Diginetwerk Architectuurdocument. Versie 1.1

Transcriptie

1 Diginetwerk Architectuurdocument Versie november 2018

2 Colofon Projectnaam Organisatie Diginetwerk Logius Postbus JE Den Haag Bijlage(n) Geen Publicatie Deze versie is vastgesteld door Logius op 16 januari 2017 en en geactualiseerd op 13 november 2018 gepubliceerd op de Logius website onder Diginetwerk ( ). Pagina 2 van 33

3 Inhoudsopgave Colofon Inleiding Doel van dit document Doel van Diginetwerk Scope van het document Doelgroep Status Ontwikkelingen Samenhang met andere documenten Introductie Diginetwerk Netwerk van netwerken Wat betekent dit voor een aangesloten organisatie? Welke rollen zijn er binnen Diginetwerk? Kader Stelsel Koppelnetwerken Aangesloten organisaties Governance Aansluitvoorwaarden Principes, uitgangspunten en ontwerpbeslissingen Generieke Principes Ontwerpprincipes Uitgangspunten Ontwerpbeslissingen Vereisten Functioneel Beschikbaarheid, schaalbaarheid en performance Eisen aan Koppelnetwerken Koppelvlak koppelnetwerk Klantaansluitingen Beheer Beveiliging Conceptueel ontwerp Pagina 3 van 33

4 6.1 Introductie Infrastructuurfuncties BGP DNS Transport van IP pakketten Diginetwerk IP adressen NTP Diginetwerk-Connect Besloten karakter van Diginetwerk Beheer Beschikbaarheidsmonitoring Capacteitsmonitoring KPS Looking Glass Test-website Beveiliging Samenhang met andere netwerken Haagse Ring RON Testa Ontwerp Algemeen Bouwblokken Terminologie Pagina 4 van 33

5 1 Inleiding 1.1 Doel van dit document Het doel van dit document is het bepalen van de inrichting van Diginetwerk. In dit document worden de vragen: Wat is Diginetwerk? en Waaruit is Diginetwerk opgebouwd? beantwoord. Vragen die gesteld worden door beleidsmedewerkers binnen de overheid om een antwoord te kunnen geven of de voorziening of toepassing gebruik kan maken van Diginetwerk en wat hier de voordelen van zijn. Tevens bevat dit document antwoorden op de vragen die ontwerpers en architecten hebben die werkzaam zijn binnen de overheid of bij koppelnetwerkbeheerders. 1.2 Doel van Diginetwerk Diginetwerk is een stelsel van besloten netwerken. Het doel van Diginetwerk is om een veilige, efficiënte en effectieve standaardoplossing te bieden voor elektronische gegevensuitwisseling tussen organisaties die een taak vervullen in de publieke sector. Diginetwerk biedt de connectiviteit waarmee elke organisatie binnen het publieke domein elke andere organisatie daarbinnen kan bereiken, op eenvoudige en gestandaardiseerde wijze via geharmoniseerde en in samenhang gekoppelde netwerken en zonder afhankelijkheid van internet. 1.3 Scope van het document Dit document beperkt zich tot de beschrijving van de architectuur van Diginetwerk. Het beschrijft niet het aansluitproces of de diensten die op Diginetwerk geleverd worden. In dit document zijn verwijzingen opgenomen naar documenten die deze zaken beschrijven. 1.4 Doelgroep De doelgroep van dit document wordt gevormd door architecten en technisch specialisten van alle organisaties in het publieke domein die inhoudelijke vragen hebben over Diginetwerk. Tevens is dit document bestemd voor architecten die gerelateerd zijn aan de koppelnetwerken waaruit Diginetwerk bestaat. 1.5 Status Het architectuurdocument (het voorliggend document) wordt voor advies voorgelegd aan de koppelnetwerkleveranciers. De definitieve versie wordt vastgesteld door Logius. Deze versie geldt als norm voor Diginetwerk voor het geheel aan koppelnetwerken. Koppelnetwerkbeheerder dienen hun koppelnetwerken volgens deze norm in te richten. 1.6 Ontwikkelingen Recente ontwikkelingen binnen de Rijksoverheid zoals het in gebruik nemen van het RijksOverheidsNetwerk2.0 (RON2.0) als netwerk voor het ontsluiten van de OverheidsDataCenters (ODC), kennen ook hun weerslag op veranderingen binnen Diginetwerk. Het partner-i koppelvlak, zoals gedefinieerd in het globale ontwerp van RON2.0, zal aangesloten worden op Diginetwerk, waardoor diensten die vanuit de ODC s aangeboden worden ook benaderd kunnen worden door overheden die gebruik maken van Diginetwerk. Aanvullend zullen centrale diensten die ten behoeve van Diginetwerk geboden worden op Datacenters van de overheid, verhuisd of gemigreerd worden naar de ODC s. Een voorbeeld hiervan is Rijks-DNS. Pagina 5 van 33

6 De ontwikkeling van vooral beveiligingsstandaarden voor communicatie over internet zal tevens invloed hebben op Diginetwerk. Diginetwerk gebruikt deze internetstandaarden, echter zonder een afhankelijkheid te creëren van internet. Voorbeelden hiervan zijn het gebruik van DNSSEC en het gebruik van PKI overheidscertificaten binnen Diginetwerk. Oplossingen om DNSSEC en PKIo revocation binnen besloten netwerken mogelijk te maken, zullen onderzocht worden en indien bruikbaar binnen Diginetwerk, beschreven worden. 1.7 Samenhang met andere documenten De volgende documenten hebben een relatie tot het architectuur document van Diginetwerk: NORA, EAR en RON2.0, waarbij vooral een samenhang te positioneren valt met de NORA. NORA en EAR zijn architectuur documenten die opgesteld zijn voor de Rijksoverheid. Ondanks het feit dat Diginetwerk gebruikt kan worden door de gehele overheid, is de start van Diginetwerk wel gelegd door de Rijksoverheid. Immers communicatie binnen de verschillende doelgroepen (gemeenten, uitvoeringsinstanties, provincies) was mogelijk, maar tussen de doelgroepen en vanuit de doelgroepen naar de Rijksoverheid niet. Met name heeft NORA de beveiligingsniveaus en de aanpalende maatregelen beschreven die Diginetwerk gebruikt als uitgangsprincipes. Dit is verwoord in hoofdstuk 4.1. Het functioneel ontwerp van RON2.0 beschrijft het model van het nieuwe netwerk voor de rijksoverheid, waarin de 4 ODC s zijn geïntegreerd. Vanuit dit netwerk worden overheidsbrede diensten ontwikkeld en aangeboden aan de verschillende afnemers. Binnen RON2.0 is het partner-i netwerk beschreven als het koppelvlak waarover de rijksoverheid communiceert met partners van de rijksoverheid. Hierbinnen vallen de overige overheidsinstellingen en private instellingen met een publieke taak. Partner-I verbindt Diginetwerk met RON2.0. Pagina 6 van 33

7 2 Introductie Diginetwerk Dit hoofdstuk geeft een globaal overzicht van Diginetwerk en beschrijft de terminologie dat in het document gebruikt wordt. Vanwege de leesbaarheid zijn details die verderop in het document worden besproken in dit hoofdstuk weggelaten. Voor een beknopte beschrijving van Diginetwerk wordt verwezen naar de factsheet Diginetwerk [1] 2.1 Netwerk van netwerken In het verleden zijn er veel besloten Wide Area Netwerken voor de overheid gebouwd of aanbesteed met als doel een communicatie-infrastructuur te realiseren voor een bepaalde doelgroep binnen de overheid. Voorbeelden hiervan zijn Gemnet voor de gemeentes, de Haagse Ring voor de Rijksoverheid, Suwinetwerk voor de werk en inkomen keten, het NAFIN netwerk voor defensie, JustitieNet voor het ministerie van VenJ, enz.. Daarbij zijn er veel kruisverbindingen gelegd tussen verschillende ministeries, overheden en organisaties met een publiek taak om communicatie naar elkaar mogelijk te maken. Diginetwerk is ontstaan uit het koppelen van al deze besloten netwerken voor de overheid waardoor deze kruisverbanden niet meer nodig waren en hierdoor kosten bespaard konden worden. Door gemeenschappelijk afspraken te maken op het gebied van connectiviteit, beschikbaarheid, beveiliging en het gebruik van standaarden kan iedere aangesloten organisatie communiceren met een andere aangesloten organisatie. Binnen Diginetwerk wordt zo n netwerk voor een bepaalde doelgroep een koppelnetwerk genoemd. Al deze koppelnetwerk zijn aangesloten op een centraal punt, het Koppelnet Publieke Sector (KPS) genoemd. In onderstaande tekening is dit weergegeven: Bedrijfsnetwerk van overheidsorganisaties zijn met behulp van een beveiligd koppelvlak aangesloten op één van de koppelnetwerken. Pagina 7 van 33

8 Op basis van gemeenschappelijke afspraken is een stelsel ontstaan met aansluitvoorwaarden, beheersafspraken, dienstbeschrijvingen en architectuurdocumenten. In dit architectuurdocument is vastgelegd welke afspraken er op het gebied van architectuur zijn gemaakt om Diginetwerk te ontwerpen, bouwen en uit te breiden. Deze afspraken zijn gemaakt op het gebied van generieke principes, ontwerpprincipes, uitgangspunten en ontwerpbeslissingen en gelden voor koppelnetwerken die aangesloten mogen worden op Diginetwerk. 2.2 Wat betekent dit voor een aangesloten organisatie? Een aangesloten organisatie kan, mits hij voldoet aan de aansluitvoorwaarden, onafhankelijk van het Internet communiceren met een andere aangesloten organisatie. Dit levert de volgende voordelen op: 1) Door het besloten karakter is Diginetwerk een veiliger alternatief dan het open internet voor het uitwisselen van gegevens tussen overheidsorganisaties. 2) Met één netwerkaansluiting efficiënt en betrouwbaar communiceren met alle aangesloten overheidsorganisaties. 3) Eén standaardwijze van beheer en beveiliging van de gekoppelde besloten netwerken, centraal verzorgd. 4) Systemen kunnen op een standaardwijze ingericht worden voor de koppeling met Diginetwerk. Zo bereiken organisaties een betere kwaliteit tegen lagere kosten. 5) Beschikbaarheid geborgd door een SLA, duidelijkheid vanwege de aansluitvoorwaarden en vrijheid vanwege de keuze aan koppelnetwerkbeheerders. 6) Op een eenduidige wijze diensten aanbieden en/of afnemen op Diginetwerk met andere aangesloten organisaties. 2.3 Welke rollen zijn er binnen Diginetwerk? De volgende rollen zijn gedefinieerd binnen Diginetwerk: 1) Regie: Logius 2) Beheer van koppelnetwerk: diverse koppelnetwerkbeheerders 3) Aanvrager: Overheidsinstelling of organisatie met een publieke taak die aangesloten wil worden op Diginetwerk. 4) ICT-dienstverlener: ICT-beheerder onder contract van een aanvrager 5) Tactisch beheerder: BKWI 6) Uitvoerend beheer KPS: via ICT-dienstverlener van BKWI Logius voert de Regie op de exploitatie van Diginetwerk. Zij onderhoud contact met de koppelnetwerkbeheerders, stelt aansluitvoorwaarden op, deelt IP adressen en domeinnamen uit, informeert alle leveranciers over gepland onderhoud etc. Logius vormt ook het ingangskanaal voor vragen over Diginetwerk. Elke koppelnetwerkbeheerder verzorgt, onderhoud en beheert de koppeling naar KPS de verbinding naar de aangesloten organisatie. Hij hanteert de aansluitvoorwaarden en gebruikt aan hem toegewezen IP adressen. Een koppelnetwerkbeheerder kan toegevoegde waarde diensten leveren als DNS resolver, relay service, een beveiligd koppelvlak, etc. Een aanvrager van een Diginetwerkverbinding is een overheidsorganisatie of een organisatie met een publieke taak die gebruik wil maken van Diginetwerk als transportnetwerk. Bij niet-overheidsorganisaties zijn er stringentere aansluitvoorwaarden van toepassing. De aanvrager is zelf verantwoordelijke Pagina 8 van 33

9 voor voldoen aan de aansluitvoorwaarden, het aanvragen van een verbinding bij een koppelnetwerkbeheerder, het realiseren van een beveiligd koppelvlak en het routeren naar Diginetwerk. Een ICT-dienstverlener kan onder contract met een aangesloten organisatie ICT diensten leveren en op deze manier een koppeling met Diginetwerk krijgen onder verantwoordelijkheid van de overheidsorganisatie waarmee een contract gesloten is. Het tactisch beheer van Diginetwerk wordt uitgevoerd door BKWI. Zij sturen de uitvoerende beherende partij aan bij onderhoudswerkzaamheden, storingen en nieuwe aansluitingen. De uitvoerende centrale beheerorganisatie wordt gevormd door de onderaannemer van BKWI. Zij hebben een contract met BKWI voor de operationele beheerwerkzaamheden van het KPS. Pagina 9 van 33

10 3 Kader 3.1 Stelsel De essentie van het gebruikte concept voor Diginetwerk is: - Afspraken stelsel van besloten netwerken - Zoveel mogelijk hergebruik van bestaande besloten overheidsnetwerken - Interoperabiliteit door toepassen van bewezen internetstandaarden - Onafhankelijk van internet (besloten netwerk) Uitgangspunt voor Diginetwerk is het hergebruik van bestaande en bewezen internetstandaarden om besloten interoperabiliteit te realiseren in een afspraken stelsel. Het voorbeeld is internet, immers dit is een bewezen afspraken netwerkstelsel op wereldschaal. Internetstandaarden dienen zodanig toegepast te worden dat er geen afhankelijk van internet is of ontstaat. Er kan echter niet uitgesloten worden dat voordat er communicatie door het systeem van de eindgebruiker over Diginetwerk plaatsvindt, gebruik wordt gemaakt van communicatie over Internet. Bijvoorbeeld voor een update, security controle, DNS request of iets dergelijks. Deze twee verkeerstromen dienen in de lokale grensbeveiliging gescheiden te worden. Door dit concept te hanteren is een stelsel van besloten netwerken ontstaan, waarbij elk autonoom beheerd netwerk een koppelnetwerk genoemd wordt. Het geheel aan koppelnetwerken en het netwerkknooppunt vormt Diginetwerk. Elk koppelnetwerk voldoet aan de randvoorwaarden en aansluitvoorwaarden Koppelnet Publieke Sector [3] die opgesteld zijn en elk koppelnetwerk hanteert de gemeenschappelijke aansluitvoorwaarden Diginetwerk [5] voor organisaties die aangesloten willen worden op Diginetwerk. 3.2 Koppelnetwerken Een koppelnetwerk is een besloten netwerk voor organisaties in de publieke sector. Hierbij gaat het in eerste instantie om bestaande besloten overheidsnetwerken (o.m. Haagse Ring, Suwinet, Rinisnet), daarnaast biedt het afsprakenstelsel de ruimte voor marktpartijen om een commercieel koppelnetwerk te exploit. De randvoorwaarden, waaraan voldaan dient te worden om als koppelnetwerk aangesloten te worden op Diginetwerk, zijn benoemd in de aansluitvoorwaarden Koppelnet Publieke Sector [3]. 3.3 Aangesloten organisaties Elk koppelnetwerk hanteert de Diginetwerk aansluitvoorwaarden om organisaties aan te sluiten op Diginetwerk. Deze aansluitvoorwaarden zijn voor alle koppelnetwerken gelijk. Wel kan de primaire doelgroep van een koppelnetwerk verschillend zijn. Voorbeelden hiervan zijn het Suwinet, waarop uitvoeringsorganisaties werk en inkomen aangesloten zijn en de Haagse Ring waarop uitsluitend Rijksoverheden aangesloten zijn. 3.4 Governance De Governance van Diginetwerk is beschreven in [4]. 3.5 Aansluitvoorwaarden Voor de gemeenschappelijke aansluitvoorwaarden Diginetwerk wordt verwezen naar [5]. Pagina 10 van 33

11 Pagina 11 van 33

12 4 Principes, uitgangspunten en ontwerpbeslissingen 4.1 Generieke Principes Een belangrijk principe binnen het ontwerp van Diginetwerk is het hergebruiken van bestaande middelen en netwerken (reuse, before make, before buy). Hiermee is Diginetwerk een stelsel van gekoppelde besloten overheidsnetwerken geworden. NORA is gebruikt als kader voor de generieke principes van Diginetwerk. Expliciet zijn de volgende afgeleide principes van NORA (de nummering van NORA is overgenomen) als uitgangspunten voor Diginetwerk van toepassing: AP01. AP05. AP06. AP07. AP021. AP025. AP027. AP028. Diensten zijn herbruikbaar. Diginetwerk bestaat uit herbruikbare diensten (koppelnetwerken, Rijks- DNS, etc). Aangeboden diensten binnen Diginetwerk zijn zodanig opgezet dat andere organisaties deze kunnen hergebruiken. De dienst is nauwkeurig beschreven De dienst maakt gebruik van standaard oplossingen De dienst gebruikt open standaarden volgens de pas-toe-of-leg-uit lijst De dienst wordt gebundeld met verwante diensten Transparante dienstverlening Eén organisatie is verantwoordelijk en aanspreekbaar voor de dienst Afspraken zijn vastgelegd 4.2 Ontwerpprincipes Aanvullend aan de generieke principes zijn de volgende ontwerpprincipes van voor Diginetwerk opgesteld: OP1. Het netwerk kent een gesloten karakter. Er is geen directe (d.w.z. zonder beveiligde ontkoppeling) koppeling met openbare netwerken zoals Internet mogelijk of aanwezig. OP2. Er wordt gebruik gemaakt van een uniek IP nummerplan. Voor IPv4 worden Publieke IP blokken van de overheid gebruikt die niet op Internet gerouteerd worden. Voor IPv6 worden IP blokken gebruikt uit het IPv6-overheidsnummerplan dat Logius heeft opgesteld voor de overheid. OP3. Binnen en tussen koppelnetwerken wordt gebruik gemaakt van dynamische IP routering. Tussen koppelnetwerken en op knooppunten wordt het routeringprotocol BGP-4 gebruikt. OP4. Diensten worden ontsloten middels de FQDN. Voor Diginetwerk zijn diginetwerk.net en int-gemnet.nl 1 geregistreerd om diensten in het besloten netwerk te kunnen benaderen. Diginetwerk.net wordt gebruikt om overheidsdiensten te kunnen benaderen. OP5. Alle aangesloten partijen resolven diginetwerk.net via een conditional forward naar een centraal besloten Diginetwerk DNS server (Rijks- DNS). 4.3 Uitgangspunten De volgende uitgangspunten gelden voor Diginetwerk: UP1. Het belangrijkste uitgangspunt, en tevens het bestaansrecht van het Diginetwerk vormend, is dat er GEEN afhankelijkheid van het internet aanwezig is en ook niet wordt gecreëerd. Diginetwerk dient als zelfstandig besloten netwerk operationeel te kunnen blijven, zonder dat 1 Door historische redenen is de domeinnaam int-gemnet.nl door Gemnet beschikbaar gesteld. Pagina 12 van 33

13 UP2. UP3. UP4. er een internet verbinding, of communicatie naar het internet noodzakelijk is. Uitgangspunt is dat gebruik gemaakt wordt van bewezen transportstandaarden die voor communicatie op het internet opgesteld zijn. Met betrekking tot het gebruiken en implementeren van standaarden dient de pas-toe-of-leg-uit lijst van het forum standaardisatie [16] gehanteerd te worden, met uitzondering van de standaarden waarvan Logius heeft vastgelegd dat deze niet gebruikt hoeven te worden in Diginetwerk. Deze uitzonderingen zijn vastgelegd in het document Uitzonderingen van standaarden binnen Diginetwerk [17]. Uitgangspunt is dat leveranciers van koppelnetwerken geen zogenaamde vendor lock-in vormen of creëren op transportniveau. Een koppelnetwerk kan zich wel richten op een bepaalde subset van de doelgroep, maar de opdrachtgevende overheid die een gemeenschappelijke dienst aanbiedt, is verantwoordelijk dat al haar afnemers via alle koppelnetwerkbeheerder(s) qua transport bij deze dienst kunnen. 4.4 Ontwerpbeslissingen De volgende Ontwerpbeslissingen zijn vastgesteld voor het ontwerp van Diginetwerk: OB1. Er wordt gebruik gemaakt van een aan de overheid toegekende reeks publieke IPv4 adressen. Deze adressen worden niet op het internet geadverteerd of gerouteerd. OB2. Er wordt bijvoorkeur gebruik gemaakt van publieke AS nummers die niet op het internet gebruikt worden. Indien dit voor leveranciers niet mogelijk is, kan gebruikt gemaakt van private AS-nummers die door Logius worden uitgegeven en geregistreerd. OB3. Zodra koppelnetwerken IPv6 adressen kunnen routeren dienen IPv6 adressen uit de door Logius bij RIPE geregistreerde adresruimte gebruikt te worden. Deze adressen zijn vastgelegd in het Overheidsbreed IPv6-nummerplankader [8]. In dit document is weergegeven welke IPV6 adressen voor openbare en besloten communicatie gereserveerd zijn. Het gebruik van eigen IPv6 adressen (d.w.z. zelfstandig door een aangesloten organisatie of koppelnetwerkbeheerder bij RIPE geregistreerd), is niet toegestaan. Pagina 13 van 33

14 5 Vereisten In dit hoofdstuk worden de eisen die gesteld zijn aan Diginetwerk beschreven. Deze eisen gelden voor koppelnetwerken van leveranciers die gezamenlijk het stelsel Diginetwerk vormen. 5.1 Functioneel De belangrijkste functionele eis voor Diginetwerk is dat het één besloten netwerk voor de overheid moet vormen. Er mogen geen directe koppelingen met openbare netwerken plaatsvinden. Diginetwerk moet onafhankelijkheid van Internet kunnen werken. Eis 1: Diginetwerk is onafhankelijk van het internet. Een gevolg van het principe van hergebruik (AP01) is dat het Diginetwerk bestaat uit een afspraken stelsel van verschillende netwerken die in gebruik genomen zijn door de overheid. Om interoperabel te zijn dient het stelsel van netwerken een uniform karakter te hebben op het gebied van standaarden, beveiliging en dienstverlening. Eis 2: Diginetwerk maakt gebruik van de een set van principes, uitgangspunten en ontwerpbeslissingen, die in het gehele netwerk van toepassingen zijn. Dit architectuurdocument beschrijft met principes, uitgangspunten en ontwerpbeslissingen de interoperabiliteit. Deze principes, uitgangspunten en ontwerpbeslissingen dienen bij alle koppelnetwerken en op alle koppelnetwerkaansluitingen gehanteerd te worden. Alle geboden diensten op Diginetwerk dienen voor een overheidsorganisatie of organisatie met een publieke taak met een (eventueel redundante) klantaansluiting op één van de koppelnetwerken transparant bereikbaar te zijn. Eis 3: Diginetwerk is transparant voor het transport van IP-pakketten. Een koppelnetwerkbeheerder mag geen differentiatie aanbrengen aan de bereikbaarheid transparante transportfunctie- van aangesloten diensten. Dit wil zeggen dat een koppelnetwerkbeheerder geen protocollen of IP adressen mag blokkeren die voor een dienst van een (andere) overheidsorganisatie of organisatie met een publieke taak noodzakelijk is. De aanbiedende overheidsorganisaties of organisatie met een publieke taak mogen wel onderscheid aanbrengen welke overheidsorganisaties hun diensten mogen afnemen. Hier kunnen door de aanbieder van de dienst een veelheid aan maatregelen worden toegepast zoals poort-filtering, authenticatie en autorisatiefiltering. Diginetwerk is een transportnetwerk dat ondersteunend is aan de primaire taak van de overheid. Eis 4: Diginetwerk is ondersteunend aan de primaire taak van de overheid. Hieronder worden de volgende functies tussen overheidsorganisaties en organisaties met een publieke op dit moment onderkend: Raadplegen van (basis)registers Pagina 14 van 33

15 Uitwisselen van gestructureerde gegevens zoals elektronische (berichten)diensten Uitwisselen van ongestructureerde gegevens zoals Ontsluiten van intranet websites Gemeenschappelijk gebruik van authenticatie-diensten, sites en bestanden. De eisen aan beschikbaarheid en performance worden in de volgende paragraaf behandeld. 5.2 Beschikbaarheid, schaalbaarheid en performance Uitgangspunt is dat Diginetwerk onafhankelijk van het Internet beschikbaar is. Dat wil zeggen dat als Internet of een Internet aansluiting niet beschikbaar is, Diginetwerk als transportfunctie nog steeds functioneert. Diginetwerk dient 7 x 24 uur beschikbaar te zijn. Verstoringen dienen ook gedurende deze periode gemeld en verholpen kunnen worden. Eis 5: Diginetwerk is 7 x 24 uur beschikbaar De beschikbaarheid van Diginetwerk dient dermate hoog te zijn, dat afnemers ervaren dat diensten over het netwerk altijd beschikbaar zijn. Wijzigingen en onderbrekingen die het gehele netwerk raken dienen na vooraankondiging in een onderhoudsperiode uitgevoerd te worden. Koppelingen tussen koppelnetwerken dienen redundant en met automatische fail-over uitgevoerd te worden. Eis 6: De koppelnetwerken binnen Diginetwerk zijn opgebouwd uit redundante koppelingen met een automatische herroutering. De schaalbaarheid van Diginetwerk dient zodanig te zijn dat de vraag in groei aan capaciteit ingevuld kan worden. In beginsel zijn klantaansluitingen van 100 Mbps en 1 Gbps te leveren, maar dit moet kunnen doorgroeien naar 10 Gbps en hoger indien de klantvraag dit vereist. Eis 7: Diginetwerk is schaalbaar tot klantaansluiting van maximaal 10 Gbps. De klantvraag aan performance dat direct gerelateerd is aan de vertraging van het transporteren van pakketten- op Diginetwerk is niet vastgelegd. Dienstenaanbieders moeten ervan uit kunnen gaan dat hun dienst tenminste dezelfde perfomance zou hebben gehad alsof internet gebruikt zou worden. Nu zijn end-to-end performance afspraken op het internet niet te maken, hetgeen in een stelsel van netwerken met koppelnetwerkbeheerders wel mogelijk is. Om een werkbaar model te hanteren worden de volgende eisen gesteld aan de maximale vertraging in het netwerk: Maximale Round trip delay in een koppelnetwerk (van klantaansluiting tot KPS): 10 ms Maximale delay in KPS: 1 ms Gemeten met een pakket van 100 Bytes bij een belasting van minder dan 80 % van de maximale capaciteit. Eis 8: De vertraging in Diginetwerk is maximaal 21 ms RTD van klant tot klant. Pagina 15 van 33

16 Er is geen QoS ingeregeld in het Diginetwerk. Uitgangspunt is dat om voldoende bandbreedte ter beschikking te hebben dat congestie niet of niet merkbaar voor kan komen. Indien de behoefte voor QoS aanwezig komt (voor bijvoorbeeld voice of video verkeer) dan dienen alle koppelnetwerken dit te kunnen ondersteunen. Het QoS ontwerp zal op dat moment door Logius met betrokken partijen besproken worden. 5.3 Eisen aan Koppelnetwerken Een belangrijke randvoorwaarde is dat het koppelnetwerk is opgebouwd zonder afhankelijkheid van internet en ook aansluitingen worden geleverd zonder afhankelijkheid van internet. Het gebruik van bijvoorbeeld virtuele VPN s over internet om een koppelnetwerk te bouwen dan wel aansluitingen op locatie bij een overheid te brengen of een mix daarvan zijn niet toegestaan. Eis 9: Het gebruik van Internet VPN s binnen koppelnetwerken en voor klantaansluitingen is niet toegestaan Koppelvlak koppelnetwerk De aangesloten apparatuur van de koppelnetwerkbeheer op het KPS dient te beschikken over een vaste configuratie van Ethernetparameters die exact overeenkomt met de door Logius vastgestelde standaard. 5.4 Klantaansluitingen De te leveren klantaansluitingen en koppelvlakken tussen koppelnetwerken op laag 1 en laag 2 zijn: I. Koper, Ethernet 100 Mbps, 1 Gbps, 10 Gbps; Full duplex, auto negotiate; II. Glas, Ethernet 100 Mbps, 1 Gbps, 10 Gbps; Eis 10: Het type klantaansluiting bevat minstens de hierboven gedefinieerde aansluitsnelheden. De specificaties (bijvoorbeeld type stekker, of type glas) van de klantaansluitingen kunnen variëren bij de verschillende koppelnetwerkbeheerders. De geboden capaciteit van een aansluiting kan per koppelnetwerk verschillen. Voor de invulling van de specificatie van de klantaansluitingen wordt verwezen naar de dienstbeschrijvingen van de verschillende koppelnetwerkbeheerders. Standaard zijn zowel enkelvoudige en redundante aansluitingen op één koppelnetwerk leverbaar. Een redundante klantaansluiting waarbij gebruik gemaakt wordt van verschillende koppelnetwerken behoord tevens tot de gebonden mogelijkheden. Eis 11: Naast enkelvoudige aansluitingen, dienen redundante aansluitingen naar 1 of meer koppelnetwerken geboden te kunnen worden. Pagina 16 van 33

17 De drie te leveren klantaansluitingen zijn in de volgende tekeningen weergegeven. Aan te sluiten organisatie Figuur 1: enkelvoudige aansluiting Aan te sluiten organisatie Figuur 2: redundante aansluiting Pagina 17 van 33

18 Aan te sluiten organisatie Figuur 3: redundante aansluiting op twee koppelnetwerken Eis 12: Een klantaansluiting dient te voldoen aan de randvoorwaarden vastgelegd in de Aansluitvoorwaarden Diginetwerk [5] Belangrijk element hierbij is dat het een vaste aansluiting van een koppelnetwerkbeheerder of zijn contractuele netwerkleverancier is. Zoals in eis 9 is gesteld, behoort Een VPN-tunnel over Internet, vanwege de afhankelijkheid van internet, niet tot de toegestane aansluitingen. Uiteraard kan een koppelnetwerkbeheerder wel zijn gemeenschappelijke netwerk inzetten zolang het basisnetwerk onafhankelijk is van internet en hierin het Diginetwerk koppelnetwerk als een logisch netwerk is gedefinieerd met een logische scheiding conform de Aansluitvoorwaarden Diginetwerk [5] 5.5 Beheer Uitgangspunt voor beheer is het kunnen toetsen van de dienst aan de gemaakte afspraken om zodoende de dienstverlening in stand te kunnen houden. Vanwege het stelselkarakter van Diginetwerk zijn goede afspraken over het beheer noodzakelijk. Er zijn altijd meerdere partijen bij een wijziging of incident betrokken. Eis 13: De vereisten op het gebied van beheer zijn: Governance afspraak op papier [4]. Centrale regie bij complexe wijzigingen Decentrale helpdesken Resultaatverplichting binnen een koppelnetwerk Inspanningsverplichting buiten het eigen koppelnetwerk. Centraal beschikbare monitoring/tooling voor alle koppelnetwerken Concreet betekent dit dat een klant een incident kan, of bij een beveiligingsincident moet, melden bij de koppelnetwerkbeheerder, die voor zijn eigen netwerk een resultaatverplichting heeft om het incident af te handelen. De Pagina 18 van 33

19 koppelnetwerkbeheerder heeft een inspanningsverplichting om mee te helpen het incident op te lossen in een koppelnetwerk van een andere leverancier. De koppelnetwerkbeheerder blijft verantwoordelijk voor de afhandeling en afmelding van het incident aan haar klant. Wijzigingen worden bij de centrale regie organisatie (Logius) aangemeld die vervolgens andere koppelnetwerkbeheerders benadert en informeert. Met centrale beheertooling moet het mogelijk zijn om netwerkelementen en systemen te kunnen monitoren en bij uitval op de hoogte te worden gesteld. Alle koppelnetwerkbeheerders moeten gebruik kunnen maken van deze centrale tooling. Zij kunnen tevens de systemen en componenten aangeven uit hun netwerk die gemeenschappelijk bewaakt dienen te worden. Eis 14: Koppelnetwerkbeheerders zorgen voor monitoring van uitval van verbindingen en dienen gebruik te maken van centraal beschikbaar gestelde beheertools. 5.6 Beveiliging Het basisbeveiligingsniveau van de transportfunctie is semi-vertrouwd conform de NORA definitie. Eis 15: Binnen Diginetwerk dient het beveiligingsniveau semi-vertrouwd gehanteerd te worden. Op Diginetwerk kunnen besloten netwerken aangesloten worden met een ander (zowel hoger of lager) beveiligingsniveau. Hiervoor geldt de verplichting dat er op het koppelvlak en aan de klantzijde een beveiligingsfunctie actief is (beveiligd koppelvlak). Eis 16: Bij een overgang van Diginetwerk naar een ander beveiligingsniveau dient een beveiligd koppelvlak gebruikt te worden. Een voorbeeld van een beveiligd koppelvlak is Diginetwerk-Connect (zie hoofdstuk 6.3) dat gebruikt wordt om organisaties met een publieke die niet de verplichting hebben te voldoen aan de beveiligingseisen van de overheid, op Diginetwerk aan te kunnen sluiten. Om het besloten karakter van Diginetwerk te garanderen mag alleen bekend en vertrouwd verkeer gerouteerd worden. Eis 17: Binnen Diginetwerk mag alleen bekend en vertrouwd verkeer gerouteerd worden. Afwijkingen op eis 17 dienen bijgehouden en gerapporteerd te worden. Eis 18: Indien onbekend en of onvertrouwd verkeer in Diginetwerk aangetroffen wordt, dient dit gerapporteerd te worden. Pagina 19 van 33

20 6 Conceptueel ontwerp 6.1 Introductie Diginetwerk bestaat uit een afspraken stelsel van verschillende koppelnetwerken waarbij afspraken zijn gemaakt met de koppelnetwerkbeheerders. De koppelnetwerken die Diginetwerk vormen zijn: Haagse Ring (OSB VPN): Opdrachtgever Logius Gemnet AoD: Opdrachtgever KPN Lokale Overheid Suwinet: Opdrachtgever BKWI/UWV BT-Wolk: Opdrachtgever Logius Rinisnet: Opdrachtgever Rinis egem: Opdrachtgever egem RWS: Opdrachtgever RWS GGI: Opdrachtgever VNG Realisatie In onderstaande tekening is dit stelsel met de huidige koppelnetwerken weergegeven: Aangesloten Organisatie Besloten bedrijfsnetwerken Beveiligde Koppelvlakken Haag se Ring BTwolk Suwi net Gem net- AOD eg em Rinisnet RWS GGI Koppelnetwerken Uitvoering leverancier koppelnetwerk in opdracht aangesloten organisatie KPS Koppelnetwerk Publieke Sector Uitvoering Logius Figuur 4: afsprakenstelsel Diginetwerk Pagina 20 van 33

21 6.2 Infrastructuurfuncties Diginetwerk kent een centraal knooppunt om de koppelnetwerken op elkaar aan te sluiten. Hiervoor is het Koppelnetwerk Publieke Sector (KPS) ontworpen. KPS bestaat uit een redundante switchfunctie verdeeld over twee datacenterlocaties. De technische voorwaarden gesteld aan het IP verkeer op KPS zijn als volgt: Het gebruik van niet-ip laag-3 protocollen op de koppeling met het KPS is niet toegestaan. De Koppelnetwerkbeheerder is verplicht de geboden laag-2 KPS aansluiting te termineren met een koppelnetwerkrouter en een IP-adres dat is verstrekt door BKWI, de tactisch beheerder van het KPS. De Koppelnetwerkbeheerder is binnen zijn netwerk verplicht voor alle IPinterfaces, die deel uitmaken van een routeerbaar pad door Diginetwerk, ICMP/UDP-verkeer zodanig te ondersteunen dat alle andere Koppelnetwerkbeheerders door middel van een traceroute het volledig routeerbaar pad kunnen bepalen. Tussen de koppelnetwerken die aangesloten zijn op het Koppelnet Publieke Sector wordt IP verkeer onderling dynamisch gerouteerd met de door Logius vastgestelde BGP-standaard (BGP-4). Er wordt uitsluitend IP-verkeer gerouteerd afkomstig van die IPadressen die door Logius zijn verstrekt en geregistreerd. ICMP-pakketten van type Fragmentation Needed and Don't Fragment was Set (type 3, code 4) dienen waar nodig door routers gegenereerd te worden en niet uitgefilterd. Het Ethernetverkeer wordt door de Koppelnetwerkbeheerder op basis van de IEEE standaard en RFC 894 aangeboden. Koppelnetwerkbeheerders zijn verplicht om (koppelnetwerk) uitgaand verkeer te controleren op source-ip adressen en pakketten met een source-ip adres dat niet tot hun koppelnetwerk behoort te verwijderen alvorens het aangeboden wordt aan het KPS (anti-spoofing protectie). In onderstaande tekening is de conceptuele invulling van het KPS weergegeven. Pagina 21 van 33

22 DC locatie 1 AO AO AO Koppelnetwerk A Route Server 1 Demarcatie Router A1 Router A2 Route Server 2 testpunt DC locatie 2 Router B1 Router C1 Router B2 Router C2 Figuur 5: Koppelnetwerk Publieke Sector (KPS) Koppelnetwerk B Koppelnetwerk C AO AO BGP-4 Koppelnetwerken zijn aangesloten op het KPS, waarbij routeringsinformatie uitgewisseld wordt door middel van het BGP-4 protocol. Voor het gebruik van het BGP-protocol dient de beheerder van het koppelnetwerk over een Autonomous System-nummer te beschikken. Toegestaan zijn: Publieke AS-nummers die door het RIPE NCC (of eéń van de andere RIRs) aan de betreffende organisatie uitgegeven zijn (voorkeur); Private AS-nummers die door Logius uitgegeven en geadministreerd worden. Het is niet toegestaan naar eigen inzicht een AS-nummer te kiezen en te gebruiken. Bij zelf gekozen publieke AS-nummers zal er dan nagenoeg zeker een andere (legitieme) gebruiker van hetzelfde AS-nummer zijn met het risico op conflicten. Bij een zonder coördinatie gekozen privaat AS-nummer is het risico op conflicten ook aanzienlijk. Apparatuur dient 32-bit (4-byte) AS-nummers te ondersteunen. Vanwege schaalbaarheidsredenen zijn er op het KPS twee routeservers geïnstalleerd. De routers van de koppelnetwerken hebben BGP-verbindingen met de twee routeservers van het KPS. De koppelnetwerken wisselen onderling niet rechtstreeks BGP-informatie uit DNS Binnen Diginetwerk wordt gebruik gemaakt van Rijks-DNS als besloten DNS server. Het tactisch beheer van Rijks-DNS is belegd bij Logius. Logius heeft een portaal om records in te zien en aan te maken. Pagina 22 van 33

23 Binnen Diginetwerk wordt gemeenschappelijk gebruik gemaakt van het domein diginetwerk.net 2 waarmee systemen voor de gehele overheid bereikbaar gesteld worden op Diginetwerk IP-adressen. Het domein is geregistreerd bij het Ministerie van AZ, Dienst Publicatie en Communicatie. Naast de besloten zone bestaat ook de mogelijkheid om records onder diginetwerk.net op internet te publiceren indien in specifieke gevallen een gemeenschappelijke split-dns functie wenselijk is. Vanwege de schaalbaarheid en de additionele handmatige acties, worden er geen nieuwe besloten domeinen binnen Diginetwerk opgenomen. Aangesloten overheidsorganisaties kunnen een subdomein onder diginetwerk.net krijgen, waarin ze zelf DNS records door middel van subdelegatie op hun eigen DNS omgeving kunnen registreren. Uiteraard kunnen organisaties die taak uitbesteden bijvoorbeeld aan de koppelnetwerkbeheerder. De delegatie zal altijd op naam van de overheidsorganisatie plaatsvinden. Voor het aanvragen van PKI-overheidscertificaten onder een subdomein van diginetwerk.net kan een DAL afgegeven worden door het ministerievan AZ. Het proces voor het aanvragen van een DAL is beschreven in het DNS proces document [10] De invulling van de DNS infrastructuur binnen Diginetwerk is als volgt weergegeven: Rijks-DNS diginetwerk.net Gemnet DNS int-gemnet.nl egem DNS egem-diginetwerk.net Figuur 6: DNS invulling binnen Diginetwerk 2 Een historische uitzondering is het gebruik van het domein int-gemnet.nl. Dit domein heeft gemnet in het verleden in het leven geroepen om diensten aan en voor de gemeenten te kunnen leveren. KPN lokale overheid is beheerder van dit domein. Voor dit domein is er een conditional forward geïmplementeerd op de Rijks-DNS server naar de DNS server van Gemnet-AoD. Gemeenten kunnen nog gebruik maken van dit domein, maar aanbevolen worden om gebruik te maken van diginetwerk.net dat centraal door Logius beheerd wordt. Op de DNS server van Gemnet-AoD is een conditional forward geïmplementeerd voor diginetwerk.net naar Rijks-DNS. Pagina 23 van 33

24 6.2.3 Transport van IP pakketten De eis dat Diginetwerk transparant is voor het transport van IP pakketten, wordt aangevuld met de eis dat alleen gebruik gemaakt wordt van vastgestelde IPreeksen. Hierbij is de stelregel dat er tussen de koppelnetwerken geen blokkerende firewalls voor regulier gebruikersverkeer (HTTP, HTTPS, DNS, SMTP, ICMP) aanwezig zijn, maar dat eindgebruikers aangesloten op Diginetwerk zelf verantwoordelijk zijn voor beveiligingsmaatregelen in hun aansluiting op Diginetwerk. Wel kunnen voorzieningen als logging en inspectie in het Diginetwerk opgenomen worden. Koppelnetwerkbeheerders zijn verplicht om (koppelnetwerk) uitgaand verkeer te controleren op source-ip adressen en pakketten met een source-ip adres dat niet tot hun koppelnetwerk behoort te verwijderen alvorens het aangeboden wordt aan het KPS (anti-spoofing protectie). Conform de aansluitvoorwaarden dienen afwijkingen als incident aan Logius gemeld te worden, eventueel voor verder onderzoek Diginetwerk IP adressen Diginetwerk maakt gebruikt van publieke IP adressen die niet op internet gerouteerd worden. Logius beheert het IP-adresseringsplan en deelt per aanvraag IP-adressen uit, of delegeert het beheer over een groter subnet uit de Diginetwerkreeks naar een koppelnetwerkbeheerder. Logius voert het beheer over deze IP adressen uit en deelt per aanvraag IP adressen uit. KPN lokale overheid heeft voor het aansluiten van haar klanten op Diginetwerk (Gemnet AOD) een eigen publieke range bestemd. Deze IP adressen worden ook niet over Internet gerouteerd. Koppelnetwerken kunnen een grotere IP range krijgen die zij kunnen verdelen over hun klantaansluitingen NTP Op de Haagse Ring wordt door DMO een NTP dienst aangeboden. Binnen Diginetwerk betekent dit dat aangesloten organisaties aan het OSB-VPN gebruik kunnen maken van de NTP dienst van DMO. Op locaties die aangesloten zijn met een C4 router (ODC s) kan NTP met een betrouwbaarheid volgens stratum-2 afgenomen worden. Voor locaties die aangesloten zijn met een CE (overheidsgebouwen) kan NTP met een betrouwbaarheid volgens stratum-3 afgenomen worden. 6.3 Diginetwerk-Connect Diginetwerk-Connect is een voorziening, vergelijkbaar met Rijks-Connect, waarin beveiligingsmaatregelen zijn opgenomen met als doel verkeerstromen met een geaccepteerd (rest)risico van en naar niet-overheidsorganisaties te sturen of te ontvangen. Hiermee wordt een invulling gegeven aan eis 16 uit hoofdstuk 5. De aanvraag om een niet-overheidsorganisatie middels Diginetwerk-Connect aan te sluiten dient vanuit een overheidspartij te geschieden. De overheidspartij dient garant te staan voor de aan te sluiten nietoverheidsorganisatie. Daar waar Rijks-Connect een beveiligd koppelvlak voor de Rijksoverheid vormt, kan Diginetwerk-Connect voor de overheid gebruikt worden. Deze voorziening kan als dienst geleverd worden door een koppelnetwerkbeheerder met als doel deze dienst te leveren aan een aan te Pagina 24 van 33

25 sluiten organisatie onder de voorwaarden die Logius stelt in de aansluitvoorwaarden. Een voorbeeld van een geaccepteerde verkeerstroom en de bijbehorende maatregelen is verkeer op basis van poort 25, met de volgende maatregelen: Intrusion detectie van het verkeer Filtering op basis van source en destination IP adres Gebruik van StartTLS en certificaten die door een trusted partij zijn uitgegeven Geen gebruik van VPN s over Internet Als randvoorwaarde voor deze verkeerstroom dient DNS verkeer mogelijk gemaakt te worden. In de aansluitvoorwaarden worden voor deze verkeerstroom de volgende eisen aan de aangesloten organisaties gesteld: Anti-virus en anti-spoofing voorzieningen op de aangesloten mailserver Geen open mail relay functie in de aangesloten mailserver. Per (nieuwe toegestane) verkeerstroom zal door Logius een risico analyse plaatsvinden, waarbij de te nemen maatregelen door Logius beschreven worden in de aansluitvoorwaarden. De dienst dient nog ontwikkeld te worden. Het ontwerp wordt beschreven in een bouwblok, zoals in 7.2 aangegeven is. 6.4 Besloten karakter van Diginetwerk Het besloten karakter van Diginetwerk (eis 1) brengt met zich mee dat er vanuit Diginetwerk GEEN communicatie van en naar het Internet mogelijk is. Sommige toepassingen vragen of vereisen wel toegang tot publieke bronnen. Een voorbeeld is het bevragen van een revocation lijst van ingetrokken certificaten of certificaatbeheerders. Het uitgangspunt van Diginetwerk is dat deze publieke bronnen niet vanuit Diginetwerk benaderbaar zijn en dat er geen kopieën van deze bronnen op Diginetwerk aangeboden worden. Het systeem van de eindgebruiker zal zelf via een beveiligde Internet toegang deze bronnen dienen te benaderen. Een ander voorbeeld is het gebruik maken van een PKI omgeving, waarbij de publieke sleutels op Internet beschikbaar gesteld worden. Deze publieke sleutels worden niet op Diginetwerk ter beschikking gesteld en er wordt vanuit Diginetwerk geen opening naar Internet gecreëerd om deze sleutels op te halen. Ook hier geldt dat het systeem van de eindgebruiker zelf via een beveiligde Internet toegang deze sleutels dient te achterhalen. Als ontwikkelpunt zal door Logius onderzocht worden in hoeverre deze informatie die aanwezig is op het internet ter beschikking gesteld kan worden aan Diginetwerk (zoals vermeld in hoofdstuk 1.6), zonder een directe koppeling. 6.5 Beheer De volgende beheerfuncties zijn binnen Diginetwerk beschikbaar gesteld: Beschikbaarheidsmonitoring (Uptrends Infra) Capaciteitsmonitoring (Zabbix) Routeringsinformatie (KPS-Looking Glass) Testmogelijkheden (Test-website) Pagina 25 van 33

26 6.5.1 Beschikbaarheidsmonitoring Voor gemeenschappelijke view op beschikbaarheid wordt Uptrends Infra gebruikt. Met behulp van een centrale portal kan inzicht worden getoond over de transportfunctie van Diginetwerk en aangesloten diensten. Uptrends Infra kan netwerkcomponenten en systemen op regelmatige tijdsintervallen controleren aan de hand van een ping, SNMP get of http(s) verzoek. Hierdoor is het mogelijk om (web)diensten in het netwerk of aangesloten op het netwerk te controleren op beschikbaarheid. De portal van Uptrends Infra is te benaderen op internet. Gebruikers (in eerste instantie koppelnetwerkbeheerders en de beheerders van de landelijke voorzieningen) loggen in met hun eigen account. Uitgifte loopt via Logius. Met behulp van Uptrends Infra is het mogelijk om gebruikersgroepen te definiëren waarbij elke groep een eigen view en rechten kan krijgen. Een voorbeeld van een groepsdashboard van Uptrends Infra is hieronder weergegeven: Figuur 7: Uptrends Infra Uptrends Infra is te benaderen via de volgende link: Pagina 26 van 33

27 6.5.2 Capacteitsmonitoring Inzicht in de capaciteit voor op KPS aangesloten koppelnetwerken wordt centraal uitgevoerd met Zabbix. Een voorbeeldweergave van dit systeem is hieronder weergegeven: Figuur 8: Zabbix KPS Looking Glass KPS Looking glass is gebaseerd op de BGP looking glass services die op internet door providers geleverd worden. Het looking glass geeft inzicht in de BGP, ping en traceroute gegevens binnen Diginetwerk, gezien vanuit het KPS. Het hoofdscherm van KPS Looking Glass is hieronder weergegeven. Figuur 9: KPS Looking Glass Pagina 27 van 33

28 6.5.4 Test-website Op het KPS is een test-website beschikbaar, waar een http-sessie naar toe gemaakt kan worden. Deze site geeft het IP adres terug van de initiator. De pagina van de testsite is in onderstaande figuur weergegeven. Figuur 10: KPS testwebsite 6.6 Beveiliging Het basisbeveiligingsniveau van het transporteren van pakketten binnen Diginetwerk is semi-vertrouwd conform de NORA definitie. Om dit te bereiken worden de volgende maatregelen getroffen: Er zijn geen koppelingen met publieke netwerken op het Diginetwerk zelf geïmplementeerd; Op klantaansluitingen van Diginetwerk zijn door Logius aansluitvoorwaarden gedefinieerd en is een beveiligingskoppelvlak geïmplementeerd; Binnen Diginetwerk wordt gebruik gemaakt van een vastgelegd en centraal aan de organisatie uitgegeven IP adres, zodat de bron van een pakket te herleiden is. De koppelnetwerken binnen Diginetwerk zorgen voor anti-spoofing maatregelen waarbij een pakket met een IP adres dat niet toebehoort aan het koppelnetwerk verwijderd wordt voordat dit doorgestuurd wordt naar het KPS. Afwijkingen worden aan Logius gemeld en onderzocht. Op het KPS wordt er d.m.v. route servers voor gezorgd dat er geen IP routes geïnjecteerd kunnen worden die niet toegestaan zijn. Op de Haagse Ring (OSB VPN) worden alleen rijksoverheidsorganisaties aangesloten. Tussen het OSB VPN en de overige koppelnetwerken van Diginetwerk is een beveiligingfunctie actief. Het basisbeveiligingsniveau van de transportfunctie over het totaal van koppelnetwerken is gelijk. Overgangen tussen koppelnetwerken dienen door de eindgebruikers transparant gepasseerd kunnen worden. Op Diginetwerk kunnen besloten netwerken aangesloten worden met een ander beveiligingsniveau. Hiervoor geldt de verplichting dat er op het koppelvlak een beveiligingsfunctie actief is (beveiligd koppelvlak). Op dit beveiligd koppelvlak worden expliciet alleen de functies van communicatie opengezet die noodzakelijk zijn voor de Diginetwerk doelgroep en waarvan in een risicoanalyse is bepaald dat deze communicatie voor beide omgevingen geen risico met zich mee brengt. Pagina 28 van 33

29 6.7 Samenhang met andere netwerken Haagse Ring De Haagse Ring is een verzamelterm van verschillende logische netwerken (VPN s) die door de rijksoverheid gebruikt worden in en in omgeving van Den Haag. Defensie heeft het NAFIN netwerk, bestaande uit glasvezel ringen, gebruikt om dit mogelijk te maken. Enkele VPN s zijn voor gemeenschappelijk gebruik, zoals het Rijksweb en het OSB VPN, de meeste VPN s zijn netwerken met een besloten karakter tussen locaties van één departement of tussen enkele departementen. Alle VPN s zijn logisch van elkaar gescheiden. De Haagse Ring is ontstaan uit de behoefte van het delen van intranet omgevingen tussen de verschillende departementen. Rijksweb is hier een voorbeeld van. Op dit VPN worden de diensten als Rijksportaal, P-direct, Samenwerkingsruimte, Rijks Mail Relay (voorheen Haagse Mail Relay), etc. aangeboden. Het OSB VPN is bedoeld als overheidservicebus voor gegevensuitwisseling binnen de gehele overheid. Tussen het Rijksweb VPN en het OSB VPN is een beveiligd koppelvlak aanwezig in de vorm van Rijks-Connect. Deze voorziening bestaat o.a. uit een Firewall die bepaalde verkeerstromen doorlaat RON2.0 RON2.0 is een besloten virtueel netwerk, samengesteld uit bestaande hoofdnetwerken van de rijksoverheid voor data, spraak en video en biedt via standaarden en koppelvlakken tevens de mogelijkheid voor veilige connectiviteit met de andere overheden, burgers en bedrijven, ook over landsgrenzen heen. De hoofdnetwerken bestaan uit de volgende netwerken: JustitieNet RWS netwerk DICTU netwek DUO netwerk SSC-ICT netwerk Belastingdienst netwerk. Het RON2.0-netwerk bestaat uit een glasvezelnetwerk dat geleverd wordt door defensie, waarop de volgende koppelvlakken actief zijn: Intern koppelvlak: WAN-I Koppelvlak dat connectiviteit tussen Verzorgingsgebieden onderling en andere Overheidsdatacenters mogelijk maakt. Intern koppelvlak: DC-I Koppelvlak dat connectiviteit tussen (backend)systemen in verschillende (overheids)datacenters mogelijk maakt. Extern beveiligd koppelvlak: Partner-I Koppelvlak dat connectiviteit met/naar besloten netwerken van partners mogelijk maakt (o.a. Diginetwerk). Extern beveiligd koppelvlak: Internet-I Koppelvlak dat connectiviteit via het openbare Internet mogelijk maakt. Diginetwerk is door middel van het partner I koppelvlak aangesloten op RON2.0, waarmee het mogelijk is om tussen de Rijksoverheid (via RON2.0) en overheid (via Diginetwerk) te kunnen communiceren zonder gebruik te maken van Internet. Hieronder is een logische uitwerking geschetst van RON2.0. Pagina 29 van 33

30 WA N-I DCI generiek Partn er-i Figuur 11: RON2.0 met hoofdnetwerken WAN-I DCI generiek Partner-I Figuur 12: RON2.0 met aansluitingen naar de overheid Testa TESTAng (Trans European Service for Telematics between Administrations) is een Europees, besloten, netwerk dat gebruikt wordt voor het uitwisselen van gegevens tussen Europese instellingen met een overheidstaak. Binnen Nederland beheert RINIS een aansluiting op TESTAng. In samenwerking met Logius levert RINIS een dienst waarmee Nederlandse instellingen over DigiNetwerk via TESTAng met hun Europese partners kunnen uitwisselen. Pagina 30 van 33

31 7 Ontwerp 7.1 Algemeen De verschillende onderdelen van Diginetwerk zijn technisch opgebouwd aan de hand van bouwblokken en beschreven in dienstbeschrijvingen, zodat ze in verschillende diensten gebruikt kunnen worden. 7.2 Bouwblokken Hieronder is een overzicht gegeven van de verschillende bouwblokken die gebruikt worden in Diginetwerk. Naam Functie Beschrijving Koppelnetwerk Een netwerk waarop klanten aangesloten zijn, dat beheerd wordt door één organisatie met een beschreven dienstbeschrijving en SLA. Dienstbeschrijving Haagse Ring [11] KPS Rijks-DNS Diginetwerk-Connect Beveiligd koppelvlak Het centrale punten waarop koppelnetwerken worden aangesloten. Dit bestaat uit minimaal 2 locaties Een split-dns-omgeving, waarin zowel Domein namen van de overheid als van de Rijksoverheid gefaciliteerd kunnen worden. Een beveiligd koppelvlak dat gebruikt dient worden om organisatie met een publieke taak aan te kunnen sluiten op Diginetwerk. Overgang tussen twee omgevingen die voorzien is van beveiligingscomponenten Ontwerp KPS (in ontwikkeling) Handboek Rijks-DNS [12] Aansluitvoorwaarden Diginetwerk. Verwijzing naar NORA [6] Partner-I koppelvlak Overgang tussen Diginetwerk en RON2.0 Ontwerpdocument Partner-I Tabel 1 Beschrijving van de bouwblokken Pagina 31 van 33