Propuesta Instalación de red inalámbrica en DI

Transcripción

1 Propuesta Instalación de red inalámbrica en DI José M.Herrera M. Rodrigo Araya Valparaíso, 24 de noviembre de 2004 Resumen La globalización de las comunicaciones inalámbricas ha permitido el desarrollo de nuevos estándares y productos que un futuro cercano brindarán un vuelco a las actividades cotidianas otorgando movilidad. El departamento de informática no puede estar ajeno a ello. 1. Introducción En la actualidad, el Departamento de Informática cuenta con una red cableada que cubre todas sus dependencias. Sin embargo, las redes inalámbricas están tomado fuerzas y el Departamento no puede estar ajeno a ello. En el primer informe conceptual fue posible dar a conocer conceptos importantes para tener en cuenta, tales como la movilidad, seguridad y disponibilidad. Por lo tanto, basándose en esos estudios y de una forma más concreta, se procederá a explicar la configuración física y lógica para la instalación de la red inalámbrica. En el presente informe se presentará una propuesta de instalación y configuración de una red inalámbrica que cubra todo el Departamento de Informática. Además, se incluirá un acercamiento a los costos del equipamiento necesario para la instalación. 2. Aspectos importantes a considerar En la actualidad las redes inalámbricas estan tomando bastante fuerza en las organizaciones. Tanto la instalación física como la instalación lógica son bastante complejas, ya que entran conceptos importantes como la seguridad, privacidad, segmentación de la red, emplear cortafuego independiente de la red cableada, entre otras cosas. En el informe anterior (conceptual) se realizó el estudio de dos propuestas dando a conocer las ventajas y desventajas de cada una de ellas. Luego se conluyó cual era mejor y en el presente informe la desarrollaremos.

2 Se consideraron diversos criterios importantes, tales como movilidad, seguridad, privacidad, accesibilidad, entre otros. En el caso de la movilidad es clave en el diseño ya que es la idea principal de las redes inalámbricas. Es decir, desde cualquier lugar (dentro de informática) conectarse a la red. 3. Configuración Wireless 3.1. Distribución física En el Departamento de Informática (Casa Central, UTFSM) se han identificado 4 pisos, o bien 4 zonas, para efectos de la instalación de la red inalámbrica. Para cubrir la totalidad de estas zonas, con una red inalámbrica, es necesario distribuir los equipos Acces Point, dentro de éstas zonas, en base a mediciones previamente realizadas en terreno. Luego se puede obtener una aproximación de la distribución de los equipos, como se muestra en la figura 1. Figura 1: Configuración física. En la siguiente tabla (tabla 1) se desarrolla explicativamente la ubicación física de cada Access Point. Todos los access point serán ubicados en el techo (cielo raso) de los lugares en cuestión, y se colocarán dentro de estructuras rígidas, previniendo eventuales hurtos, desconexiones o daños. Ver la siguiente sección Ubicación física de los access point Para establecer una configuración física segura de cada access point, estos se colocarán en unas estructuras rígidas previniendo eventuales problemas comentados en la sección anterior. Cada access point deberá estar dentro de una caja de acrílico que estará atornillada en ángulo recto del techo y la pared según la ubicación previamente establecida. Estará cerrada y sólo será posible sacar el access point o abrir la caja mediante una llave que será administrada por el jefe de recursos técnicos 2

3 Access Point Descripción física del lugar de instalación Subterraneo (Piso 0) Inf-AP Hall de entrada, sala de Servidores Inf-AP Hall de entrada, Laboratorio de Computación Inf-AP Laboratorio de Computación a la altura del Proyector. 1er Piso Inf-AP Sala F-106, Inf-AP Dentro de la secretaria del Departamento de Informática. Inf-AP En el pasillo, fuera del laboratorio de Sist. Distribuidos. Inf-AP Final del Pasillo, fuera de la sala de ADECCA 2o Piso Inf-AP Al comienzo del pasillo, a la altura de la oficina F-228 Inf-AP Final del Pasillo, fuera del laboratorio de Sist. de Gestión. 3er Piso Inf-AP Al comienzo del Pasillo, sobre el rack. Inf-AP Secretaría de postgrado del Departamento de Informática. Tabla 1: Distribución física de los Access Point. del departamento. La tapa de la caja se encuentra en la parte inferior, donde está la chapa. Además, esta caja tendrá seis agujeros; dos para la salida de las antenas del access point, una para la entrada del cable de red y corriente, uno grande que será el visor de estado (luces) del access point y dos en la tapa inferior para la salida de las antenas. En la figura 2 se puede observar una vista de frente de la caja. Figura 2: Caja de seguridad para los access point, vista del frente. Dado que la estructura (caja) irá puesta en el techo, será necesario, para una mayor cobertura, orientar las antenas del access point hacia abajo. Por lo tanto, dada esta configuración, el access point deberá estar invertido y afirmado a la tapa superior de la caja (los equipos traen un soporte especial para realizar esta configuración). En la figura 3 se puede apreciar una vista en diagonal invertida de la caja 3

4 con la tapa. Se hizo invertida para poder apreciar la tapa y la configuración que tendrá la caja desde esa perspectiva. Se muestra la ubicación de la chapa, y los agujeros. Figura 3: Caja de seguridad para los access point, vista diagonal e invertida. Además, junto a la caja existirá un informativo acerca de como funciona la red inalámbrica del Departamento, las políticas y los procedimientos necesarios para conseguir una conexión de este tipo Distribución física de los switch y diagrama de conexión Los 4 switch (uno por cada piso) que se utilizarán serán ubicados de la siguiente forma: Piso Características del Switch Lugar de instalación 0 Switch 10/100 de 12 bocas Rack de la Sala de Servidores 1 Switch 10/100 de 8 bocas Rack de Secretaría de Informática 2 Switch 10/100 de 8 bocas Rack del Laboratorio de Software 3 Switch 10/100 de 8 bocas Rack del Pasillo Tabla 2: Distribución física de los Switch. En el caso de los pisos 2 y 3, la totalidad de los Acces Point se conectan a su respectivos switch. Por su parte en el piso 1, todos los Access Point menos el que se necuentra en la sala F-106 se conectan al switch que está en secretaria. El Acces Point de la Sala F-106 se conecta directamente al switch del Piso 0. Esto último se debe a que existe una conexion desde la sala F-106 hacia el 4

5 subterraneo. Los Acces Point del piso 0 se conectan al switch que se encuentra en dicho piso, asi como también los switch de los demás pisos (1,2 y 3). En la figura 4 se encuentra explicado de mejor manera. Piso 3 Piso 2 Piso 1 Piso 0 Figura 4:. De esta forma se logra un alto grado de escalabilidad, dando la posibilidad de conexión a nuevos Access Point (para mayor cobertura, o bien para atender más clientes), o a futuras alas, a las que se expanda el Departamento de Informática. De manera que si existe la expansión del Departamento de Informática hacia una nueva ala, basta con conectar los Access Point de esta nueva ala, a su switch, y luego este último al switch central. Con este esquema en ningún caso, una conexión entre un cliente y el servidor central implica saltos mayores a dos switch Consideraciones del Cableado Para realizar la conectividad de la red inalámbrica propuesta y según el esquema mostrado en el punto anterior, es necesario realizar un cableado independiente para los Acces Point. Para ello se estima que se debe cablear a lo largo de los pasillos por los cuales serán dispuestos los Access Point. Además se debe considerar que paralelamente a este cableado se debe incorporar una red de energia electrica, para enchufar los Access Point. Esta conexión puede provenir perfectamente desde el lugar donde esta conectado el switch, de esta manera se pueden implementar en algun futuro, reguladores de voltage para todo el sistema inalámbrico o bién unidades UPS para prevenir cortes involuntarios. Según lo anterior se debe estimar la cantidad de cableado necesario para la conexión de los equipos. Se debe considerar además que en la ubicación de cada Access Point se debe instalar un enchufe. Por ello se requiere de 11 cajas de enchufes (una por cada AP). Se considera además que los switch serán instalados en racks ya existentes en los pisos del departamento (servidores, secretaria informática, laboratorio de 5

6 Access Point Cable de red Cable electrico Canaleta plastica Subterraneo (Piso 0) Inf-AP m 10m 5m Inf-AP m 20m 10m Inf-AP m 20m 20m 1er Piso Inf-AP m 30m 5m Inf-AP m 10m 10m Inf-AP m 25m 25m Inf-AP m 15m 15m 2o Piso Inf-AP m 15m 15m Inf-AP m 20m 20m 3er Piso Inf-AP m - 5m Inf-AP m 25m 25m Switch s Piso Piso 1 10m - - Piso 2 20m - - Piso 3 30m - - Totales 315m 190m 155m Tabla 3: Cantidad de Cableado estimado para la conexión de los AP s. 6

7 software y pasillo del 3er piso), por lo que no es necesario considerar enchufes adicionales para estos Configuración lógica En la distribución lógica entran en juego varios aspectos, entre ellos está el tema de la seguridad. Para ello se han estudiado diversos mecanismos para afrontar este tema. En la red inalámbrica que se está implementando, se establece como política de seguridad, que ningún individuo podrá conectarse a la red inalámbrica sin ser previamente identificado. Por lo tanto, es necesario establecer un mecanismo de registro de usuarios. El registro las direcciones IPs que se han asignado (ver sección 4.1) se mantiene en el servidor central y cada computador que quiera usar la red wireless del departamento deberá registrar la dirección MAC de su adaptador inalámbrico en el servidor, de tal manera de asignar una IP conocida a cada usuario. Esto tiene por finalidad lograr la identificación de los usuarios que se conectan a la red y que no existan usuarios anónimos con IPs dinámicas. Un mecanismo de este tipo implica beneficios tales como movilidad, la que será posible dado que la asignación de IPs será obtenida mediante un servidor DHCP y será fija para cada equipo (ver sección 4.1). La idea de una IP fija se fundamenta con fin de identificar al usuario que se está conectando al sistema. Con este diseño será posible además ver a los otros equipos que esten conectados a la red inalámbrica. La implementación es simple, requerirá de algunos equipos adicionales que se pueden apreciar en la sección 3.1 donde se dá una explicación de la distribución física Definición de nombres La Red Inalámbrica del Departamento de Informática requiere de una configuración estándar, la cual sea posible de realizar por cada usuario que desee tener acceso a ésta. Como en toda red inalámbrica es necesario definir un identificador; en el caso de la red para el DI se propone informatica. Como se dijo en el punto anterior, se configurará una sola red inalámbrica que cubrirá la totalidad del Departamento, utilizando el mismo ESSID para todos los Access Point, y compartiendo un servidor central en común. La configuración de los Access Point requiere de una estandarización, logrando de esta manera mayor facilidad en cuanto a la mantención y administración de los equipos. Aspectos de configuración y estandarización: El nombre de los Access Point es relativo a su ubicación física, por lo que se propone la siguiente nomenclatura: inf-ap-<piso>-<número> 7

8 Por ejemplo, inf-ap hará referencia al tercer Access Point ubicado en el primer piso de informática. Las direcciones IP que se asignarán a los Access Point corresponden a la red con la máscara De esta forma no se malgastan direcciones IP de la red inalámbrica de los clientes, en los Access Point; por lo demás estas direcciones sólo se utilizarán ocasionalmente para la configuración de los Access Point. Los canales que se utilizarán son: 1, 5, 8, 11. La asignación de estos canales se realiza en base a la ubicación de los Access Point. La idea es no tener dos áreas contiguas con canales cercanos, para evitar interferencia en la transmición de clientes cercanos. La asignación propuesta de canales se puede ver en la figura 1. Las direcciones IP que serán asignadas a los clientes inalámbricos pertenecen al rango Estas direcciones son asignadas por el servidor DHCP de la red. Para los servicios de la red se ha reservado el rango de IP s El Gateway, Firewall y servidor DHCP de la red se encuentra en la dirección Configuración de la red En la tabla 4 se puede apreciar un resumen de configuración de la red inalámbrica. Item Valor de Configuración Modo de Access point AP normal ESSID informatica IP Gateway Rango de IP s Servicios Rango de IP s Access Points Rango de IP s Clientes Tabla 4: Resumen de configuración Red inalámrica DI. 4. Administración y políticas de uso Luego de la configuración de la red inalámbrica es necesario definir los servicios que se prestarán a los clientes de esta red. Para efectos de la red en cuestión, sólo se proveerá el servicio de DHCP y de filtrado de paquetes (seguridad). Ningún otro, para no comprometer la seguridad de la red inalámbrica. 8

9 El servidor DHCP se encargará de dar acceso, a la red inalámbrica, sólo a los equipos autorizados. Si bien esta medida de seguridad no es lo suficientemente robusta, es razonable para un uso del tipo público en el departamento. Con esta medida, no se asegura con certeza quién y desde donde está conectado el usuario, por lo que es necesario restringir aún mas los privilegios. Por esto último, la configuración del Firewall de la red inalámbrica será similar a la existente para los demás segmentos del Departamento, adicionando las reglas necesarias para que sólo se pueda salir por los puerto de real necesidad. Con esto se previene a que internamente desde el Departamento (desde alguna estación movil desconocida) se esté atacando alguna maquina externa al Departamento. Los puertos que se habilitarán se muestran en la tabla 5. Cabe mencionar que esto es en principio, dado que a futuro se podría evaluar la habilitación de otros puertos, según sea la necesidad. Puerto Servicio 20 Datos Ftp 21 Ftp 22 SSH 25 SMTP 53 Peticiones DNS 80 Web 110 POP3 143 IMAP Tabla 5: Resumen de configuración de la Red inalámbrica. Para el funcionamiento de la red inalámbrica es necesario definir políticas de uso. Los usuarios que deseen tener acceso a la red inalámbrica, deben registrarse previamente. Para ello deberán inscribir su nombre completo, y la dirección MAC del adaptador inalámbrico que utilizarán. Con esta inscripción, se otorgará una dirección IP fija al cliente, y se le asignará una fecha de expiración, de manera que la lista se mantenga en constante actualización, llevando un control de los clientes actualmente autorizados. No existe protección entre los usuarios de la red inalambrica, por lo que deben estar conscientes de esta falencia, tomando las medidas de seguridad para el caso. No existe confidencialidad en el sentido de que los datos que viajan por la red inalámbrica pueden ser facilmente interceptados y leidos. Se debe tener conciencia en cuanto a la vulnerabilidad de los datos que se transferirán Consideraciones especiales en el firewall Actualmente, el firewall de informatica cuenta con las siguientes características de hardware y software: 9

10 Pentium II 300 Mhz, 128 MB. Linux Fedora Core 2 (proximamente a Fedora Core 3). 7 interfaces de red de las cuales 3 están disponibles. Al establecer la configuración inalámbrica será necesario disponer de una interfaz de red adicional que atienda las peticiones por DHCP. Por lo tanto, se deberá especificar que dicha interfaz atienda y asigne direcciones IP. Dado estos cambios, el trabajo del actual firewall se incrementará, por lo tanto, como recomendación se podría efectuar una actualización de la máquina tanto en CPU como memoria. La revisión de las reglas requiere procesador y memoria, y de acuerdo a la propuesta aumentará la congestión notablemente. En cuanto al funcionamiento del cortafuegos, como se planteó en la sección, existirán reglas adicionales para la interfaz inalámbrica. Será mucho más restrictiva que la red cableada para proteger la red del Departamento. 5. Consideraciones finales De acuerdo a lo presentado es posible darse cuenta que la instalación de la red inalámbrica no pasa por un problema de complejidad. Los espacios físicos pueden llegar a ser un claro problema dada la densidad de la construcción que actualmente existe. Es por ello que fue necesario emplear en el primer piso y en el subterráneo, tres access point. Por otro lado, es posible hacer un acoplamiento de lo existente de tal manera de no perder las actuales instalaciones. En cuanto a los laboratorios, aún es recomendable seguir con la red cableada. La red inalámbrica será netamente para conexiones de computadores móviles, o eventualmente, algún dispositivo (pda, celular, etc.). El firewall deberá poseer una interfaz 1 más, aparte de las cuatro ya existentes de tal manera de poder enrutar los paquetes de entrada y salida en la red inalámbrica. Además, las reglas de filtrado existentes para la red cableada deberán acoplarse a la red inalámbrica. Incluso, para una mayor protección, debieran existir más restricciones de acceso que los otros segmentos. Esta discución se plantéa en la sección 4.1. A modo de resumen, a continuación se muestra un resumen que se puede obtener del estudio realizado tomando en cuenta las ventajas y desventajas que se presentan en la solución propuesta: Las ventajas son: Un computador conectado inalámbricamente en el departamento puede ver sin problemas a otro de la red. La propuesta integra escalabilidad, ya que es fácilmente extendible en caso de aumentar las dependencias del departamento. 1 En la actualidad el firewall posee tres interfaces sin uso. 10

11 Tener un listado de las MAC address de todos los dispositivos implica que cada usuario podrá ser identificado en la red, por lo tanto, existirá un control de los usuarios que pueden conectarse a la red inalámbrica. Existe el concepto de movilidad que permitirá estar en cualquier lugar del departamento con el mismo número IP. Las desventajas son: En caso de un corte de luz, no se encontrará disponible la red inalámbrica debido a que los dispositivos funcionan a corriente eléctrica. Para solucionar este problema habría que disponer de UPSs. Esto tiene un costo bastante alto y se debiera considerar en caso que los costos sean razonables. La carga del firewall del departamento aumentaría su carga. Este aumento tampoco sería excesivo, sino que hay que ponerse en el peor caso cuando la red inalámbrica sea ampliamente utilizada. Si eso sucede quizás será necesario adquirir otro firewall que soporte dicha carga. En la implementación mostrada se toman aspectos de seguridad, sin embargo, no existe ningún mecanismo de encriptación para la tranferencia de datos. El sistema WEP utilizado para las redes inalámbricas no es robusto. El tema de la interferencia siempre estará presente, pero es bueno mencionarlo. Se tomaron las mejores medidas para evitar la interferencia como dejar canales opuestos en dos Access Point seguidos. El ancho de banda disminuye respecto a la red cableada. Bueno, esto es lógico ya que los equipos en estudio no tienen una velocidad de transmisión alta. Dentro de la red wireless no existen mecanismos de seguridad. 6. Costos aproximados Estos costos fueron obtenidos de la empresa de articulos computacionales Los precios son razonables y están en la media en comparación a otras empresas. El tiempo necesario para esta instalación es de aproximadamente dos semanas. La mano de obra tiene que ver con la instalación de toda la implementación de la red, esto es, cableado, canaletas, cajas para los Access Point, entre otras cosas. Ojalá por alguna entidad especializada. En el caso de las cajas, también sería conveniente que la elaboración e instalación sea por alguna entidad especializada. 11

12 # Artículo Precio Total Unitario 11 Access Point $ $ Switch dlink 8 puertas Ethernet/Fast Ethernet $ $ Switch dlink 16 puertas Ethernet/Fast Ethernet $ $ Cajas $ $ cable de red $ 200 $ cable electrico $ 200 $ canaletas 0 otros (tornillos, materiales varios) 0 1 Mano de obra $ $ Total: $ Tabla 6: Costos de los artículos a usar en la implementación. 7. Aspectos a considerar a futuro Dados los variados temas de seguridad, conectividad, privacidad, entre otros, que existen en las redes inalámbrica, se han dejado varios temas en carpeta de tal manera de perfeccionar la red inalámbrica del departamento con el pasar del tiempo. El Roaming tiene que ver con la movilidad, y consiste en lograr establecer una transparencia en la conexión entre diversos Access Point al momento de moverse por el departamento. Lamentablemente no se logró hacer roaming con ningún dispositivo, por lo tanto, un trabajo futuro será investigar acerca de este tema con el fin de establecer una movilidad en conectividad 100% transparente para el usuario. En la actualidad sólo un segmento de la red del departamento monta las cuentas de alumnos y profesores, al resto por seguridad, no se hace. Una opción es la implementación de CODA, que es un sistema de archivos distribuídos. Es posible trabajar en modo desconectado, tiene un alto rendimiento, tiene autenticación y encriptación en las conexiones, y es escalable. Finalmente, a modo de comentario, podría ser factible la implementación de 802.1x (EAP) que es más segura que las anteriores. Tiene un mecanismo de autenticación con el servidor (RADIUS) y es posible que el servidor establezca un conversación cifrada durante la conexión. Estudios 2 dicen que el conjunto WPA y 802-1x está reemplazando a WEP, incrementando el nivel de protección de los datos y de control en sistemas inalámbricos. Por lo tanto, se deja planteado el tema para un estudio a futuro para elevar la seguridad de los datos en la red del Departamento de Informática. JoTa/RaRaYa/ L A TEX2ε 2 Ver 12