Management univerzitní sítě dnes a zítra Petr Dadák dadak@uikt.mendelu.cz

Obsah Jakou síť chceme Síť včera, dnes a zítra Automatizovaná správa síťe Dohled nad sítí Bezpečnost Ukázka nástrojů (nagios, nessus)

Jakou síť chceme Vysoká spolehlivost, lepší než elektřina Přenosová rychlost Nízká odezva Propustnost tj. Kvalita služeb (např. nároky IPtelefonie) Bezpečnost

Síť včera Většinou neinteligentní prvky nemanagovatelné nebo mizerně nedostatečné možnosti monitoringu Neexistence bezpečnostních mechanismů - firewall Poruchovost (je to i o lidech) Neexistence redundance spojů a prvků Mimo zapojení nulová znalost sítě

Síť dnes I. Zásadní změna používaných technologií Firewall Jádro sítě – Catalyst 6509 + servis Inteligentní switche Počátky redundance (etherchannel) – 2xMU Spolehlivost, propustnost, rychlost Omezení zbytečného traficu Firewall ochrana proti vnějším útokům a binci zevnitř DMZ pro servery UIS a SAP

Síť dnes II. Dokumentace Zálohování konfigurací a reporty změn UIS Zmapování a čištění ip prostoru - vlany Zapojení konkrétních zařízení Zálohování konfigurací a reporty změn Návyky správců zapojování kabelů :( témeř non-stop dohled a rychlá reakce

Síť zítra I. Zvýšení spolehlovosti Navýšení odolnosti Vrtišpunta – druhý SE i upgrady IOS bez nutnosti výpadku Zdvojení FW - heartbeat Síť jako graf s kruhy – redundantní spoje Routování mezi budovami (OSPF, BGP) A zároveň některé vlany v celém areálu Rozkládání zátěže Obrázek na tabuli

Síť zítra II. Kvalitní infrastruktura pro: IP telefonie (nízká latence a jitter) Video konference Další běžné aplikace Maximalizace sběru dat o síti Statistiky provozu, sledování špiček Podklady pro dalším směřování rozvoje Detekce anomálií částečně příspěvek kolegy Fortelného

Automatizovaná správa Zdrojem dat UIS DNS, DHCP, Vlan, Zapojení, Bezpečnost Více příspěvek kolegy Procházky Generování pravidel FW Využívání vlastností prvků Cisco IOS - telnet CDP – informace o sousedech, VTP Při zapojení nového prvků stačí, aby měl IP. Udělátka nakonfigurují zařízení a zaevidují do UIS

Dohled nad sítí Monitoring klíčových zařízení a služeb Kontrola používání IP (omezení plýtvání) SNMP statistiky, grafy, reporty - zátěž Přehled o dění v síti Dostupnost

Bezpečnost Vnější a vnitřní Firewally, separace vlan Bezpečnost na L2 (bpdu, trunk) Sledování traficu – snort Pohyb arp adres – arpwatch OS fingerprinting – detekce změny OS Centralizované vyhodnocování logů Aktivní reakce na útok – aktivní IDS Reakce na anomálie

Ukázka nástrojů Nagios Nessus

Děkuji za pozornost. Dotazy ?