La xarxa educativa del centre s'estructura en 6 subxarxes o VLAN's diferents:
El switch de capçalera existent al centre es configura per disposar de 6 VLAN's.
Rang d'IP's per cada VLAN / Zona de seguretat:
El router-firewall actua com nucli de la xarxa amb el fi de garantir el seu bon funcionament.
El switch de capçalera (R0SC0) s'allibera de les funcions de nivell 3, evitant els possibles col·lapses en el mateix davant la quantitat de tràfic que presumiblement haurà de gestionar.
El router-Firewall proporcionarà la versatilitat i seguretat necessària per el bon funcionament de la xarxa.
En aquest equip s'establiran les polítiques de pas entre cadascuna de les VLAN existents a la xarxa local, tant a nivell de direccions origen, destí i servei.
L'equip s'encarregarà també d'encaminar tot el tràfic entre les VLANs corresponents i les sortides a Internet ja sigui XEBA o línies EDUCAT, a través del servidor proxy-cache.
Aquest element permet la simplificació de les tasques del servidor proxy-cache pel que fa a filtrat de serveis.
D'aquesta manera el servidor proxy-cache es dedicarà exclusivament a la seva funció de cache i filtrat de continguts.
Així mateix el router-firewall permet funcions de traffic shapping, amb el qual és possible garantir ampla de banda a determinats serveis importants, quedant la resta per altres serveis (p2p limitat).
El controlador realitzarà les funcions següents:
Independentment del fabricant i arquitectura escollits, s'utilitzarà la infraestructura sense fils centralitzada per radiar les xarxes educat, eduroam i docent, mapejats a les VLAN corresponents.
D'aquesta forma es podran desactivar els punts d'accés preexistents al centre (que radien les xarxes eduroam i wifidocent), eliminant així la interferència creada en el sistema.
Així doncs, en el cas de que existeixin punts d'accés Heura en zones susceptibles de solapament de cobertura, aquests AP Heura es desconnectaran.
Això permetrà aconseguir un espectre més net, un augment de rendiment en les 3 xarxes i un increment de cobertura en xarxes eduroam i docent.
*Cal verificar amb els responsables de centre educatiu el número i adreces IP dels servidors
*Al controlador Wi-Fi, al servidor proxy-cache i al router-firewall es crea un usuari de consulta (en cas de dubte contacteu amb SAU).
*** En el cas que els ordinadors del centre tinguin la passarel·la per defecte configurada a la IP 192.168.0.5 a la VLAN2, es posarà com a IP del router-firewall a la VLAN2 la IP 192.168.0.5
El servidor DHCP de la xarxa s'allotja al router-firewall.
Assignarà direccions en totes les VLAN, controlant especialment les assignacions en la VLAN2 (docent) i VLAN10 (administració) amb la fi d'evitar solapaments.
Cas que no sigui possible contactar amb un responsable del centre que tingui la informació al respecte es deixarà direccionament estàtic per la VLAN2 a fi d'evitar els solapaments esmentats.
Les VLAN no seran visibles entre sí excepte les excepcions comentades més endavant en l'apartat de polítiques de firewall.
El tràfic TCP de la VLAN7 (eduCAT) es redirigirà al servidor proxy-cache allotjat a la DMZ1.
El tràfic UDP de la VLAN7 (eduCAT) sortirà directament cap a les línies eduCAT, aplicant NAT en aquest pas.
El tràfic de la VLAN2 (docent), VLAN4 (gestió d'electrònica), VLAN5 (eduroam), VLAN6 (video i telefonica IP) i VLAN10 (administració) es redirigirà al router XEBA, sense passar pel proxy-cache.
El proxy-cache es connectarà a Internet a través de les línies eduCAT i no XEBA.
En aquest pas el router-firewall realitzarà NAT.
S'aplicarà balanceig de càrrega entre les diferents línies educat, aplicant diferents pesos en funció del cabdal ofert per les mateixes.
Únicament es permetrà l'accés des de Internet als equips interns mitjançant túnel IPSEC.
Es farà mitjançant l'habilitació de dos accessos formats per usuari i paraula de pas diferents, un per a la VLAN2 i l'altre per a la VLAN4.
Aquests accessos no seran operatius fins que el CGP habiliti el funcionament a través del router XEBA (ports 50 i 51 TCP, 500 UDP).
S'aplicaran les polítiques de pas pertinents dels servidors del centre instal·lats en la VLAN2, segons peticions del centre, cap a la VLAN7 i VLAN10.
A les VLAN2, VLAN5, VLAN7 i VLAN10, s'aplicaran polítiques per tal d'assegurar el correcte funcionament de certs serveis prioritaris en l'accés a Internet.
La VLAN4 i la VLAN6 tindran sortida a Internet amb connexió establerta, on no es prioritzarà entre els diferents serveis d'accés a Internet.
En el cas de centres amb Fibra òptica/WiMAX, la sortida del proxy-cache i UDP de educat es realitzarà a través de XEBA ja que serà comú.
Es defineixen els següents serveis TCP com preferents:
Es defineixen els següents serveis UDP com preferents:
Al router-firewall es crearan les següents polítiques (unidireccionals):
** Les polítiques en qüestió s'encarregaran de redirigir tot el tràfic de manera unívoca i bidireccional, permetent així el funcionament del servei de videoconferència de l'XTEC.
*** Aquesta política estarà activa sols durant l'horari lectiu.
Es limitaran les sessions NAT per usuari fixant-les en un màxim de 200.
S'habilitarà detecció d'atacs DoS per al tràfic de la VLAN2 i la VLAN7.
Els APs del projecte eduCAT es connectaran contra una SSID anomenada educat1x1 redirigida a la VLAN7.
Aquesta xarxa està basada en WPA2-PSK i xifrat AES, on la clau d'accés serà específica del centre.
Els APs del projecte eduCAT publicaran també una SSID anomenada docent redirigida a la VLAN2.
L'autenticació d'aquesta xarxa està basada en WPA-PSK i xifrat TKIP, a on la clau d'accés serà el codi del centre.
Els APs del projecte eduCAT publicaran també una SSID anomenada eduroam redirigida a la VLAN5.
Aquesta xarxa estarà basada en WPA Enterprise amb validació 802.1x, amb encapsulat EAP-PEAP/MSCHAPv2 i xifrat TKIP/AES, a un servidor radius local, amb informació del Departament d'Ensenyament.
La identificació hauria de comprovar l'autentificació a LDAP.
Les dades de configuració dels Punts d'Accés per fer la validació a eduroam són les mateixes que trobareu a la documentació d'HEURA.
En cas de dubte, contacteu amb el SAU.
La configuració dels APs serà directament gestionada pel controlador Wi-Fi.
La configuració per defecte del ports del switch principal o de capçalera és la següent:
Fes clic a la imatge per visualitzar-la amb detall.