JSF Journée Sans-Fil. Grenoble. Architecture sécurisée de niveau 3 : VPN. Patrick.Petit@grenet.fr

Transcription

1 Grenoble Architecture sécurisée de niveau 3 : VPN Patrick.Petit@grenet.fr

2 Plan Contexte Solution technique déployée Coût du déploiement Exploitation de la solution Statistiques d utilisation Bilan de la solution et avenir

3 Contexte

4 Déploiement académie de Grenoble Contexte 5 Universités (UJF, UPMF, Stendhal, INPG, Savoie) étudiants, personnels Plusieurs campus mutualisés 5 CRI + 1 Service Inter-U Des centres de ressources informatiques dans les Universités Un inter-u fédérateur (Réseau métropolitain sur Grenoble) Le CNRS puis le CROUS de l académie ont rejoint l infrastructure existante

5 Solution technique déployée

6 Déploiement : comment ça marche? Les bornes présentent un SSID ouvert L utilisateur se voit affecter une adresse IP privée L utilisateur accède : aux concentrateurs VPN de son établissement qui l authentifie au site Web Inter-U de diffusion du logiciel client VPN-IPSec Authentification/Chiffrement : solution «VPN IPSec» On ne peut rien faire sans s authentifier On établit un tunnel chiffré pour sécuriser les échanges sans-fil Suivi des connexions la solution retenue offre une traçabilité complète des connexions Raccordement des campus distants avec des tunnels

7 Principe d architecture technique sans-fil campus Serveurs Radius/Ldap Concentrateur VPN Serveur DHCP Routeur organisme 1 Routeur inter-u Vers réseaux extérieurs, Renater Et le reste du monde Routeur organisme 2 Routeur organisme i Serveurs Radius/ldap Concentrateur VPN Filtrage trafic Sans-fil/VPN Filtrage trafic Sans-fil/VPN Serveur DHCP VLAN sans-fil organisme 1 Réseaux filaire organisme 1 VLAN sans-fil organisme i Réseaux filaire organisme i

8 Scénario de connexion VPN-IPSec Serveurs Radius/Ldap Routeur inter-u Vers réseaux extérieurs, Renater Et le reste du monde Serveurs Radius/ldap Concentrateur VPN Concentrateur VPN Serveur DHCP Routeur organisme 1 Routeur organisme 2 Serveur DHCP PC organisme 1 PC organisme 2

9 Annuaire d établissement DSIGU HARPEGE (SGBD) Grenoble 1 Réplicat LDAP Connecteur Radius Grenoble 2 / INPG Free radius users users VPN LDAP Réplicat LDAP Free radius VPN Grenoble 1 Grenoble 2 Grenoble 3 Grenoble 3 Réplicat LDAP Cisco ACS VPN IMAG Free radius APOGEE (SGBD) LDAP Connecteur Radius users VPN

10 Mode de gestion des utilisateurs hors établissements Pour les conférences suivant les établissements : création de comptes temporaires sur les serveurs radius. une clé partagée en WPA ou WPA2 est mise à disposition des participants (restriction des services), Pour le CROUS de l académie côté utilisateurs : les BTS sont enregistrés dans un annuaire indépendant.

11 Déploiement académie de Grenoble Déploiement au coup par coup Chaque établissement déploie ses sites en fonction des demandes et du budget réalise l identification/authentification de ses utilisateurs gère et supervise son réseau sans-fil Une solution technique commune : VPN IPSec

12 Politique de sécurité du réseau sans-fil Chaque établissement a sa politique de sécurité : Restriction des services accessibles suivant le type de population : étudiants, personnels, enseignants/chercheurs, accès réservé uniquement à la population de l établissement, accès ouvert à tous quelque soit l établissement. Restrictions horaires dans certains cas (nuit, weekend)

13 Coût du déploiement

14 Les coûts de la solution Coûts (hors déploiement des bornes) Serveurs d'authentification Serveur Dell ACS Cisco Clients VPN Cisco multi-plateformes gratuits Concentrateur VPN 3030 : (1 500 connexions) Bornes Cisco AP1121G : 530

15 Exemples de coût matériel Université Joseph Fourier : minimum bornes (Cisco AP1121) 4 concentrateurs VPN Université Pierre Mendès France : minimun bornes (Cisco AP1120B, AP1121G, AP1130AG) 1 concentrateur VPN Université de Savoie : minimum bornes déployées (AP Cisco 1231g/1130g) 2 concentrateurs VPN 3020

16 Budget de déploiement des CROUS pour l académie CCTP réalisé par une société extérieure 1 ère tranche CROUS Grenoble et Chambéry Projet pour chambres réalisé au 1 er semestre 2007 Génie Civil et fibre optique : Câblage et équipements actifs : bornes et 2 contrôleurs de bornes 2 ème tranche CROUS Grenoble Projet pour chambres en cours de déploiement Génie Civil et fibre optique : Câblage et équipements actifs : bornes et 1 contrôleur de bornes

17 Exploitation de la solution

18 Gestion des équipements Temps de maintenance des boîtiers VPN quasi nul Tester les nouvelles révisions des clients, des surprises sont toujours possibles (déboires avec Vista) Les bornes sont supervisées par des scripts Etude d une solution de gestion centralisée des bornes

19 Support et assistance Assistance aux étudiants pour la configuration du client VPN Un guichet sur le campus : ouvert 20h/semaine Trois guichets sur des sites distants sur Grenoble : ouverts 2h/semaine. Assistance informatique pour les étudiants, à la DSI Grenoble Universités : ouvert du lundi au vendredi de 9h à 17h non-stop Mise en place d un service Web commun entre les différents établissements pour : la configuration de l accès nomade la diffusion d une carte de couverture sans-fil

20 Statistiques d assistance Nombre d interventions pour la configuration du client VPN durant la période du 04/09/06 au 31/01/07 : En moyenne 5 interventions de configuration de client VPN par jour à l assistance informatique Nombre de consultations de la page d aide VPN Wifi entre le 20/11/2006 et le 23/02/2007 : 594 Le temps d installation du client VPN : 5 minutes dans le meilleur des cas en moyenne 20 minutes si des logiciels entrent en conflit (pare feu, antivirus, système instable ) 30 minutes voire plus si l étudiant ne connaît pas son login et/ou son mot de passe

21 Moyens humains mis en oeuvre Ingénierie de mise en place 1 ETP pour l ensemble des établissements Exploitation quotidienne Assistance : 1 ETP + roulement de 5 étudiants ( 1 ETP) Ils ont pour tâche la production des ressources présentes sur le site de l assistance informatique étudiant. L assistance prend en charge les étudiants pour : le bureau virtuel, ENT, LMS, Wifi, messagerie, bureautique, hard, Gestion des bornes : 1 ETP pour l ensemble des établissements

22 Statistiques d utilisation

23 Statistiques d utilisation du réseau La métrologie est à la charge de chaque établissement Université Joseph Fourier : 200 bornes (Cisco AP1121) 4 concentrateurs VPN Depuis 2005, étudiants et 464 personnels/invités différents 22/01/ Total % Total des connexions Personnels & Invités ,13 % Total des connexions des Etudiants ,56 % Total de toutes les connexions ,00 %

24 Statistiques suite Université Pierre Mendès France : 50 bornes (Cisco AP1120B, AP1121G, AP1130AG) 1 concentrateur VPN 13/06/ Total Total de toutes les connexions Institut National Polytechnique de Grenoble : nombre de bornes non recensées 1 concentrateur VPN 23/01/ Total Total de toutes les connexions Nombre réel d utilisateurs

25 Statistiques suite Université de Savoie : 171 bornes déployées (AP Cisco 1231g/1130g) 2 concentrateurs VPN 3020 en équilibrage de charge et redondance utilisateurs différents depuis mai sites couverts : Annecy, Chambéry, Jacob Bellecombette, Le Bourget Zones les plus fréquentées : Salles de réunion, amphis, salles de cours, lieux de vie (accueil, cafétéria, couloirs aménagés)

26 Bilan de la solution et avenir

27 Solution retenue pour le déploiement Avantages Possibilité de connexion dans tous les campus de l académie Homogénéité de la solution retenue Confidentialité des échanges garantie Sécurité des réseaux conventionnels garantie Respect de la charte d utilisation du réseau Solution utilisable en nomade quelque soit le réseau utilisé (sans-fil mais aussi adsl, ethernet, rtc )

28 Solution retenue pour le déploiement Inconvénients Installation d un logiciel sur les postes clients (téléchargement du client, droits d installation, conflits avec des applications tierces) Gestion lourde de l identification/authentification des utilisateurs le déploiement n est pas immédiat (mise à jour de l annuaire) Gestion d un visiteur/invité Serveur VPN = goulot d'étranglement : en terme de performances (chiffrement), en terme de fiabilité (redondance possible). Impossibilité de monter un tunnel VPN dans un tunnel VPN Un réseau sans-fil ouvert peut facilement être paralysé Restreint à un usage interne aux Universités Grenobloises Savoie Les agressions de vol à l arraché avec ou sans violence sont courantes, surtout en période nocturne

29 Autres méthodes d accès sans fil Aucune autre méthode d accès sans fil n est en production au niveau des Universités Grenobloises et de Savoie Il n en reste pas moins que de nombreux tests ont été réalisés et que pour l instant : soit la traçabilité offerte n est pas satisfaisante soit l usage n est pas confortable pour l utilisateur

30 Accès sans fil pour du Web «Cahier des charges précis» : «90 % des besoins des nomades sont de type Web pur» Simple en manipulation Accès Web pur Trace des utilisateurs Plusieurs types de solutions ont été étudiés dans ce cadre : Taxonomie propriétaire des solutions testées : L approche Proxy avec Auto détection (sans client) L approche Proxy Transparent (sans client) L approche WEB-VPN-SSL (client léger) L approche «portail captif» (sans client)

31 Intégration à Eduroam On a été partie prenante au début d Arredu précurseur Eduroam en France, et on continue de suivre le projet Nous sommes convaincus de l apport de la proxification radius L authentification en i ou WPA2 reste en suspens concernant la traçabilité la configuration des postes nomades

32 L avenir Réflexion sur la salubrité des postes (patchs + antivirus) Déployer une solution pour un meilleur accueil des invités avec comme contrainte la traçabilité Aller vers Eduroam