriva la linea telefonica per la connessione a Internet. Tale connessione sarà una tipica connessione ADSL a 7 Mbps fornita da un generico provider. La scuola non ha alcuna rete preesistente quindi si decide di progettare da zero l intera infrastruttura di rete tenendo conto della normativa e della tecnologia attuale. Dato che i PC presenti nella scuola si possono considerate adeguati allo scopo previsto, si decide di acquistare solo 12 computer di livello standard per il laboratorio ed un server centrale, computer con caratteristiche differenti dai normali PC client. Il server per le sue caratteristiche di affidabilità e potenza avrà il compito di fornire dei servizi per i computer della propria rete. Si decide d installare una stampante di rete nel laboratorio e una in segreteria, mentre in presidenza sarà sufficiente una stampante locale. Soluzione di massima Poiché la rete scolastica è composta da più di 10 computer è consigliabile realizzare una rete di tipo client/server. Tale rete è basata su un computer server, su cui è installato un sistema operativo di rete

2 (per esempio Windows 2003 server o Linux) che ha il compito di gestire ed amministrare la rete controllando gli accessi alla rete e alle risorse condivise. Inoltre, dato che non sono previsti particolari problemi di sicurezza e di complessità si decide di realizzare una rete IP unica per tutti i computer della rete scolastica (non sono presenti router interni). Un possibile schema è il seguente. (riferirsi allo schema fatto in classe) Dallo schema si deduce che la nostra rete scolastica è così strutturata: nel laboratorio sono presenti 12 PC, una stampante di rete e uno switch per il collegamento delle macchine; nella segreteria sono presenti 3 PC, una stampante di rete e uno switch per il collegamento delle macchine; nella presidenza è presente 1 PC, una stampante locale; nel locale tecnico saranno presenti il server di rete, il router per il collegamento della rete scolastica a Internet e uno switch che ha la funzione di centro stella principale per il collegamento fra di loro del router, del server e dei due switch presenti in laboratorio e in segreteria; come dispositivi concentratori si decide di usare gli switch piuttosto che gli hub perché più efficienti e perché il costo ormai ha raggiunto livelli bassi. Progetto in dettaglio Adesso realizziamo il progetto della rete in dettaglio prendendo come riferimento i livelli del modello OSI. Livello ISO/OSI 1 Per il cablaggio della rete utilizzeremo il cablaggio strutturato rispondente alla normativa TIA-EIA 568 che prevede una topologia a stella estesa e un dimensionamento ridondante. Poiché la scuola è costituita da un unico edificio il centro stella di comprensorio e di edificio coincidono, quindi il cablaggio sarà semplificato. Per quanto riguarda i mezzi trasmissivi si utilizzeranno cavi UTP di categoria 5, sufficienti per supportare velocità di trasferimento fino a 100 Mbps, mentre le connessioni saranno realizzate con connettori RJ45. Livello ISO/OSI 2 (tecnologia usata) Protocolli: si sceglie come protocollo di rete di livello 1 e 2 il protocollo Ethernet perché ormai diventato uno standard mondiale e, in particolare, lo standard Fast Ethernet (802.3u) che permette di gestire reti con velocità 10/100 Mbps Dispositivi: come dispositivi di livello due si impiegano gli switch che insieme alle schede di rete dei vari host dovranno essere compatibili con lo standard Fast Ethernet.

3 Livello ISO/OSI 3 e 4 Protocolli: si sceglie come pila di protocolli la suite TCP/IP, ormai generalmente utilizzata come architettura di rete, per cui a livello tre faremo riferimento al protocollo ip e a livello quattro i protocolli TCP e UDP a seconda delle applicazioni impiegate. Dispositivi: come dispositivo di rete sarà utilizzato un router ADSL che avrà un interfaccia seriale collegata alla linea Internet e un interfaccia Fast Etherent collegata allo switch che fa da centro stella della rete scolastica. Schema d indirizzamento Per il collegamento pubblico ci verrà assegnato dal provider un indirizzo pubblico, che può essere anche dinamico poiché non è stata fatta dalla scuola alcuna richiesta particolare. Poiché tutti gli host appartengono a un unica rete (non sono presenti router interni) scegliamo di utilizzare come indirizzo IP di rete l indirizzo privato di classe C /24 Parametri di rete Indirizzo di rete: Maschera di rete: Indirizzo di broadcast: Range di indirizzi utilizzabili per gli host della rete: (2 8-2 = 254) Non avendo un elevato numero di PC si opta per la configurazione manuale degli indirizzi IP ai vari dispositivi di rete (host, server, stampanti, router). In particolare, tenendo alcuni indirizzi di riserva per futuri ampliamenti, si scelgono gruppi distinti di indirizzi IP per ambiti diversi, per esempio: - indirizzi IP con parte host da 1 a 10 per il locale tecnico - indirizzi IP con parte host da 11 a 30 per il laboratorio - indirizzi IP con parte host da 31 a 40 per la segreteria - indirizzi IP con parte host da 41 a 50 per la presidenza Come prima cosa si assegna l indirizzo IP all interfaccia Ethernet del router (quella che lo collega allo switch principale), a cui spesso si assegna il primo indirizzo IP disponibile, cioè Questo indirizzo IP costituisce il gateway predefinito per tutti i PC della scuola, cioè l indirizzo IP a cui vanno mandati i pacchetti che devono uscire dalla rete /24 per andare su Internet. Al server di rete assegniamo l indirizzo IP Si passa quindi ad assegnare un indirizzo IP ai vari PC della rete. Il piano completo d indirizzamento dei vari dispositivi di rete è descritto dalla seguente tabella: nome dispositivo Indirizzo IP Maschera di rete Default gateway funzione E1-R Porta Ethernet di R1 (default Gateway) <IP pubblico S1-R1 fornito dall ISP> <IP remoto dell ISP> Porta seriale di R1 collegata all ISP SERVER Server di rete PCL PC1 laboratorio PCL PC12 laboratorio PrintL Stampante laboratorio PCS PC1 segreteria PCS PC3 segreteria

4 PrintS Stampante segreteria PCP PC1 presidenza Per la configurazione TCP/IP dei PC connessi alla LAN, oltre all indirizzo IP, alla maschera di rete e al default gateway, è necessario impostare anche l indirizzo IP del server DNS (Domain Name System) su Internet, il cui compito è quello di effettuare la risoluzioni dei nomi host e degli indirizzi web dei siti Internet in indirizzi IP. L indirizzo IP del server DNS viene fornito dall ISP tramite cui si accede a Internet. Per consentire la navigazione su Internet dei PC della LAN è necessario abilitare nel router ADSL la funzione NAT (Network Address Translation), che consente di far condividere a tutti i PC della LAN, a cui è stato assegnato un indirizzo IP privato, l unico indirizzo IP pubblico fornito dal Provider e assegnato all interfaccia WAN (seriale) del router. Il router sostituisce così nei pacchetti in uscita verso Internet agli indirizzi IP privati l indirizzo IP pubblico ed esegue l operazione inversa per i pacchetti ricevuti da Internet e diretti ai PC della LAN. Data l estrema semplicità della rete la tabella d instradamento del router e la tabella delle ACL saranno molto semplici. Tabella d instradamento del router Indirizzo di rete Maschera di rete Next hop IP interfaccia del router Connesso direttamente <IP remoto dell ISP> <IP pubblico fornito dall ISP> Tabella delle ACL del router Regola Interfaccia verso Permette il traffico diretto verso Int. Wan Interno->esterno Consenti il traffico in risposta a una connesione (*) Wan Esterno->interno Blocca tutto il resto del traffico da Int verso la rete Wan Esterno->interno (*) Questa regola e quella che segue sono necessarie per evitare eventuali intrusioni da Internet verso la rete scolastica. Servizi di rete Per quanto riguarda i servizi, la rete dovrà offrire: - un servizio di gestione centralizzata della rete che offrirà elementi di sicurezza e di privacy, separando utenti, dispositivi e applicazioni in base a livelli di sicurezza degli accessi. Tale servizio è implementato da un server che prende il nome di controllore di dominio che consente di controllare gli accessi alla rete riconoscendo gli utenti mediante username e password e fornendo loro l accesso alle risorse di rete in base a precise autorizzazioni. - un servizio di assegnazione automatica degli indirizzi IP ai PC della rete, nell eventualità che non si utilizzasse l assegnamento manuale. Tale servizio è fornito da un server DHCP ( Dynamic Host Configuration Protocol) presente sul server di rete o integrato sul router. - Un servizio di NAT (già descritto)

5 Soluzione del punto B-1 Obiettivo: nell ipotesi che la scuola voglia scambiare informazioni via Internet e via posta elettronica con un altra scuola utilizzando risorse interne, la rete scolastica dovrà essere dotata di un server interno con funzioni di server web e di server di posta elettronica che possa essere accessibile dall esterno tramite il collegamento Internet. Ipotesi aggiuntive: poiché le informazioni non sono di tipo riservato si prevede di poter avere accesso alla rete utilizzando le sole limitazioni standard previste dal server di gestione della rete (username/password) il server web sarà un computer di classe server, cioè un computer di elevate prestazioni in termini di CPU, RAM e velocità, quindi sarà necessario acquistarlo poiché il server web e di posta deve essere accessibile anche dall esterno, l indirizzo pubblico assegnato alla scuola dall ISP dovrà essere di tipo statico e a questo dovrà essere associato un nome di dominio di secondo livello del tipo ad esempio scuola.it in modo che possa essere raggiungibile tramite il DNS (questa operazione ovviamente sarà effettuata dall ISP). (Se l idirizzo IP fosse dinamico bisognerebbe utilizzare un servizio DDNS (DNS dinamico); con il DDNS l indirizzo usato di volta in volta dal dominio viene comunicato al server DNS, che lo può comunicare in risposta alle interrogazioni relative al dominio.) Per motivi di sicurezza è necessario impiegare un firewall in grado di proteggere la rete interna da attacchi provenienti da Internet si dovrà prevedere la presenza di una persona con funzione di amministratore di rete che dovrà gestire la maggior complessità della rete Soluzione di massima L inserimento nella rete scolastica dei server Web e di posta e la loro accessibilità da Internet, può creare il presupposto per attacchi alla rete scolastica dall esterno. Quindi è necessario creare una infrastruttura di rete più complessa in modo da proteggere adeguatamente la LAN interna. La tecnica è creare una porzione di rete nuova in cui inserire le macchine server raggiungibili dall esterno, ma che sia separata mediante opportune tecniche dalla lan interna. Ci sono due soluzioni: 1. porre tra il router ADSL e la rete locale un firewall a tre porte: una collegata al router (WAN), l altra collegata alla rete interna (LAN) e la terza collegata alla rete in cui vengono collocati i computer server accessibili da Internet. Questa porzione di rete, detta anche zona demilitarizzata (DMZ), è accessibile sia dalla rete interna che da quella esterna, ma da questa non è possibile entrare nella lan interna, infatti il firewall è un dispositivo che, analizzando i pacchetti in ingresso e in base a opportuni criteri di protezione, consente solo il traffico verso il server web sia dalla LAN che da Internet, e blocca il traffico non permesso verso la rete locale. Segue lo schema (riferirsi allo schema fatto in classe) 2. porre tra il router ADSL (R1) e la LAN un secondo router (R2) e quindi inserire tra i due router uno switch a cui collegare il server web e di posta. Questa volta la protezione sarà

6 effettuata dalle interfacce dei router opportunamente programmate. L interaccia E1 di R2 dovrà bloccare tutto il traffico verso la rete locale ad eccezione di risposte a connessioni effettuate dagli host della rete locale verso Internet o verso il server; L interfaccia S1 di R1 dovrà bloccare tutto il traffico ad eccezione di quello diretto al server e che non sia una risposta a una connessione. Segue lo schema (riferirsi allo schema fatto in classe) Scegliamo la prima soluzione Il firewall può essere un dispositivo hardware dedicato a tre porte, oppure può essere realizzato utilizzando uno dei computer disponibili, dotato di tre schede di rete e di un opportuno software che realizza le protezioni. Per il cablaggio dei nuovi dispositivi si useranno cavi UTP categoria 5 e connettori RJ-45 già usati per il cablaggio della rete. L interfaccia di rete del server come le interfacce del firewall, saranno Fast Ethernet 10/100 Mbps. Per quanto concerne il piano di indirizzamento la presenza del firewall fa si che da una sola rete si passa a tre reti, ognuna collegata a un interfaccia del firewall (LAN, DMZ e WAN), quindi il piano di indirizzamento va completato ad esempio nel seguente modo (sono ovviamente possibili scelte diverse): - si assegna l indirizzo IP /24 all interfaccia LAN del firewall dato che fa parte della rete d indirizzo privato /24. Tale interfaccia costituisce il gateway predefinito per tutti i PC della LAN; - si assegna l indirizzo /24 alla rete DMZ e, in particolare, l indirizzo IP /24 alla porta DMZ e l indirizzo IP /24 al server pubblico; - si assegna l indirizzo /24 alla rete relativa al collegamento tra router adsl e firewall e, in particolare, l indirizzo IP /24 all interfaccia WAN del firewall e l indirizzo IP /24 all interfaccia ethernet (LAN) del router; - si assegna all interfaccia WAN (seriale) del router l indirizzo IP pubblico fornito dal provider; in questo caso l indirizzo IP dovrebbe essere statico e noto in modo da rendere visibile su Internet il router e tramite esso anche il server WEB. Servizi di rete Per quanto riguarda i servizi, la rete dovrà offrire: il servizio NAT sul router R1 che dovrà: - permettere la navigazione verso Internet ai PC della scuola, associando opportunamente gli indirizzi privati della LAN all unico indirizzo IP disponibile; - consentire l accesso di connessioni esterne verso il server web e di posta associando staticamente all indirizzo IP pubblico, relativamente alle porte 80 (HTTP-server) e 25 (SMTPserver), l indirizzo IP privato assegnato al server. il servizio firewall dovrà: - sull interfaccia E1, accettare le richieste di servizio provenienti da Internet solo se dirette al server pubblico posto sulla porta DMZ e solo per i servizi abilitati su tale server, e le risposte a connessioni effettuate dalla LAN; - sull interfaccia E2, consentire il traffico verso il server e le risposte del server a connessioni aperte dalla LAN o da Internet; - sull interfaccia E3, consentire il traffico verso Internet e verso il server e quello in risposta a

7 connessioni. Il servizio web dovrà consentire la pubblicazione del materiale elaborato dagli studenti della scuola. Il servizio di posta elettronica dovrà permettere lo scambio di messaggi in modalità asincrona tra studenti interni della scuola e tra questi e quelli di altre scuole. Sul server saranno presenti i protocolli SMTP per inviare la posta verso l esterno e POP3 per scaricare la posta. Sui PC della scuola il client di posta potrà essere Outlook della Microsoft.

8 Soluzione del punto B-2 Nell ipotesi che la scuola si appoggi a una struttura esterna per la pubblicazione del sito aziendale ci sono due possibilità: Hosting. Si tratta di allocare le pagine e i contenuti del sito web della scuola su un server web del provider che ne garantisce la visibilità 24 ore su 24. In pratica il cliente prende in affitto dal provider un spazio del server (hosting condiviso) o tutto il server web (hosting dedicato) destinato ad ospitare il sito, che sarà così accessibile dagli utenti della rete attraverso i comuni strumenti di navigazione (browser), con identificazione dei contenuti tramite dominio e indirizzo IP. Housing: si tratta di implementare il server web su una propria macchina e affidarla in gestione al fornitore del servizio che ne garantisce il funzionamento 24 ore su 24. Il primo caso è la soluzione più semplice e meno costosa in quanto non richiede oneri iniziali ( se non un affitto annuale che può essere modesto) e particolari conoscenze tecniche. Occorrerà semplicemente definire le modalità per la manutenzione dinamica del sito. I file contenenti la documentazione della scuola saranno mandati via FTP al server gestito dal provider. Ci sono però due punti deboli: 1) la condivisione delle risorse della macchina con altri clienti ( nel caso di hosting condiviso) e quindi un evidente rallentamento nel caricamento delle pagine del sito e/o l incapacità della stessa macchina di far fronte efficacemente a un elevato carico di lavoro, 2) la rigidità nella configurazione dei servizi che talvolta può essere limitante. Il secondo caso è molto simile al primo, ma con una fondamentale differenza, che il server pur essendo nei locali e nella rete del provider è di proprietà della scuola ed è amministrato dal suo personale. Quindi la scuola usufruisce dei servizi del provider (connettività, assistenza alla macchina,..) ma non ha limitazioni nell organizzazione e gestione del sito perché la machina su cui è ospitato il sito è di sua proprietà quindi può apportare tutte le modifiche che ritiene opportuno in totale autonomia. Per la gestione del sito il cliente può accedere da remoto, attraverso una qualsiasi connessione a Internet. Queste soluzioni presentano alcuni vantaggi rispetto alla soluzione con il server all interno della struttura scolastica: 1) abbattono i costi di comunicazione dal provider fino al luogo fisico dell azienda, se questa utilizzasse una linea dedicata di collegamento a Internet. 2) Risolve alla radice i problemi relativi alla gestione della sicurezza. 3) I costi iniziali sono bassi. 4) Non necessita di personale particolarmente qualificato. Mentre gli svantaggi sono: 1) costi di manutenzione costanti 2) rigidità della struttura (si è legati ai servii offerti dall ISP) La soluzione col server interna alla scuola, a fronte dei seguenti svantaggi: 1) necessità di personale qualificato. 2) Costo iniziale elevato (HW). 3) Necessità di una connessione a Internet con maggiore disponibilità di banda Offre i seguenti vantaggi: 1) costo di mantenimento molto basso 2) flessibilità della struttura (è possibile usare la struttura per altri progetti, attività, servizi..)

9