RED DE EDUCACION DEL GOBIERNO VASCO GVEDDT

Transcripción

1 RED DE EDUCACION DEL GOBIERNO VASCO GVEDDT Diciembre 2012

2 Índice RED DE EDUCACIÓN. WAN Diseño global Diseño provincial Equipamiento WAN en los centros Tipos de centro Con acceso Euskaltel Con acceso TESA Direccionamiento IP Provincial Araba Bizakaia Gipuzkoa Seguridad Acceso a Internet Restricciones RED DE EDUCACIÓN. LAN Equipamiento Diseño Estándar Tipos de Centro. Nivel 2 y 3 Direccionamiento IP / Listas de Acceso Asignación de puertos Esquema. Ejemplo 1

3 RED DE EDUCACIÓN. WAN 2

4 Diseño Global 3

5 Diseño Provincial 4

6 Equipamiento WAN en los centros. Juniper SRX Juniper SRX Tiempo de arranque entre 8-10 minutos LEDs: Power: Verde, el equipo tiene corriente Status: Verde, el equipo funciona correctamente Alarm: Ámbar, rescue configuration not set Juniper SRX210 Interfaces: Fe0/0/2 -> LAN Fe0/0/3 - > WAN Juniper SRX240 Interfaces: Ge-0/0/0 -> LAN Ge-0/0/1 -> WAN 5

7 Tipos de Centro. Con acceso Euskaltel La conectividad la da Euskaltel (único proveedor) Router Euskaltel (SRX): se encarga del routing y seguridad Switches de Educación, funciones de switching y routing (los de capa 3) 6

8 Tipos de centros. Con acceso TESA Conectividad la da Telefónica, además instalan un router Teldat. Euskaltel provee la seguridad. Router Telefónica (Teldat): Conectividad hacia la red de telefónica Router Euskaltel (SRX): se encarga del routing y firewall Switches de Educación, funciones de switching y routing (los de capa 3) 7

9 Direccionamiento IP provincial. Araba EJIE: SRX - EJIE /28 SRX - EUSKALTEL /30 SRX - TESA /28 IC INFOBLOX LAKUA: SRX - EJIE /28 SRX - EUSKALTEL /30 TSRX - ESA /28 IC

10 Direccionamiento IP provincial. Bizkaia GRAN VIA: SRX - EJIE /28 SRX - EUSKALTEL /30 SRX - TESA /28 GENERAL CONCHA: SRX - EJIE /28 SRX - EUSKALTEL /30 SRX - TESA /28 EUSKALTEL 226 SRX EKT IC IC INFOBLOX GRIDMASTER

11 Direccionamiento IP provincial. Gipuzkoa HABE: SRX - EJIE /28 SRX - EUSKALTEL /30 SRX - TESA /28 IC ANDIA: SRX - EJIE /28 SRX - EUSKALTEL /30 SRX - TESA /28 IC INFOBLOX

12 Seguridad. Acceso a Internet. Odyssey Acceso directo a internet. El cliente oddyssey se ejecuta y se valida con el usuario de dominio introducido. El estado correcto es cuando el icono del programa esta en color azul en la barra de tareas. Seguridad. Acceso a Internet. Portal Cautivo Acceso a internet mediante validación de usuario (directorio activo) en Portal cautivo. Existe usuario invitado para usuarios sin validación en AD. 11

13 Seguridad. Restricciones Es necesario que se validen tanto el SRX de cada centro como los usuarios del mismo. Los usuarios se validan mediante una consulta LDAP del IC al AD de cada centro Usuarios Patrón estándar ir<<cod_centro>> ik<<cod_centro>> ad<<cod_centro>> Necesaria obligatoriamente password Se aplica en las Vlans: Administración Educa Wi-Fi Por eso en el servidor está en rojo (Vlan 3, Común, sin seguridad de usuario) Reglas/Restricciones Limitación de acceso entre Vlans. (Educa+Wifi hacia/desde Admin) No se pueden configurar impresoras locales en red, que no sean en la VLAN 3. En centros con varios edificios está permitido el acceso directo entre ellos. Entre el resto de centros no. 12

14 RED DE EDUCACIÓN. LAN 13

15 Equipamiento de Red LAN Routers: Su principal misión es conectar las redes LAN de los centros con las redes de los operadores (TESA/EKT), que son las que va a otorgar conectividad a los diferentes recursos del departamento, principalmente Internet. Switchs: Un conmutador o switch Dentro de los conmutadores existentes en los centros educativos, los hay de capa 2 y de capa 3. La diferencia fundamental entre unos y otros estriba en el número de niveles OSI que son capaces de procesar. Controlador WIFI: Los controladores WIFI utilizados en el servicio constan de dos engines diferenciados. Switch Engine.- Básicamente se trata de un switch de nivel 3 (capaz de enrutar trafico entres distintas VLANs) donde configuramos la conexión de la red wifi al resto del centro WIFI engine.- Donde se configuran todos los parámetros relacionados con la red wifi. Puntos de acceso, SSID, etc. Access-Point Wifi: Son los puntos de acceso o antenas que se encargan de la difusión de la red wifi en el centro. 14

16 Diseño estándar - VLAN La red LAN de los centros de educación se divide de manera estándar en 4 VLAN VLAN 1 EDUCA VLAN 2 ADMINISTRACION VLAN 3 COMUN VLAN 4 WLAN VLAN (acrónimo de Virtual LAN) es un método de crear redes lógicas independientes entre si dentro de una misma red física. Dentro de una VLAN los ordenadores se comportan como si estuvieran conectados físicamente entre si, aunque puedan estar en distintos segmentos físicos de red o en distintos switch. VLAN 1 Educa: Se utiliza para alumnos y profesores en tareas educativas, con equipos cableados. VLAN 2 - Admin: Se utiliza para el personal administrativo de los centros. VLAN 3 - Común: Dentro de esta VLAN se incluye el equipamiento que debe ser accesible desde el resto de VLAN, como el router, servidores, impresoras, etc. VLAN 4 WLAN: Se utiliza igual que la VLAN1 pero con equipos inalámbricos. 15

17 Tipos de Centro. Nivel 2 / Nivel 3 Routing Nivel 2 ROUTER SW L2 A B C D VLAN 1 ROUTER Nivel 3 Routing SW L3 A B C D 16 VLAN 1 - EDUCA VLAN 2- ADMIN VLAN 3 - COMUN VLAN 4 - WIFI

18 Direccionamiento IP / Listas de Acceso Todos los centros tienen asignado un rango de direccionamiento de 1024 direcciones, que se dividen en cuatro subredes de 256. A cada VLAN le corresponde uno de estos rangos. Ejemplo: IES IGNAZIO ZULOAGA Direccionamiento del Centro: VLAN 1 VLAN 2 VLAN 3 VLAN 4 EDUCA ADMIN COMUN WLAN / / / /24 Las listas de acceso son el instrumento mediante el cual se restringe la visibilidad entre las diferentes subredes. Estas listas se aplican en los Switchs de capa 3. Actualmente, se configuran listas de acceso para restringir el acceso entre las VLANs de 1 y 4 con la 2, (Educa y WLAN con Admin). A la VLAN 3, Común, no se le aplica ninguna ACL, por lo que esta accesible desde el resto de VLANs. 17

19 Asignación de Puertos Las VLAN deben asignarse en los diferentes puertos de los Switchs. Esta distribución varía en función del tipo de centro, del tipo de Switch, de la ubicación en el rack principal o secundario, etc. Y sobre todo de las necesidades del centro. Si embargo, existe un estándar establecido por el departamento, que debe tratar de cumplirse siempre que sea posible: La VLAN 4 (WLAN) que no aparece en el cuadro anterior, habitualmente se asigna en el puerto del switch de cabecera donde esta conectado el controlador Wifi. 18

20 Esquema Lógico - Centro Ejemplo PREMIA VLAN 3 - COMUN Router Teldat (TESA) VLAN 2 - ADMIN Router Juniper (EKT) Switch L3 (Cabecera) Controlador WIFI Switch L2 (Plano) Puntos de Acceso VLAN 4 WLAN VLAN 1 EDUCA VLAN 1 - EDUCA 19

21 Gracias por su atención 20

22 Creado por: Ambar Comunicaciones Publicado por: Oficina de Calidad Bilbao, Diciembre