CCNP Red de la Universidat de Valncia algunas

CCNP. Red de la Universidat de València: algunas particularidades. Jose Miguel Femenia Herrero Servei d’Informàtica jose. m. femenia@uv. es 1

Agenda n n n Descripción de la red de la Universitat de València. Routing IP en la Universitat de València. Local Area Mobility Tuneles ADSL NTP y gestión de logs 2

Red Universitat de València n n n Tres campus (Burjassot, Blasco Ibáñez y Naranjos) y unos 14 centros mas pequeños. Conexiones centradas en Burjassot y Naranjos. Protocolos enrutados: TCP/IP y Appletalk. Dentro de algunas VLANs funcionan otros protocolos (DECNET). Los tres campus se unen por líneas ATM sobre SONET/SDH de 155 Mb/s; uso de LAN Emulation Centros pequeños conectados por: n Líneas de 2 Mb/s o 512 Kb/s centradas en Naranjos (por distancia) n Accesos RDSI básicos (2 B+D) centrados en Burjassot con tarifa plana (Novacom Multiplan) n Conexiones ADSL+Túneles. Mas de 11. 000 hosts conectados, 13000 direcciones IP. Nodo regional (POP, Point Of Presence) de Red. IRIS en la comunidad valenciana. 3

Red Universitat de València RDSI Campus Burjassot Campus Naranjos ADSL/Tuneles Departamento Fisioterapia ADEIT Pza. Ayto. IVEF (Cheste) ADEIT Patriarca Escuela Magisterio Campus Blasco Ibáñez Escuela Fisioterapia Esc. Empresar. (Onteniente) CIDE (Albal) Edif. Histórico C/Nave Jardín Botánico Serv. Normaliz. Lingüística Col. Mayor Rector Peset Servicio Form. Permanente Serv. Extens. Universitaria LAN inalámbrica 802. 11 (11 Mb/s) INTRAS (Inst. Tráfico) p. a p. 155 Mb/s p. a p. 2 Mb/s p. a p. 512 Kb/s 4

Red Universitat de València Red. IRIS Madrid Burjassot ADSL-RDSI Naranjos Blasco Ibáñez 5

Red Universitat de València n Cableado estructurado en prácticamente toda la universidad n n Entre edificios: fibra óptica multimodo y monomodo Cableado vertical: fibra óptica multimodo y cable UTP-5/5 E Cableado horizontal: cable UTP-5/5 E Redes Ethernet conmutadas en todos los centros. n n n Entre edificios: Gigabit Ethernet f. d. o Fast Ethernet f. d. Entre armarios de un mismo edificio: GE o FE Puerto de usuario: n n 100 BASE-T dedicado (conmutadores 10/100 Mb) 10 BASE-T dedicado (conmutadores 10 Mb) 10 BASE-T compartido (hubs) Múltiples VLANs (Virtual LANs) por campus. 6

Red Universitat de València 7

Red Universitat de València 2500 2503 2500 7202 4700 C 5000 LS 1010 C 5000 Naranjos 3524 C 5513 1924 4912 C 5505 RSM 3524 C 5000 1924 LS 1010 3524 4912 2948 4912 3524 1924 7202 3524 1924 3524 Burjassot 1924 RDSI 2 x 64 Kbps Serie 2 Mbps ATM 622 Mbps ATM 155 Mbps Gigabit 1000 Mbps Fast. Ethernet 100 Mbps 1924 Blasco Ibáñez 8

Red Universitat de València n n n Protocolo de routing EIGRP (AS 65432) Routers en alta disponibilidad mediante HSRP (Hot Standby Routing Protocol), protocolo propietario de cisco DNS primario y secundario Servidores Web proxy/cache regionales. Uso obligado para los usuarios de la Universidad de Valencia Correo electrónico (profesores y alumnos) Servidores web; hosting de páginas personales Noticias (Net. News) NTP (Network Time Protocol) Asignación de direcciones IP mediante BOOTP Gestión de la red mediante SNMP Acceso remoto por RTC/RDSI Servicio experimental de VPN para acceso remoto desde ISPs 9

Red Universitat de València n n n Abarca los tres campus principales Uso de LAN Emulation para transporte de tráfico LAN independiente de protocolo. Posibilidad de extender VLANs entre varios campus Uso de IP over ATM en algunos servidores Alta fiabilidad: n Red mallada (anillo entre los tres campus) n Routing ATM por PNNI n Soporte de SVCs Telefonía sobre ATM (emulación de circuitos E 1) Red de alta disponibilidad (operativa 99, 99% del tiempo) en la parte troncal (parte ATM y enlaces IP entre campus). 10

Niveles de redundancia n Redundancia L 1: n n Redundancia L 2: n n n Doble alimentación eléctrica Dobles lineas troncales de fibra: mallado. Dobles funciones en los dispositivos, cuando ello es posible: servidores LANE, ARPserver. Spanning Tree Ethernet Routing ATM: SVC + PNNI Redundancia L 3: n n EIGRP HSRP - VRRP (Virtual Router. Redundancy Protocol) 11

Red Universitat de València 9. 12 . 21 0 188. n 1 Vla. 156 7 14 3 ATM 0/0. 5 147. 156. 200. 73 AT 14 M 0 ATM 0/0. 4 7. 1 /0. 56 2 147. 156. 200. 85. 20 0. 6 5 A 14 TM 7. 0. 1 15 6. 1. ATM 0. 19 147. 156. 200. 86 20 0 0. . 2 M 156 T. A 7 14 147. 156. 200. 80 255. 252 78 0. 17 4 147. 156. 200. 92 255. 252 147. 156. 200. 100 255. 252 ATM 2/0. 5 147. 156. 200. 106 147. 156. 200. 68 255. 252 4. 8 AT 14 M 1/ 7. 1 0. 1 56. 20 0 3 . 66 ATM 1/0. 4 147. 156. 200. 69 10. 1 0. 45 1/ 6. 1 M 5 AT 7. 1 14 Vlan 1 6 147. 1 56. 13 8. 17 . 16 8. 4 4 ATM 1/0. 3. 9 147. 156. 200. 82 ATM 1/0 38. 1 6. 1 147. 15 blasro Vlan odontologia 147. 156. 138. 0 255. 0 ATM 1 147. 1 /0. 6 56. 1 68. 1 AT 14 M 1/ 7. 1 0. 5 56. 16 4. 1 Vlan blasur 147. 156. 168. 0 255. 248. 0 147. 156. 200. 104 255. 252 sendaro FA 0/0 147. 156. 196. 2 147. 156. 149. 129 Vlan aulastarongers 147. 156. 128. 0 255. 252. 0 Vla 147 n 7. 15 6 ATM 1/0. 7 147. 156. 148. 81 147. 156. 184. 1 147. 156. 176. 1 193. 146. 183. 188 ATM 0. 21 147. 156. 200. 70 ATM 1 /0 147. 1. 8 56. 1. 1 55 Vl 14 an 11 7. 1 56. 16 7. 8 48 9. 1 4. 3 5 9 an 56 18. 9 Vl 7. 1 56. 176 14 7. 1 56. 14 7. 1 14 ATM 147 2/0. 2. 156. 200 A. 94 14 TM 7. 2/0 15. 4 6. 20 0. 10 2 cisco ATM 0. 23 147. 156. 200. 101 Vlan oriental 147. 156. 208. 0 255. 248. 0 1/0. 6 ATM 6. 128. 1 1/0. 9 taronro ATM 6. 1. 149 7. 15 4 1 5 147. 1 7. 4 0. 7 ATM 1/0. 3 1/0 6. 20 M 147. 156. 200. 81 5 AT 7. 15 10 1. 4 1 0. . 20 / 1 M 56 AT 47. 1 1 147. 156. 200. 76 255. 252 24 147. 156. 200. 84 255. 252 147. 156. 200. 72 255. 252 147. 156. 200. 64 255. 252 8 145. . n 1 Vla 7. 156 14 ATM 147 0/0. 3. 156. 200. 9 3 gordius Vlan campus 147. 156. 0. 0 255. 128. 0 ATM 2/0. 3 147. 156. 1. 188 13 2. 11 Vlan 156. 19. 4 147 Vlan 1. 208. 61 56 147. 1 Vlan 6 8. 21 147. 156. 12 ATM 1/0. 1 9 147. 156. 200. 74 ATM 1/0. 7 147. 156. 192. 1 Vlan bibcien 147. 156. 139. 0 255. 0 60. 1 Vlan 4 193. 145. 246. 2 Vlan 17 6. 139. 1 5. 1 7 4 1 5. 3 2 6. 1 an. 15 l V 47 1 Vlan caches 192. 187. 128 255. 240 Vlan central 147. 156. 192. 0 255. 252. 0 8 /0. 8. 1 M 1. 18 AT. 156 7 14 Vlan iata 193. 145. 246. 0 255. 0 . 1 Vl 14 an 5 7. 1 56. 1 Vlan 8 147. 156. 141. 1 32 2 n 1 6. 1 Vla 7. 15 14 Vlan institutos-i 147. 156. 160. 0 255. 252. 0 Vlan bibtaron 147. 156. 188. 0 255. 252. 0 A 14 TM 7. 1/0 15. 5 6. 20 8. 1 Vlan decanatos 147. 156. 141. 0 255. 0 Vl 19 an 15 2. 1 87. 17 Vlan quifis 147. 156. 132. 0 255. 0 Senda 147. 156. 196. 0 255. 254. 0 Sestud 147. 156. 149. 128 255. 128 Vlan deportes 147. 156. 145. 0 255. 0 Vlan blanor 147. 156. 148. 80 255. 240 147. 156. 184. 1 255. 252. 0 147. 156. 176. 1 255. 248. 0 193. 146. 183. 80 255. 192 Vlan filologia 147. 156. 164. 0 255. 252. 0 12

Red Universitat de València: conexiones exteriores 13

Conexiones SVC ATM 14

Routing IP en la UV. n Basado en EIGRP n n n n 118 subredes, 12 mascaras distintas. Convergencia muy rápida. Todos los routers son Cisco AS 65432 Retoque de la metrica para admitir las rutas LAM Control del número de vecinos (passive-interface). Control de la instalación de rutas mediante ¨delay¨ en los interfaces. Futura redistribución en IS-IS para la conexión con Red. IRIS. 15

EIGRP: selección de rutas. n Problema: El HSRP obliga a disponer de dos caminos para alcanzar una misma red. 16

EIGRP: selección de rutas n n Ante una misma métrica: balance de carga entre R 3 y R 2 Puede ser más conveniente usar e 0/1 de R 3 y no cargar R 4 salvo fallo de R 3 17

EIGRP: selección de rutas Soluciónes: - Cambiar la distancia administrativa: Puede provocar bucles y no se propaga a otros routers. - Cambiar el delay en e 0/1 de R 4: Solución recomendada. Se propaga en el routing. El único inconveniente es que no afecta localmente al tráfico en R 4: las conexiones directas siempre tienen menor distancia administrativa 18

Local Area Mobility (LAM) n Problema: n n n Permitir a un host con una dirección estática IP asignada en una subred moverse a otra subred sin perder conectividad y sin necesidad de reconfigurar el TCP/IP Limitado al entorno de la red corporativa. No recurrir a tunelización ni a cambios de direcciones IP dinámicas por DHCP 19

LAM 20

LAM n n n Solución propietaria de Cisco. Particularmente útil para permitir la movilidad de máquinas dentro de una red de empresa o campus. Necesita de un protocolo de routing: n n Soportados: EIGRP, OSPF, IS-IS, RIPv 2 Implementa algunos mecanismos de seguridad. 21

LAM. Funcionamiento. n n El interface del router configurado para LAM escucha en su subred buscando tráfico que se origina en máquinas directamente conectadas que no pertenecen a su subred local IP. Cuando ve un tráfico originado localmente que proviene de un host cuya dirección IP y máscara no casan con las de su interfaz local, el router instala una entrada ARP para este host móvil, y a su vez, instala en el protocolo de routing una ruta de host hacia ese interface. 22

LAM. Funcionamiento n n n Si esta configurado, el proceso de routing distribuye esta ruta hosts, de forma que el resto de dominio de routing la aprenda. La ruta de host siempre tienen mayor prioridad que el resto: siempre se prefiere la ruta más específica a la más general. Los hosts en la misma subred envian el tráfico al host móvil mediante el mecanismo de “proxy ARP”. 23

LAM. Funcionamiento n n El mismo mecanismo de proxy-ARP permite al host móvil encontrar su “default gateway” Es necesario que el host móvil genere tráfico IP para activar el mecanismo LAM. Las entradas ARP móviles así como las rutas host caducan con unos parámetros de tiempo ajustable. Sólo se soporta en interfaces Ethernet, Token Ring, FDDI (y VLAN de RSM) 24

LAM. Funcionamiento. 25

LAM. Configuración. interface Ethernet 0 description conexion a la ethernet local ip address 147. 156. 157. 1 255. 0 ip helper-address 147. 156. 1. 38 ip mobile arp timers 5 10 access-group 98 ! router eigrp 65432 redistribute connected redistribute static redistribute mobile passive-interface Ethernet 0 passive-interface Serial 1 network 147. 156. 0. 0 default-metric 80 70 60 70 100 eigrp log-neighbor-changes ! access-list 98 permit 147. 156. 135. 0 0. 0. 0. 255 26

LAM. Rutas. D EX C D EX M M D EX 147. 156. 135. 158/32 [90/32020480] via 147. 156. 200. 142, 02: 59: 32, Vlan 2 147. 156. 135. 169/32 [90/32020480] via 147. 156. 200. 142, 10: 03: 01, Vlan 2 147. 156. 135. 0/24 is directly connected, Vlan 20 147. 156. 135. 6/32 [90/32027136] via 147. 156. 200. 86, 02: 53: 15, ATM 0/0. 4 147. 156. 135. 26/32 [180/1] via 147. 156. 135. 26, 01: 13, Vlan 27 147. 156. 135. 16/32 [90/32020480] via 147. 156. 200. 142, 01: 44: 34, Vlan 2 147. 156. 135. 58/32 [180/1] via 147. 156. 135. 58, 07: 16: 10, Vlan 33 147. 156. 135. 62/32 [180/1] via 147. 156. 135. 62, 09: 26: 58, Vlan 5 147. 156. 135. 55/32 [90/32020480] via 147. 156. 200. 142, 08: 33: 36, Vlan 2 147. 156. 135. 74/32 [180/1] via 147. 156. 135. 74, 00: 03: 35, Vlan 5 147. 156. 135. 79/32 [180/1] via 147. 156. 135. 79, 03: 53: 36, Vlan 5 147. 156. 135. 84/32 [90/32020480] via 147. 156. 200. 142, 08: 26: 12, Vlan 2 147. 156. 135. 86/32 [180/1] via 147. 156. 135. 86, 08: 41: 54, Vlan 5 147. 156. 135. 104/32 [90/32020480] via 147. 156. 200. 142, 02: 23: 43, Vlan 2 27

LAM. Inconvenientes. A 147. 156. 0. 0/16 por A A 152. 48. 0. 0/16 por D A 147. 156. 135. 22/32 por B A 147. 156. 0. 0/16 por A A 152. 48. 0. 0/16 por D Red 147. 156. 0. 0/16 X A B C Internet 147. 156. 135. 22 Y Ping 147. 156. 135. 22 D A 147. 156. 135. 22/32 por E 0 Red 152. 48. 0. 0/16 • Ofrece transparencia y portabilidad, pero no movilidad. No mantiene sesiones • No requiere cambios de software en los hosts, solo en los routers • Requiere propagar rutas host por toda la red • Convergencia lenta • Difícil realizar agregación de rutas • Problemas de escalabilidad 28

LAM. Evolución n Mobile IP n RFC 2002, 2003, 2004, 2005, 2006 29

Túneles sobre líneas ADSL n n n Los centros remotos disponen de redes locales de escaso número de hosts. Históricamente conectadas mediante RDSI básicos: 2 x 64 kbp Los RDSI funcionaban de hecho como líneas punto a punto: n Retrollamada para aprovechar las ofertas de la compañía telefónica. 30

Túneles ADSL. Historia n Situación historica: n n n Los centros remotos tienen un subred, normalmente de hasta 254 hosts. Disponian de un router Cisco 2503 con interfaces Ethernet para la conexión local y RDSI como conexión WAN Activaban el segundo canal bajo demanda de carga. Las RDSI básicas se agregaban llamando a una línea RDSI primaria (30 B +D) conectada a un router Cisco 4700. Se usaba PPP con CHAP y comprobación del número llamante para identificación. 31

Túneles ADSL. Historia 32

Túneles ADSL n Este año se sustituyen las líneas RDSI por líneas ADSL con anchos de banda máximos de 2 Mbps/300 Kbps n n Solución más barata y con mayores prestaciones, aunque no aseguradas. Se usan routers Cisco 827 -4 v para la conexión ADSL en el centro remoto: n n n 1 ethernet para la conexión a la LAN 1 interface ADSL para la conexión a la WAN (Internet, en este caso) 4 interfaces de voz analógicos, para uso de Vo. IP 33

ADSL. Central Telefónica Red telefónica analógica Switch telefónico Domicilio del abonado Bajas Frecuencias Teléfonos analógicos Bucle de Abonado (5, 5 Km máx. ) Splitter Altas Frecuencias Internet DSLAM (ATU-C) DSLAM: DSL Access Multiplexor ATU-C: ADSL Transmission Unit - Central ATU-R: ADSL Transmission Unit - Remote Modem ADSL (ATU-R) Ordenador 34

ADSL. Central telefónica Hogar Central telefónica DSLAM Splitter Conmutador ATM Red ATM Conmutador telefónico Oficina Principal de la Empresa Internet ISP Pequeña Oficina Red telefónica 35

ADSL n n n El proveedor de acceso ADSL suele ser el proveedor de acceso a Internet (ISP) Cada conexión ADSL lleva asociada una dirección IP pública. Dos tipos de conexiones locales: n n Monopuesto: un solo ordenador con la dirección IP global. Multipuesto: una LAN local con direcciones privadas y conexión a Internet mediante NAT con la dirección IP pública. 36

ADSL “monopuesto” 147. 156. 1. 1 ADSL 213. 13. 13 Internet Direccionamiento Router privado ADSL (ATU-R) 37

ADSL “multipuesto” 192. 168. 1. 12 147. 156. 1. 1 192. 168. 1. 15 LAN NAT Router ADSL (ATU-R) 213. 13. 13 ADSL Internet 38

ADSL. Problema del acceso a la LAN remota A 147. 156. 0. 0/16 por A Red 147. 156. 0. 0/16 A B Internet D X C Ping 147. 156. 138. 22 NAT 147. 156. 138. 22 Y E 213. 13. 13 ADSL Red 147. 156. 138. 0/24 n n Los router de Internet sólo conocen la ruta a 147. 156. 0. 0/16 y no tenemos control de routing sobre ellos. Nos obligamos a usar NAT para la salida de la LAN remota. 39

ADSL. Solución túnel A 147. 156. 138. 0/16 por E A 147. 156. 0. 0/16 por A Red 147. 156. 0. 0/16 A Internet B D X C Ping 147. 156. 138. 22 Túnel 147. 156. 138. 22 Y E 213. 13. 13 ADSL Red 147. 156. 138. 0/24 n n n Se crea un túnel IPIP entre A y la dirección pública de E. No usamos NAT. 40 El túnel simula una conexión punto a punto.

ADSL. Solución túnel A 147. 156. 138. 0/16 por E A 147. 156. 0. 0/16 por A Red 147. 156. 0. 0/16 A 147. 156. 1. 71 Ping 147. 156. 138. 22 Internet B C D Túnel Y 147. 156. 138. 22 E 213. 13. 13 ADSL Red 147. 156. 138. 0/24 n n Camino tunelizado Camino real 41

ADSL. Solución túnel A 147. 156. 138. 0/16 por E A 147. 156. 0. 0/16 por A Red 147. 156. 0. 0/16 A Internet B D X C Ping 147. 156. 138. 22 Túnel Y 147. 156. 138. 22 E 213. 13. 13 ADSL Red 147. 156. 138. 0/24 n n Camino tunelizado Camino real 42

Túneles ADSL n Ventajas: n n n No usa NAT Permite un control de acceso en el router principal de acceso a la red corporativa. Permite el uso de encriptación VPN El direccionamiento es el propio de la red corporativa. Inconvenientes: n n n El tráfico pasa en dos sentidos por algunos enlaces. No se dispone de control sobre la calidad del enlacen en Internet: problemático en casos como el uso de Vo. IP El ancho de banda no esta asegurado: n n Factor ADSL Factor Internet 43

ADSL: túneles 44

NTP n Network Time Protocol n n n Permite la sincronización de los relojes de los ordenadores y dispositivos de comunicaciones en una red TCP/IP Dinámico, estable y redundante. Permite precisiones del orden de 1 milisegundo. RFC 958, 1305 Obtiene el reloj de referencia de distintos dispositivos: n n n GPS Relojes patrón atómicos radio (WWV, DCF) Se distribuye por servidores jerárquicos organizados por “stratums” Es muy eficiiente: 1 paquete por minuto permite sincronizar dos equipos con 1 milisegundo de diferencia máximo. 45

NTP. Asociaciaciones n Modos n n n Server Client Peer Broadcast/Multicast Seguridad n n Mecanismos para evitar la sincronización a dispositivos con tiempo que no sea muy preciso. Clave de autentificación y listas de acceso. 46

NTP. Ejemplo 47

NTP. Configuración. clock timezone SST 8 ! access-list 5 permit 192. 36. 143. 150 access-list 5 permit 169. 223. 50. 14 access-list 5 deny any ! ntp authentication-key 1234 md 5 104 D 000 A 0618 7 ntp authenticate ntp trusted-key 1234 ntp source Loopback 0 ntp access-group peer 5 ntp update-calendar ntp server 192. 36. 143. 150 ntp peer 169. 223. 50. 14 ! n El NTP es indispensable para mantener todos logs sincronizados 48

Logging n n n Es necesario mantener un histórico de logs de los distintos routers Los logs deben almacenarse un una o dos maquinas mediante syslog. Los logs deben estar sincronizados. El timestamp debe ser legible. Es necesario que lleven un origen claro, que permita discernir de que dispositivo provienen. 49

Logging. Configuración. service timestamps debug datetime msec localtime show-timezone service timestamps log datetime msec localtime show-timezone ! logging source-interface loopback 0 logging facility local 0 logging 147. 156. 1. 12 ! 50

Bibliografía http: //www. cisco. com/warp/public/cc/pd/iosw/ioft/lam/tech/lamso_wp. htm http: //www. cisco. com/univercd/cc/td/doc/product/lan/cat 5000/rel_5_5/sw_cfg/ntp. htm 51

Gracias por su atención ¿Preguntas? 52