Grundwissen für Netzverantwortliche Einführungskurs Markus Meschederu 1

Transkript

1 Grundwissen für Netzverantwortliche Einführungskurs 2014 Markus Meschederu 1

2 Übersicht Motivation Schnittstelle des Netzverantwortlichen zum LRZ Aufgaben des Netzverantwortlichen aus der Sicht des LRZ Kabelgebundener Zugang zum MWN Verbindungskomponenten Theorie Netzdienste im MWN WLAN Zugangsmöglichkeiten Werkzeuge für Netzverantwortliche

3 Netzverantwortliche Bindeglied zwischen Einrichtung vor Ort und LRZ Unser Kontakt und Ansprechpartner Schnittstelle zum LRZ in Netzfragen Schnittstelle für Benutzer in seinem Bereich für Netzfragen Verwalter von Namens- und Adressräumen Unterstützung durch das LRZ Aus- und Weiterbildung durch das LRZ netzbenutzungsrichtlinien/ Leibniz-Rechenzentrum 3

4 Netzverantwortlicher Kontakt zum LRZ Kontaktart Servicedesk Gruppe im LRZ Mitarbeiter Web servicedesk.lrz.de Telefon (0 89) Durchwahl Servicedesk als Mittel der Wahl - Immer ein Bearbeiter in der Gruppe verfügbar (Urlaub, Krankheit) - Eskalationstufen vorhanden - Nachverfolgbarkeit und Dokumentation - Schnellere Korrelation durch interne Übersicht über eingegangene Meldungen Leibniz-Rechenzentrum 4

5 Kontaktaufnahme Neue Subnetze werden benötigt Netzanschlüsse sollen geändert werden Ein Domainname soll beantragt werden Ein Subnetz soll mit DHCP versorgt werden Ein gesperrter Rechner soll wieder entsperrt werden Fragen zu bestimmten Diensten am LRZ Und vieles mehr Leibniz-Rechenzentrum 5

6 Informationen für Netzverantwortliche auf dem LRZ-Webserver Leibniz-Rechenzentrum 6

7 Netzverantwortliche Aufgaben aus LRZ-Sicht Der Netzverantwortliche hat folgende Aufgaben in seinem Zuständigkeitsbereich wahrzunehmen: Neu: Verwaltung der zugeteilten Namens- und Adressräume Führung einer Dokumentation über die ans MWN angeschlossenen Endgeräte bzw. Netze Zusammenarbeit mit dem LRZ bei der Planung und Inbetriebnahme von Erweiterungen der Gebäudenetze Mitarbeit bei der Fehlerbehebung Zusammenarbeit mit dem LRZ bei der Eindämmung missbräuchlicher Netznutzung. Änderungsmeldungen über Servicedesk oder an Zwei Ansprechpartner nennen. Bei Ausscheiden bitte Nachfolger suchen und nennen Leibniz-Rechenzentrum 7

8 Einmal im Jahr: Post vom LRZ! Überprüfung der Daten der Netzverantwortlichen: Bitte immer antworten! Persönliche Daten aktuell? - Mobiltelefonnummer Anzahl und Größe der Subnetze aktuell? Stand im Jahr 2014: ca. 900 Netzverantwortliche Leibniz-Rechenzentrum 8

9 Wöchentlich: Informationen zu Wartungsarbeiten Informationen über: Arbeiten innerhalb der Wartungszeit, Di 07:00-09:00 Sonstige Arbeiten unter der Woche Leibniz-Rechenzentrum 9

10 Münchner Wissenschaftsnetz (MWN) - Geographische Unterteilung Bezirke Bezirk: A Bezirk: B Bezirk: C Bezirk: D Bezirk: E Bezirk: F Bezirk: G Garchinger Hochschulgelände TUM-Stammgelände, TUM-Nordgelände und nächste Umgebung Hochschule Weihenstephan-Triesdorf, Stadort Triesdorf (ehem.: LRZ) Block Theresienstraße, Barer Str., Gabelsbergerstr., Türkenstr. Oberwiesenfeld / ZHS Königsplatz Westl. Ludwigstr, südlich Akademiestr., östlich Türkenstr, nördlich Theresienstr. Residenz und Umgebung Campus Großhadern / Martinsried Weihenstephan (inkl. Außenbezirke) Bezirk: H Bezirk: I Bezirk: J. Unterbezirke A0 TUM, Geb. 5212, Radiochemie, Walther-Meißner Straße A1 TUM, Geb. 6101, Heizhaus, Römerhofweg 67 A2 TUM, Geb. 6104, Feuerwehr, Römerhofweg 67 A3 TUM, Geb. 5275, Bayerisches Zentrum für Angewandte Energieforschung e.v. ( ZAE Bayern), Walther-Meißner-Str. 6 A4 TUM, Geb. 5701, Imetum (Institute of Medical Engineering at TUM), Boltzmannstr

11 Münchner Wissenschaftsnetz (MWN) Münchner Wissenschaftsnetz TUM Eichenau SWH Karlstr. 32 LMU Bad Tölz MPG Hofgartenstr. SWH Heiglhofstr. LMU Oettingenstr. LMU Konradstr. LMU Ziemssenstr. LMU Menzinger Str. TUM Schragenhofstr. TUM B Stamm/Nordgelände LMU Maria- Theresia Str. LMU Scheinerstr.1 LMU Oberschleißheim TUM,LMU Luisenstr. FW HP BAdW H Alfons-Goppel-Str. SWH Adelheidstr. LMU Giselastr. ZS FH YH Z5 IT O LL T SG YB ZY YW ZJ V SWH VW Schäferanger Oberschleißheim F FO JV SWH Gabelsbergerstr. LMU Kaulbachstr.37 ZO SWH Arcisstr.31 NK LMU Veterinärstr. T-DSL SWH Schröfelhofstr. LF SWH Franz- Josef Str.4 VM N TUM Veitshof LMU Zentnerstr.31 Weihenstephan JT TUM Thalhausen LMU Moorversuchsgut Oberschleißheim YG AFK Rosenheimer Str.145 Z0 ZA SWH Chiemgaustr. K TUM Klinikum r.d.isar ZT SN HSWT Triesdorf ZV SWH Steinickeweg 4 SW C ZK ZK SWH Stift.FH Preysingstr. Preysingstr.83 83d SWH Maximilianeum SWH Gregorianum YA TUM Schellingstr.33 X9 TUM Mülverstedt LMU Schönfeld- Str.13 ST HS.Phil. Kaulbachstr.31 SY SWH Kaulbach- Str.25 LTE ZN SWH Paulinum BJ SWH Jakob Balde Haus XB SB Staatsbib. Ludwigstr.16 TUM Wasserbau Obernach X-WIN INTERNET LRZ YO WL,WR,WZ Boltzmannstraße 1 HMTM Arcisstr. Fernsprechnetz/ ISDN LMU Katharina-von- Bora-Str.10 ORD Maxburgstr.2 FE FS SP Hist. Kolleg Kaulbachstr.15 SWH Lange Point Q,P,J FZ TUM Barer Str.21 ZD SWH Türkenstr.58 XS UFS Zugspitze PY D IZB Freising JI TUM,HSWT Campus Weihenstephan LMU Chemie u. Pharmazie Großhadern I LMU Theresienstr. ZL AI 120 Kanäle M-net Modem/ISDN-Zugang 30 Kanäle Telekom TUM Mühlenweg Freising JF ZU IN MPG Neurobiologie Z4 SWH Kreittmayrstr. LN DP TUM Pin.d.Mod. Barer Str.40 LMU Wendelstein MPG Garching LMU Leopoldstr.44 LMU Klinikum Großhadern IK XP IM P8 MPG Biochemie SWH Hedwig- Dransfeld-Allee ZQ R HM Lothstr.34 YV P1 SWH Span.Kolleg Dachauer Str. U Z2 YS P0 P3 SWH Vöttinger Str. LMU Biologie I Biologie II Martinsried IG LMU Planegg SWH Richard-Wagnerstr.16 SWH SWH Giggenhauser- Str. 29 und 25 IL IW IA YF ZH Z3 TUM/ HSWT Straubing TUM Iffeldorf LMU FFB FHG IVV Giggenhauser Str. TUM TUM Marsstr Wasserchemie LMU Seestr.13 LMU Genzentrum HM Lothstr.17 TUM Connollystr. Herzzentrum Lazarettstr. SWH Helene Mayer Ring SWH Lothstr.62 ZE SWH Heßstr. TUM Baumbachstr. TUM IWB Augsburg LMU Martiusstr. TUM Ini.tum Ingolstadt SWH Albertus Magnus Haus Pasing Moosacher Str.81 ISB Schellingstr.155 LMU Amalienstr.83 LMU IFO Poschingerstr.5 ZM YZ SM YX EZ YP Y8 TUM EC Georg Brauchle Ring 58 SWH Fortiss Guerickestr.25 MK ZB SH XF XM GN XD SWH Hochschulhaus Garching TUM Schwabinger Krankenhaus EO YN YI LMU Schwere Reiter Str.9 WH TUM Excellenz-Cl. YQ LMU Amalienstr.73 GT LW WK HMTM Wilhelmstr.19 A5 SWH Garching 2 TUM Winzererstr. LD LMU Hohenstaufenstr.1 Kinderhaus Boltzmannstr.15 LMU Franz-Josef- Str.15 A,W,M Garching SWH Domino G2 LH WD ZR XG HMTM Gasteig SE LMU/TUM Deutsches Museum YU LMU G,S Geschwister-Scholl-Platz Stammgelände LMU Ludwigstr.10 TUM,LMU Campus Garching A9 XA SWH Jochbergweg WG WM GATE ITEM Garching Garching FA TUM Karlstr.45 WO MP Business Campus Parkring 4 SWH Stettenkas. Schwere Reiter Str.35 Y7 YC TUM Parkring TUM Klinikum Biederstein M-net (Internet-Backup) YR YM TUM Dachau Karl Benz Straße 15 XR XE LMU ZAAR Destouchesstr. 68 LMU Leopoldstr. L LP SWH Georgenstr. 14 LMU Edmund- Rumpler-Str.13 TUM Augustenstr.44 LMU Edmund- Rumpler-Str.9 ZP X2 SWH Notburgastr Bay.Theat.Ak. Prinzregenten- Platz 12 MPG Föhringer Ring YY INTERNET XV FV XU BAdW Volkskunde Barer Str.13 YT Z1 XJ ZG GU XQ LI YJ SI Z7 Y9 Y0 ZI ZW ZZ IS GI MPG Amalienstr.33 SWH Freimann SWH Josef-Wirth-Weg 19 YD SWH CVJM Theo-Prosel- Weg SWH Paul-Hindemith- Allee LMU Amalienstr.17 IBZ Amalienstr.38 LMU Leopoldstr.139 SWH Heinrich- Groh-Str.17 SWH Biedersteiner- Straße 24-30a SWH Oskar v. Miller Ring 25/ Amalien 13 SWH Freimann Josef-Wirth-Weg 21 LMU Leopoldstr. 7 ABK Akademiestr. SWH Kaulbachstr.49 SWH Arme Schul- Schwestern Unterer Anger 2 SWH Arme Schul- Schwestern Unterer Anger 17 SWH Felsennelkenanger IHF Prinzregentenstr.24 TUM u. Museen Oettingenstr.15 Zoolog. Staatssam. Münchhausenstr. SWH Sauerbruchstr. Wiss. Studentenwohnheim/ Hochschule Einrichtung sonstige Einrichtung 100 Gbit/s 10 Gbit/s 1 Gbit/s Mbit/s Mbit/s 2 Mbit/s 256Kbit/s-16Mbit/s Mbit/s Glasfaser Glasfaser Glasfaser Glasfaser Glasfaser DSL Funk/Laser Stand: /Kantor

12 Netzdienste vom LRZ für Netzverantwortliche DHCP: Zentrale IP-Konfiguration von Rechnern im MWN DNS: der DNS-Verbund im MWN eigene Domains: Verwendung eigener Domainnamen WWW: Webserver am LRZ NAT-und Sicherheits-Gateway: IP-Adressumsetzung (PAT) als Ersatz für Proxyserver Leibniz-Rechenzentrum 12

13 Netzverantwortliche Aufgaben im Institut Netzverantwortlicher im Institut / Lehrstuhl - Mädchen für alles Ersthelfer bei Problemen mit - Bürosoftware - - "Mein Internet geht nicht! Aufgaben aus Netzsicht - Laptop ans Netz bringen - Neuen Drucker anschließen - Rechner anschließen - Tablet oder Smartphone ins Netz bringen - BYOD, Verwendung privater Geräte im Münchner Wissenschaftsnetz Leibniz-Rechenzentrum 13

14 Zugang zum MWN und zum Internet Zugang zum MWN und zum Internet: - Dose im Mitarbeiterzimmer - Kabeltypen, Miniswitch - öffentlich zugängliche Dosen in Institutsgebäuden über VPN - Übersicht unter - In Hörsälen über das Hörsaalnetz - WLAN - Übersicht unter - VPN und eduroam, WLAN am Institut - Konferenzen - WLAN con, mwn-events Leibniz-Rechenzentrum 14

15 Zugang zum MWN und zum Internet am Institut Anschlussmöglichkeiten: - Kabelgebunden oder über WLAN WLAN - Abdeckung nur für öffentliche Bereiche - Versorgung von Lehrstühlen mit Kostenbeteiligung Kabelgebunden über Wanddose - funktioniert die überhaupt? - Dosennummer / Raumnummer / Netz / VLAN an ServiceDesk - Wir komme ich an diese Informationen? (idportal.lrz.de -> Nessi oder eigene Dokumentation) Leibniz-Rechenzentrum 15

16 Zugang am Institut - Patchwunsch Meldung an Servicedesk Soweit bekannt, folgendes angeben: Gebäude Raumnummer Dosennummer Bei Doppel- und Mehrfachdosen die gewünschten Anschlüsse Gewünschtes Subnetz/VLAN aus eigener Dokumentation oder aus Nessi- Portal Verlauf der Verbindung: Dose im Mitarbeiterzimmer Patchpanel im Verteilerraum Switchport im Verteilerraum Auszug aus der Patchliste Rack/Panel/Port Raum Dosenbeschriftung Switch Port 2B/ /7 swv2-2ag F10 2B/ /8 swv2-2ag F11 Leibniz-Rechenzentrum 16

17 Übersicht Motivation Schnittstelle des Netzverantwortlichen zum LRZ Aufgaben des Netzverantwortlichen aus der Sicht des LRZ Kabelgebundener Zugang zum MWN Verbindungskomponenten Theorie Netzdienste im MWN WLAN Zugangsmöglichkeiten Werkzeuge für Netzverantwortliche

18 Strukturierte Verkabelung Schema Verkabelung mit Glas Verkabelung mit Kupfer GHVt=Gebäude(haupt)verteiler, BVt=Bereichsverteiler (=Etagenverteiler)

19 Kabelmedium Kupfer Kupferadern (0,5 0,6 mm) - paarweise verdrillt (TP) - Kabelaufbau - S/STP-Kabel - S/UTP-Kabel - Kategorie 1-7 EMV-Problematik - elektromagnetische Störungen - gut geschirmte Kabel 2 Adernpaare bei 10/100BaseT 4 Adernpaare bei 1 GE Kabellänge bis 100 m PoE (Power over Ethernet) - VoIP-Telefone - WLAN-APs - Web-Kameras S/UTP-Kabel Gesamtschirm aus Folie und Kupfergeflecht Kat MHz S/STP-Kabel Paarschirm aus Folie und Gesamtschirm aus Kupfergeflecht bis Kat 7 und 1200 MHz

20 Kabelmedium Glas" Multimode - 50/125 µ (Europa) - Länge ohne Verstärkung : ca. 550 m (1 GE) Monomode - 9/125 µ - Länge ohne Verstärkung : ca. 5 km (1 GE) Optische Fenster (Dämpfung gering) nm nm nm Kabelaufbau - Vollader (Patchkabel) - Bündelader (Spleißboxen) Keine EMV-Problematik Kleinere Kabeldurchmesser i.a. 2 Fasern pro Verbindung teuer als Kupfer (bis zu 4-fach) Optische Röhre 20

21 Strukturierte Verkabelung Beispiel Etagenverteiler (Bereichsverteiler) Wandkabel RJ-45 Wanddose Patchfeld Patchkabel Aktive Komponenten

22 MWN - Bilder aus dem Netz Netzschrank LMU (G) Kabelführungen WiN-Zugang (IPP) Netzschränke

23 Verbindungskomponenten Switch und Router im MWN Knoten GZ (LMU-Stammgelände) Knoten WR (LRZ-Gebäude)

24 Switches, Router, VLANs Switche verbinden Rechner zu Netzen (LANs) (über MAC-Adressen) Switche teilen Rechner in Virtuelle Netze (VLANs) auf (z.b. über Port-Konfiguration) Router verbinden LANs und VLANs Router Switch Switch Switch VLAN 1 PC PC PC VLAN 2 PC PC PC VLAN 3 PC PC PC Leibniz-Rechenzentrum 24

25 Übersicht Motivation Schnittstelle des Netzverantwortlichen zum LRZ Aufgaben des Netzverantwortlichen aus der Sicht des LRZ Kabelgebundener Zugang zum MWN Verbindungskomponenten Theorie Netzdienste im MWN WLAN Zugangsmöglichkeiten Werkzeuge für Netzverantwortliche

26 Theorie Grundlagen - OSI Modell, TCP(IP-Referenzmodell) - MAC-Adressen, IP-Adressen, Ports IPv4-Adressen IPv6-Adressen Leibniz-Rechenzentrum 26

27 Grundlagen OSI-Modell 7 - Application 6 - Presentation 5 - Session 4 - Transport 7 - Application 6 - Presentation 5 - Session 4 - Transport Dialog der Anwenderprogramme Darstellung/Codierung Kommunikationssteuerung Transportfunktion 3 - Network Router 3 - Network Desktop- System Gateway IP (IPX, AppleTalk,...) Gateway Desktop- System Paket-Vermittlung (IP-Adressen) 2 - Data Link Switch 2 - Data Link Desktop- System Desktop- System Ethernet (FDDI, Token Ring,...) FDDI Ring Sicherungsschicht (MAC-Adressen) 1 - Physical Hub 1 - Physical Glasfasern, Twisted Pair, Coax, Bitübertragung (Kabelmedien)

28 TCP/IP Protokolle OSI-Stack TCP/IP Referenzmodell OSI-Stack TCP/IP-Stack Beispiele Application Presentation Session Transport Network Data Link Physical Application Transport Internet Network SSH HTTPS SMTP DNS DHCP TCP UDP IPv4 / IPv6 (ICMP /ICMPv6) Ethernet FDDI IPoAC TCP: Transport Communication Protocol ( UDP: User Datagram Protocol IP(v4/v6): Internet Protocol (Version 4 / 6) ICMP(v6): Internet Control Message Protocol (Version6) SSH: secure shell HTTPS: Hypertext Transfer Protocol Secure (Web) SMTP: Simple Mail Transport Protocol ( ) DNS: Domain Name System DHCP: Dynamic Host Configuration Protocol (IP-Konfiguration)

29 Philosoph Übersetzer - Sekretariat A. Tanenbaum, computer networks, 4th ed,, Leibniz-Rechenzentrum 29

30 Beispiel: Informationsfluss mit virtueller Kommunikation im Layer 5 A. Tanenbaum, computer networks, 4th ed,, Leibniz-Rechenzentrum 30

31 Grundlagen OSI-Modell 7 - Application 6 - Presentation 5 - Session 4 - Transport 7 - Application 6 - Presentation 5 - Session 4 - Transport Dialog der Anwenderprogramme Darstellung/Codierung Kommunikationssteuerung Transportfunktion 3 - Network Router 3 - Network Desktop- System Gateway IP (IPX, AppleTalk,...) Gateway Desktop- System Paket-Vermittlung (IP-Adressen) 2 - Data Link Switch 2 - Data Link Desktop- System Desktop- System Ethernet (FDDI, Token Ring,...) FDDI Ring Sicherungsschicht (MAC-Adressen) 1 - Physical Hub 1 - Physical Glasfasern, Twisted Pair, Coax, Bitübertragung (Kabelmedien)

32 TCP/IP Protokolle OSI-Stack TCP/IP Referenzmodell OSI-Stack TCP/IP-Stack Beispiele Application Presentation Session Transport Network Data Link Physical Application Transport Internet Network SSH HTTPS SMTP DNS DHCP TCP UDP IPv4 / IPv6 (ICMP /ICMPv6) Ethernet FDDI IPoAC TCP: Transport Communication Protocol ( UDP: User Datagram Protocol IP(v4/v6): Internet Protocol (Version 4 / 6) ICMP(v6): Internet Control Message Protocol (Version6) SSH: secure shell HTTPS: Hypertext Transfer Protocol Secure (Web) SMTP: Simple Mail Transport Protocol ( ) DNS: Domain Name System DHCP: Dynamic Host Configuration Protocol (IP-Konfiguration)

33 TCP/IP Protokolle TCP/IP Referenzmodell - Beispiel TCP/IP-Stack TCP/IP-Stack Application Daten Application Transport TCP-Header Daten Transport Internet IP-Header TCP-Header Daten Internet Network MAC-Header IP-Header TCP-Header Daten CRC Network TCP-Header IP-Header MAC-Header CRC Ports: z.b. 80 für HTTP, 443 für HTTPS IP-Adressen: z.b , 2001:4ca0::103:0:80:2:2 MAC-Adressen, Physikalische -Adresse der Netzwerkkarte, z.b. de:ad:be:ef:ca:fe Prüfsumme

34 Ethernet und MAC-Adressen Netztechnologie für Local Area Networks (LAN) Ursprünglich entwickelt um Systeme in kleinen Bereichen zu verbinden (Gebäude oder Gebäudeteil) LAN-Segment definiert durch Netzkomponente (Hub, Switch) - Adressierung über MAC Adressen: - 48 Bit (6 Byte) lang - Jede Netzwerkkarte hat MAC Adresse; damit Identifikation des Endsystems möglich - Sollte (weltweit) eindeutig sein (aber per Software änderbar) - Hexadezimal-Notation: - 08:00:20:ae:fd:7e oder ae-fd-7e Auslesen der MAC Adressen, abhängig vom Betriebssystem siehe: Ethernet wird oft synonym für LAN verwendet Zeichnung von Metcalfe (1976, 3 Mbit/s)

35 TCP/IP Datenaustausch über Grenzen von LANs hinweg; Internetworking Internet Protocol (IP): - Weitervermittlung von (IP-) Paketen und Wegewahl - IP-Adressen: - IP Version4: 32 Bit lang, Dezimalnotation in vier Blöcken: IP Version6: 128 Bit lang, Hexadezimalnotation mit Doppelpunkt 2001:0db8:85a3:08d3:1319:8a2e:0370:7344 Transmission Control Protocol (TCP): - Zuverlässige Ende-zu-Ende Verbindung - Ports: - 16 Bit lang, Dezimalnotation; z.b Adressiert Anwendungsdienst, z.b. 80 = HTTP (Webserver), 22 = ssh Leibniz-Rechenzentrum 35

36 TCP/IP-Protokolle IPv4-Adressen IPv4-Adressen bestehen aus einer 32 Bit langen Zahl (4,3 Mrd Adressen). Darstellung: 4 Bytes (zu je 8 Bit, 0 bis 255). Bytes werden dezimal notiert und durch Punkte getrennt (a.b.c.d). Beispiel : ! Einteilung in - Netzadresse und Rechneradresse - Netzmaske bestimmt Bereich der Netzadresse Netzmaske - Beispiel oder /24 - /24 die ersten 24 Bits sind fest und gehören zum Netz (CIDR) - CIDR = Classless Inter-Domain Routing - /24 ~ typ. Institutsnetze, 254 Adressen - /30 ~ Transportnetz, zwei Adressen - /32 ~ Hostmaske, eine Adresse

37 TCP/IP-Protokolle IPv4-Adressen - Werkzeuge ipcalc als cli oder im Web: bash-3.2$ ipcalc Address: Netmask: = Wildcard: => Network: / HostMin: HostMax: Broadcast: Hosts/Net: 254 Class B Leibniz-Rechenzentrum 37

38 IPv4 Classless Interdomain Routing IP-Adressen Bits Prefix Subnetzmaske Class C / Class B 16 K 16 / Class A 16 M 24 / Appendices/CIDR-Chart-IPv4.pdf Leibniz-Rechenzentrum 38

39 TCP/IP-Protokolle Im MWN verwendete öffentliche feste IP-Adressen Im MWN werden u.a. verwendet /16 TUM, LMU, BADW, LRZ /16 Campus Weihenstephan /16 LMU, LRZ /20 (bis ) Hochschule-München /16 TU-Informatik /16 Forschungsnetz der LMU-Kliniken /18 (bis ) Klinikum Rechts der Isar /24 Rechnergestütztes Entwerfen /24 Beschleuniger-Labor /24 LS für Integrierte Schaltungen /24 Rechnergestütztes Entwerfen /21 (bis ) Klinikum Rechts der Isar - Blaue Netze werden nicht über M-net geroutet (bei Ausfall des X-WiN Zugangs)

40 TCP/IP-Protokolle IPv4-Adressen privat und dynamisch Private Networks nach RFC kein Routing, keine Verbindung ins Internet, kein Angriff von außen /8 (bis ) /12 (bis ) /16 (bis ) Private IP-Adressen im MWN - Zuteilung durch LRZ, Routing im MWN, kein Angriff aus dem Internet /16, /16 priv. Subnetze für die TUM /16, /16 priv. Subnetze für die LMU /16 priv. Subnetze für die HSWT /16 priv. Subnetze für sonst. Einrichtungen Dynamisch vergebene IP-Adressen - Wählzugang, VPN, Funk-Zugang - DHCP (dynamic host configuration protocol) NAT (Network Address Translation) 1-privat zu 1-öffentlich PAT (Port and Address Translation) n-privat zu 1-öffentlich, n TCP-Port 40

41 IPv6 das Protokoll Nachfolger von IP(v4) - spezifiziert 1995 (RFC 1883) - Experimentalnetz 6Bone (Tunnel zwischen Labs) - Produktivadressen werden vergeben seit Nach Projektion von 2009 seien 2012 keine IPv4-Adressen mehr verfügbar - Wissenschaftsnetze in Asien nur noch in IPv6 Unterschiede - größerer Adressraum (32 bit bit) à 2001:4ca0:0:f000:211:43ff:fe7e:3a7 Hexadezimaldarstellung - strukturiertere Adressvergabe, - keine private IPv6-Adressen, - kein NAT, daher Ende zu Ende Konnektivität IPv4 und IPv6 parallel auf Routern und Hosts, kein harter Umschalttermin 41

42 IPv6 im MWN LRZ RIPE-Mitglied und eigene Allocation (2001:4CA0::/32) seit Mai 2005, dadurch Nutzung der Backup-Anbindung zu M-net möglich Alle Backbonerouter (MWN)-Standorte sind voll IPv6-fähig Dienste mit IPv6: DNS, Webserver, NTP, WLAN (802.1x), Radiostream (M94.5), Google, Wikipedia,... wird laufend ausgebaut Entwicklung von IPv6 im MWN: IPv6 Endgeräte

43 IPv6 im MWN - wie? Adressen: Ausfüllen eines Formulars auf den Webseiten des LRZ durch einen Netzverantwortlichen ( Zuweisung eines /48 Subnetzes (2 16 = Subnetze a 2 64 Adressen) Anbindung: natives Ethernet im Bereich der Backbone-Router IPv6-over-IPv4-Tunnel bei SDSL, sonstigen nicht-ipv6-fähigen Geräten im Pfad (Firewalls) Für einzelne Clients existieren auch automatische Tunnelmechanismen (6to4, ISATAP, Teredo), siehe Webseite Weitere Informationen: 43

44 IPv6 im MWN - Strukturierung Aufteilung nach Universitäten/Hochschulen 2001:4ca0:0000::/36 LRZ 2001:4ca0:1000::/36 LRZ 2001:4ca0:2000::/36 TUM 2001:4ca0:3000::/36 TUM 2001:4ca0:4000::/36 LMU 2001:4ca0:5000::/36 LMU 2001:4ca0:6000::/36 HM 2001:4ca0:7000::/36 HSWT Leibniz-Rechenzentrum 44

45 IPv6 und IPv4 Client mit Windows 7, 8, Linux oder Mac OS X Zwei getrennte Protokollwelten Paralleler Protokoll-Stack

46 IPv6 im MWN Vollständiges natives IPv6-Rollout im Backbone seit gleiche Hardware, gleiche Verfügbarkeit, gleiche Geschwindigkeit IPv6 in verschlüsseltem WLAN (eduroam) Alle Netze mit offiziellen Adressen, alle privaten hinter Firewalls (außer bei Widerspruch, insgesamt 837 Netze) LRZ-Dienste fast alle IPv6-fähig 46

47 IPv6 - Anbindung Default-Konfiguration: - RA/SLAAC (automatische Adressvergabe) - Stateless DHCPv6 mit DNS-Informationen (wo möglich) - Sicherheitspolicy wird durch IPv4 bestimmt - Öffentliches IPv4-Netz: IPv6 global erreichbar - Virtuelle Firewall: Verbindungen von außen geblockt - Privates IPv4-Netz: Über Secomat, nur ausgehende Verbindungen (geplant) Einfache An/Abschaltung per Firefox Addon ToggleV6 47

48 IPv6 - Adressierung Adressen bestehen wie bei IPv4 aus einem Prefix (Subnetz) und einem Hostteil: :4ca0:0000:0103:0000:0080:0002: :4ca0::103:0:80:2:2 Für die Vergabe des Hostteils gibt es verschiedene Methoden - Statisch - Router Advertisement (RA), Stateless Address Autoconfiguration (SLAAC) - Privacy Extensions - Stateless DHCPv6 - Stateful DHCPv6 (kaum Clients) 48

49 IPv6 - Sicherheit Ungezielte Scans ganzer Subnetze nicht mehr möglich - bei bekannter Adresse eines Zielhosts (DNS, Verkehr nach außen) aber weiterhin angreifbar (Exploits etc) keine privaten IP-Adressen, kein NAT mehr - alle IPv6-Netze haben globale Adressen Sicherheit über - Hostfirewalls - Netzfirewalls (virtuelle Firewall) - nicht-reflexive Routerfilter - Kein TCP-SYN (aus dem Internet) - Secomat-Erweiterung in Vorbereitung 49

50 IPv4 Adressraum Typischer IPv4 Adressraum im Subnetz: / Adressen nutzbar (2 8-2) Engpässe je nach Größe der Einrichtung und Anzahl der verwendeten Geräte Adresskonflikte möglich Im Bild: Eine IP-Adresse entspricht einem Platz in der U-Bahn in einem Doppeltriebwagen der U-Bahn mit ca. 250 Plätzen Leibniz-Rechenzentrum 50

51 IPv6-Adressraum Typischer IPv6 Adressraum im Subnetz: /64 1,8 x Adressen Nutzbar Keine Engpässe Im Bild: Eine IP-Adresse entspricht einem 5mm x 5mm Kästchen eines Schreibblocks im Verhältnis zur gesamten Oberfläche der Erde Leibniz-Rechenzentrum 51

52 IP-Adressverwaltung Neuen Adressbereich anfordern: Servicedesk oder am Verwalten z.b. mit Tabellenkalkulation (Excel, Calc) Besonders wichtig: IP-Adresse, MAC-Adresse, Raum, Ansprechpartner

53 Zuordnung Adressen IPv4/IPv6 Drei unabhängige Namens- bzw. Adressräume Internet-Namen (Schicht 4) / Zuweisung durch NV (Webdns) /DHCP DNS (Domain-Name-System) IPv4/v6-Adresse (Schicht 3) / Zuweisung durch NV, DHCP, SLAAC+RA IPv4: ARP (Address Resolution Protocol), IPv6: NDP via ICMPv6 Ethernet-Adresse (MAC) (Schicht 2) /quasi fest

54 Übersicht Motivation Schnittstelle des Netzverantwortlichen zum LRZ Aufgaben des Netzverantwortlichen aus der Sicht des LRZ Kabelgebundener Zugang zum MWN Verbindungskomponenten Theorie Netzdienste im MWN WLAN Zugangsmöglichkeiten Werkzeuge für Netzverantwortliche

55 Netzdienste vom LRZ für Netzverantwortliche DHCP: Zentrale IP-Konfiguration von Rechnern im MWN DNS: der DNS-Verbund im MWN eigene Domains: Verwendung eigener Domainnamen WWW: Webserver am LRZ NAT-und Sicherheits-Gateway: IP-Adressumsetzung (PAT) als Ersatz für Proxyserver Leibniz-Rechenzentrum 55

56 DHCP DHCP = dynamic host configuration protocol - Bezug von IP-Adresse, Netzmaske, Gateway, DNS-Server - Manuelle Konfiguration der Parameter im Client entfällt - Mobile Geräte müssen nicht umkonfiguriert werden - Nutzungsdauer der IP-Adresse einstellbar (z.b. 1 h bis 30 Tage) - Öffentliche oder private IP-Adressen - Nur ein DHCP-Server pro Subnetz - Dynamisches DNS möglich DHCP-Service des LRZ - Nutzung durch mehr als 60 Institutionen - Servicedesk -> Netzdienste für Institutionen -> DHCP oder an dhcpadmin@lrz.de - Teil der Dokumentation beim LRZ, abrufbar über Nessi

57 DHCP Server im MWN Zentraler DHCP-Dienst für das MWN (bis auf HM, Med, TUM-MI) Dienste laufen auf den 4 DNS- Servern Ein DHCP-Server Paar für - CUP Martinsried (I1) - LMU Innenstadt (G1) - LRZ, TUM in Garching (W1,W2) - TUM Innenstadt (B1, B2) - Weihenstephan (Q1) Neu: Pilotbetrieb einer Schnittstelle für Netzverantwortliche zum Definieren statischer Einträge 57

58 DHCP Auswahl bei der Konfiguration des Clients

59 DNS- Domain Name System Verteilte Datenbank im Internet DNS Namensraum Die Daten im DNS: Resource Records Nameserver Leibniz-Rechenzentrum 59

60 DNS Namensraum nv2014.test.lrz.de de lrz test nv Leibniz-Rechenzentrum 60

61 DNS Resource Records Typ Bedeutung Daten SOA Start of Authority Zonendaten A IPv4-Adresse eines Hosts 32-Bit, A.B.C.D AAAA IPv6-Adresse eines Hosts 128-Bit, 2001:4ca0::103:0:80:2:2 MX Mail-Exchange Priorität, Mailserver CNAME Canonical Name Alias-Adresse PTR Pointer IP -> FQDN SRV Service Record Angebotener Dienst NS Name Server Nameserver Adresse Leibniz-Rechenzentrum 61

62 DNS Resource Records - Beispiele lrz.de IN SOA dns1.lrz.de. hostmaster.lrz.de lrz.de IN NS dns1.lrz.de. lrz.de IN NS dns2.lrz.de. lrz.de IN NS dns3.lrz.de. lrz.de IN NS deneb.dfn.de. lrz.de IN MX 100 postrelay1.lrz.de. lrz.de IN MX 100 postrelay2.lrz.de. _sip._udp.lrz.de IN SRV pbx.voip.lrz.de IN CNAME dns1.lrz.de IN A dns1.lrz.de IN AAAA 2001:4ca0:0:100:0:53:1: Leibniz-Rechenzentrum 62

63 DNS Nameserverhierarchie $ dig +trace AAAA ; <<>> DiG P1 <<>> +trace AAAA ;; global options: +cmd! IN NS h.root-servers.net.! IN NS a.root-servers.net.! IN NS k.root-servers.net.! IN NS d.root-servers.net.! IN NS f.root-servers.net.! IN NS j.root-servers.net.! IN NS b.root-servers.net.! IN NS l.root-servers.net.! IN NS c.root-servers.net.! IN NS m.root-servers.net.! IN NS g.root-servers.net.! IN NS i.root-servers.net.! IN NS e.root-servers.net.! ;; Received 228 bytes from #53( ) in 55 ms!! de IN NS a.nic.de.! de IN NS f.nic.de.! de IN NS l.de.net.! de IN NS n.de.net.! de IN NS s.de.net.! de IN NS z.nic.de.! ;; Received 354 bytes from 2001:7fd::1#53(k.root-servers.net) in 45 ms!! lrz.de IN NS dns1.lrz.de.! lrz.de IN NS dns2.lrz.de.! lrz.de IN NS dns3.lrz.de.! lrz.de IN NS deneb.dfn.de.! ;; Received 269 bytes from #53(z.nic.de) in 74 ms!! IN AAAA 2001:4ca0::119:0:500:1:80! nv2014.test.lrz.de IN NS dns1.lrz.de.! nv2014.test.lrz.de IN NS dns2.lrz.de.! nv2014.test.lrz.de IN NS dns3.lrz.de.! ;; Received 257 bytes from #53(dns2.lrz.de) in 48 ms! Root-Nameserver der Zone. Nameserver der Zone de. Nameserver der Zone lrz.de. NS der Zone nv2014.test.lrz.de Leibniz-Rechenzentrum 63