LRR Netzwerktopologie in Garching (Stand
25.08.2002)
Bisheriges Netzwerk
- Viele Rechner hängen ohne Firewall direkt am Internet
- Intranets nur mancherorts, dadurch starke Heterogenität, keine
Erreichbarkeit einzelner Rechner von außen
- Keine flexible Zuordnung von Rechnern in Sicherheitszonen möglich
Planung für Garching
Lokale Gegebenheiten
- Vernetzung mit Gigabit Ethernet Glasfaser in jedem Raum
- Klimatisierte Serverräume:
- BT4 mit 2 Fasern, BT6 mit 6 Fasern (jeweils 8.4m²),
- Ein gemeinsamer Raum im Keller mit 130m²
LRR-Netzplanung
Alle Systeme bekommen eine öffentliche IP-Adresse und sind theoretisch direkt
aus dem Internet erreichbar. Eine Firewall regelt jedoch den Zugriff auf unsere
Infrastruktur. Dazu werden drei unterschiedliche Zonen festgelegt, die wie folgt
realisiert sind:

Aufteilung der beiden LRR Subnetze (131.159.32.x / 131.159.34.x) in
3 VLANs
(Virtual Local Area Networks):
- VLAN1: Wissenschaftliche Zone 131.159.35.0/24
- Nutzungsprofil: Wissenschaftlich genutzte Systeme, hohe Ansprüche
an Netzqualität (Bandbreite und Latenz), Gastkennungen.
- Gefahrenpotenial: Missglückte Experimente, Logins mit Root-Rechten,
Gastkennungen
- Teilnehmer:
- SCI Cluster
- Globus / Grid-Computer
- Sicherheitsrichtlinien:
- Eingehende Verbindungen nur via SSH (Port 22) zu smile0 erlaubt
- Abgehende Verbindungen uneingeschränkt
- Eingeschränkter Zugriff auf zentrale Ressourcen des LRRs (z.B. Gemeinsame
Softwareverzeichnisse, jedoch keine Homes)
- Kein DHCP Server der RBG, sondern eigener zum Netboot der SMiLE Clients
- VLAN2: Demilitarisierte Zone (DMZ) 131.159.34.0/24
- Nutzungsprofil: Systeme, die entweder nicht besonders
schützenswert sind oder selbst ein Sicherheitsrisiko darstellen.
- Gefahrenpotential: Versehentliche oder absichtliche Fehlkonfigurationen,
Angriffsversuche (Scriptkiddies), Logins mit Root-Rechten,
Gastkennungen
- Teilnehmer:
- Azubis
- Labor
- TGI
- Selbstadministrierte Rechner
- Webserver, Printserver
- Wireless LAN Accesspoint
- Sicherheitsrichtlinien:
- Abgehende Verbindungen nur via SSH oder via transparentem Web-Proxy,
- Kein Routing für andere Ports, um Rootkits, Trojanern und
(ungewolltem) Filesharing Einhalt zu gebieten
- Kein Zugriff auf zentrale Ressourcen des LRRs (NFS Mounts, Windows
Shares, etc.)
- VLAN3: LRR Intranet Zone 131.159.32.0/23
- Nutzungsprofil: Systeme, die als vertrauenswürdig gelten, zentral
administriert sind und von Mitarbeitern benutzt werden
- Gefahrenpotential: Missbrauch von Root-Rechten, versehentliche oder
absichtliche Installation von Rootkits oder Trojanern
- Teilnehmer:
- Mitarbeiter
- Sekretariat
- Zentrale Dienste (Server)
- Werkstatt
- Sicherheitsrichtlinien:
- Eingehende Verbindungen nur via SSH (Port 22) zu sunbode1 und atbode100 erlaubt
- Abgehende Verbindungen uneingeschränkt
- Voller Zugriff auf die anderen VLANs und deren Ressourcen (NFS Mounts,
Windows Shares, Drucker, etc.)
- Ausnahmeregelungen für wohlbegründete Anliegen möglich (Mailserver, etc)
Öffentlich zugängliche Dienste
Diese Dienste sind aus öffentlichen Netzen erreichbar:
- HTTP und HTTPS
- POP3 via SSL
- IMAP via SSL
- SSH
- VPN via IPSEC (kein PPTP, weil es als
unsicher
gilt)
- Web Proxy für 131.159.0.0/16 und 129.187.0.0/16
Realisierung
Obwohl alle Fasern in einem zentralen Raum im Keller zusammengeführt werden,
ist eine Auftrennung in VLANs möglich. Die Aufteilung wird durch tagged VLANs
nach IEEE 802.1q realisiert. Die Router und Switches in Garching beherrschen die
nötigen Protokolle. Rechner können nicht ohne Umstellung der IP-Adresse oder
Umkonfiguration eines Ports am Switch zwischen den Zonen hin und her bewegt
werden. Dadurch ist auch mit gefakten IP-Adressen ein Missbrauch nicht möglich.
Unsere zentralen Server (voraussichtlich 7 Systeme:
sunbode1,6,16,40,atbode80,94,95, etc) werden im Keller stehen und damit keinen Platz
in den sehr klein bemessenen Serverräumen in BT4 und 6 belegen. In diesen
Serverräumen werden lediglich 'interaktive Komponenten' abgestellt. Dazu zählen
Rechner mit angeschlossenen oder eingebauten CD/DVD-Writer, DAT-Streamer,
Drucker etc.
Als Firewall und Router wird ein dediziertes Linux System, basierend auf
IP-Tables, dienen. In diesem System werden zwei Gigabit Netzwerkkarten
betrieben, die an tagged Ports hängen. Dadurch kann eine flexible Aufteilung der
Netzsegmente und Bestimmung von Firewallregeln stattfinden. Die RBG nimmt für
uns die Konfiguration der Switches und des zentralen Informatik Routers vor. Der
LRR-Router wird über ein Transitnetz mit dem Informatik Router
kommunizieren und das Netz 131.159.32.0/22 auf Netzwerkkarte 1 geroutet
bekommen. Unser Router wird via 802.1q Tags auf den Ethernetframes in die
einzelnen VLANs via Netzwerkkarte 2 routen. Die Vergabe der IP-Adressen und Hostnamen wird weiterhin
durch die RBG stattfinden. DHCP-Requests werden über ein DHCP-Relay an den
zentralen DHCP Server weitergeleitet.
Zeitplan
Bereits vor dem Umzug werden wir zusammen mit der RBG in Garching diverse
Ortstermine vornehmen. Installation und Tests unseres Routers sollten bereits
Anfang Juli abgeschlossen sein. Zu diesem Zeitpunkt sollten auch eine vorläufige VLAN Konfiguration bei den Switches aktiv sein.
Für den Routertest werden wir ein Subnetz von der RBG zum Testen benötigen, da
der LRR Adressraum in Verwendung ist. Die endgültige Portzuordnung
wird dann während und nach dem Umzug stattfinden.
Bei der Wiederinbetriebnahme unserer Systeme erfolgt folgende Priorisierung:
| Priorität |
Systeme |
Einsatzfähig nach |
|
1 |
Server (sunbode1,6,16,40,atbode80,94,95) |
24 Stunden |
|
2 |
Mitarbeiterrechner und Sekretariat (VLAN3) |
48 Stunden |
|
3 |
Rechner in der DMZ (VLAN2) |
1-2 Wochen,done |
|
4 |
Cluster (VLAN1) |
2-3 Wochen |
Die Zeiträume unter Priorität 3 und 4 hängen unter anderem von der RBG, die
zu diesem Zeitpunkt stark beschäftigt sein wird. Hier müssen bei manchen
Rechnern die IP-Adressen geändert werden. Eine endgültige Zuordnung der
einzelnen Netzwerkdosen zu VLANs kann bei einigen Räumen noch bis nach Abschluss
des Umzugs dauern.
Zusammenfassung/Bewertung
Totale Sicherheit gibt es nicht. Die vorgestellte Lösung beseitigt die oben
genannten Probleme des LRR-Netzes und stellt einen vernünftigen Kompromiss aus
Sicherheitsaspekten und wissenschaftlicher 'Freiheit' dar. Da wir die Firewall selbst
betreiben, ist eine flexible und auf einzelne Rechner abgestimmte Konfiguration
problemlos möglich. Ein Router auf Basis eines Linuxsystems hat keine so hohe
Verfügbarkeit wie eine hardwarebasierte Lösung, jedoch einen deutlich geringeren
Preis (ca. Faktor 10). Sollten sich hier unerwartet Probleme ergeben, dann kann
entweder ein Hotstandby-System oder ein Hardware-Router nachträglich installiert
werden.
Router-Hardware
Welche Hardware zum Einsatz kommt, steht hier.
VLAN-Patchliste
Die aktuelle Zuordnung gibt es hier.