TUM-Logo Network Architectures
INFO-Logo
Garching
 Detlef Fliegl
 Contact
 Research
 Publications
 Talks
 Teaching
 Misc
 Garching
 Outlook
 FHM-Webcam

Links
  BayCom GmbH
  DAB-Project
  LRR
  NET
  Private Homepage
  TUM
  TUM-CS
  USB-Project
 

LRR Netzwerktopologie in Garching (Stand 25.08.2002)

 

Bisheriges Netzwerk

  • Viele Rechner hängen ohne Firewall direkt am Internet
  • Intranets nur mancherorts, dadurch starke Heterogenität, keine Erreichbarkeit einzelner Rechner von außen
  • Keine flexible Zuordnung von Rechnern in Sicherheitszonen möglich

 

Planung für Garching

 

Lokale Gegebenheiten

  • Vernetzung mit Gigabit Ethernet Glasfaser in jedem Raum
  • Klimatisierte Serverräume:
    • BT4 mit 2 Fasern, BT6 mit 6 Fasern (jeweils 8.4m²),
    • Ein gemeinsamer Raum im Keller mit 130m²

LRR-Netzplanung

Alle Systeme bekommen eine öffentliche IP-Adresse und sind theoretisch direkt aus dem Internet erreichbar. Eine Firewall regelt jedoch den Zugriff auf unsere Infrastruktur. Dazu werden drei unterschiedliche Zonen festgelegt, die wie folgt realisiert sind:

Aufteilung der beiden LRR Subnetze (131.159.32.x / 131.159.34.x) in 3 VLANs (Virtual Local Area Networks):

  • VLAN1: Wissenschaftliche Zone 131.159.35.0/24
    • Nutzungsprofil: Wissenschaftlich genutzte Systeme, hohe Ansprüche an Netzqualität (Bandbreite und Latenz), Gastkennungen.
    • Gefahrenpotenial: Missglückte Experimente, Logins mit Root-Rechten, Gastkennungen
    • Teilnehmer:
      • SCI Cluster
      • Globus / Grid-Computer
    • Sicherheitsrichtlinien:
      • Eingehende Verbindungen nur via SSH (Port 22) zu smile0 erlaubt
      • Abgehende Verbindungen uneingeschränkt
      • Eingeschränkter Zugriff auf zentrale Ressourcen des LRRs (z.B. Gemeinsame Softwareverzeichnisse, jedoch keine Homes)
      • Kein DHCP Server der RBG, sondern eigener zum Netboot der SMiLE Clients

       

  • VLAN2: Demilitarisierte Zone (DMZ) 131.159.34.0/24
    • Nutzungsprofil: Systeme, die entweder nicht besonders schützenswert sind oder selbst ein Sicherheitsrisiko darstellen.
    • Gefahrenpotential: Versehentliche oder absichtliche Fehlkonfigurationen, Angriffsversuche (Scriptkiddies),  Logins mit Root-Rechten, Gastkennungen
    • Teilnehmer:
      • Azubis
      • Labor
      • TGI
      • Selbstadministrierte Rechner
      • Webserver, Printserver
      • Wireless LAN Accesspoint
    • Sicherheitsrichtlinien:
      • Abgehende Verbindungen nur via SSH oder via transparentem Web-Proxy,
      • Kein Routing für andere Ports, um Rootkits, Trojanern und (ungewolltem) Filesharing Einhalt zu gebieten
      • Kein Zugriff auf zentrale Ressourcen des LRRs (NFS Mounts, Windows Shares, etc.)

       

  • VLAN3: LRR Intranet Zone 131.159.32.0/23
    • Nutzungsprofil: Systeme, die als vertrauenswürdig gelten, zentral administriert sind und von Mitarbeitern benutzt werden
    • Gefahrenpotential: Missbrauch von Root-Rechten, versehentliche oder absichtliche Installation von Rootkits oder Trojanern
    • Teilnehmer:
      • Mitarbeiter
      • Sekretariat
      • Zentrale Dienste (Server)
      • Werkstatt
    • Sicherheitsrichtlinien:
      • Eingehende Verbindungen nur via SSH (Port 22) zu sunbode1 und atbode100 erlaubt
      • Abgehende Verbindungen uneingeschränkt
      • Voller Zugriff auf die anderen VLANs und deren Ressourcen (NFS Mounts, Windows Shares, Drucker, etc.)
      • Ausnahmeregelungen für wohlbegründete Anliegen möglich (Mailserver, etc)

       

Öffentlich zugängliche Dienste

Diese Dienste sind aus öffentlichen Netzen erreichbar:

  • HTTP und HTTPS
  • POP3 via SSL
  • IMAP via SSL
  • SSH
  • VPN via IPSEC (kein PPTP, weil es als unsicher gilt)
  • Web Proxy für 131.159.0.0/16 und 129.187.0.0/16

 

Realisierung

Obwohl alle Fasern in einem zentralen Raum im Keller zusammengeführt werden, ist eine Auftrennung in VLANs möglich. Die Aufteilung wird durch tagged VLANs nach IEEE 802.1q realisiert. Die Router und Switches in Garching beherrschen die nötigen Protokolle. Rechner können nicht ohne Umstellung der IP-Adresse oder Umkonfiguration eines Ports am Switch zwischen den Zonen hin und her bewegt werden. Dadurch ist auch mit gefakten IP-Adressen ein Missbrauch nicht möglich.

Unsere zentralen Server (voraussichtlich 7 Systeme: sunbode1,6,16,40,atbode80,94,95, etc) werden im Keller stehen und damit keinen Platz in den sehr klein bemessenen Serverräumen in BT4 und 6 belegen. In diesen Serverräumen werden lediglich 'interaktive Komponenten' abgestellt. Dazu zählen Rechner mit angeschlossenen oder eingebauten CD/DVD-Writer,  DAT-Streamer, Drucker etc.

Als Firewall und Router wird ein dediziertes Linux System, basierend auf IP-Tables, dienen. In diesem System werden zwei Gigabit Netzwerkkarten betrieben, die an tagged Ports hängen. Dadurch kann eine flexible Aufteilung der Netzsegmente und Bestimmung von Firewallregeln stattfinden. Die RBG nimmt für uns die Konfiguration der Switches und des zentralen Informatik Routers vor. Der LRR-Router wird über ein Transitnetz mit dem Informatik Router kommunizieren und das Netz 131.159.32.0/22 auf Netzwerkkarte 1 geroutet bekommen.  Unser Router wird via 802.1q Tags auf den Ethernetframes in die einzelnen VLANs via Netzwerkkarte 2 routen. Die Vergabe der IP-Adressen und Hostnamen wird weiterhin durch die RBG stattfinden. DHCP-Requests werden über ein DHCP-Relay an den zentralen DHCP Server weitergeleitet.

 

Zeitplan

Bereits vor dem Umzug werden wir zusammen mit der RBG in Garching diverse Ortstermine vornehmen. Installation und Tests unseres Routers sollten bereits Anfang Juli abgeschlossen sein. Zu diesem Zeitpunkt sollten auch eine vorläufige VLAN Konfiguration bei den Switches aktiv sein.  Für den Routertest werden wir ein Subnetz von der RBG zum Testen benötigen, da der LRR Adressraum in Verwendung ist. Die endgültige Portzuordnung wird dann während und nach dem Umzug stattfinden.

Bei der Wiederinbetriebnahme unserer Systeme erfolgt folgende Priorisierung:

Priorität Systeme Einsatzfähig nach

1

Server (sunbode1,6,16,40,atbode80,94,95) 24 Stunden

2

Mitarbeiterrechner und Sekretariat (VLAN3) 48 Stunden

3

Rechner in der DMZ (VLAN2) 1-2 Wochen,done

4

Cluster (VLAN1) 2-3 Wochen

Die Zeiträume unter Priorität 3 und 4 hängen unter anderem von der RBG, die zu diesem Zeitpunkt stark beschäftigt sein wird. Hier müssen bei manchen Rechnern die IP-Adressen geändert werden. Eine endgültige Zuordnung der einzelnen Netzwerkdosen zu VLANs kann bei einigen Räumen noch bis nach Abschluss des Umzugs dauern.

 

Zusammenfassung/Bewertung

Totale Sicherheit gibt es nicht. Die vorgestellte Lösung beseitigt die oben genannten Probleme des LRR-Netzes und stellt einen vernünftigen Kompromiss aus Sicherheitsaspekten und wissenschaftlicher 'Freiheit' dar. Da wir die Firewall selbst betreiben, ist eine flexible und auf einzelne Rechner abgestimmte Konfiguration problemlos möglich. Ein Router auf Basis eines Linuxsystems hat keine so hohe Verfügbarkeit wie eine hardwarebasierte Lösung, jedoch einen deutlich geringeren Preis (ca. Faktor 10). Sollten sich hier unerwartet Probleme ergeben, dann kann entweder ein Hotstandby-System oder ein Hardware-Router nachträglich installiert werden.

Router-Hardware

Welche Hardware zum Einsatz kommt, steht hier.

VLAN-Patchliste

Die aktuelle Zuordnung gibt es hier.





http://www.lrr.in.tum.de/~fliegl/misc/garching-netz/index.html
© 02.01.2003 D. Fliegl