Tüm Üniversitede Tek Kablosuz Ağ

Transkript

1 Tüm Üniversitede Tek Kablosuz Ağ İlker ULAŞ Pamukkale Üniversitesi Bilgi İşlem Daire Başkanlığı V. ULAKNET Çalıştay ve Eğitimi Karadeniz Teknik Üniversitesi/Trabzon Mayıs 2011

2 eduroam NEDİR? EDUcation ROAMing TERENA (Trans-European Research and Education Networking Association) kayıtlı markası ULAKBİM, Türkiye ulusal eduroam servisinden sorumlu servis sağlayıcı Amacı eduroam üyesi kurumların kullanıcılarının diğer eğitim kurumlarında da sorunsuzca ağ kullanımını sağlamak Ticari değil Sloganı Open your laptop and be online.

3 PAMUKKALE ÜNİVERSİTESİ KABLOSUZ AĞI eduroam ÖNCESİ 2009 yılına kadar sadece öğrenci kantinlerinde 6 adet Access Point ten oluşan kablosuz ağ Ağa bağlanmak için kimlik denetimi yok Bağlantıların loglanması için LDAP üzerinden yetkilendirme yapan proxy sunucusu kullanıldı Kullanıcıların browser larında proxy ayarı yapma zorunluluğu Proxy ayarlarının nasıl yapılacağı ile ilgili kantinlere bilgilendirme metinleri asıldı, web üzerinden ve mail ile bilgilendirmeler yapıldı.

4 PAMUKKALE ÜNİVERSİTESİ KABLOSUZ AĞI Öğrencilerin internete bağlanabilecekleri serbest alanlar yok. Bilgisayar laboratuvarlarında sürekli ders var. Notebook, netbook, internet bağlantılı cep telefonlarının fiyatları düştükçe sayıları arttı. Personel iş yerinde kullandıkları sabit bilgisayarın yanında evindeki taşınabilir cihazını okula getirmeye başladı, odada yeterli sayıda data prizi mevcut değil. Sürekli yeni kablo çekilmesi talepleri gelmeye başladı. Neredeyse her öğrencide mobil bir cihaz var.

5 PAMUKKALE ÜNİVERSİTESİ KABLOSUZ AĞI Yönetim kolaylığı sebebi ile LightWeight teknolojisi tercih edildi 2009 yılında 96 adet indoor, 4 adet outdoor, 1 adet kontrol cihazı alınarak ana kampüse kuruldu. Kurulumun tamamlanmasıyla birlikte kablosuz ağ eduroam a dahil edildi. eduroam dışında başka bir yayın yok, olmayacak!..

6 PAMUKKALE ÜNİVERSİTESİ KABLOSUZ AĞI Kapsama alanı 2010 yılında 1 adet kontrol cihazı ve 50 adet indoor AP alınarak genişletildi yılında genişletilmeye devam ediliyor. Ana kampüsün tamamında, Denizli, Çivril, Buldan, Bekilli, Honaz, Çal Meslek Yüksek Okullarımızda olmak üzere Üniversiteye ait her yerleşkede eduroam aktif durumda.

7 PAMUKKALE ÜNİVERSİTESİ KABLOSUZ AĞI AP Sayıları Lokasyon AP Sayısı Fen-Edebiyat Fakültesi 19 İktisadi İdari Bilimler Fakültesi 15 Mühendislik-Teknik Eğitim Fakültesi 7 Eğitim Fakültesi 12 İnşaat Mühendisliği 1 Mimarlık ve Tasarım Fakültesi 14 Güzel Sanatlar Fakültesi 4 Rektörlük 22 Yabancı Diller YüksekOkulu 5 Tıp Fakültesi 9 Turizm İşletmeciliği ve Otelcilik Yüksek Okulu 1 Spor Bilimleri ve Teknolojisi Yüksek Okulu 3 Denizli Meslek Yüksekokulu 7 Bekilli Meslek Yüksek Okulu 3 Buldan Meslek Yüksek Okulu 5 Çal Meslek Yüksek Okulu 2 Çivril Meslek Yüksek Okulu 6 Honaz Meslek Yüksek Okulu 6 Sosyal Tesisler 1 Göl Bölgesi (Outdoor) 1 Mühendislik Fakültesi Bölgesi (Outdoor) 1 İktisadi ve İdari Bilimler Fakültesi Bölgesi (Outdoor) 1 Yurtlar Bölgesi (Outdoor) 1 TOPLAM 146

8 PAMUKKALE ÜNİVERSİTESİ KABLOSUZ AĞI LWAPP Sağladıkları DHCP sunucuya eklediğimiz option ile AP ler controllerı buluyor. AP lerde ayar yapılmıyor, tüm ayarlar (güvenlik, kimlik denetimi, software versiyonu) kontrol cihazından otomatik olarak sağlanıyor. AP in ağa bağlandığı yer eduroam yayınını yapmaya başlıyor. Switch lerde VLAN ayarı yapılmıyor. AP ler eduroam VLAN ını mevcut VLAN içerisinden taşıyor.

9 PAMUKKALE ÜNİVERSİTESİ KABLOSUZ AĞI

10 NEDEN eduroam? Araştırmacılar mobil cihazlar kullanmaya başladılar. Gittikleri yerlerde internete bağlanmak için ayar yapmakla uğraşmak istemiyorlar. Kimlik bilgilerinin korunduğu, güvenli bir internet hizmeti istiyorlar. Bilgi işlem personeli için misafire internet bağlantısı sağlamak zahmetli. (teknik destek, 5651 sayılı yasa)

11 NEDEN eduroam? 1) eduroam kullanıcılara, kendi kurumlarındaki kullanıcı bilgileri ile eduroam ağı olan başka bir kuruma gittiklerinde, dışarıdan gelen misafir öğretim elemanı ve öğrencilere de kurumlarındaki kullanıcı bilgileri ile güvenli ve zahmetsiz olarak internete bağlanabilmesine olanak sağlamaktadır. Bu nasıl sağlanıyor?

12 eduroam BİR 802.1x UYGULAMASIDIR 802.1x kimlik doğrulaması, istemci ile erişim noktasına bağlı bir RADIUS sunucusu arasında kullanılan kimlik doğrulamasıdır x Kimlik Kanıtlamada kullanılan 4 temel yapı vardır; İstemci (Suppliciant) Kimlik kanıtlayıcı (Ağ erişim cihazları) Kimlik Kanıtlama Sunucusu (Radius) Kullanıcı bilgilerinin tutulduğu sistem (LDAP)

13 eduroam YEREL KİMLİK DOĞRULAMA Parola Erişim İsteği Yerel RADIUS Server Parola Kontrolü Network Access Server (with Radius client) Erişim Kararı Doğru/Yanlış Local LDAP repository Bağlantı ve kimlik bilgisi isteği LDAP sunucudan kullanıcının kimlik doğrulaması Kimlik doğrulaması doğruysa yetkilendir, değilse reddet Erişim isteğinin kabul edilip edilmediğini dön

14 eduroam UZAK KİMLİK DOĞRULAMA Yerel RADIUS Server Erişim İsteği +Kullanıcı Bilgisi Erişim İsteği +Kullanıcı Bilgisi Supplicant Erişim Kararı Erişim Kararı NAS Erişim İsteği + Kullanıcı Bilgisi Erişim Kararı National RADIUS Proxy server Erişim İsteği +Kullanıcı Bilgisi Erişim Kararı Remote Radius Server Parola Bilgisini Karşılaştır Doğru/ Yanlış Remote LDAP Repository Kullanıcı Bilgisi => Username@realm + password username: abc@pau.edu.tr, password pass123

15 eduroam UZAK KİMLİK DOĞRULAMA

16 RADIUS ve LDAP YAPIMIZ Vmware sanal makine olarak çalışan Ubuntu işletim sistemi, Freeradius Vmware sanal makine olarak çalışan Ubuntu üzerine OpenLDAP kurduk problem çıkardı. Çok fazla sayıda gelen istek sunucuya erişim sürelerini ms.lere çıkardı. Sunucu reboot edilmeden de düzelmedi. 3-4 günde bir sunucuyu reboot etmek zorunda kaldık. Sunucuyu fiziksel hale getirmek zorunda kaldık. Sun V210 (2x1,1 Ghz sparc işlemci, 4 GB ram, 72 GB SCSI Hdd) in üzerinde kullanıcımız var. Kimlik denetimi isteyen herşey; yazılımlarımız, mail, squid vs. LDAP üzerinden kimlik denetimi yapıyor. Tüm eduroam trafiğini Squid ile transparent olarak proxy üzerinden çıkarıyoruz. Bağlantı log larımız daha anlamlı..

17 RADIUS ve LDAP YAPIMIZ

18 NEDEN eduroam? 2) Güvenli olması Kullanıcının kimlik denetimi tamamlanıncaya kadar sadece 802.1x EAP trafiği geçiyor. Diğer tüm trafik bloklanıyor (DHCP, HTTP vs.). Tüm veri dinamik anahtarlar kullanılarak şifreleniyor, bilgilerin çalınma olasılığı yok. EAP-TTLS kullanıyor. EAP-TTLS kimlik kanıtlama verisinin emniyetli iletimi için şifreli bir TLS tüneli kurar.

19 NEDEN eduroam? Kimlik doğrulama sunucusu kullanıcının kimlik doğrulama isteği yaptığını belirlerse, kullanıcıya sertifikasını gönderir Kimlik doğrulama sunucu sertifikası kullanıcı ve sunucu arasında bir tünel oluşturmak için kullanılır Tünel kurulduktan sonra, kimlik bilgileri, sunucu ve kullanıcı arasında güvenli bir şekilde iletilir.

20 NEDEN eduroam? 3) Geniş kapsama alanı: DÜNYA Avrupa 3442, Amerika 43, Uzak Doğu 34, Avusturalya 152, Afrika 8 Kurum

21 NEDEN eduroam? 3) Geniş kapsama alanı: TÜRKİYE Toplam 42 Kurum, 3189 Erişim Noktası Yıl Kurum Sayısı Orta Doğu Teknik Üniversitesi Ankara Üniversitesi Çanakkkale 18 Mart Üniversitesi Erciyes Üniversitesi Uşak Üniversitesi Dokuz Eylül Üniversitesi Karadeniz Teknik Üniversitesi Eskişehir Osmangazi Üniversitesi Adnan Menderes Üniversitesi Pamukkale Üniversitesi İzmir Ekonomi Üniversitesi Muğla Üniversitesi Çankırı Karatekin Üniversitesi Namık Kemal Üniversitesi Mehmet Akif Ersoy Üniversitesi Ahi Evran Üniversitesi Batman Üniversitesi Süleyman Demirel Üniversitesi Gaziantep Üniversitesi Atatürk Üniversitesi Şırnak Üniversitesi İzmir Yüksek Teknoloji Enstitüsü Atılım Üniversitesi Afyon Kocatepe Üniversitesi Maltepe Üniversitesi İstanbul Üniversitesi Karamanoğlu Mehmetbey Üniversitesi Giresun Üniversitesi Abant İzzet Baysal Üniversitesi Sakarya Üniversitesi Marmara Üniversitesi Gümüşhane Üniversitesi Cumhuriyet Üniversitesi Dicle Üniversitesi Kastamonu Üniversitesi Ordu Üniversitesi İstanbul Teknik Üniversitesi Ege Üniversitesi

22 NEDEN eduroam? 3) Geniş kapsama alanı: TÜRKİYE

23 NEDEN eduroam? 3) Geniş kapsama alanı: DENİZLİ Buldan MYO Bekilli MYO Çal MYO Çivril MYO Merkez Kampüs + 6 İlçe MYO 146 Erişim Noktası Denizli MYO Honaz MYO Kınıklı Kampüsü Kınıklı Kampüsü

24 NEDEN eduroam? 4) 5651 ihtiyaçlarını karşılaması Radius.log Tue Apr 12 11:27: : Auth: Login OK: [bidb@pau.edu.tr] (from client /24 port 4 cli D3-E0-BB-9E via TLS tunnel) Wed Apr 6 13:08: User-Name = "artuirl***@student.polsl.pl" NAS-Port = 13 NAS-IP-Address = Framed-IP-Address = NAS-Identifier = "Cisco_8e:c3:e4" Airespace-Wlan-Id = 1 Acct-Session-Id = "4d9953b5/6c:62:6e:22:ff:ce/60648" Acct-Authentic = RADIUS Tunnel-Type:0 = VLAN Tunnel-Medium-Type:0 = IEEE-802 Tunnel-Private-Group-Id:0 = "241" Acct-Status-Type = Interim-Update Acct-Input-Octets = 981 Acct-Output-Octets = 656 Acct-Input-Packets = 19 Acct-Output-Packets = 8 Acct-Session-Time = 1 Acct-Delay-Time = 0 Calling-Station-Id = " " Called-Station-Id = " " Acct-Unique-Session-Id = "dd488c c" Realm = "DEFAULT" Timestamp = Request-Authenticator = Verified Radius Detail Log

25 NEDEN eduroam? 4) 5651 ihtiyaçlarını karşılaması

26 NEDEN eduroam? 5) Her türlü mobil cihaz ile sorunsuz bağlanılabiliyor. Windows Mobile, XP, Vista, 7 (SecureW2 ile) SecureW2.inf dosyası düzenlenip kurulum kolaylaştırılabiliyor

27 NEDEN eduroam? 5) Her türlü mobil cihaz ile sorunsuz bağlanılabiliyor. Linux türevleri MacOS, Iphone, Ipad, Ipod Symbian Samsung BADA Blackberry Android Bağlantı Ayarları:

28 NEDEN eduroam? 6) Prestij Özellikle kurum dışına giden öğrenci/personel ve misafir akademisyenler tarafından görülen takdir. eduroam: Uygulanması kolay ve doğrudan son kullanıcıya sağladıkları ile Bilgi İşlemi kurum içerisinde ön plana çıkaran bir projedir.

29 İSTATİSTİKLER 2011 Yılı Servis Sağlayıcı İstatistikleri (Kuruma Gelen Misafir Kullanıcılar)

30 İSTATİSTİKLER 2011 Yılı Kimlik Sağlayıcı İstatistikleri (Kurumun Gezen Kullanıcıları)

31 İSTATİSTİKLER Pamukkale Üniversitesi 2011 Yılı Servis Sağlayıcı İstatistikleri (Pamukkale Üniversitesi ne Gelen Misafir Kullanıcılar)

32 İSTATİSTİKLER Pamukkale Üniversitesi 2011 Yılı Kimlik Sağlayıcı İstatistikleri (Pamukkale Üniversitesi nin Gezen Kullanıcıları)

33 İSTATİSTİKLER Radius Sunucusuna Gelen Aylık İstek Sayıları PAÜ öğrencisi PAÜ personeli 6226 Yurt Dışı 939 Yurt İçi

34 İSTATİSTİKLER Bant Genişliği Kullanımı

35 SONUÇ eduroam İçin Neye İhtiyacımız Var? Yatırım yapmaya gerek yok! Mevcut kablosuz ağ kullanılabiliyor. ULAKBİM eduroam ulusal yetkilendirme sunucusu tarafından ulaşılabilir bir Radius sunucu Donanımsal olarak düşük konfigürasyonlu bir sunucuya linux kurmak yeterli Kurulumu Kolay : Kullanıcıların tutulduğu kimlik denetim sunucusu (LDAP, AD) Genelde herkeste biri zaten var

36 JOIN TEŞEKKÜRLER