Anbindung der Max-Planck-Institute am globalen Roaming

Transkript

1 Anbindung der Max-Planck-Institute am globalen Roaming von Andreas Ißleiber Gesellschaft für wissenschaftliche Datenverarbeitung mbh Göttingen Am Fassberg, Göttingen Fon: Fax:

2 EDUROAM: Was ist das? EduRoam = (Education Roaming) EDUROAM bietet eine einfache Möglichkeit für deren Mitglieder, die Netzwerkzugänge anderer Institutionen zu nutzen Ziel ist der einfache Zugang für Gäste zum Internet, ohne Nutzung lokaler Gast -Accounts (Tagungen etc.) Primär werden verschlüsselte WiFi Verbindungen als Zugangswege in den Instituten für Gäste bereit gestellt Voraussetzung hierfür ist die Teilnahme am EDUROAM Verbund (in Deutschland DFN) Zugangsberechtigt sind alle Angehörige der teilnehmenden Forschungseinrichtungen (auch Studierende)

3 EDUROAM: Verbreitung (weltweit) 3

4 EDUROAM: Verbreitung (Europa) In Europa: Stand 2010/09

5 EDUROAM: Verbreitung (Deutschland) Göttingen: 1. MPI f. Biophys. Chemie 2. MPI f. Exp. Medizin 3. Universität Göttingen 4. GWDG Summe deutscher Institutionen: 201 Derzeit sind nur 4 MPIs integriert: Max Planck Institut für Informatik Max Planck Institut für Softwaresysteme (Standord Saarbrücken) Max Planck Institut für Softwaresysteme (Standort Kaiserslautern) Max-Planck-Campus Golm

6 EDUROAM: Die Technik Ein Verbund garantiert die Authentifizierung der Benutzer in deren Heimatinstitution Jede teilnehmende Institution betreibt einen RADIUS Server zur Authentifizierung seiner Benutzer, welcher im DFN Radius- Verbund integriert sein muss Lokale Benutzerdatenbank: Meist steckt hinter dem RADIUS Server eine lokale Benutzerdatenbank (LDAP, AD, NIS, Datenbank etc.) Die lokale WiFi Infrastruktur muss WPA (besser WPA2) beherrschen Identifikation (Routing) durch Angabe des realm im Username:

7 DFN EDUROAM: Wege der Authentifizierung 3 Universität Göttingen 5 Internet 4 TU Berlin GWDG 2 TU Berlin Accesspoint SSID: eduroam Accesspoint SSID: eduroam Benutzer: user@tu-berlin.de Der Waren Benutzer lokale DFN- das eingegebene gibt seinen hat Passwort Benutzernamen der eine GWDG Tabelle und erkennt der aller sowie Benutzername aufgrund sein eduroam Passwort des korrekt, ein: user@tu-berlin.de. eingegebenen teilnehmenden wird 4 Der vom WLAN-Controller realms Einrichtungen Benutzername (@tu-berlin.de) der Heimatinstitution über Deutschland den und Accesspoint des Passwort Benutzernamens, prüft und werden der verweist die Zugang Gültigkeit vom aufgrund dass für des den Benutzer: user@uni-goettingen.de Accesspoint sich des Benutzernamens/Passwortes ortsfremden 56 Der realms um DFN- lokale einen (@tu-berlin.de) (über GWDG- ortsfremden einen freigeschaltet WLAN-Controller) Benutzer im schickt und konkreten schickt das und schickt handelt Ergebnis der das Fall zum das Benutzer und an lokalen Ergebnis in den schickt seiner (richtig kann die der Funktion über Anfrage oder eine als der an der den Heimatinstitution falsch) Proxy Überprüfung verschlüsselte GWDG zentralen an an den geschickt. an zentralen WLAN-Verbindung den des WLAN-Controller Benutzers DFN der des (TU anfragenden DFN das Berlin). Internet weiter. im GoeMobile zurück. Institution nutzen. weiter. weiter.

8 EDUROAM: Wege der Authentifizierung Der Benutzer gibt seinen Benutzernamen sowie sein Passwort ein: user@tu-berlin.de. Benutzername und Passwort werden vom Accesspoint (über einen WLAN-Controller) zum lokalen der GWDG geschickt. Der lokale der GWDG erkennt aufgrund des eingegebenen realms (@tuberlin.de) des Benutzernamens, dass es sich um einen ortsfremden Benutzer handelt und schickt die Anfrage an den zentralen des DFN weiter. Der DFN- hat eine Tabelle aller am eduroam teilnehmenden Einrichtungen in Deutschland und verweist aufgrund des realms (@tu-berlin.de) im konkreten Fall an den der Heimatinstitution des Benutzers (TU Berlin). Der der Heimatinstitution prüft die Gültigkeit des Benutzernamens/Passwortes und schickt das Ergebnis (richtig oder falsch) an den zentralen DFN zurück. Der DFN- schickt das Ergebnis in seiner Funktion als Proxy an den der anfragenden Institution weiter. Der lokale GWDG- schickt das Ergebnis der Überprüfung an den WLAN-Controller im GoeMobile weiter. Waren das eingegebene Passwort und der Benutzername korrekt, wird vom WLAN-Controller über den Accesspoint der Zugang für den ortsfremden Benutzer freigeschaltet und der Benutzer kann über eine verschlüsselte WLAN-Verbindung das Internet nutzen.

9 EDUROAM: Anbindung diverser Authentifizierungsquellen Stand: 6/2010,GWDG, Andreas Ißleiber GWDG, Universität Göttingen Fremde Einrichtung außerhalb von Göttingen (Fremde Einrichtung) Windows Active Directory realm: uni-goettingen.de Windows Active Directory realm: gwdg.de Windows Active Directory realm: stud.uni-goettingen.de 2 1 GWDG- DFN radius1-edu.gwdg.de Benutzergruppen: Windows Active Directory realm: mbpc.mpg.de 4 3 Internet user@gwdg.de user@uni-goettingen.de user@stud.uni-goettingen.de Windows Active Directory realm: em.mpg.de 5 2* 1* 3* GWDG- radius2-edu.gwdg.de 4 5 user@mpibpc.mpg.de user@em.mpg.de LDAP realms: gwdg.de uni-goettingen.de LDAP realm: stud.uni-goettingen.de *: bei Passwortverschlüsselung crypt oder plaintext

10 EDUROAM: Gäste im eigenen Netz Internet Unverschlüsselte Verbindung ins Internet GoeMobile WLAN-Controller GÖNET Authentifizierung GWDG eduroam (z.b. freeradius) verschlüsselte Verbindung über Funk Sicherheitstyp: WPA2-Enterprise Verschlüsselung: AES o.tkip Accesspoint SSID: eduroam mit WPA o. WPA2 Verschlüsselung EAP-Client (T)TLS, PEAP, Authentifizierung in 2 Phasen: 1.) Äußere Identität (anonymous@gwdg.de) 2.) Innere Identität (username) Lokaler Benutzer: user@uni-goettingen.de oder Benutzer einer fremden Einrichtung am Bsp.: user@rwth-aachen.de

11 EDUROAM: Clients Zusätzliche Software: SecureW2 (EAP Client) Besser: Im OS integrierte EAP-Clients - Windows XP,Vista,7,2008 (auch 64Bit) - LINUX (diverse) - Apple OS (Snow Leopard) Smartphones: - Apple iphone/pod/pad - Windows mobile (PDA) - Palm - Android OS Hilfe zur Clientinstallation 11

12 EDUROAM: Aufbau bei der GWDG, Details FreeRadius Server (redundant) in VMWARE virtualisiert Monitoring mit CACTI (externer Zugang auch für MPIs) Anbindung an weitere Authentifizierungsdatenbanken (LDAP und AD: abhängig v.d. Passwortverschlüsselung) MySQL Datenbank für Logging und Statistiken 12

13 EDUROAM: Anbindung der MPIs Diverse Varianten: 1.) Eigeninitiative im Institut: - Autonomer Aufbau eines eigenen RADIUS Server - Anbindung an Userdatabase - Anbindung zum DFN 2.) Anbindung am RADIUS Server der GWDG: - kein zus. Aufwand im Institut - Nutzung der redundanten Infrastruktur der GWDG - keine Einarbeitung in die teilweise recht komplexe Thematik - Anbindung an DFN Verbund bereits erfolgt - gültige Server-Zertifikate - Monitoring 3.) Virtualisierter (eigener) RADIUS Server bei der GWDG: - Nutzung eines RADIUS Server Templates bzgl. EDUROAM - vollständige, eigene Kontrolle des Systems 13

14 EDUROAM: Nutzung der Dienste über die GWDG GWDG GWDG- radius1- edu.gwdg.de GWDG- radius2- edu.gwdg.de DFN Internet Realm: Kommunikation verschlüsselt LDAPs SSL/SSH VPN Max-Planck-Institut für xxx Accesspoint: SSID: eduroam mit EAP und WPA(2) Instituts User Datenbank LDAP(s) Active Directory NIS Datenbank ggf. WLAN Controller 14

15 EDUROAM: Nutzung der Dienste über die GWDG Was wird auf Seiten des MPI benötigt: WLAN-Struktur mit WPA(2) Möglichkeit zur Aussendung mehrerer SSIDs Angabe eines Authentifizierungsserver pro SSID (RADIUS) Benutzerdatenbank: LDAP, AD, NIS Mut Vorteil: Möglichkeit, ggf. das FunkLAN umgebender Institutionen zu nutzen (Universitäten) 15

16 EDUROAM: Nutzerstatistiken in Göttingen Anonymisierte Logins fremder Nutzer(in) in Göttingen (letzten 6 Wochen) amu.edu.pl anu.edu.au charite.de cms.hu-berlin.de desy.de fh-friedberg.de fh-kiel.de fu-berlin.de gwdg.de gwdg.de gwdg.de hawk-hhg.de hro.nl hs-wismar.de hva.nl ijs.si kclad.ds.kcl.ac.uk kent.ac.uk kit.edu leidenuniv.nl lmu.de maths.qmul.ac.uk mytum.de ox.ac.uk ruhr-uni-bochum.de rwth-aachen.de soas.ac.uk soton.ac.uk st.amu.edu.pl st-andrews.ac.uk student.fe.uc.pt student.fh-kiel.de student.kit.edu student.rug.nl students.uni-marburg.de stud.uni-goettingen.de stud.uni-stuttgart.de sussex.ac.uk swansea.ac.uk tu-berlin.de tu-bs.de tu-chemnitz.de tu-darmstadt.de tudelft.nl tu-dortmund.de tu-dresden.de tu-ilmenau.de tum.de ua.es ua.pt u-bordeaux2.fr unet.univie.ac.at unibe.ch uni-bielefeld.de uni-due.de uni-duisburg-essen.de uni-giessen.de uni-goettingen.de uni-hamburg.de uni-hannover.de uni-hildesheim.de uni-leipzig.de unimaas.nl uni-mainz.de uni-muenster.de uni-osnabrueck.de uni-paderborn.de uni-siegen.de uni-tuebingen.de univie.ac.at uni-wuerzburg.de upol.cz utwente.nl uva.nl win.tu-berlin.de wu.ac.at wu-wien.ac.at zedat.fu-berlin.de 16

17 EDUROAM: Nutzerstatistiken in Göttingen Jahr Woche Summe: Göttinger Benutzer in Fremdeinrichtungen Göttinger Benutzer in Fremdeinrichtungen Summe: Gäste in Göttingen aus Fremdeinrichtungen Gäste in Göttingen aus Fremdeinrichtungen Summe: Göttinger Benutzer/in Lokal im Eduroam Göttinger Benutzer lokal (Wochen) 17

18 S Vielen Dank! CISCOYSTEMS CISCOSYSTEMS Fragen CISCO UPPER SYSTEMS LOWER POWER NORMAL und Diskussionen! Vortrag ist unter: zu finden 18