Déploiement d une solution de téléphonie IP dans un campus (4 200 postes)

Transcription

1 JSSI Sécurité et dépendance - aux nouvelles technologies 22 mai 2006 Déploiement d une solution de téléphonie IP dans un campus (4 200 postes) Loïc PASQUIET

2 PLAN Présentation du projet : contexte, Le projet : sa mise en oeuvre Premier bilan / architecture : les composants

3 PLAN suite La sécurité : les éléments retenus Quelques mécanismes du fonctionnement

4 Présentation du projet (1) Elèves et étudiants Militaires 1500 Professeurs Chercheurs / ITA Personnel administratif Ouvriers Autres (allocataires, emplois jeunes, CES ) Un réseau informatique récent interconnectant tous les postes de travail Un réseau téléphonique de 4200 postes ~ 4000 personnes

5 Le projet : sa mise en œuvre (1) Etude d opportunité et schéma directeur Appel d offres sur performances (PFD) Maquettage sur deux mois Mise au point du CCTP SECURITE Postes IP Vlans Niveau 3 Redondances Choix de l intégrateur-constructeur

6 Le projet : sa mise en œuvre (2) Présentation des scénarios étudiés Scénario 1 : tout en technologie voix sur IP (ToIP) Scénario 2 : tout en technologie numérique conventionnel (TCO) Scénario 3 : mixte (Résidents en TCO, ERA en ToIP) Le comité exécutif de l Ecole a choisi le scénario 1 : le tout IP

7 Elements financiers Un budget prévisionnel pour la ToIP comparable aux investissements de 1990 Couvre l architecture (voix/data), les 4200 postes, les prestations et la maintenance 300 euros par abonné dont 100 euros de poste

8 Le projet : sa mise en œuvre (3) 2005 : système pour 1600 postes et 600 postes en production, 2006 : les 1000 résidents actuels, 2007 : extension du système à 4200 postes et équipement de la recherche (1600 postes), 2008 : équipement enseignement et administration (1000 postes) => arrêt PABX

9 Premier bilan (1) Quelques éléments 2 salles télécoms redondantes Architecture du transport de la voix séparée 600 postes en production, 1600 à l été Interconnexion QSIG à renforcer Audit externe ToIP favorable Régions téléphoniques

10 Premier bilan : architecture ToIP (2) Configuration cible Postes IP Call server Serveur de communication S8700 S 8700 Serveur de communication S8700 OPER. OPER.. PABX ALCATEL L QSIG C-LAN Med-pro Passerelles de communication G650 Media Gateway G 650 Passerelles de communication G650 Réseau LAN

11 La sécurits curité (1) Garantir la continuité de service par la mise en place d une protection contre: Les défaillances de liens physiques ou d équipements Les attaques La dégradation de la qualité de service (QoS) Empêcher les écoutes téléphoniques

12 Redondance des liens physiques, des équipements et des passerelles La sécurits curité (2) Secours électrique (onduleurs dans tous les locaux techniques) 802.3af (alimentation par la prise RJ45) Redondance des call servers Redondance des passerelles par défaut des téléphones : VRRP Redondance des liens optiques : EAPS

13 PWRNMARED NMA LNK COL TX RX RDX Lucent Technologi es * 8 # Cajun P112T SD Modem Bank PWR OK WI C0 ACT/CH0 AC T/CH 1 WIC0 ACT/CH0 AC T/C H1 ETH ACT CO L PWRNMARED LNK COL TX RX RDX NMA Lu cen t Technologies * 8 # SD Cajun P112T Schéma du réseau r voix / données DMZ 1 DNS HTTP MX polytechnique.fr Routeur WAN Wan NRD Orsay 100 Mbits Renater 3 La sécurits curité (3) Administration DMZ 2 PROXIES WEB R S Ens Tél B Tél A VRRP MASTER EAPS VRRP BACKUP PIX 515 UR Serveur DHCP/TFTP Téléphonie ACTIF PASSIF Serveur DHCP/TFTP Téléphonie Administration du Administration Application système (Linux) réseau (windows) DEM ANCIEN SYSTÈME TELEPHONIQUE ALCATEL 4300L T2 QSIG Modular Messaging Serveur de taxation Réseaux données Réseaux téléphonie ACTIF SYNCHRONISATION PASSIF

14 PWR NMA RED NMA LNK COL TX RX RDX Lucent Technologies * 8 # Cajun P112T SD Redondance du routeur par défaut d VRRP (RFC 2338) La sécurits curité (4)

15 S Y S M O N CONSOLE PORT 50 PORT 49 MGMT AMBER GREEN DIAG STATUS A B PSU CONSOLE MODEM MGMT STATUS STATUS - ACTIVITY - LINK OK AMBER - ACTIVITY GREEN - LINK OK FLASHING ORANGE - DISABLED 1 LINK\ ACTIVE 2 PCMCIA 3 4 TM 1000 BASE-X SMM i GM-4X i FM-24F i BASE-FX Extreme Networks Summit48si S Y S M O N S Y S M O N CONSOLE AMBER GREEN PORT 50 PORT 49 MGMT DIAG STATUS A B PSU CONSOLE MODEM MGMT STATUS STATUS - ACTIVITY - LINK OK AMBER - ACTIVITY GREEN - LINK OK FLASHING ORANGE - DISABLED 1 LINK\ ACTIVE 2 PCMCIA 3 4 TM 1000 BASE-X SMM i GM-4X i FM-24F i BASE-FX Extreme Networks Summit48si S Y S M O N Boucles EAPS (RFC 3619) : convergence <50ms La sécurits curité (5) AVAYA P580 R AVAYA P580 ENS AVAYA P580 S AT-104-XL AT-104-XL AT-104-XL lien résilient ENS lien résilient S lien résilient R lien résilient KEPHREN Pile de 2 P334T-ML (KEPHREN) AT-104-XL AT-104-XL AT-102-XL AVAYA AT-104-XL AVAYA TM 3804 TM :2 Primary Up 1:2 Primary Up 2 VLAN protégés Mode MASTER 1303 : interco-pix Mode TRANSIT 1127 : dhcptoip 2:17 Secondary Blocked 2:17 Secondary Up Packet Alarm Packet Alarm

16 Protection contre les attaques La sécurits curité (6) Code téléphonique renforcé Séparation des VLAN voix/données Quadruplet de protection VLAN-IP), 802.1x (été 2006) Sonde Intrusive Packet Alarm, filtrage L4 Call Servers avec unix épuré Bus TDM entre G650 et CallServer (pas de trafic IP possible) Régions téléphoniques «étanches»

17 Distribution Linux RedHat (certifiée e par le DoD) La sécurits curité (7) Invalid shadow passwords No Direct ROOT access Partition/NOEXEC Hard Drives Software upgrades are digitally signed Backup files encryptet CAST5/AES Intrusion Detection Checking via Tripwire Separate Physical Interfaces for VoIP, Admin, and Control. Inherent IP Chains Firewall HTTPS SSH SNMPv3 TCP Wrappers Logging all connection attempts Statefull Failover NTP Authentication Network Interface Defense Native Red Hat OS Kernel Security Enhancements

18 Code des téléphones t renforcé La sécurits curité (8) Restricted Access to Local Administration Procedures (can be PIN protected) Restricted end user s ability to view Network settings Pasword protection of personal Information SNMP queries to (read-only) MIB only from configured management stations Harden Real Time OS VX works DOS Protection

19 Protection contre les écoutes téléphoniquest La sécurits curité (9) Chiffrement du payload des packets RTP (contenant de la voix numérisée) AEA (Advanced Encryption Algorithm) RC4-104 bits AES réduit de 25% le nombre de communications simultanées assuré par un même codec mais plus le cas bientôt.

20 PWR NMA RED NMA LNK COL TX RX RDX Lucent Technolo gies * 8 # Cajun P112T SD PWR NMA RED NMA LNK COL TX RX RDX Lucent Technolo gies * 8 # Cajun P112T SD Les mécanismes m : démarrage d (1) REGION R 1 et 2 3 R S Ens REGION KEPHREN Tél A Tél B VRRP Serveur DHCP/TFTP Téléphonie 1 : Echange DHCP pour l'obtention d'une adresse IP + Option 176 (vlan,gatekeeper,tftp...) 2 : Mise à jour éventuelle du firmware via le serveur TFTP 3 : Enregistrement du poste sur une C-LAN et initialisation des appels (H225.0) - RAS (UDP:1719) - Signalisation Q931 (TCP:1720) qui permet : l'établissement de l'appel la libération de la ligne Réseaux données Réseaux téléphonie la signalisation : occupation, non réponse, etc

21 PWR NMA RED NM A LNK COL TX RX RDX Lucent Technologies * 8 # Cajun P112T SD PWR NMA RED NM A LNK CO L TX RX RDX Lucent Technologies * 8 # Cajun P112T SD Les mécanismes m : communication Inter-Régions (2)

22 PW R NMA RED NMA LNK CO L TX RX RDX Lucent Techno log ies Cajun P112T SD PW R NMA RED NMA LNK CO L TX RX RDX Lucent Techno log ies * 8 # Cajun P112T SD Les mécanismes m : communication Intra-Régions (IP-IP) IP) (3) REGION R 3 Tél B 2 REGION R R 3 1 Tél A * 8 # VRRP 1 : Demande d'établissement d'une communication (Signalisation H.225) 2 : Le système fait sonner le poste désiré 3 : Etablissement de la communication RTP en mode shuffling (voix) La signalisation H.323 est maintenue par le S8700 via les C-LAN Réseaux données Réseaux téléphonie

23 Bibliographie Security Alliance de la voix sur IP. crée fin National Institute of Standards and Technology, Special publication , Security Considerations for Voice over IP Systems, January,

24 DES QUESTIONS?