Delavnica eduroam - Delavnice LDAP, Eduroam in ArnesAAI

Delavnica AAI Arnes 2013
22. januar 2014, Ljubljana, Tehnološki park
Delavnica eduroam
Rok Papež
Arnes
rok.papez@arnes.si
Na meniju:
• predstavitev tehnologij brezžičnih omrežij
• posebnosti »goste« postavitve
brezžičnega omrežja
• načini postavljanje brezžičnih omrežij
• postavitev avtentikacijskega strežnika
RADIUS
• priklop v omrežje Eduroam
* http://aai.arnes.si - uradna Arnes dokumentacija za sisteme AAI
BYOD - Prinesi svojo napravo
Avtorske pravice CC: John Baer, Flikr
BYOD – Bring Your Own Device
Prinesi svojo napravo
• Računalništvo v oblakih (oblačno računalništvo)
• BYOD v podjetjih
– Dostop do omrežja podjetja
–
Delo od doma
–
Varnost in dostopnost podatkov, mešanje podatkov
–
Prevzem upravljanja naprave?
–
Izguba naprave
• BYOD v šolstvu in raziskovalni skupnosti
– Pri raziskavah se bolj sodeluje (manj geografskih ovir)
–
Elektronski učbeniki (porabniki)
–
Aktivna uporaba naprav in aktivno sodelovanje?
–
Ali otroci “surfajo” ali sodelujejo med poukom?*
Naprava z žico ...
Avtorske pravice CC: Ned Steiner, Flickr
... ali brez?
Avtorske pravice CC: Moyan Brenn, Flickr
Eduroam.si statistika gostovanj
Eduroam TLD Sessions
750000
# of distinct roaming sessions
700000
650000
600000
550000
500000
TLD Sessions
450000
400000
350000
300000
250000
200000
150000
100000
50000
0
200410
200504
200510
200604
200610
200704
200710
200804
200810
Month
200904
200910
201004
201010
201104
201110
201204
201210
201304
Omrežja
• Žično omrežje
– strežniki, namizni računalniki, naprave, občasno tudi prenosniki
–
hitrost, zanesljivost, ergonomika!
–
vsak “svojo žico”
• Brezžično
– Udobno
–
Mobilne naprave
–
BYOD
–
Zanesljivost, hitrost in varnost so nizki
–
Skupni medij!
–
Kolaps omrežja
–
Še več žic – za dostopovne točke
Brezžična omrežja 802.11
• ALOHANet – 1971
• Eternet – 1973/1974/1980
• 802.11 – 2Mb/s (Infrardeče 1Mb/s, 900MHz + 2.4 GHz) - 1997
• 802.11b – 11Mb/s (2.4 GHz) – 1999
• 802.11a – 54Mb/s (5 GHz) – 1999
• 802.11g – 54Mb/s (2.4 GHz) – 2003
• 802.11n – do 600Mb/s (2.4 GHz + 5 GHz, MIMO, širina kanala 20 ali 40 MHz) –
2009
• 802.11ac – do 6.77 Gb/s (5 GHz, širina do 160MHz) – 2014/2015
• WiGig 802.11ad – do 7Gb/s (2.4 GHz, 5 GHz, 60 GHz)
– Brezžični priklop zaslona in TVja: HDMI in DisplayPort
–
60GHz se težko širi skozi gradbene materiale :-))
–
V razvijanju
Zahteve do omrežja
• Samoumevno (elektrika, tekoča voda, ogrevanje...)
• Internet mora delovati
– Plače
–
Izobraževalna orodja
–
Storitve v oblakih (Arnes, FlipIT ...)
–
Hitrost in zanesljivost!
• Omrežje deluje – BYOD
• Omrežje ne deluje – BYOPW*
• Veliko uporabnikov, veliko zahtev
• Podhranjenost z viri: RollsRoyce za 9.000,00€ :-)
*BYOPW angl. Bring Your Own PaperWeight
Postavitev brezžičnega omrežja
• Ali želimo čim večjo pokritost ali čim gostejše omrežje?
• Ogled prostorov (angl. Site Survey)
– Pametni telefon ali prenosnik s slabim sprejemnikom
–
Dostopovna točka + dolgi podaljšek
–
Fizično preverjamo postavitve in domet signala
–
Zabeležimo rezultate na načrtu stavbe
• Oprema ustreza standardom?
http://aai.arnes.si/eduroam/priklop.html#tehnicna_dolocila
Najamemo podjetje in vedno preverimo rezultate
• WPA2-PSK (Šifriranje in prijava s skupnim geslom)
• Eduroam (Šifrirano omrežje in prijava z lastnim uporabniškim imenom
in geslom)
Avtorske pravice CC: Liebeskind, Wikipedia
inSSIDer
Frekvenčni analizator - WiSpy
Duty Cycle - zasedenost frekvenčnega pasu
Strokovni ogled področja
(angl. site survey)
Tloris
Tloris 2.
Strokovni ogled - Arnes
5 GHz frekvenčni pas
• Manjši domet
– preveri ali je pokritost dovolj dobra pri uporabi dvojnih AP!
• Manj motenj
– Mikrovalovne
–
telefoni DECT
–
analogne brezžične video kamere
• 19 neodvisnih kanalov (4-je na 2.4GHz)
• DFS* - Samodejno nastavljanje frekvence in moči
• Goste postavitve!
• Težave s slabimi odjemalci (band select)
• Večina cenenih naprav podpira samo 2.4GHz
*DFS angl. Dynamic Frequency Selection
Hibridna postavitev
• Po stavbi postavljamo za največjo
pokritost
• V računalniško podprtih učilnicah
postavljamo gosto postavitev
– Kjer poteka učni proces z uporabo
mobilnih naprav
• http://aai.arnes.si/eduroam/hybrid.html
Postavitev za največjo pokritost
• 2.4GHz Kanali 1,5,9,13
• Največja moč
– vsaj -67dBm RSSI
–
vsaj 25dBm SNR
• Izklopimo 802.11b, pustimo 802.11g
• AP postavljamo v pisarne/učilnice/knjižnice/avle, ne na hodnike
• Prioriteta
– Dober signal kjer je potreben
–
Slab signal (ali brez) na hodnikih in prostorih kjer se
uporabniki ne zadržujejo.
• Predvidoma ni VoIPa na wirelessu
Čim gostejša postavitev
• Redundančni AP
• Band steering
– preveriti delovanje!!!
• Omogoči se le 802.11n (izklopi se 802.11a/b/g)
• 20MHz pas na 2.4GHz, 5GHz lahko dvojni
• Filtriranje multicast DNS / Bonjour
–
DST 224.0.0.251/255.255.255.255
–
DST ff02::fb/128
Varnost brezžičnih omrežij
• Varnostno so bolj občutljiva kot ožičena
omrežja
• Fizična varnost
• Gostujoči uporabniki
• Varnost sistemov pred mobilnimi napravami
• Mehanizmi za varovanje omrežij:
http://aai.arnes.si
• Beleženje uporabe in kaznovanje storilcev
Napadi eternet L2
• IPv4 – eternet
– DHCP snooping
–
ARP inspection
–
IP Source Guard
• IPv6 – eternet
– Blokiranje IPv6
–
RA Guard
–
NDP inspection
• Dnevniški zapisi z usmerjevalnika
• Aktivni nadzor omrežja
–
NDPmon, 6mon, arpwatch
• Varnostni mehanizmi vgrajeni v sisteme WLC
Naslovni prostor
• IPv4 naslovnega prostora zmanjkuje
• NAT44
– Omejena funkcionalnost za uporabnike
–
Dodatno obremenjevanje omrežne opreme in povezav
–
Težja pomoč uporabnikom in razhroščevanje napak
• NAT44 + IPv6
• Samo IPv6 + NAT64
–
Pilot teče
–
Večinoma deluje
–
Težave imajo aplikacije, ki delujejo neposredno z naslovi IPv4
(skype)
• Samo IPv6
Arhitekture brezžičnih omrežij
• Avtonomne dostopovne točke
– Upravljamo vsako posebej
–
Nastavljanje frekvenc
–
Tipično cenejše
• Lahke dostopovne točke
– Centralni krmilnik (WLC*) nadzira vse dostopovne točke
–
Posebna naprava v omrežju (Cisco, Lancom, AeroHive, Rukus ...)
–
Spletna storitev (AeroHive, Meraki ...)
–
Cena: Letna plačila, vzdrževanje
–
Upravljanje brezžičnih omrežij je vroča tema
–
“Standard” CAPWAP*
–
Javni razpis za dodatno opremo so čista farsa zaradi 100% priklenitve
uporabnika
*CAPWAP angl. Control And Provisioning of Wireless Access Points
*WLC angl. Wireless Lan Controller
Kaj je Eduroam?
• Organizacija (šola, inštitut ...) vzpostavi
svoje brezžično omrežje
• Se poveže v hierarhijo strežnikov
RADIUS
• Združljivi tehnični standard
• Recipročnost
Network login - 802.1x
EAP over
RADIUS
EAPOL
Supplicant
Authenticator
(AP or Switch)
RADIUS
Authentication
server
LDAP
Query
LDAP
userX@organisation.si
Internet
VLAN
Staf
signalling
data
VLAN
Guests
VLAN
Students
802.1x and EAP protocol stacks
• Access Network:
• Unauthenticated: Ethernet:EAPOL
• Authenticated: Ethernet:IP
• Access Point / Switch to RADIUS
• Management traffic
• IP:UDP:RADIUS:EAP:<EAP type>
• Authenticator == „EAP proxy“
Vrste EAP
• Eduroam: EAP-Karkoli-s-ključi :)
• EAP-TTLS (+ PAP, MSCHAPv2), EAPTLS, PEAP
• EAP-FAST, EAP-SIM, EAP-AKA
• Slabe vrste EAP:
• EAP-MD5, LEAP ...
• Podpora za nove tablice in telefone
• (Prva) vzpostavitev!
• Pomoč uporabnikom!!!
Sklad protokolov 802.1x in EAP
Združljivost protokolov z gesli
http://deployingradius.com/documents/protocols/compatibility.html
Enostavna uporabnost
• Eduroam:
•
•
•
•
•
•
SSID
Encryption (WEP, WPA, WPA2)
Odjemalec 802.1x
Vrsta EAP
Prijavni podatki (geslo ali certifikat)
Certifikat CA ali strežnika
• Vse naprave / različni OS
• Samonastavitev: SecureW2
• ftp://ftp.arnes.si/software/eduroam
Nastavitve Windows 8
FreeRADIUS
• Najhitrejši
• Najcenejši
• Najzmogljivejši
• Najprilagodljivejši
• Najzakomplicirani :)
• Najboljši
Nastavitev FreeRADIUS
FreeRADIUS namestitev
• yum install freeradius\*
• http://www.pingo.org/eduroam/centos6/
x86_64/
• cp -a /etc/raddb /etc/raddb.orig
• vse datoteke so znotraj /etc/raddb
• vim
• DEBUG!!!!
FreeRADIUS navodila
• http://aai.arnes.si/eduroam/freeradius.html
• Opis nastavitev
• Smiselno dodamo v nastavitve
• Nekatere nastavitve so za dodatne
funkcionalnosti
• pGina, časovno omejena raba
• Preverjamo delovanje v razhroščevalnem
načinu
FreeRADIUS zagon in
razhroščevanje
• chkconfig radiusd on
• systemctl enable radiusd.service
• disable
• service radiusd start
• systemctl start radiusd.service
• restart, stop
• radiusd -Xxx
• radiusd -Xxx 2>&1 | tee ~/radius.log
Primer konfiguracije: eap.conf
eap {
default_eap_type = ttls
timer_expire = 60
ignore_unknown_eap_types = no
max_sessions = 4096
fragment_size = 1024
tls {
#openssl dhparam -check -text -5 512 -out /etc/pki/radius/dh
dh_file = /etc/pki/radius/dh
private_key_file = /etc/pki/radius/os-prva.si_key.pem
certificate_file = /etc/pki/radius/os-prva.si_cert.pem
CA_file = /etc/pki/radius/cacert.pem
random_file = /dev/urandom
cipher_list = "DEFAULT"
ecdh_curve = "prime256v1"
cache {
enable = yes
lifetime = 24 # hours
max_entries = 2048
}
[...]
ttls {
default_eap_type = mschapv2
copy_request_to_tunnel = yes
use_tunneled_reply = yes
virtual_server = "inner-tunnel"
}
peap {
default_eap_type = mschapv2
copy_request_to_tunnel = yes
use_tunneled_reply = yes
virtual_server = "inner-tunnel"
proxy_tunneled_request_as_eap = no
soh = no
# soh_virtual_server = "soh-server"
}
mschapv2 {
#send_error = yes
send_error = no
}
[...]
} # end eap
Gostovanje RADIUS
• preizkusna storitev!!!
• UDP izgubni protokol
• podpora ni zagotovljena
• aaa-podpora@arnes.si
• Gostovanje IDP + LDAP
• Pridružitev ArnesAAI + Eduroam.si +
pogodba o gostovanju
• Oddelek AAI ali svetovanje
• RADIUS, DHCP, Syslog, SNMP
Lotite se dela!
●
CC vienze ziction /flickr
Navodila
• System-config-firewall ali vim /etc/sysconfig/iptables
• RADIUS – udp/1812 in udp/1813
• service iptables restart
• iptables-save + preveri /etc/sysconfig/iptables
• TLD = 194.249.0.237
• Secret = secretstuff
• Realm = student??.lab.arnes.si
• /opt/bin/eapol_test -a 127.0.0.1 -s <radius secret> -c /opt/etc/<file>.cfg
• Navodila: http://aai-lab.arnes.si
• Generiranje samopodpisanega strežniškega certifikata
• Vzpostavitev strežnika FreeRADIUS
• NE vzpostavljajte MySQL
• RPM paketi:
• yum install http://../freeradius-2.2.0-0.arnes.el6.x86_64.rpm
• yum install http://../freeradius-ldap-2.2.0-0.arnes.el6.x86_64.rpm
• yum install http://../freeradius-utils-2.2.0-0.arnes.el6.x86_64.rpm
• yum install http://../freeradius-mysql-2.2.0-0.arnes.el6.x86_64.rpm
Kontakti
• Eduroam
•
•
•
•
mailto:aaa-podpora@arnes.si
http://aai.arnes.si
http://www.eduroam.si
http://www.arnes.si/pomocuporabnikom/eduroam.html
• Libroam
• IZUM
• Tehnična podpora
• Priklop
• bostjan.batic@izum.si