Embed Size (px)
Citation preview
自我介紹
張瑛杰 任職於國立暨南國際大學
– 資訊工程學系兼任助理教授 – 計算機與網路中心技術員
學歷
– 國立暨南國際大學國際企業學系博士學位 – 國立暨南國際大學資訊管理學系碩士學位 – 長榮大學企業管理學系學士學位
2
92年任職於 國立暨南國際大學
TWAREN GigaPOP 專任助理
97年執行台灣學術網路(TANet)
南投區網中心成立與網路管理
多次承接 財團法人台灣網路資訊中心(TWNIC) IPv6 推廣與教育訓練計畫，對象包含政府與學術單位
3
上午場 09:00 ~ 12:00
學術與政府IPv6的升級經驗分享
下午場 13:00 ~ 16:00
校園網路的資安防護分享與分層防護要領
4
伴隨著 TANET / TWAREN 骨幹100G
的新世代發展
校園網路管理 比起十年前更加嚴峻
逐一介紹不同層面的挑戰
以及因應之道
5
多階層樹狀拓樸
6
單階層樹狀拓樸
7
單點故障風險 / 建構成本高
8
管理上須具備的功能
Layer 2 位階的 網管功能測試
9
17項網管功能
10
Syslog
SNMP
LOOP Detection
ARP Spoofing
Spanning tree
BPDU
IP & MAC & PORT
Multicast
Netflow / Sflow
ACL / Filter
IPv6
DHCP Snooping
Port Mirroring
Storm control
Commit Confirmed
Rollback
連線方式
12項參數設定
11
Storm
DHCP Snooping
DAI
icmp-limit
snmp limit
NTP limit
MAC Table
ARP
login limit
Gateway MAC – static
STP
History syslog
核心骨幹的備援機制
如何挑戰
傳統樹狀拓樸
12
Multi-Chassis Link Aggregation Group (MC-LAG)
Virtual Port-channel
(VPC)
13
改接前
改接後
核心骨幹路由器
機箱好 V.S. 單機好
16
• 觀察一般狀況下的 CPU Loading
• 測試 消耗 CPU Loading 的功能 –查詢 ARP Table 紀錄
–查詢 MAC Table 紀錄
–透過 SNMP 抓取 資料
• 測試Cacti 運作狀況
• 測試syslog是否可以正常收到資料
1. User 是否可以自動取得正確的 IPv4 / IPv6 address
2. User 是否可以正常上網
3. 檢視乘載 APR Table，以及CPU使用率
4. 檢視乘載 MAC Table，以及CPU使用率
4. 使用外部程式抓取設備上 IP address 與 MAC 對應資訊，並且抓取的同時檢視 CPU 使用率
5. 檢視是否可以與 TWAREN 的 IPv4 建立 OSPF ，並且交換路由資訊
6. 檢視學校使用 SNMP 網管軟體，是否可以正確抓到設備相關資訊 ( interface 流量 )
7. 檢視學校使用的 SYSLOG Server，是否可以正常收到 SYSLOG
設備型號 管理模組 CPU資訊 備註
Router 機箱
RE Intel Celeron M 1.3G
目前使用的模組
Layer3 Switch 機箱
RE Intel Xeon C5518 4 Cores, 1.73 GHz
RE2 6 Cores, 2 GHz
Layer3 Switch 1U 單機
RE Broadwell E5-2608-L V4 8 Core 1.6GHz
本次比較項目中 最新的CPU製程型號
Layer3 Switch 機箱
RE MPC8572 1.5Ghz
RE2 X86 Dual Core 2.5Ghz
20
設備型號 MAC Address ARP Entries Port
Layer3 Switch 1U 單機
64,000 * 24Port 10G
Layer3 Switch 機箱
128,000 125,000 32Port 10G
8Port 10 + 2Port 40G
Layer3 Switch 2U 單機
32,000 16,000 24Port + 2Port 10G
Layer3 Switch 機箱
256,000 1,000,000 32Port 10G
Layer3 Switch 1U 單機
512,000 1,000,000 8Port 10G + 4Port 40G
21
廠商1 廠商2 廠商3
廠牌1 廠牌2
管理模組 1片 1片 2片
卡版 1* 32 port 10GE 1* 32 port 10GE
電源 3 * 3000W 2 * 3000W 2*2520W
GBIC 22 * SR 副廠 10 * LX 副廠
non 22 * SR 副廠 10 * LX 副廠
保固-報價 3 年 1,396,500 5年分期
2,200,000
3 年 1,180,000 3 年 1,480,000 第二輪 最高規
5年 1,900,000左右
報價比較 – 你看到什麼?
22
機箱造型的設備
機箱使用的管理模組
1U空間大小的完整設備
機箱設備 1U大小的設備
管理模組 1
10G Port 8 Port
40G Port 2 Port 40G or 8 Port 10G 4 Port 40G or 16 Port 10G
CPU X86 Dual Core 2.5Ghz Broadwell E5-2608-L V4
8 Core 1.6GHz
Memory 4G 32G
使用空間 9U 1U
MAC address table 125,000 1,000,000
ARP table 125,000 256,000
耗電用量 僅管理模組本身會需要354W 整台運作需要300W
含五年保固 110(每年約20萬) 90 (每年約6.5萬)
以實際最低需求的最低價做比較
25
改接後
校園內部資安防禦?
27
內部 – 代表越接近使用者越有效
• 入侵偵測
• 防毒
• 還有….?
28
Gartner 企業網絡防火牆魔力象限
哪些是資安設備的 基本項目
1. Layer 4 Firewall
2. Threat Prevention
3. Application Control
4. New Session per second
5. Max Sessions
6. DNS
7. URL Filter
8. IP List
9. Others…….
30
請問貴單位 需要的是什麼?
如果上層已經有資安設備 貴單位還需要購買設備?
如果依舊需要
疊床架屋的問題怎麼解釋?
31
臺灣學術網路
(Taiwan Academic Network, TANet)
臺灣各級學校網路及資訊教育之平台
32
33
為了落實網路安全管理 在網路骨幹建構完整 偵測與通報機制
34
學術網路資訊安全通報機制
資安通報 重要單位
• 台灣學術網路危機處理中心
TANet Computer Emergency Response Team
• 學術資訊安全維運中心
Academic Security Opertion Center
• 區網中心
GigaPOP
35
36
DEF (Deface，網頁攻擊)
37
INT (Intrusion ，入侵攻擊)
38 您知道這有超重要的資訊嗎?
39
40
下載次數太少 表示太少人關注
IoT 設備資安防護指南
41
TANET 的 Last Mile
國中小 是 TANet 數量最多的連線單位
臺灣學術網路(TANet)為了落實網路安全管理
在網路骨幹建構完整偵測與通報機制
42
Last Mile 的問題
各校在資安管理的自主規劃
大多是將IPS或IDS建置在校園出口
這和 TANet 資訊安全架構 有重疊之處
到底該怎麼辦?
43
IP address黑名單
• IP address 黑名單是普遍的作法 – Gateway
– IPS
• 過濾異常黑名單 –降低 Router 和 IPS 的 Loading
–增加設定筆數
44
Domain name 過濾
• 過去 – 透過 IP address 黑名單降低 資安風險
• 現在 – 駭客使用 Domain name 可以不斷變更IP address
設定阻擋已知異常 Domain name
可有效抑制 更換 IP address 的攻擊行為
45
有許多現成的資源 可以多多運用
但資安就是雙面刃 不買資安設備? 不做控管嗎?
46
無線網路汰舊換新
該不該換? 怎麼換?
47
今年六月份紀錄
48
Wi-Fi Alliance
在 2018 年 10 月
正式宣布新的命名規範
802.11n → Wi-Fi 4
802.11ac → Wi-Fi 5
802.11ax → Wi-Fi 6
過去的標準
802.11
802.11b
802.11g/a
不再給予新的名稱
Wi-Fi 1 / 2 / 3
通訊協定標準 簡稱 2.4GHz 5GHz 6GHz 最高傳輸速度
802.11 ● 2Mbit/s
802.11b ● 11Mbit/s
802.11g/a ● (g) ● (a) 54Mbit/s
802.11n Wi-Fi 4 ● ●
72Mbit/s (20 MHz)
150Mbit/s (40 MHz)
802.11ac Wi-Fi 5 ● ●
802.11ax Wi-Fi 6 ● ● ●
2.4GHz 和 5GHz 有何差異?
資料來源：科技新報
無線電波 每秒流向改變次數
Hz 在 1 秒以下流向改變次數
G 為 1,000 的 3 次方
2.4GHz / 5GHz → 2400000000 / 5000000000
部分頻段無須額外特許證照或費用給三個類別使用
工業（Industrial）
科學（Scientific）
醫學（Medical）
2.4GHz / 5GHz 傳輸距離 → 1.0 倍 / 0.5 倍
仍受到空間影響
2.4 GHz 的問題
5 GHz 的問題
舊款支援 舊款僅少數設備支援 衛星訊號傳輸和機場氣象雷達
5 GHz 頻段
80MHz 160MHz 160MHz
2.4 GHz / 5GHz 整合問題
•是否設定相同SSID
•連線選擇上的問題
•韌體升版可否改善
•自動連線設定
高增益 / 主動式
高增益 主動式
被動 主動
方向性加強 電力放大訊號
魚與熊掌是否可以兼得?
MIMO
自802.11n 開始
出現一個新功能
可透過多組天線傳輸進行傳輸
Multi-Input Multi-Output (MIMO)
多輸入多輸出
MIMO
802.11n 單支天線 最高傳輸天線數量 最高傳輸速率
150 Mbps 4 600 Mbps
802.11ac 單支天線 最高傳輸天線數量 最高傳輸速率
867 Mbps 8 6.934 Gbps
AP
手機
2支天線
4支天線
AP
手機
加強傳輸品質 或穩定訊號
2支天線
2送 + 2收
802.11ac 802.11ax
頻帶 5 GHz 2.4 GHz 與 5 GHz
通道頻寬 20 MHz、40 MHz、80
MHz、80+80 MHz 與 160 MHz
20 MHz、40 MHz、80 MHz、80+80 MHz 與 160
MHz
FFT 大小 64, 128, 256, 512 256, 512, 1024, 2048
子載波間距 312.5 kHz 78.125 kHz
OFDM 符碼持續期間 3.2 us + 0.8/0.4 us CP 12.8 us + 0.8/1.6/3.2 us
CP
最高調變 256-QAM 1024-QAM
資料速率
433 Mbps (80 MHz，1 SS)
6933 Mbps (160 MHz，8 SS)
600.4 Mbps (80 MHz，1 SS)
9607.8 Mbps (160 MHz，8 SS)
Beamforming 波束成型
802.11n 開始成形，但因各家廠牌標準不一
尚未普及
802.11ac 趨近於統一運作模式
已經普及
Beamforming 波束成型
訊號彼此之間會有干擾、抵消等現象
Beamforming 波束成型
透過計算讓訊號傳輸方式改變
提升傳輸速率、品質、距離
802.11ax
資料來源
電腦王、每日頭條、PCM
MU-MIMO
以 MIMO 和 Beamforming 為基礎
提出了 MU-MIMO ( Multi-User )
Source：Ruckus
MU-MIMO的限制
下載 上傳
802.11ac √
802.11ax √ √
OFDM / OFDMA
為了讓相同通道 頻寬的 更多使用者 進行多工，802.11ax 標準 採用 了 4G 行動技術領域 的其中一項技術改進： 802.11ax 標準 使用廣 為 802.11ac 所用的正交頻分 多工 (OFDM) 數位 調變架構為基礎，會將特定 子載波 集進一步指派給個別 使用者 資料來源http://www.ni.com/zh-tw.html
Source：Wi-Fi Alliance
OFDM / OFDMA Source：Qorvo / Qualcomm
Resource Unit
QAM 調變技術
Source：ni.com
Source：Qorvo
BSS Coloring 假設在 Channel 36，要傳送資料，在 ac 舊制下，會聽到附近很多 Ch.36 的活動，因而暫止傳輸。但在 BSS Coloring 下，它會忽略黃、綠、紫色的 Ch. 36 干擾，照樣傳給黑色 Ch. 36。 Source：Aerohive 802.11 AX 裝置傳輸資料時，會在 Header 標記 BSS Color 。 Source：Aerohive
但是，對於管理者而言 如何提供穩定的服務環境
並且有效控制成本
這都是一大難題 買 或 不買 換 或 不換
74
2019/05 TANetRoaming 相關問題詢問
75
許多使用者會反映未加密的 TANetRoaming SSID會讓其他學校記錄到使用者的明碼帳號與密碼，這一件事情教育部的態度是?
教育部強力推廣EAP-802.1X暨eduroam服務，依漫遊中心與教育部之前開會的討論，後續建置跨校漫遊的部分全面採取，EAP-802.1X驗證，已建置學校也陸續開始進行輔導，當eduroam建置到一定程度後(目前約建置約11%)，會將TANetRoaming服務名稱會修改成iTaiwan (依照校園服務資源對外開放政策)
76
漫遊中心網頁上提到「請加入漫遊中心的單位於新增或者修改SSID名稱為TANetRoaming」，這邊應該是針對Portal登入的SSID，想要請教的是，除了eduroam之外，有沒有針對802.1x建議的SSID名稱呢?
之前教育部有發函給各連線單位統一SSID為
TANetRoaming(網頁認證)和eduroam(EAP-802.1X)
• TANetRoaming
– 台灣當初再部署跨校漫遊的部分是採取網頁認證(Web Portal)，為了讓台灣使用者知道哪個SSID可以使用跨校驗證，所以才建議全部都採取TANetRoaming這個名稱
• eduroam
– eduroam是一個為建立國際教育及科研機構間無線區域網路漫遊體系的計畫。所以外國使用者只會認得eduroam這個名稱。
– 如校內可以使用802.1X驗證，尊重各校的命名(niu-802.1X、nthu-802.1X等等)，如要開放跨校漫遊就要命名為eduroam，並與漫遊中心完成雙線驗證測試。
– 另外漫遊中心也強烈建議，未來不管校內校外都統一使用eduroam名稱與國際接軌，漫遊中心也制定了一些使用和設定規範，已減少使用者和建制單位的負擔
77
2018/06/26公告的訊息Accounting Log一事，請問建議傳送給貴單位的方式，是否由Controller 直接送出? 或是 由syslog Server 進行轉送呢?
Accounting Log主要是因為個連線單位，會因為設備面，政策面或是資安要求的不同，會有儲存相關Log的一些問題，故統一發送到漫遊中心作集中儲存三年，各連線單位就依照自己的需求作相關設定既可。
一般來說Accounting Log都是由Controller直接送出，部分軟體是防火牆可以做到。syslog Server這部分應該都只是記錄自己當下的Accounting Log或是相關紀錄，漫遊中心這邊沒有聽說有這種的運作方式?
78
無線網路安全嗎?
2015
https://news.tvbs.com.tw/life/615399
2018
https://news.tvbs.com.tw/world/892678
79
IOT 設備怎麼辦
• 手動將 MAC 加入 Radius
–被動加入
–系統申請方式
–有其必要性 80
IOT
輕鬆打造創新物聯網│中華電信IoT大平台
中華電信IoT大平台，藉由提供感測資料之收集、處理、儲存、供應及管理等，建構出高可用性、高可靠性、高處理量且符合資訊安全標準的智慧感測資料中心，並透過物聯網技術收納各項設備資訊以進行監測，進而提供相關的加值服務；使您輕鬆地於平台上建立專屬應用服務、設備連結以及開發行動裝置APP，開拓您的 IoT 相關事業。
81
AIoT不可不知
30秒認識AIOT的價值
企業導入物聯網架構後，藉由數據的搜集和分析，就能擁有預防性維護、主動性預警的能力。
但是，企業人力資源有限，若想要在大數據之中，進一步找出所蘊藏的資料金礦，那就只能藉助人工智慧的力量，把IoT進一步升級為AIoT。
從IoT到AIoT，看似系統整合的一小步，但卻會是企業創新價值、超越自我的一大步。
82
(NHK)物聯網IOT的新興風險
百禾文化提供 Copyright by NHK
調查我們互聯網世界中的網絡威脅。
最新的家用電器可以使用智能手機和其他連接的設備在手指上操作。但是，究竟我們在物聯網（IoT）的傳播中暴露了什麼？駭客正在使用非法手段查看安全攝像機視頻或竊取個人信息。而這僅僅是個開始。日常家用電器可能成為全球互聯網犯罪更大更凶險的工具。為了便利要付出多少代價？對物聯網黑暗面的詳盡調查揭示了新興威脅的現實情況。
83
經驗分享
感謝您的參與
84
