eduroam es GT 2006 Indice eduroam q Draft

eduroam. es GT - 2006

Indice • eduroam q Draft política q Problema de los dominios: net, edu, org, … q Temas varios • eduroam. es q Aspectos técnicos q Organización q Monitorización • Proyecto “campus inalámbricos”

eduroam

eduroam en el mundo

Draft política • AU Policy - base service draft q clocks must be configured to synchronise q organisations must create a test account q Visited organisations are recommended to offer (minimum): ØStandard IPSec VPN: IP protocols 50 (ESP) and 51 (AH) ØUDP/500 (IKE) ØCisco IPSec VPN over UDP: UDP/10000. ØSSH: TCP/22. ØHTTP: TCP/80. ØHTTPS: TCP/443. q Visited organisations allocate visitors with publicly routable IPv 4 addresses using DHCP q visited organisation must deploy a broadcast SSID of 'eduroam' to promote consistency

Draft política • AU Policy - security draft q Home organisations must configure their EAP service excluding EAP-MD 5 q Visited organisations must as a minimum implement WPA/TKIP, or higher q organisations should implement their own visitor VLAN for eduroam. TM authenticated users that must not be shared with any other network service q Logs • Home Org. Authentication • Home Org. Accounting • Vis. Org. Authentication • Vis. Org. Accounting • Vis. Org. DHCP

Temas varios • Nuevos protocolos q Diameter -> más estándar q RADSec -> prototipo en RADIATOR q Discusión: TCP / UDP q Proyecto de implementar pasarela RADIUS - Diameter • Eduroam in a box q http: //eduroam. sourceforge. net/ • Monitorización q Diferentes aproximaciones

Dominios edu, org, net, … • Protocolo TLS - DNSSec q DNS -> Locallización del radius de la org. origen q DNS -> Entrada con clave pública de radius de la org. origen • Servidores raíz alojados en diferentes NRENs y realms gestionados por ellos. • Utilizar un prefijo: ej “. es”

eduroam. es

eduroam en España

Organizaciones eduroam. es • CESCA • UMA • CESGA • UNIRIOJA • CICA • UNIZAR • CSIC • CTTC • EHU • I 2 bask • UPF • UPV • URL • Red. IRIS • URV • UAB • USAL • USC • UAM • UV • UC 3 M • UVIGO • UCA • Ud. G • UCO • Ud. L • UDC • XTEC • UGR

Aspectos técnicos • Atributos “molestos” q Filtrado de atributos (freeradius) • Atributos “molestos” Ø Tunnel-Type : = VLAN, Ø Tunnel-Medium-Type : = IEEE-802, Ø Tunnel-Private-Group-ID : = XX • Fichero “ATTRS” Ø DEFAULT ØEAP-Message =* ANY, ØUser-Name =* ANY, ØMessage-Authenticator =* ANY, ØMS-MPPE-Send-Key =* ANY, ØMS-MPPE-Recv-Key =* ANY, ØState =* ANY • radiusd. conf: Ø post-proxy { Ø…. Øattr_filter Ø}

Autenticación 802. 1 X eduroam. es Organización origen A Certificado Credenciales

Autenticación 802. 1 X insegura eduroam. es Organización origen A Certificado Credenciales

Aspectos a tener en cuenta • Problemática equivalente a HTTPS • Autoridad de certificación configurada en cliente 802. 1 x • Si autofirmado (certificado = CA) q No es necesario hacer más • Si no autofirmado q Nos pueden meter un certificado firmado por una CA “famosa”. q Configurar nombre del servidor • Ej: Certificados SCS q Root CA: GTE Cybertrust Global Root q ¡ CONFIGURAR NOMBRE DEL SERVIDOR!

Organización Red. IRIS CESGA CESCA i 2 bask CICA CSIC

Monitorización • Árbol de servidores q http: //www. eduroam. es/radius_monitor • Árbol de servidores + Información de contacto q http: //www. eduroam. es/radius_monitor/info. html q Autenticación a través del listserv por la lista “moviris” • ¿Mejoras? : q Alertas q Autogestión de los datos de la organización o enlace a datos locales q Reports de estado: por día q Interfaz de pruebas • Elegir org. origen - org. destino

Proyecto “Campus Inalámbrico”

El proyecto • Red. es - CRUE • Objetivo: Promoción de las tecnología WIFI en el ámbito universitario • Alineado con “Plan Avanza” • Acciones: q Despliegue de tecnología y soluciones WIFI • Traspaso de fondos • Cofinanciación

Financiación Red. es 3. 4 millones de euros CRUE (Universidades) 40% - 60% Aprox. 6 millones de euros

Seguimiento y coordinación Cámpus Inalámbrico Red. es/ MITy. C Convenio Marco CRUE Comisión Seguimiento Convocatoria Pública Adjudicación Seguimiento Aportaciones al proyecto Red. es

Respuesta • Proyectos presentados: 34 • Ejecución prevista para este año�

Requisitos “Campus Inalámbrico” • Requisitos Técnicos q Servidor Radius compatible proxy radius q Protocolo de autenticación 802. 1 x: PEAP - TTLS -TLS q Posibilidad de autenticar a todos los usuarios de la universidad q Encriptación: WAP q SSID con nombre eduroam o eduroam-… • Requisitos organizativos q Infraestructura informativa vía web en: Inglés, Castellano, oficial • Cobertura • SSIDs • Tecnologías de acceso • Política de filtros q Infraestructura soporte local

Objetivo SSID: eduroam Technology: WAP Soporte / Support: 902 50 50 50

Consecuencia • A final de año: q Unos 50 centros en “eduroam” q Al menos 34 centros cumpliendo requisitos de “Campus Inalámbrico” • Aprox. 100% cobertura wifi -> “eduroam” q Soporte del CAU de red. es para todos los usuarios móviles Uno de los 3 mayores espacios a nivel de movilidad WIFI en el mundo (eduroam)

Muchas gracias ¿¿¿¿¿ preguntas ? ? ? Lista moviris@rediris. es Página web http: //www. eduroam. es Contacto Rodrigo Castro rodrigo. castro@rediris. es