Prinsipper for WiFi oppsett

WIFI Design, Indre Østfold Data, 2014 Side 1 av 9 Prinsipper for WiFi oppsett Indre Østfold Data 2014 Endringer og historikk: Utgave Skrevet av / Endringer siden forrige Dato Godkjent av og dato 0.1 Christian Langgård 08.04.2014 0.3 Bjørn Lande 10.04.2014

WIFI Design, Indre Østfold Data, 2014 Side 2 av 9 Innhold: 1 INNLEDNING... 3 1.1 FORMÅL MED DOKUMENTET.... 3 1.2 OM IØD OG WIFI I SAMBA... 3 2 OVERSIKT OVER LØSNINGEN... 3 2.1 BAKGRUNN FOR DETTE DOKUMENTET.... 3 2.1.1 Ønsket løsning... 4 2.2 INNDELING I DE TRE SSID ER... 4 2.2.1 Management-nett... 4 2.2.2 Felles tjenester... 4 2.2.3 Gjeste Sone... 4 2.2.4 Undervisning... 5 2.3 TEKNISK POLICY... 5 2.3.1 FlexConnect... 5 2.3.2 Kanalplanlegging... 5 2.4 FORVALTNINGSANSVAR/BRUKER AV DE ENKELTE NETT... 5 3 UTSTYR I LØSNINGEN... 6 3.1 WIFI KONTROLLERE... 6 3.2 AKSESS-PUNKTER... 6 3.3 MANAGEMENT... 6 4 LØSNINGS DESIGN (AKSESSPUNKTER)... 7 4.1 PRINSIPP SKISSE... 7 4.2 ARKITEKTUR OG TILKOBLINGER... 7 4.2.1 Montering... 7 4.2.2 Redundans av dekning... 7 4.2.3 Redundans av kontroller... 8 4.2.4 Strømforsyninger og spenning... 8 4.2.5 Radius tjenestene... 8 4.2.6 Autentisering... 8 4.2.7 Apple og Bonjour... 8 4.2.8 AP Grupper... 8 4.2.9 Quality of Service... 8 4.2.10 Teknisk sikkerhet... 8 5 NAVN OG NAVNESTANDARD... 9 5.1 HVA SKAL HA NAVN... 9 5.2 NAVNESTANDARD... 9 _Toc383769187

WIFI Design, Indre Østfold Data, 2014 Side 3 av 9 1 Innledning 1.1 Formål med dokumentet. Dette dokumentet beskriver prinsippene i løsningen, og danner grunnlaget for installasjon og konfigurasjoner av aksesspunkter og management av disse i SAMBA hos IØD. Dokumentet vil i sin endelige form inngå som en del av driftshåndboken til dette nettverket 1.2 Om IØD og WIFI i SAMBA SAMBA er sambandsprosjektet til Indre Østfold Data (tidligere Smaalensveven IKT), og omfatter høyhastighetsnett mellom kommunesentra i Askim, Hobøl, Spydeberg, Trøgstad, Eidsberg og Skiptvet. SAMBA har som mål å etablere et eget eiet datanett, basert på fiber, med mulighet for tilkobling for alle større kommunale institusjoner i kommunene. Fokus i dette dokumentet er WIFI løsningen 2 Oversikt over løsningen 2.1 Bakgrunn for dette dokumentet. IØD leverer IKT tjenester til alle sine eier kommuner. Dette inkluderer også kjerne-, distribusjon- og aksess nett. IØD står også for driften av tjenestene så vel som datanettverket. Det er stadig behov for å utvide og utvikle det trådløs aksess nettet. Det er i dag mange forskjellige trådløse løsinger, mer eller mindre sentralt styrt, og hvor alle kommuner har egne SSID er og authentiserings mekanismer. For å sikre enkel og god trådløs access er det avgjørende at videre utbygging av trådløse nettverk har en felles plattform og enhetlig SSID og nettverksstruktur som kan benyttes på tvers av alle kommuner, og enkelt kan administreres og driftes fra et sentralt system. IØD har derfor bygget opp og standardisert på en Cisco controller basert løsning og enterprise aksesspunkter. Der løsningen til nå har blitt tatt i bruk har den i stor grad erstattet og supplert tidligere lokale WiFi løsinger i de enkelte kommuner og på de enkelte lokasjoner. I tråd med IØD sin målsettning om effektive og standariserte løsninger er det et behov for å forankre en enhetlig policy for felles trådløse nettverk som kan erstatte tidligere løsinger, og forenkle både drift og klient håndtering. Ny struktur i WiFi løsningen må derfor være enkel, robust og skalere for alle type lokasjoner. Fra barnehager med ett aksesspunkt og lite båndbredde inn i SAMBA, til store skoler med høy tetthet av krevende brukere. Det er gjennomført flere runder med vurderinger på hvordan dette bør gjøres og endelig løsning ble tatt frem og forankret i en WorkShop hos IØD, februar 2014.04.11 Dette dokumentet oppsummerer disse prinsippene og valgt løsning, slik at videre utbygging av trådløse nett kan skje på en enhetlig måte og i tråd med IØD sin visjon og strategi.

WIFI Design, Indre Østfold Data, 2014 Side 4 av 9 2.1.1 Ønsket løsning Målet er å oppnå en mest mulig enhetlig løsning for drift og vedlikehold. Løsningen skal gi gode muligheter for implementering av nye tjenester ved at det tas høyde for god kapasitet og fremtidsrettet funksjonalitet. Antall SSID'er skal reduserer til 4 eller mindre. Samme SSID og authentisering av brukere skal gjelde på tvers av kommuner og lokasjoner. Det skal være 3 SSID er for alle: - IOFD-Bruker - IOFD-Elev - IOFD-Gjest 2.2 Inndeling i de tre SSID er Det legges opp til 3 soner i det trådløse nettverket. - IOFD-Bruker = Authentisering av bruker mot AD. Alle ansatte - IOFD-Elev = Authentiering av bruker mot AD. Alle elever - IOFD-Internet = Åpent internett. Evt. authentisering via portal/gjestenett løsning. Da det vil være behov for både intern trafikk, elever og gjeste sone, deles nettverket opp i forskjellige VRF, logiske nettverk. Innenfor hver informasjonssone vil trafikken flyte fritt innenfor en kommune, mens trafikk på tvers av sonene, må ut av kjernenettet og gjennom en brannmur for å kunne kommunisere med enheter i andre soner. Det kan gjøres unntak for dette for spesielle tjenester. Kjernenettverket deles i første omgang opp i 3 informasjons soner: 1. Interne soner 2. Gjeste soner 3. Skolenett soner Det er flere vrf per sone men hver sone har sin egen sentralisert virtuelle brannvegg. 2.2.1 Management-nett Administrasjon og vedlikehold av aksesspunktene. Dette er oppdelt i flere IP segmenter pr kommune, og følger distribusjonslaget pr kommune. Aksesspunkter = SM-Trans ( Vlan 36, i alle kommuner ) Kontrollere = sm-trans ( Vlan 51, SELA og ASKIM ) 2.2.2 Felles tjenester Sone for administrative tjenester i kommunene. Denne er oppdelt i flere IP segmenter pr kommune, og følger distribusjonslaget pr kommune. Autentisering er mot radius server i AD 2.2.3 Gjeste Sone Sone for gjeste tjenester i kommunene. Denne er oppdelt i flere IP segmenter pr kommune. Følger distribusjonslaget pr kommune. Autentisering er anbefalt og være registrering med mobilnummer og få kode tilsendt på sms, men dette er ikke besluttet. Implementering av ny struktur vil bli gjort uten denne gjesteprotalen.

WIFI Design, Indre Østfold Data, 2014 Side 5 av 9 2.2.4 Undervisning Nettverk for elever i undervisningssammenheng. ( Lærere skal bruke Intern sone ) Denne er oppdelt i IP nett pr skole. Autentisering er mot radius server i AD 2.3 Teknisk policy 2.3.1 FlexConnect LightWigth AP er settes opp som FlexConnect. Det er en løsning hvor trådløs trafikk blir bridget rett i respektive VLAN uten å gå i tunell via sentral controller. De tre trådløse sonene (SSID er) blir da plassert rett i de lokale VLAN som tilsvarer de respektive soner All kontroll trafikk og management går via kontroller. (se kapittel 4, ) 2.3.2 Kanalplanlegging (Auto konfig så låse.) 2.4 Forvaltningsansvar/bruker av de enkelte nett IØD har ansvar for kjernenett og tilkoblingspunkter inn mot de enkelte soner. Ruting og distribusjon av tjenester innenfor de enkelte soner administreres også av IØD. Drift av radiustjeneste for tilgang til felles tjenester og undervisnings tjenester håndteres av IØD

WIFI Design, Indre Østfold Data, 2014 Side 6 av 9 3 Utstyr i løsningen 3.1 WiFi kontrollere Cisco Catalyst 6504 (Core switcher i SAMBA) Cisco Wireless Service Module 2 3.2 Aksess-punkter Standard AP 2600 serien. (Hoved alternativ de fleste steder) HighEnd AP 3700 serien. (Kan vurderes på krevende lokasjoner/skoler) LowEnd AP 1600 serien. (Alternativ for små lokasjoner med en AP) 3.3 Management Dude = Overvåking på switch nivå Cisco Prime = management, backup og config av WiFi controllere Cisco WISM2 module = Direkte konfig av AP er Lokajoner legges inn meg byggningstegning (type brann tegning) i Prime. Installerte AP er plassers i tegning, slik at det også er mulig med en visuell fremstilling av AP er i administrasjonsverktøytet.

WIFI Design, Indre Østfold Data, 2014 Side 7 av 9 4 Løsnings Design (aksesspunkter) 4.1 Prinsipp skisse 4.2 Arkitektur og tilkoblinger Aksess punktene vil bli koblet til svitsj med trunk. Management vlan for aksess punktene skal være vlan 36 4.2.1 Montering Aksess punktene skal monteres etter produsentens monteringsanvisning, normalt vil dette være i himling for standard Cisco AP 2600. 4.2.2 Redundans av dekning Aksess punkter kan bli montert med overlapping, slik at hvis en faller ut, så klarer resterende aksess punkt og tette området som tildligere aksesspunkt hadde ansvar for.

WIFI Design, Indre Østfold Data, 2014 Side 8 av 9 4.2.3 Redundans av kontroller Aksesspunkene vil operere selvstendig ved bortfall av sentral kontroller. Både nye og gamle klienter vil kunne fortsette arbeidet. Dette gir en mindre konsekvens ved bortfall av sentral kontroller, og reduserer behovet for en HA løsning / full redundant kontroller løsning. Dette er kun gyldig for AP er i FlexConnect mode. ( MÅ VERIFISERES ) 4.2.4 Strømforsyninger og spenning Aksesspunktene mates med 48 Volt ifra svitsj ( POE ) 4.2.5 Radius tjenestene Tilgangs kontroll til trådløse sonene styres igjennom Gruppemedlemskap i AD. SMIKT domenet har brukerene til SSID: IOFD-Bruker IOSKOLEN domenet har brukerene til SSID: IOFD-Elev 4.2.6 Autentisering 802.1x vil bli brukt for autentisering på IOFD-Bruker og IOFD-Elev Gjeste tjenestene vil være uten begrensninger, og internett tilgang kan styres med en gjestenett portal av type HSMX sms gateway, el.l. 4.2.7 Apple og Bonjour Versjon 7.6 på kontroller vil støtte mdns (Bonjour protokollen til Apple) Oppsett og policy for denne vil følge prinsippet om at ingen Appel tjenester skal kringkastes utenfor den lokasjon de er lokalisert på. Bonjour protokollen vil bli fanget opp av Trunk interfacet til aksesspunktet. Aksess punktet vil oversende informasjonen til kontroller. Slik at kontrollerne kan tilby bonjour tjenestene til dem som spør etter disse. Oppsett av dette vil ikke bli gjort før tidligst etter at kontroller er oppgradert til versjon 7.6. 4.2.8 AP Grupper Aksess punktene grupperes pr lokasjon. Med lokasjon menes den geografiske området hvor AP er vil være innenfor radiodekning av hverandre. Normalt følger en AP gruppe samme lokasjon som er angitt av loakasjonsnummer. 4.2.9 Quality of Service - Standard WMM og 802.11e 4.2.10 Teknisk sikkerhet Det benyttes radius for tilgang til felles tjenester og undervisnings tjenester. Begge disse vil bli kryptert i HW med WPA2.

WIFI Design, Indre Østfold Data, 2014 Side 9 av 9 5 Navn og navnestandard 5.1 Hva skal ha navn Det er to premissgivere for navngivning. Det ene er behov for enhetlig merking og system for dokumentasjon. Det andre er beskrivelser og konfigurasjoner av selve nettverksystemet. I mange tilfeller vil dette være sammenfallende. Andre funksjoner og navn benyttet i systemet har en mer beskrivende karakter og er listet spesielt i dette kapittelet for å sikre en enhetlig og konsistent omtale av de enkelte begrep. Følgende enheter navngis: - aksess-punkter - WIFI kontrollere Andre funksjoner som tildeles navn: - Informasjonssoner - VLAN - IP-segmenter (samme som for VLAN) - VRF er (Routing domener) 5.2 Navnestandard Det er ingen felles navnestandard for alt utstyr og funksjoner. Førende for navngivning er at - Alle navn skal være unike på tvers av evt. domenenavn. - Alt utstyr skal ha hostnavn som kan benyttes i DNS - Navn skal inneholde informasjon om plassering - Alle IP interface skal ha host-navn - L2 interface navngis med utgangspunkt i host-navn + interface-navn Forslag til navn av kjerne og distribusjonsswitcher: <systemeier>-<lokasjon>-<funksjon>-<løpenummer> <systemeier> <lokasjon> <type> <løpenummer> = sm (Administrativt domene. Driftes av IØD.) = <i hht. adresseliste uten - > for eksempel: Askim Brann. = as03. = lap(lett aksesspunkt) = to siffer løpenummer. Navn på kjernesvitsjer sm-as01-c-1 Navn på distribusjonsvitsjer sm-as01-d-1 sm-as01-d-2 Navn på aksessvitsjer sm-as01-a-1 Navn på aksess-punkter sm-as01-lap-01 sm-as01-lap-02