Das Netzwerk der WU Struktur, Komponenten und Dienste

Transkript

1 Das Netzwerk der WU Struktur, Komponenten und Dienste IT Services Wirtschaftsuniversität Wien

2 Inhalt

3 Eckdaten des Anzahl der Anschlüsse Gebäude: UZA1, 2, 3, 4, H46, Kolpinghaus Anzahl der Devices - 80 Access Points Art der Links zwischen den Devices Art der Devices Art der Räume - MR, SR, VR

4 Mitarbeiter Leiter Peter Mika Gerald Bacher Peter Brachtl Stefan Jester Joachim Langitz Alfred Muhm We, the unexperienced, led by the unknowing, are doing the impossible for the ungrateful.

5 Struktur und Redundanz physisch (Kapsch Diagramm Seite 1) logisch (Kapsch Diagramm Seite 2) detail (Kapsch Diagramm Seite 3) Any sufficiently advanced technology is indistinguishable from magic. - Arthur C. Clarke

6 Dienste Internet (Dual Stack - IPv4 und IPv6) Firewall IDS DHCP DNS Radius Wireless Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

7 Komponenten nach HW und SW IOS (Cisco) ASR1002, 650x, 450x, 4948 bind, dhcp (ISC - Internet Systems Consortium) Barracuda [Phion] (Secudos), JunOS freeradius (auf freebsd), postgres Software FreeBSD, Debian, Ubuntu, Windows HP DL 380 Gx Virtualisierung (Logs, Statistik, etc.) auf VMware Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

8 Border Router Internet Bandbreite ACOnet, 180Mbit, (10Gbit physisch) (ACOnet intern 10Gbit) GEANT - 10Gbit - NREN Upstream (2Gbit) zu Level3 Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

9 Äußere Firewall - Barracuda [Phion] Arbeiten im Tandem Primary / Secondary Funktionsvielfalt Linux Kernel HW Secudos PIX als IPv6 Firewall Barracuda [Phion] als IPv6 Firewall seit 2012/08 Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

10 IDS/IPS Juniper Intrusion Detection / Prevention transparent (Vorstellungshilfe: Kabel) im Moment nur Detection Linux Kernel Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

11 VPN Server Cisco ASA eigene Appliance (HW+SW) Cisco AnyConnect Client SSLVPN VPNC unter Linux IPsec Tunnel (UDP, TCP) IPsec ESP Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

12 Core Router und Intermediate Switches Core Router, UZA1 und UZA4 2x6509, VSS, verbunden 2x10Gbit, Portchannels Vlan Interfaces, etwa 60, abnehmend typischerweise Default Gateway in einem Servernetz (oder in einem noch nicht umgestellten Client-Netz) *Strukturierung* des Netzes (Departments bzw Institute) Intermediate Switches, sw-a, sw-b 2x6506, VSS, UZA1, verbunden mit 2x10GB 2x6506, VSS, UZA4, verbunden mit 2x10GB Uplinks 2x10 Gbit, Portchannel Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

13 WISM WISM - Wireless Services Module Einschub in 650x, verwaltet die Access-Points WCS - verwaltet Konfiguration und Clients, inzwischen abgelöst durch NCS Cisco Prime Infrastructure Wireless User kommt ins gleiche Vlan wie Wired User Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

14 ASA ASA - eigenständige Box, via 2x10Gb an 650x Failover zwischen 2 Boxen Vlan Interfaces, etwa 60, zunehmend typischerweise Default Gateway in einem Client Netz Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

15 End-User Switches, MR-Switches, SR-Switches 4506, ein Supervisor Einschübe zu 48 Ports - maximal 240 Ports, zu 100 Mbit, teilweise PoE (Gigabit abhängig von Verkabelung) Uplinks 2x1GB, Portchannel Ports für mehrere Racks Uplinks 2x1GB, Portchannels Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

16 Nameserver und DHCP-Server bind, unterschiedliche Releases externe NS, nicht rekursiv, anycast interne NS, rekursiv, anycast Backend dhcp primary, secondary Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

17 Telefonie Philips (PKE) Fax Server (und VoiceBox) - Topcall VoIP Philips, Apparate Polycom, SIP (Session Initiation Protocol) VoIP Cisco, SIP, SCCP (Skinny) (Skinny Call Control Protocol) Gateway, Call Manager, etc. Telepresence Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

18 Logische Struktur des Vlans - ASA - Telefonie VLAN = Abteilung bzw. Institut flaches Netz - Layer 2 - jede Dose in beliebiges VLAN Vorteil: unabhängig von Raumvergabe Nachteil: Layer 2 über das ganze Netz Exkurs: Trunking Dot1Q (cisco ISL) Data und Voice Vlan Komponenten nach HW und SW Border Router Äußere Firewall - Barracuda (Phion) IDS/IPS Juniper VPN Server Core Router und Intermediate Switches WISM ASA End-User Switches, MR-Switches, SR-Switches Nameserver und DHCP-Server Telefonie Logische Struktur des

19 Sicherheit Layer-3 Partitionierung durch ASA Firewall Rules einige Server-Netze unterschiedliche Client-Netze typischerweise Institut/Department, meist x.0/24 IPv6 ebenso wie IPv4 (Dual Stack) 2001:628:404::x/64 Gerät kommt ans - Kabel bzw. Wireless

20 Gerät kommt ans im Institutsbereich DHCP - DNS Eintrag etc. DHCP discover / offer DHCP request / ack DNS Eintrag, nach 1 Stunde für 25 Stunden alle 25 Stunden wiederholt, im Wireless öfter SSID wu (vormals wu-dot1x), Authentication via Radius SSID wu-conference, Authentication via Bluesocket VPN in Selbststudienzone / Hörsaal, Authentication via Bluesocket Gerät kommt ans - Kabel bzw. Wireless

21 Kontrolle und Werkzeuge dazu internet traffic monitoring (MRTG) intermediate trunks (MRTG) icinga (Status der Komponenten) nmis (einzelne Ports) netdisco (Mac Adressen etc.) IP flows (nfsen, iflow) Phishing DNS Spoofing Kontakt We have to learn to manage information and its flow. If we don t, it will all end up in turbulence. Grace Hopper

22 Bedrohungsszenarien Phishing DNS spoofing BotnetzTeilnehmer DOS (IRC) SSH Brute Force Viren, AdWare, PHPbb SpyWare (auffinden durch Spybot Search and Destroy) SpamBots (SMTP outgoing, jetzt gesperrt) Phishing DNS Spoofing Kontakt There are a lot of dumb people with powerful tools. - Jonah Seiger, former EFF Program Coordinator, 1994

23 Phishing To all users, Microsoft launched a new service for our webmail not a redesigned version of Hotmail, but a completely new, built-from-the-ground-up service... will be activated immediately you complete the Questionnaire information from Message Center by clicking on the link below: Thank you. Help Desk (@)2012.All Rights Reserved Phishing DNS Spoofing Kontakt

24 DNS Spoofing Kaminsky , August prinzipielles Problem (Ports) prinzipielle Lösung - DNSSEC signierte Antwort vom Nameserver, durch die ganze rekursive Kette durch Zwischenlösung mit DLV (DNSSEC Look-aside Validation) Phishing DNS Spoofing Kontakt

25 Kontakt Mißbrauch Copyright Notice problematischer Jailbreak (Schadsoftware) Botnetzteilnehmer Spamsource Phishing DNS Spoofing Kontakt

26 Projekte Umzug (Mitte März) ip address verifying Authentisierung am Kabel flows / graphische Darstellung The reasonable man adapts himself to the world; the unreasonable one persists in trying to adapt the world to himself. Therefore all progress depends on the unreasonable man. George Bernard Shaw Umzug ip address verifying Zukunft

27 Umzug Mitte März erste Installation Layer 2 Verbindung WU alt - WU neu Redundanz des Layer 2 ab Mai Übersiedlung unter Ausnutzung der Redundanz im bestehenden Netz Umzug ip address verifying Zukunft

28 ip address verifying *stabile* identität *man in the middle* zuverlässing verhindern (und einiges sonst noch) Umzug ip address verifying Zukunft

29 Zukunft wieviel Überwachung ist notwendig? was ist zuviel Überwachung? Wireless - eine Erfolgsgeschichte mobile Phone - hat jeder Networking is the Vietnam of computing. Something can nuke you from behind, and it s gone when you turn around. It s impossible to win a guerilla war against a highly distributed enemy. - Mike Smith. Umzug ip address verifying Zukunft

30 2010 WS 6342 unterschiedliche Wireless User im November 8267 unterschiedliche Wireless Clients im November 5189 unterschiedliche Wireless User im Dezember 6654 unterschiedliche Wireless Clients im Dezember über 1000 Clients gleichzeitig 3992 unterschiedliche Clients am 11. Jänner (Kabel und Wireless) davon 438 mit *iphone* im Namen, 66 mit *android* davon 2183 Studenten im Wireless davon 276 mit *iphone* im Namen, 39 mit *android*

31 2011 SS 6437 unterschiedliche Wireless User im April/Mai 8664 unterschiedliche Wireless Clients im April/Mai über 1000 Clients gleichzeitig 4118 unterschiedliche Clients am (Kabel und Wireless) davon 440 mit *iphone* im Namen, 109 mit *android* davon 2281 Studenten im Wireless davon 297 mit *iphone* im Namen, 70 mit *android*

32 2011 WS 8195 unterschiedliche Wireless User / unterschiedliche Wireless Clients /11 über 1296 Clients gleichzeitig 5434 unterschiedliche Clients am (Kabel und Wireless) davon 472 mit *iphone*, 187 mit *android*, 62 mit *ipad*, 46 mit *ipod*, 10 mit *pad*, 43 mit *blackberry* im Namen davon 3140 Studenten im Wireless davon 282 mit *iphone*, 107 mit *android*, 48 mit *ipad*, 17 mit *ipod*, 6 mit *pad*, 12 mit *blackberry* im Namen

33 2012 SS 7211 unterschiedliche Wireless User / unterschiedliche Wireless Clients /06 über 1434 Clients gleichzeitig 5287 unterschiedliche Clients am (Kabel und Wireless) davon 383 mit *iphone*, 221 mit *android*, 65 mit *ipad*, 24 mit *ipod*, 12 mit *pad*, 28 mit *blackberry* im Namen davon 2946 Studenten im Wireless davon 292 mit *iphone*, 176 mit *android*, 54 mit *ipad*, 19 mit *ipod*, 9 mit *pad*, 11 mit *blackberry* im Namen

34 2012 WS 7136 unterschiedliche Wireless User / unterschiedliche Wireless Clients /11 über 1800 Clients gleichzeitig 5451 unterschiedliche Clients am (Kabel und Wireless) davon 432 mit *iphone*, 333 mit *android*, 124 mit *ipad*, 19 mit *ipod*, 131 mit *pad*, 28 mit *blackberry* im Namen davon 3461 Studenten im Wireless davon 361 mit *iphone*, 270 mit *android*, 115 mit *ipad*, 12 mit *ipod*, 120 mit *pad*, 13 mit *blackberry* im Namen

35 Anschlüsse, aktiv 28 Etagenverteiler, 9 Slots zu 48x Gigabit, PoE Upstream 2x10Gbit zu zwei unterschiedlichen HV catalyst 4510R+E, sup7 3x2 Hausverteiler, x10gbit zu Etagenverteilern Upstream 10Gbit (40Gbit?) zu beiden ZV 2xcatalyst 4500-X, VSS 2 Zentralverteiler 2x catalyst 650x + sup2t, VSS 5 Datacenter, verschiedene Funktionen angebunden an beide ZV nexus 5596 bzw mit nexus Accesspoints

36 Hardwarebeispiele(1a) Cat4510, SUP 7 Cisco IOS-XE software, Copyright (c) by cisco Systems, Inc. All rights reserved. Certain components of Cisco IOS-XE software are licensed under the GNU General Public License ( GPL ) Version 2.0. The software code licensed under GPL Version 2.0 is free software that comes with ABSOLUTELY NO WARRANTY. You can redistribute and/or modify such GPL code under the terms of GPL Version 2.0. For more details, see the documentation or License Noticefile accompanying the IOS-XE software, or the applicable URL provided on the flyer accompanying the IOS-XE software.

37 Hardwarebeispiele(1b) Cat4510, SUP 7 PID Runtime(ms) Invoked usecs Stacks Process /8192 init /8192 kthreadd /8192 ksoftirqd /8192 udevd /8192 iosd /8192 dbus-daemon /8192 portmap /8192 sshd

38 Hardwarebeispiele(2a) Nexus 5000 Cisco Nexus Operating System (NX-OS) Software TAC support: Copyright (c) , Cisco Systems, Inc. All rights reserved. The copyrights to certain works contained herein are owned by other third parties and are used and distributed under license. Some parts of this software are covered under the GNU Public License. A copy of the license is available at

39 Hardwarebeispiele(2b) Nexus 5000 PID State PC Start TTY Process 1 S b7f9e init 2 S ksoftirqd 10 S kthread 18 S kacpid 2646 S b7f8718e 1 - portmap 2655 S nfsd 2669 S b7f rpc.mountd 2675 S b7f rpc.statd 3513 S insmod 3911 S b7f4b xinetd 3912 S b7f tftpd 3964 S b7f cisco 4242 S b7f976be 1 - klogd 4264 S b7dd httpd 4415 S b7f946be 1 S0 getty

40 Hardwarebeispiele(3a) cisco ASR1002 Cisco IOS-XE software, Copyright (c) by cisco Systems, Inc. All rights reserved. Certain components of Cisco IOS-XE software are licensed under the GNU General Public License ( GPL ) Version 2.0. The software code licensed under GPL Version 2.0 is free software that comes with ABSOLUTELY NO WARRANTY. You can redistribute and/or modify such GPL code under the terms of GPL Version 2.0. For more details, see the documentation or License Noticefile accompanying the IOS-XE software, or the applicable URL provided on the flyer accompanying the IOS-XE software.

41 Hardwarebeispiele(3b) cisco ASR1002 cisco ASR1002 (2RU) processor with K/6147K bytes of memory. 4 Gigabit Ethernet interfaces 3 Ten Gigabit Ethernet interfaces 32768K bytes of non-volatile configuration memory K bytes of physical memory K bytes of eusb flash at bootflash:.

42 % of networking is politics. - Vernon Schryver

43 Fragen, Diskussion Fragen, Diskussion Knowledge itself is power. - Francis Bacon ( )

44 ns1 show ip route Routing entry for /32 Known via ospf 1776, distance 110, metric 3, type intra area Last update from on Vlan10, 2w6d ago Routing Descriptor Blocks: , from , 2w6d ago, via Vlan20 Route metric is 3, traffic share count is 1 * , from , 2w6d ago, via Vlan10 Route metric is 3, traffic share count is 1 Fragen, Diskussion

45 ns2 show ip route Routing entry for /32 Known via ospf 1776, distance 110, metric 3, type intra area Last update from on Vlan10, 2w6d ago Routing Descriptor Blocks: * , from , 2w6d ago, via Vlan20 Route metric is 3, traffic share count is , from , 2w6d ago, via Vlan10 Route metric is 3, traffic share count is 1 Fragen, Diskussion

46 ns5 show ip route Routing entry for /32 Known via ospf 1776, distance 110, metric 3, type intra area Last update from on Vlan10, 2w6d ago Routing Descriptor Blocks: , from , 2w6d ago, via Vlan20 Route metric is 3, traffic share count is 1 * , from , 2w6d ago, via Vlan10 Route metric is 3, traffic share count is 1 Fragen, Diskussion

47 ns6 show ip route Routing entry for /32 Known via ospf 1776, distance 110, metric 3, type intra area Last update from on Vlan10, 2w6d ago Routing Descriptor Blocks: , from , 2w6d ago, via Vlan20 Route metric is 3, traffic share count is 1 * , from , 2w6d ago, via Vlan10 Route metric is 3, traffic share count is 1 Fragen, Diskussion

48 pecuchet pecuchet:nagl:9 dig HOSTNAME.BIND CHAOS TXT nsx2z1 pecuchet:nagl:10 dig HOSTNAME.BIND CHAOS TXT nsx2z2 pecuchet:nagl:11 dig HOSTNAME.BIND CHAOS TXT nsx3z3 pecuchet:nagl:12 dig HOSTNAME.BIND CHAOS TXT nsx4z4 Fragen, Diskussion

49 core router sh mls cef exact-route Interface: Vl20, Next Hop: , Vlan: 20, Destination Mac: ad1.412a sh mls cef exact-route Interface: Vl20, Next Hop: , Vlan: 20, Destination Mac: ad1.412a sh mls cef exact-route Interface: Vl10, Next Hop: , Vlan: 10, Destination Mac: ad1.0d08 sh mls cef exact-route Interface: Vl20, Next Hop: , Vlan: 20, Destination Mac: 001e.0bda.53ce Fragen, Diskussion