KULeuvenNet. -- stand van zaken. Herman Moons, Yves Tavernier

Transcriptie

1 KULeuvenNet -- stand van zaken Herman Moons, Yves Tavernier We are not like Moses we cannot call forth water from stone... not at an economical rate, anyway -- Imperial Ecological Survey of Arrakis, ancient records (researcher uncredited) 1

2 Mededelingen RIP Vines Vines IP wordt niet meer gerouteerd op onze backbone Wireless LANs aansluiting enkel toegelaten mits goedkeuring van de beveiligingscommissie. netwerk login paswoord-van-de-dag mogelijkheid voor meer info, zie: 2

3 WiFi Netwerk Login kulnet 2 web server 1 web request 2 redirect naar webserver, die login pagina toont router acl blocks user ip address 1 wifi netwerk 3

4 4

5 publieke ruimten netwerk login paswoord-van-de-dag Deze faciliteiten kunnen eveneens opgezet worden voor netwerken in publieke ruimten bv. bibliotheek bv. pc-klas bv. auditoria, leslokalen voor meer info: 5

6 Backbone News vernieuwing backbone bestaande Cisco Catalyst 5500 L3 switches worden vervangen door Cisco Catalyst 4507R switches periferie switches (cat3500/cat2950) worden vervangen door Cisco Catalyst 2970 gigabit switches. ideale site setup (streefdoel, niet altijd praktisch haalbaar!!!) inkoppeling op KULeuvenNet via Fast Ethernet dubbele koppeling op KULeuvenNet via alternatieve routes 6

7 physical infrastructure bestaand gepland ghb hal theo law cbib straf arts flok hol hh psy local sites alma3 cw soc mech ludit mtm esat 7

8 topology backbone switches/routers Gigabit Ethernet (Catalyst 4507R) core distribution peripheral switches Gigabit Ethernet (Catalyst 2970) local sites Fast Ethernet (Catalyst 2950) access 8

9 topology - core flok Gigabit Ethernet theo Cisco Catalyst 4507R switch layer 2 GE switch layer 3 embedded router no local sites connected!! ghb soc ludit 9

10 topology - distribution GE GE Cisco Catalyst 2970 layer 2 VLAN switch Gigabit Ethernet core GE distribution GE distribution layer provides redundant connectivity GE GE 10

11 topology - access local sites are connected to the distribution switches (via FE) distribution FE FE site local network equipment is the responsability of the local site administrator note - redundancy in the access layer where possible 11

12 Hot-Standby Routing on KULeuvenNet site is assigned red vlan root bridge prio = 100 red vlan is trunked over peripheral loop backup root prio = 200 master router slave router 12

13 Firewall Setup 2003 Avg 90Mbps/week Internet Nokia IP650 CheckPoint FW1 VPN Debian Gnu/Linux iptables 34 Mbps 41 Mbps 1 Mbps 6 Mbps web cache NAT Firewall NAT web cache Kotnet Cisco Cache Engine KULnet 13

14 Firewall Q 2004 Internet Debian Gnu/Linux iptables VPN web cache NAT Firewall NAT web cache Kotnet DMZ s KULnet public servers 14

15 KULeuvenNet -- doc.kuleuven.net Herman Moons, Yves Tavernier We must bring new information into the balance and with it modify our behavior. It is a human quality to survive by intelligence as individuals and as a species. -- Naib Ishmael, A Zensunni Lament 15

16 doc.kuleuven.net doc.kulnet.kuleuven.ac.be portal voor lokale netwerkbeheerders omvat site documentatie opzoekingen en tests configuratie-tools lokale site-firewalls dns beheer (in opbouw) nuttige links 16

17 opbouw van de documentatie hosts.cfg (host parameters) host documentatie sites.cfg (site parameters) site documentatie the live network 17

18 hosts.cfg configs worden dagelijks opgehaald host lrswitch-ludit : c4000 { service getconfig; service mrtg( cpu, interface ); service uptime ; service documentation; <doc> contract { telindus ( 7/24/4 ) }; location { Computerzaal LUDIT de Croylaan 52A 3001 Heverlee }; history { : installed and documented }; </doc> }; automatische aanmaak van mrtg grafieken opgenomen in system uptime webpagina automatische aanmaak van host documentatie pagina 18

19 sites.cfg site k-bib-theo { class = public description = "Bibliotheek Theologie" vlan = 206 subnet = /24 router = cisco-kotnet-2 ( FastEthernet0/1/0.206 ) dhcp = spantree = laswitch-straf-se (100) spantree = laswitch-esat-se (200) equipment = cisco-kotnet-2 equipment = lswitch-theo, lswitch-law equipment = laswitch-ludit-se, lrswitch-ludit, laswitch-cw-se equipment = laswitch-straf-se, laswitch-hh-se, laswitch-esat-se admin = u ( "Wim Vandersmissen" ) service = documentation <comment> <h3>miscellaneous</h3> <ul> <li>publiek segment met netwerk login </ul> </comment> } 19

20 sites.cfg admin admin-ro contact netwerk beheerder (read-write) netwerk beheerder (read-only) alias (generiek contactadres) Foutieve/onvolledige informatie op uw site documentatie fiche??? verwittig DEMO 20

21 Opzoekingen en Tests DHCP dhcp statistieken welke adressen worden uitgedeeld? (uit dagelijkse config) aantal beschikbare adressen (live) dhcp opzoeking (leases file) werd een adres toegekend voor een netwerkkaart? windows-naam mac ip logs welke adressen momenteel actief op subnet volgens router mac-adres ip-adres(sen) mapping DNS naam/ip opzoeking opzoeken dns mapping naam/ip-adres/mx/... vergelijken tussen dns servers binnen/buiten KULeuven 21

22 Opzoekingen en Tests (cont'd) HTTP test bereikbaarheid webserver reageert een webserver op requests of niet speed test (KULeuvenNet webserver naar pc) ICMP ping vanop KULeuvenNet naar een machine LDAP opzoeken gebruiker publieke gegevens bekijken PPP dialin debugging foutmelding aan de kant van de dialinserver opzoeken 22

23 Opzoekingen en Tests (cont'd) HOWTO : tekst files ip-adres te weten komen paswoord controleren cisco switch configureren 23

24 Configuratie Site Firewalls principes enkel verkeer richting site wordt gefilterd huidige toestand : niets gefilterd default site-firewall : alle machines afgeschermd niet bereikbaar van buitenuit kunnen wel zelf tcp verbindingen initieren (tcp ack) verkeer van/naar kulnet management machines steeds mogelijk ( = DNS, DHCP, NTP & DOC-website ) 24

25 Site Firewalls (cont'd) aanpassingen via webinterface BlackList : DENY netwerken die niets naar deze site mogen sturen machines die niets mogen ontvangen (ook geen terugkerend verkeer) Toegelaten Verkeer : PERMIT machines (servers) die van buiten de site bereikbaar moeten zijn externe machines die machines op deze site mogen bereiken Opgelet: eerste matching regel geldt! 25

26 DEMO 26

27 Site Firewalls (cont'd) Toegang 'admin' kan aanpassingen maken 'admin-ro' kan enkel lijst bekijken Uitrol aanvragen via aanpassingen mogelijk via DOC website default access-list wordt geinstalleerd, maar nog niet geactiveerd aanpassingen worden 'live' op router doorgevoerd 'live' = binnen het uur site-firewall pas actief wanneer op router geactiveerd testperiode voor nieuwe gebruikers mogelijk Aandachtspuntjes : complexe protocols (vb. active/passive FTP) ICMP (ping) UDP (vb. Externe DNS) 27

28 doc.kuleuven.net geplande uitbreidingen (no ETA!!) vpn overzicht gebruikers / vpn-group view op centrale firewall rules dns aanpassingen ip-blokkeer systeem (met web-redirect) security scanner voor servers netflow data viewer... 28

29 any more questions? please fire away... 29