I Jornadas de Arquitecturas de RED Seguras en las Universidades Sevilla, Marzo 2003 Luis Figueroa lfigueroa@mail.fujitsu.es
Agenda Situación actual Universidad Tipo Objetivos Solución propuesta Arquitectura Red Seguridad Infraestructura de Clave Pública (PKI) Integración con VozIP, Videoconferencia IP Soluciones de acceso a s Conclusiones
Situación n actual Universidad Tipo Corporativos Comunidad de Intereses Investigación Infraestructura Entidades Servidores Corporativos Públicos Institución Comunidad de Intereses Corporativa Núcleo de la Red Interconexión a la Red Red Académica Red Iris O Campus Comunidad de Intereses Investigación Proveedores Aulas de Informática Empresas Colaboradoras Proveedores Empresas Colaboradoras Concesionarios Usuarios Móviles (Red Inalámbrica) Fundaciones Usuarios Móviles (Externos)
Objetivos Corporativos Comunidad de Intereses Investigación Infraestructura Entidades Servidores Corporativos Públicos Institución Comunidad de Intereses Corporativa Núcleo de la Red Interconexión a la Red Red Académica Red Iris O Campus Comunidad de Intereses Investigación Proveedores Aulas de Informática Empresas Colaboradoras Proveedores Empresas Colaboradoras Concesionarios Usuarios Móviles (Red Inalámbrica) Fundaciones Usuarios Móviles (Externos)
Arquitectura
Solución n Propuesta RED INTERNA RED EXTERNA EXTERIOR Corporativos Gestión Públicos de Investigación Externo Institución de Investigación Interno Routers Exterior Empleados Red Académica Red Iris O Campus Proveedores Concesionarios Usuarios Aulas Informática Usuarios Wireless Acceso Fundaciones Srv Públicos Proveedores Empleados Alumnos Usuarios Remotos Administradores
Red Externa. Arquitectura Red RED EXTERNA Públicos Red Interna Exterior Acceso Fundaciones Srv Públicos
Red Externa. Arquitectura RED EXTERNA Host Bastión Públicos Proxy-Caché Inverso Relay Correo FTP Foros News DNS Secundario Replica LDAP Externo Correo Externo Aplicaciones Públicas WEB Balanceadores IP Balanceadores IP Balanceadores IP Red Interna Exterior Acceso Fundaciones Srv Públicos
Red Externa. Arquitectura Seguridad RED EXTERNA Host Bastión Públicos Proxy-Caché Inverso Relay Correo FTP Foros News DNS Secundario Replica LDAP Externo Correo Externo Aplicaciones Públicas WEB Balanceadores IP Balanceadores IP Balanceadores IP Analizador de Código Red Interna Cluster Cortafuegos Solución A Exterior Granja IDS de Red Solución A Acceso Fundaciones Srv Públicos Granja Antivirus pasarela Solución A Antivirus de Servidor
Solución n Propuesta RED INTERNA RED EXTERNA EXTERIOR Corporativos Gestión Públicos de Investigación Externo Institución de Investigación Interno Routers Exterior Empleados Red Académica Red Iris O Campus Proveedores Concesionarios Usuarios Aulas Informática Usuarios Wireless Acceso Fundaciones Srv Públicos Proveedores Empleados Alumnos Usuarios Remotos Administradores
Red Interna. Arquitectura Red RED INTERNA Corporativos Gestión de Investigación Interno Empleados Red Externa Concesionarios Usuarios Aulas Informática Usuarios Wireless
Red Interna. Arquitectura Contabilidad Aplicaciones ERP Matrículas Nóminas Aplicaciones Corporativas Docencia Virtual Biblioteca Red LDAP Master/CRLs DNS Primario PKI CA Root CAs Subordinadas Ras Corporativos Replica Correo Intranet LDAP Interno Interno/CRL Proxy Balanceadores IP Red Gestión FW IDS Gestión Integral Logs de Investigación Interno Empleados Red Externa Concesionarios Usuarios Aulas Informática Usuarios Wireless
Red Interna. Arquitectura Seguridad Contabilidad Aplicaciones ERP Matrículas Nóminas Aplicaciones Corporativas Docencia Virtual Biblioteca Red LDAP Master/CRLs DNS Primario PKI CA Root CAs Subordinadas Ras Corporativos Replica Correo Intranet LDAP Interno Interno/CRL Proxy Balanceadores IP Red Gestión FW IDS Gestión Integral Logs de Investigación Interno Cluster Cortafuegos Solución A Empleados Cluster Cortafuegos Solución B Antivirus Pasarela Solución B Red Externa Analizador de Código Antivirus de Servidor Concesionarios Usuarios Aulas Informática Usuarios Wireless Tarjeta IDS de Red Solución B
Infraestructura de Clave Pública (PKI)
PKI.- Características Au tentica ción Confidenc ialidad Integridad No Repudio Cortafuegos Control de Accesos Cifrado PKI Firma Digital + Certificados Cifrado Firma Digital Funciones Hash Firma Digital + Certificados
PKI.- Jerarquía a Propuesta Entorno Producción Entorno Pruebas CA Root CA Subordinada Personal CA Subordinada Alumnos CA Pruebas RA Personal RA Alumnos RA Pruebas
PKI.- Arquitectura Detalle
PKI.- Flujos de Información 7 6 Entidad que confía en la CA emisora Almacena el certificado 8 Envío del certificado, cifra o/y firma Mensajes Comprobación del certificado 5 CL CRL La CA le remite el certificado al usuario. Repositorio 4 La CA genera y envía el certificado al repositorio Usuario 1 Generación de par de claves 2 El usuario solicita Emisión del certificado digital y envía su clave publica 3 La RA después de validar la identidad del usuario, envía la petición a la CA Autoridad de Certificación (CA) Autoridad de Registro (RA) Log
Integración con VozIP, Videoconferencia IP, Multimedia
Integración n con VozIP, Videoconferencia, multimedia Seguridad/VPN Instituciones CAMPUS (SERVICIOS) Usuarios Remotos WAN HOST CAMPUS (BACKBONE) Proveedores GATEWAY VOZ - DATOS RDSI Vídeo Conferencia Multimedia PSTN Telefonía IP
Ejemplo de Integración n con VozIP, Red integrada de datos Teléfonos IP PBX IP Red de voz A PBX PSTN IP WAN PSTN Gateway
Ejemplo de Seguridad con VozIP, Servidores de Telefonía Antivirus Host-based IDS Actualización con los últimos parches de seguridad. Deshabilitar servicios no necesarios. Centralita IP A Teléfonos IP Teléfonos IP Redes IP distintas para voz y datos. IP privadas para los teléfonos HW Red Acceso exterior Firewall Antivirus... IP WAN PSTN Gateway Entorno de switches y uso de NIDSs. de autenticación. Usar VLANs distintas para voz y datos. Usar filtros IP entre ambas redes
Soluciones de acceso a s
Soluciones de Acceso a s RED INTERNA RED EXTERNA EXTERIOR Corporativos Gestión Públicos de Investigación Externo Institución de Investigación Interno Routers Exterior Empleados Red Académica Red Iris O Campus Proveedores Concesionarios Usuarios Aulas Informática Usuarios Wireless Acceso Fundaciones Srv Públicos Proveedores Empleados Alumnos Usuarios Remotos Administradores
Acceso Corporativo Contabilidad Aplicaciones ERP Matrículas Nóminas Aplicaciones Corporativas Docencia Virtual Biblioteca Red LDAP Master7CRLs DNS Primario PKI CA Root CAs Subordinadas Ras Corporativos Replica Correo Intranet LDAP Interno Interno/CRL Proxy Balanceadores IP Red Gestión FW IDS Gestión Integral Logs de Investigación Interno Cluster Cortafuegos Solución A Empleados Cluster Cortafuegos Solución B Antivirus Pasarela Solución B Red Externa Analizador de Código FW Personal No Corporativo Antivirus de Puesto Antivirus de Servidor Concesionarios Usuarios Aulas Informática Usuarios Wireless Tarjeta IDS de Red Solución B
Acceso s de Investigación Públicos Host Bastión Proxy-Caché Inverso Relay Correo FTP Foros News DNS Secundario Replica LDAP Externo Correo Externo Aplicaciones Públicas WEB de Investigación Externo Balanceadores IP Balanceadores IP Balanceadores IP FW Servidor / VPN Institución Red Interna Cluster Cortafuegos Solución A Exterior Granja IDS de Red Solución A Acceso Fundaciones Srv Públicos Granja Antivirus pasarela Solución A Antivirus de Servidor
Acceso s de Investigación Contabilidad Aplicaciones ERP Matrículas Nóminas Aplicaciones Corporativas Docencia Virtual Biblioteca Red LDAP Master7CRLs DNS Primario PKI CA Root CAs Subordinadas Ras Corporativos Replica Correo Intranet LDAP Interno Interno/CRL Proxy Balanceadores IP Red Gestión FW IDS Gestión Integral Logs de Investigación Interno Empleados FW Servidor / VPN Cluster Cortafuegos Solución B Cluster Cortafuegos Solución A Antivirus Pasarela Solución B Red Externa Analizador de Código FW Personal No Corporativo Antivirus de Puesto Antivirus de Servidor Concesionarios Usuarios Aulas Informática Usuarios Wireless Tarjeta IDS de Red Solución B
Acceso Usuarios MóvilesM Públicos Host Bastión Proxy-Caché Inverso Relay Correo FTP Foros News DNS Secundario Replica LDAP Externo Correo Externo Aplicaciones Públicas WEB Balanceadores IP Balanceadores IP Balanceadores IP Analizador de Código Red Interna Cluster Cortafuegos Solución A Exterior Granja IDS de Red Solución A Acceso Fundaciones Srv Públicos Granja Antivirus pasarela Solución A Cliente VPN Empleados Alumnos Administradores Antivirus de Puesto
Acceso Usuarios MóvilesM Contabilidad Aplicaciones ERP Matrículas Nóminas Aplicaciones Corporativas Docencia Virtual Biblioteca Red LDAP Master/CRLs DNS Primario PKI CA Root CAs Subordinadas Ras Corporativos Replica Correo Intranet LDAP Interno Interno/CRL Proxy Balanceadores IP Red Gestión FW IDS Gestión Integral Logs de Investigación Interno Cluster Cortafuegos Solución A Empleados Cluster Cortafuegos Solución B Antivirus Pasarela Solución B Red Externa Analizador de Código No Corporativo Antivirus de Puesto Antivirus de Servidor Concesionarios Usuarios Aulas Informática Usuarios Wireless Tarjeta IDS de Red Solución B
Acceso Usuarios Wireless Contabilidad Aplicaciones ERP Matrículas Nóminas Aplicaciones Corporativas Docencia Virtual Biblioteca Red LDAP Master/CRLs DNS Primario PKI CA Root CAs Subordinadas Ras Corporativos Replica Correo Intranet LDAP Interno Interno/CRL Proxy Balanceadores IP Red Gestión FW IDS Gestión Integral Logs de Investigación Interno Cluster Cortafuegos Solución A Empleados Cluster Cortafuegos Solución B Antivirus Pasarela Solución B Red Externa Analizador de Código Access Point Gateway No Corporativo Antivirus de Puesto Antivirus de Servidor Concesionarios Usuarios Aulas Informática Usuarios Wireless Tarjeta IDS de Red Solución B
Acceso Aulas de Informática Contabilidad Aplicaciones ERP Matrículas Nóminas Aplicaciones Corporativas Docencia Virtual Biblioteca Red LDAP Master7CRLs DNS Primario PKI CA Root CAs Subordinadas Ras Corporativos Replica Correo Intranet LDAP Interno Interno/CRL Proxy Balanceadores IP Red Gestión FW IDS Gestión Integral Logs de Investigación Interno Cluster Cortafuegos Solución A Empleados Cluster Cortafuegos Solución B Antivirus Pasarela Solución B Red Externa Analizador de Código No Corporativo Antivirus de Puesto Antivirus de Servidor Concesionarios Usuarios Aulas Informática Usuarios Wireless Tarjeta IDS de Red Solución B
Conclusiones
Conclusiones I Alta Disponibilidad de Red Redundados es / Routers BackBone H.A. de Aplicación n Redundados Relay Correo, WEB,, FTP, PROXY Seguridad Redundada Externa.- Solución H.A.. Fabricantes A PúblicosP Interna.- Solución H.A.. Fabricantes B Privados Firewall Antivirus Pasarela IDS Red Firewall Antivirus Pasarela IDS Red
Conclusiones II Escalabilidad / Cargas de tráfico Variables de Red Escalables es / Routers BackBone Gama alta (BackPlane( hasta 256 Gb) Ampliables (Tarjetas, nº n puertos ) ) de Aplicación n Escalables Balanceo de carga mediante balanceadores hardware Configuración n en modo granja. Crecimiento horizontal Seguridad Escalable Seguridad Balanceo de carga mediante balanceadores hardware (Red Externa) Configuración n en modo granja. Crecimiento horizontal 22 Niveles de seguridad de fabricantes distintos para acceder a servicios s corporativos Control de accesos basado en DIRECTORIOS (LDAP) Seguridad en usuarios: VPN, Antivirus, FW Servidor, FW cliente segs egún n sea necesario No penalización n del rendimiento. Crecimiento horizontal Infraestructura de Clave Pública P (PKI) para Empleados y alumnos
Conclusiones III Monitorización n de la Plataforma Gestión n de los elementos de red y seguridad centralizada (segmento de red independiente) Gestión n integral de Logs (FW, IDS, ANTIVIRUS ) Herramienta de gestión n integral de la seguridad (detección n de eventos producidos en los sistemas de seguridad y actuación n en base a políticas definidas) Transparencia usuarios finales Arquitectura de red transparente para usuarios finales Arquitectura de transparente para usuarios finales (H.A( H.A.,., balanceo de carga) Arquitectura de seguridad transparente para usuarios finales, salvo clientes VPN en los casos que sea necesario (Accesos Remotos, Wireless)