Harjoitustyö. Laajakaistatekniikka Verkkoprotokollat WAN-Tekniikka. Ilker Sürmeli

Transkriptio

1 Harjoitustyö Laajakaistatekniikka Verkkoprotokollat WAN-Tekniikka Ilker Sürmeli Mediatekniikan koulutusohjelma Tekniikan ja liikenteen ala

2 1 Sisällys 1 Johdanto Yleiskuvaus Verkkosuunnittelussa perus komponentit Access Layer Distribution Layer Core Layer Backbone Layer Korkeakoulun toimipisteiden lähiverkko (LAN) Korkeakoulun pääkampus Cisco ASR 1006 Reititin Korkeakoulun pieni kampus Cisco 2900 sarja reititin Verkkosuunnitteluiden kerroksien suunnittelu Pääkampuksen ja pieni kampuksen core layer suunnittelu Cisco Nexus Pääkampuksen distribution layer verkkosuunnittelu Cisco Catalyst 6500-E sarja kytkin Pieni kampuksen distribution layer verkkosuunnittelu Kampuksien access layer verkkosuunnittelu Korkeakoulun palvelut VoIP ja PSTN WLC WLC WAN prosessi Data Center Palvelintyypit Tietoturvapalvelut (WSA)(DMZ)(VLAN)(VPN) WSA (Cisco Web Security Appliance) DMZ... 17

3 6.4.3 VLAN VPN alaisille kampuksille WAN Carrier Ethernet MPLS/VPLS MPLS-Tekniikka VPLS Topologiat Pääkampus fyysinen topologi Pieni kampus fyysinen topologi Pääkampus looginen topologi Pieni kampus looginen topologi Lähteet Johdanto Harjoitustyö kattaa kolmen kurssin (Laajakaistatekniikka, Verkkoprotokollat ja WAN tekniikka) pakollisen harjoitustyön. Harjoitustyössä ryhmän tehtävänä on toteuttaa tietoverkkosuunnitelma kuvitteelliselle yritykselle. Harjoitustyön aiheena on toteutettu korkeakoulun kampusverkkosuunnittelu. Harjoitustyön tekee Ilker Sürmeli.

4 3 2 Yleiskuvaus Harjoitustyössä on toteutettu suuren suomalaisen korkeakoulun opetusverkon ja kampusverkon suunnittelu. Verkon suunnittelussa huomioitu opiskelijoille tarjottavien palveluiden toteutus, opetustilojen sekä eri kampuksien yhteyksien suunnittelu. Päätoimipisteenä toimii korkeakoulun pääkampus, jonka verkko on suurin. Lisäksi on neljä pienempää kampusta. 3 Verkkosuunnittelussa perus komponentit Kuva 1 Verkkosuunnittelussa perus komponentit

5 4 3.1 Access Layer Tämä kerros käytetään yhdistämään päätelaitteet niin kuin palvelin, pc, tulostimet, yne. Oletetaan että palvelimet ovat yhdistetty kaksi adapterin kautta. Joustava verkon tapologi lopetetaan vimeisimmassa kytkimessä. Melkein kaikki laitteet yhdistetään yksittäineen ethernet portin kautta. Kuva 2 Päätelaitteiden yhdistäminen 3.2 Distribution Layer Tämä kerros säätää L2 jakaminen kytketyn verkon kautta. Aika yleistä käytetty ratkaisut ovat Spanning Tree Protocol. Ja jonkin verran käytetty protokollat ovat enemmän kehitetty protokollat niin kuin RSTP ja MSTP.

6 5 Kuva 3 Distribution Layer Komponentit 3.3 Core Layer Tässä kerroksissa on Core kytkimet ja Core reitittimet. Tämä varmistaa IP osoitteen L3 saatavuus, jos yksi reitittimestä menee alas. Kuva 4 Core Layer Komponentit

7 6 VRRP protokolla käytetään aliverkon osoite portin varmuuskopioimiseen. VRRP:ssa on yksi Master ja yksi Backup reititin. Reitin, joka käyttäytyy omistajaksi lähettää mainos paketteja verkolla. Ja Backup reititin kuuntele niitä. Jos Backup reititin ei vastaanota kolme peräkkäisiä paketteja Omistajalta, se käyttäytyy itse Omistajaksi uuden paketin vastaanottamisen asti. 3.4 Backbone Layer Backbone Layer on yhteinen kerros reititetty verkossa. Reititystietojen jakamiseen varten käytetään dynaaminen protokolla muin OSPF, RIP tai BGP (Recommended Resilient Campus Network Design 2010.) 4 Korkeakoulun toimipisteiden lähiverkko (LAN) 4.1 Korkeakoulun pääkampus Pääkampus verkko on suunniteltu perus suuri kampus verkkosuunnittelun perustuksen mukaan. Suuri kampus verkko suunnittelu muodostuu kuin keskitin kampus, jota yhdistää neljä muuta pieniä kampuksia ja välittää end-to-end jaettu verkko pääsyä ja rajatonta palveluja. Pääkampus muodostuu monenlaisia rakennus palvelusta. Verkko luokka pääkampuksessa on paljon suurempi kuin verkko luokka pieni kampuksessa. Pääkampuksen verkko sisältää pääkäyttäjät ja IP-enabled loppupisteet, palvelimet, turvallisuus ja verkko reuna laiteet. Reitittimenä toimii Cisco ASR 1006 Reititin.. Monenlaisia eri kokoisia rakennuksia näkyy samassa paikassa Kuva 5:ssä. Pääkampus käyttää /24, /24, /24, ja /24 verkkoa. Reitittimille on asetettu staattiset IP-osoitteet. Wireless Controllereilla on staattiset IP-osoitteet ja Servereillä ovat staattiset IP-osoitteet ja välillä. Tukiasemat saavat DHCP:ltä (Dynamic Host Control Protocol) IP-osoitteet ja välistä. Työntekijöiden tietokoneilla ovat omat DHCP-poolit jotka antavat omat IPosoitteet ja väliltä. Adminien 10 työasemilla ovat

8 ja väliltä /24 kokonaan varattu Computer Lab VLANille /24, /24 ja /24, /24 käyttää Exam, Accounts ja Opiskelija VLANit Cisco ASR 1006 Reititin kapasiteetti on Gbps. Se on yhteensopiva monen tarvittavan protokollan kanssa, esim. VPN, QoS, Netflow. Pääkonttorin laajentuessa ei tarvitse ostaa enää uusia reitittimiä koska reititin on hyvin laajennettavissa. Kuva 5 Pääkampus suunnittelu Ennen kuin jatketaan, katsotaan Three-Tier ja Two-Tier kampus suunnittelu malleja kuvassa Kuva 6

9 8 Kuva 6 Three-Tier ja Two-Tier kampus suunnittelu mallit Pääkampuksessa three-tier suunnittelu malli tarjoa meille hyvä-rakenteinen ja vahva verkko ratkaisu. Modulaarinen ja joustava three-trier kampus suunnittelu malli salli helpompi laajennus ja integrointi pääkampuksen verkossa ja pitää verkon kaikki osat suojattuna ja saatavilla. Three-tier suunnittelu malli pääkampuksessa myös välittää external portti palvelimet työntekijöille internet pääsyyn. 4.2 Korkeakoulun pieni kampus Pieni kampuksen verkko on suunniteltu perus pieni kampus verkkosuunnittelun perustuksen mukaan. Yksi pieni kampus on rajoitettu yksittäinen rakennuksen sisään, joka muodostuu moni kerroksesta ja erilaisessa järjestyksestä. Pieni kampuksien verkon asettelussa distribution layer:n ja core layer:n toiminnot ovat romahtanut yhteen two-tier kampus mallin mukaan ilman vaarantaa perus verkkosuunnittelu periaatteita. WAN-bantwith vaatimukset asianmukaisesti määritelty pieni kampuksien verkosuunnittelussa. Yksittäinen Cisco alusta, jota on highly-reduntant muodossa pystyy toimittaa yhteen romahtanut core ja distribution LAN kerrokset.

10 9 Pieni kampus käyttää /24, /24, /24, ja /24 verkkoa. Reitittimille on asetettu staattiset IPosoitteet. Servereillä ovat staattiset IP-osoitteet ja välillä. Työntekijöiden tietokoneilla ovat omat DHCP-poolit jotka antavat omat IPosoitteet ja väliltä. Adminien 6 työasemilla ovat ja väliltä /24 kokonaan varattu Computer Lab VLANille /24, /24 ja /24 käyttää Exam, Accounts ja Opiskelija VLANit. Kuva 7 Pieni kampus suunnittelu Cisco 2900 sarja reititin Suunniteltu keskikokoiselle branch:lle pilvi-pohjaiselle palvelulle liittymiseen. Tarjoa korkea turvallisuus WAN yhteyksille. Siirtonopeus jopa 75 mps.

11 10 5 Verkkosuunnitteluiden kerroksien suunnittelu 5.1 Pääkampuksen ja pieni kampuksen core layer suunnittelu Core layer on verkon keskipiste, josta on tullut high-speed kuljetus piste moni distribution layer lohkon ja toisien järjestelmien välissä, jota yhdistää palvelu lohkot, WAN ja kampus reunapiste. Core layer verkkosuunnittelussa high-speed 10Gbps linkkiä. Kampuksien core kerroksissa Cisco Nexus 7000 kytkimet Cisco Nexus 7000 High-speed verkko ympäristössä vaaditan yksinkertaistettu verkko arkkitehturi, jota levittää verkkorakenne skaalautuvuus, tehokkuus ja luotettavuus. Tämän mukaan Cisco on kehittänyt Nexus 7000, jota toimittaa naita vaatimuksia. Cisco Nexus 7000 sarja johtaa data center kokoamisessa ja data center core verkkosuunnitelussa. Nexus 7000 tarjoa un-paralleled 10G tiheys distribution lohkojen kokoamiseen. Se sallii wire-speed backbone liitettävyys palvelu lohkon ja kampus reuna(edge) välissä. Kuva 8:ssa näkyy Cisco Nexus 7000 yhdistyy toisien cisco alustojen kanssa end-to-end business yhteyksien sallimiseen.

12 11 Kuva 8 Cisco Nexus 700 kampus core suunnittelu 5.2 Pääkampuksen distribution layer verkkosuunnittelu Distribution layer on rajalinja kytkimien ja kampus core verkon välissä. Pääkampuksen distiribuiton layer suunnittelussa käytetty Cisco Catalyst 6500-E sarja kytkimet käyttäen Cisco VSS. Kuva 9 Pääkampuksen distribution layer verkkosuunnittelu VSS-muodossa

13 12 Virtual Switching System (VSS) on verkko järjestelmä virtualisointi teknologia, jota yhdistää monta Cisco 6500 sarja kytkimen yhden virtuaali-kytkimeen Cisco Catalyst 6500-E sarja kytkin Kaksi core järjestelmä pystyy virtualisoida yhden Cataliyst 6500-E core järjestelmään käyttäen Cisco VSS teknologia. Sopii hyvin suuri kokojen kampuksien verkkosuunnitteluun. 5.3 Pieni kampuksen distribution layer verkkosuunnittelu Pieni kampuksien distribution layer suunnittelu on perinteinen verkko standalone muodossa. Suunnittelussa käytetty Cisco Catalyst 6500-E sarja kytkimet. Kuva 10 Pienikampus standalone distribution verkkosuunnittelu Standalone muodossa jokainen Catalist distribution järjestelmä suorittaa riippumaton muoto ja valittaa tietoa core layer:ssä oleva laitteille. Kaikki standalone distribution kytkimien ja access layer kytkimien välissä toteudettu L2 ja L3 protokolla toimintaa. Koska pääkampuksessa käytetty Cisco VSS teknologia, voidaan yksinkertaitää verkon topologia laittamalla Layer 3 liitännät ethernet-kanavalle (Kuva 11).

14 13 Kuva 11 Verkon suunniittelu distribution kanssa standalone muodessa 5.4 Kampuksien access layer verkkosuunnittelu Access layer on ensimmäinen porras tai kampuksen reuna, jota laiteet kuin PC:t, tulostimet, kamerat, jne. liitetty verkon. Myös laitteet niin kuin IP puhelimet ja langottomat pääsypisteet ovat liitetty verkkoon tässä. Acces layer kytkin salli käyttäjien verkon pääsy ja myös määritä verkon suojausta, ettei luvattomat käyttäjät ja sovellukset pääsevät verkkoon. Acess layer suunnittelussa käytetty 10Gbps uplinkkia. Kuva 12 Kokea suoritus kykyinen Distribution-Acces block Pääkampuksen access layerissa käytetty Cisco Catalyst 4500E sarja kytkimet määrittävät skaalautuva, kokea-nopeus ja tukeva verkko ratkaisut. Pieniä

15 kampuksessa käytetty Cisco Catalyst 3750-X sarja kytkimet, jota voi yhdistää kriittisiä laitteiden konfiguraatiota niin kuin Cisco IP puhelimet ja non-mission critical endpoints kuin kirjasto PC:t, tulostimet, jne (Borderless Campus 1.0 Desing Guide 2016.) 14 6 Korkeakoulun palvelut 6.1 VoIP ja PSTN Kampuksien sisällä ja välissä pystyy soittaa VoIP laitteista tavallisia lankapuhelimia, koska verkkosuunnittelussa löytyy PSTN-gateway, joka toimii internetin ja PTSN:n yhdistäjänä. VoIP eli Voice over IP on tekniikka jonka avulla puhelut voidaan ohjata IP-paketteina dataverkon yli. Koska VoIP perustuu Internet Protokollaan se voi toimia vain IP:tä puhuvien koneiden välillä. Perinteinen puhelinverkko (PSTN) perustuu piirikytkentäiseen yhteyteen. Kapasiteettia varataan jokaista puhelua varten 64kbps. Tämä sama kapasiteetti on varattuna koko puhelun ajan. Koska puheessa on paljon lyhyitä hiljaisia jaksoja niin tällainen menettelytapa haskaa kaistanleveyttä. VoIP:in kanssa voidaan käyttää ns. "silence suppression"ia, joka puolittaa datamäärän. Kun tähän vielä liitetään tehokas pakkausalgoritmi on datan osuus pudonnut murtoosaan alkuperäisestä arvostaan. On toki muistettava että pakattuun puhedataan lisätään paljon ylimääräistä ohjaustietoa kuten esim. eri kerroksien protokollien otsikot y.m. Tämä datavirta vatii kuitenkin paljon vähemmän kaistaa kuin 64kbps. Tavallinen VoIP-puhelu tuottaa dataa n. 5-6kbps. Koska VoIP perustuu Internet Protokollaan se voi toimia vain IP:tä puhuvien koneiden välillä (All over IP 2016.) 6.2 WLC Nykypäivänä langattomat verkot ovat yksi välttämättömyys. WLC on laite, joka on lähtökohtana Cisco Unified Wireless Network (CUWN) ratkaisujen. CUWN ratkaisut auttaa hallita suuria määriä käyttöönottoja.

16 WLC WAN prosessi 1 Lightweight Acces Point(LAP) tekee DHCP kyselyn ja ota IP-osoitteen. 2 LAP lähettää LWAPP (Lightweight Access Point Protocol) discovery request WLC:n. 3 WLC, jota on vastaanottanut discovery request:n vastaa discovery response viestillä. 4 LAP valitsee WLC ja liittyy. 5 LAP lähettää LWAPP join request WLC:n ja odottaa response. 6 WLC lähettää response viestin. 7 LAP vahvista WLC:n 8 LAP rekisteröidy kontrollerin kanssa. (Lightweight AP (LAP) Registration to a Wireless LAN Controller (WLC) 2016.) 6.3 Data Center Verkkosuunnitelmassa löytyy jokaisessa kampuksella data center huone. Rakennettava datakeskus tulisi tarjoamaan laadukasta, nopeaa ja tehokasta verkkoja palvelintilaa korkeakoulun opiskelijoille ja yhteistyökumppaneille sekä myytävää palvelua paikallisille yrityksille. Olisi myös mahdollista tarjota laskentapalvelua insinööritoimistoille ja muille vaativaa laskentaa tarvitseville tahoille (esimerkiksi tilastokeskus) Datakeskus sertifioitaisiin Tier 3-tasolle, jolloin datakeskuksen arvostus olisi korkea ja virallisesti tunnistettu Palvelintyypit Tiedostopalvelin: Eniten palvelintilaa vievä laitteisto. Muut palvelimet voivat käyttää tämän palvelimen tarjoamaa levytilaa hyväkseen Sähköpostipalvelin: Ehkä kaikkein kriittisin palvelin, jonka toiminta on kahdennettava ja varmuuskopioitava

17 16 Nimi- ja osoitepalvelin (DNS ja DHCP): Enimmäkseen tarvitaan suuremman verkon ylläpidossa, esimerkiksi koulun oppilasverkossa, jossa koneille jaetaan IP-osoitteita määritetystä osoiteavaruudesta WWW-palvelin: Internetsivujen jakeluun tarkoitettu palvelin. Tämän toiminta on kahdennettava Ohjelmistopalvelin: Erinäiset ohjelmistot toimivat myös verkon yli ja näille ohjelmistoille tarvitaan oma tehokas palvelin. Ohjelmistot tarvitsevat myös levytilaa, jota voidaan hyödyntää tiedostopalvelimelta tai omasta levypinosta. Asennuspalvelin: Palvelimelta voidaan asentaa esimerkiksi koko koulun tietokoneet uudelleen keskitetysti ja helposti. Asennustoimenpide voi rasittaa tietoverkkoa erittäin paljon, joten tästä syystä palvelimesta lähtevä verkko kannattaa suunnitella niin, että 10 Gb/s yhteys tulee mahdollisimman lähelle asennuskohdetta. Tietokantapalvelin: Palvelin vaatii nopean ja virheettömän verkon. Tietokantapalvelimen läpi kulkeva liikenne on priorisoitava ja taata toimivuus aina. Järjestelmän tiedot on kahdennettava (Datakeskus 2016.) 6.4 Tietoturvapalvelut (WSA)(DMZ)(VLAN)(VPN) WSA (Cisco Web Security Appliance) WSA, yksi laite koko web turvallisuudeen. Tärkeät ominaisuudet ovat kehittynyt uhkaa puolustus, kehittynyt malware suojaus, sovelluksen näkyvyys ja ohjaus, turvallinen liikkuvuus (Cisco Web Security Appliance 2016).

18 DMZ Fyysistä tai loogista aliverkkoa, joka yhdistää organisaation oman järjestelmän turvattomampaan alueeseen, esimerkiksi internetiin. Demilitarisoidun alueen tarkoitus on lisätä ylimääräinen tietoturvataso organisaation lähiverkkoon. DMZ suunnittelussa käytettiin Cisco ISA 500 ja sähköpostipalvelulle saatiin turvallisuuden ESA teknologian kautta( Demilitarisoitu alue (tietotekniikka) 2016.) VLAN VLAN:ien luomisen tarkoituksena myös huomioituu turvallisuus syy. Koska VLANit ovat verkon segmentti, usean braodcast domainin luominen salli liikenne broadcast domainista, ja jää eristettynä verkon saatavuuden ja turvallisuuden kasvo aikana. Kampuksien VLAN verkot ovat: VLAN 10 - Opiskelija VLAN 15 - Tiedekunta VLAN 20 - Admin VLAN 25 - Computer Lab VLAN 30 - Exam VLAN 35 - Accounts VLAN 40 -Internal Servers (Desing and Implementation of a Secure Camous Network 2015.)

19 VPN alaisille kampuksille VPN toimitta yksityinen verkko internetin läpi. Kampus VPN tarjoa full tunnel VPN palvelu, jota turvallinen (encrypted) verkolla kampuksien välissä. Yleinen käyttö on pääsy file sharing/shared asemille pääsy tietylle sovelluksille, jota vaati kampus IPosoite. Kampus VPN:lle on 20 tuntia istunto raja. 7 WAN 7.1 Carrier Ethernet Carrier Ethernet -palvelun ideana on, että palveluntarjoaja pystyy tarjoamaan Ethernetin palveluna asiakkaille. Metro Ethernet Forum on asettanut standardoiduille palveluille kriteerit, jotka niiden on täytettävä: 1. Niiden tulisi olla saatavissa standardoidulla laitteistolla maantieteellisestä sijainnista riippumatta. 2. Ne eivät saa vaatia muutoksia asiakaslaitteistossa. 3. Niiden täytyy pystyä kuljettamaan konvergoidun verkon liikennettä (ääni, video, data). 4. Niiden pitää mahdollistaa erilaiset kaistanleveydet ja QoS-luokat. EVC voi olla joko point-to-point- tai multipoint-to-multipoint -tyyppiä, ja sillä rakennetaan joko L2 private line tai VPN-ratkaisuja. Point-to-point -tyypin EVCtunnelia kutsutaan E-Line -palveluksi, kun taas multipoint-to-multipoint -tunnelia kutsutaan ELAN -palveluksi.

20 MPLS/VPLS MPLS-Tekniikka MPLS on IETF-järjestön standardisoima runkoverkkotekniikka, jossa paketit kytketään eteenpäin IP-osoitteiden sijasta MPLS-lipuilla. Lippukytkentäisyyttä on perinteisesti pidetty monimutkaista IP-kytkentäisyyttä nopeampana ratkaisuna, mikä ei varsinkaan enää pidä paikkaansa. Tekniikan kehityksen ansiosta IP-pakettien kytkeminen on nykyään yhtä nopeaa kuin lipuilla varustettujen pakettien kytkeminen. LSR (Label Switching Router) on MPLS-verkon reititin, joka pystyy lisäämään, poistamaan ja vaihtamaan MPLS-lippuja. Suosituin tapa lipputietojen jakamiseen laitteiden välillä on LDP-protokolla (Label Distribution Protocol). LSR valitsee jokaiselle IP-reititystaulunsa reitille lipputunnisteen, ja mainostaa valintojaan omille LDP-naapureille. Sekä omat että naapurin mainostamat lipputiedot kirjataan ylös reitittimen lipputietokantaan. Eri reitittimien tiettyyn kohdeverkkoon mainostamista lipuista valitaan yksi. Tämä valittu lippu lisätään LFIB-tauluun, josta LSR katsoo, minkä lipun asettaa ulos lähetettävään pakettiin VPLS VPLS (Virtual Private LAN Service) on VPN-tekniikka, jota käytetään asiakkaan eri toimipisteiden yhdistämiseen OSI-mallin toisella kerroksella. Toimipisteiden lähiverkot, jotka voivat olla maantieteellisesti kaukana toisistaan, yhdistetään toisiinsa virtuaalisesti palveluntarjoajan IP/MPLS-runkoverkon läpi. Asiakkaan näkökulmasta katsottuna verkko näyttää siltä, että lähiverkkojen välillä olisi vain normaali L2-kytkin. Jokaisella asiakkaalla on yksi tai useampi VPLS-instanssi, eli virtuaalinen lähiverkko, eivätkä ne näy toisilleen. VPLS on yritysten it-tukihenkilöiden kannalta yksinkertainen tekniikka, sillä yrityksen jokaisessa toimipisteessä tarvitsee olla käytännössä vain yksi normaali Ethernetkytkin

21 20 kytkettynä yrityksen tarjoamaan Ethernet-liitäntään. Asiakkaan ja palveluntarjoajan välillä ei ole ip-yhteyttä, vaan se muodostetaan asiakkaan omien toimipisteiden välille. Virtuaalisen lähiverkon emulointi on täysin palveluntarjoajan vastuulla eikä asiakkaan tarvitse tietää siitä mitään. Kuva 13 VPLS-verkon loogiset komponentit (Carrier Ethernet -Palvelut 2011.)

22 21 8 Topologiat 8.1 Pääkampus fyysinen topologi

23 8.2 Pieni kampus fyysinen topologi 22

24 8.3 Pääkampus looginen topologi 23

25 Pieni kampus looginen topologi Lähteet Podermanski T, Zahorik V Recommended Resilient Campus Network Design. geant.net. Viitattu na3-t4-cbpd114.pdf Borderless Campus 1.0 Desing Guide Ciscon verkkosivut. Viitattu mpus_network_1-0/borderless_campus_1-0_design_guide/bn_campus_models.html All over IP netlab.tkk.fi. Viitattu (

26 25 Laitinen, H Datakeskus. Opinnäytetyö. Viitattu OppariFinal.pdf?sequence=1 Cisco Web Security Appliance Viitattu Lightweight AP (LAP) Registration to a Wireless LAN Controller (WLC) Ciscon verkkosivut. Viitattu Demilitarisoitu alue (tietotekniikka) wikipedia.org. Viitattu Bin Ali, M., Emran, M. & Parvez, M Desing and Implementation of a Secure Camous Network. Päivitetty Viitattu w.researchgate.net/file.postfileloader.html%3fid%3d5712fea193553b52231b9d74 %26assetKey%3DAS%253A % &cd=1&hl=fi&c t=clnk&gl=fi Korja, T Carrier Ethernet -Palvelut Opinnäytetyö. Viitattu =1