Projeto Eduroam-br Education Roaming em Universidades Brasileiras. Relatório Final Testes e problemas enfrentados Documentação adicional

Transcrição

1 Projeto Eduroam-br Education Roaming em Universidades Brasileiras Relatório Final Testes e problemas enfrentados Documentação adicional Junho de 2011

2 1. Introdução O presente relatório expõe os relatos sobre os testes e problemas encontrados no desenvolvimento do projeto piloto eduroam-br (education roaming em Universidades Brasileiras). Este relatório também apresenta a documentação adicional e introduz as configurações padronizadas geradas pelo projeto a partir da análise, implantação e testes realizados pelas três instituições envolvidas, UFF (Universidade Federal Fluminense), UFRJ (Universidade Federal do Rio de Janeiro) e UFMS (Universidade Federal do Mato Grosso do Sul), além das voluntárias UFSC (Universidade Federal de Santa Catarina), UNICAMP (Universidade Estadual de Campinas) e UFRGS (Universidade Federal do Rio Grande do Sul). O restante do texto está organizado da seguinte forma. A Seção 2 apresenta a composição da equipe que contribuiu com a realização do projeto. A Seção 3 apresenta a infraestrutura do serviço e suas características (versões de software e endereços IP), e a descrição da base de dados de usuários utilizada em cada instituição participante. A Seção 4 aborda os principais problemas enfrentados pelas instituições participantes. Já a Seção 5 descreve os testes de roaming entre as instituições, incluindo também os testes de roaming internacional. A Seção 6 apresenta um breve relato sobre a demonstração do serviço eduroam no WRNP/SBRC A Seção 7 descreve a documentação adicional e os arquivos de configuração padronizados gerados pelo projeto. A Seção 8 enumera o que ainda é necessário para a América Latina e Brasil participarem oficialmente da confederação eduroam internacional e, finalmente, a Seção 9 conclui o relatório. 2. Equipe UFF Profa. Débora C. Muchaluat Saade - coordenadora Prof. Célio V. N. de Albuquerque Prof. Luiz C. Schara Magalhães Edelberto F. Silva Otávio F. da C. Roma Esdras Caleb O. Silva UFRJ Prof. Miguel E. M. Campista Prof. Luis H. M. K. Costa Luiz Felipe Maciel Vieira de Moraes Alessandro Martins UFMS Prof. Ronaldo Alves Ferreira Profa. Hana K. S. Rubinsztejn Brivaldo Alves da Silva Júnior Péricles Christian Moraes Lopes

3 Juliano Tadeu Bergamo UFSC Prof. Ricardo Felipe Custódio Hendri Nogueira Guilherme Arthur UNICAMP Ricardo B. da Silva Maurício R. Possari Thiago R. Pereira Rachel de C. Paschoalino UFRGS Leandro F. Rey Fernando Macedo Caciano Machado Márcio Pohlmman 3. Infraestrutura de servidores e pontos de acesso Esta seção apresenta as configurações separadamente para cada instituição UFF A topologia descrita pela Figura 1 demonstra o ambiente atual de testes interno à UFF. Existem dois pontos de acesso oferecendo o serviço eduroam, um instalado no Laboratório MídiaCom, nas dependências do Departamento de Engenharia de Telecomunicações, e outro no Laboratório da Pós-graduação do Instituto de Computação. Pela figura, observa-se ainda possível observar que os servidores RADIUS e LDAP estão instalados e configurados sob máquinas virtuais VirtualBox. Ambos os pontos de acesso utilizados nos departamentos são do modelo Linksys WRT54G com seu firmware original. A necessidade principal durante a escolha do modelo de ponto de acesso se baseou basicamente no suporte ao protocolo 802.1X para autenticação dos usuários. A seguir são descritas as versões de softwares utilizadas nas configurações dos servidores: Servidor (SRV) VirtualBox: neste servidor é onde residem as máquinas virtuais referentes ao servidor da federação e da instituição. o IP: o Versão S.O.: Linux Ubuntu o Versão do VirtualBox: 4.0

4 Servidor da Federação: o servidor da federação é responsável pelo encaminhamento das requisições entre as instituições envolvidas conforme seu endereço de domínio (realm). o IP: o Versão S.O.: Linux Ubuntu o Versão RADIUS: FreeRADIUS Servidor da Instituição: responsável pelo recebimento das requisições do cliente e conferência na base de dados LDAP. Atualmente o endereço de domínio correspondente à UFF na base de teste o IP: o Versão S.O.: Linux Ubuntu o Versão RADIUS: FreeRADIUS o Versão LDAP: OpenLDAP o Porta FreeRADIUS: 1812 (padrão) Pontos de acesso: responsáveis pela comunicação entre o cliente e servidor RADIUS por meio do 802.1X. o Marca: Linksys WRT54G o Firmware: original Figura 1 Topologia atual de rede da UFF

5 A base de dados atualmente utilizada na UFF foi gerada a partir da base local de usuários do laboratório MídiaCom por meio de conversão entre os formatos passwd e shadow (nativos do Linux) utilizados pelo NIS para o LDAP. Essa conversão é descrita na documentação adicional que está sendo gerada e será disponibilizada ao final do projeto. É possível visualizar na Figura 2 como se encontra atualmente a disposição da base LDAP na UFF. Seguindo uma leitura top-down do diagrama, podemos ver as Organizações representadas pelo dc onde, se unirmos os dc em uma leitura inversa (down-top), temos o domínio uff.br. Logo em seguida a Unidade Organizacional compreendida àquela Organização, representada por ou se divide em Grupos e Pessoas. Os usuários cadastrados na base de dados encontram-se abaixo de ou=people. Figura 2 Visão da base LDAP atual da UFF Os campos que compõem cada usuário podem ser visualizados a seguir a partir da descrição do usuário teste. Onde, os campos de senha sambantpassword e userpassword foram suprimidos. dn: uid=teste,ou=people,dc=uff,dc=br cn: Teste do eduroam objectclass: sambasamaccount

6 objectclass: person objectclass: inetorgperson sambantpassword: HASH_NT sambasid: 1 sn: do Teste eduroam uid: teste userpassword: SENHA DO TIPO {CRYPT}, {SSHA}, {SHA}, {SMD5}, {MD5} etc. A UFF está em fase de integração à Comunidade Acadêmica Federada CAFe, e deve implantar em um futuro próximo um piloto do eduroam-br em todo o Campus Praia Vermelha, contando com uma infraestrutura de 30 pontos de acesso sem fio e uma base LDAP com todos os alunos, professores e funcionários da universidade UFMS A topologia descrita pela Figura 3 diz respeito à UFMS em seu ambiente de testes. Inicialmente, a base de dados LDAP utilizada foi uma base de testes e atualmente é a base real de usuários da instituição. Vale frisar que essa instituição já utilizada a CAFe (Comunidade Acadêmica Federada) e seu esquema breduperson. Todas as requisições cujo realm não seja ufms.br são encaminhadas ao servidor da federação, como ilustrado na Figura 3. Figura 3 Topologia atual da rede UFMS Os softwares e APs utilizados pela UFMS são: Servidor rodando Debian Squeeze IP:

7 FreeRADIUS OpenLDAP AP 3COM 7760 (com suporte a IAPP e até 4 VLANs) - IP: Domínio: ufms.br Na Figura 3 a cor vermelha significa a comunicação entre os servidores, já a cor verde significa a comunicação referente à solicitação de autenticação do usuário (local ou em roaming). Se for local, a resposta à solicitação de autenticação é dada diretamente pelo servidor RADIUS local, se não, essa requisição será encaminhada ao servidor da federação eduroam-br através da Internet. Uma vez o usuário autenticado com sucesso, as setas em azul são o caminho lógico para receber IP por DHCP, gerar vínculo de MAC/IP no firewall e liberar navegação. Os usuários irão se conectar ao AP, que vai utilizar criptografia WPA2 Enterprise com um servidor RADIUS de autenticação, utilizando 802.1x para autenticação e o protocolo PEAP/MSv2 como canal com o FreeRADIUS. O mais recomendado seria utilizar um Supplicant com EAP-TTLS/, mas nem todos os sistemas operacionais possuem nativamente tal suporte, por isso, foi utilizado o PEAP/MSv2. Os usuários da UFMS estão em uma base OpenLDAP, que recebe conexões do FreeRADIUS utilizando um canal seguro com TLS. Um ponto interessante dessa infraestrutura diz respeito à mobilidade do usuário entre os APs usando IAPP (802.11f), onde um usuário será transferido de forma transparente a outro AP caso esse possua uma maior potência de sinal sem a necessidade de reassociação pelo cliente UFRJ A topologia da UFRJ conta com um ponto de acesso Linksys WRT54G, um servidor executando em um desktop padrão com Linux Ubuntu, FreeRADIUS e OpenLDAP , cujo IP responde por O servidor ainda está conectado à Internet. As versões utilizadas foram padronizadas conforme conversa prévia ao início das atividades. Figura 4 Infraestrutura atual da UFRJ Uma base LDAP de dados de usuários foi criada internamente ao GTA (Grupo de Teleinformática e Automação) para a realização dos testes referentes ao projeto eduroam-br UFSC, UNICAMP e UFRGS As universidades voluntárias UFSC e UNICAMP já utilizam a base de usuários da CAFe, com exceção da UFRGS que ainda está utilizando uma base de usuários de

8 teste para o serviço eduroam. É importante ressaltar que a UNICAMP já possuía uma infraestrutura de acesso sem fio que atende aos pré-requisitos de ingresso ao eduroam, com uso de servidores RADIUS e autenticação 802.1X nos pontos de acesso. Por isso, sua integração ao piloto eduroam foi bastante rápida. As demais instituições voluntárias implementaram suas configurações a partir das recomendações e documentações geradas por este projeto. Os endereços IP dos servidores RADIUS de cada instituição voluntária são apresentados a seguir: UFSC: UNICAMP: UFRGS: A UNICAMP possui uma hierarquia de servidores RADIUS interna à universidade, usando inclusive o protocolo RadSec para conexão segura entre seus servidores Infraestrutura hierárquica dos servidores RADIUS eduroam-br Atualmente o servidor da federação, localizado na UFF, se conecta ao servidor de confederação latinoamericano localizado no Peru (LATLR) que por sua vez se conecta aos servidores top-level do eduroam localizados na Europa (ETLR), como pode ser visualizado na Figura 5. Essa integração com as instituições internacionais possibilitou maior proximidade com os grupos idealizadores do eduroam e consequentemente uma grande expansão em relação às instituições onde os usuários brasileiros poderão se conectar. Testes de roaming internacional foram realizados com sucesso e são expostos ainda neste documento. Figura 5 Infraestutura atual da hierarquia de servidores eduroam-br Os principais contatos para interligação do eduroam-br à comunidade internacional foram: Jose Luis Quiroz A. Inictel, Peru, jlquiroza62@gmail.com José Manuel Macías Rede Íris, Espanha, jmanuel.macias@rediris.es

9 4. Problemas e soluções Em diversas etapas deste projeto foram enfrentados desafios em relação tanto à adequação das configurações quanto a problemas técnicos. Para ilustrar esse tipo de limitação técnica podemos citar a falta de suporte nativo dos clientes com sistemas operacionais da família Windows a tipos de hash e criptografia demandando a instalação de softwares de terceiros para a adição desse suporte. A família Windows provê suporte apenas ao método EAP-PEAP e MSv2. Para que seja possível utilizar outros métodos de autenticação, é necessária a instalação do suporte a esses protocolos por meio de suplicantes de terceiros, responsáveis pela adição desses recursos e sua configuração. A Tabela 1 descreve se há suporte nativo de cada plataforma ao método de autenticação utilizado. Quando não há esse suporte, como já citado, é necessária a instalação de softwares de terceiros como SecureW2 [5] e Xsupplicant [6]. Tabela 1 Suporte a métodos de autenticação no SOs Fabricante Dispositivo/S.O. TTLS- PEAP-MS(v2) Apple iphone/ipad/ios 4.0+ Não Sim Apple MacBook/Leopard Sim Sim Google Android/2.1+ Sim Sim Microsoft Windows XP/Vista/7 Não Sim Linux Ubuntu Sim Sim Cada instituição pode definir o(s) método(s) de autenticação a que deseja dar suporte, pois esta configuração só afeta os usuários da própria instituição. O método mais seguro é o EAP-TTLS/, entretanto, o EAP-PEAP/MSv2 facilita a configuração dos clientes em determinados dispositivos. Atualmente, a UFF, UFRJ e UFMS oferecem os dois métodos Já a UFRGS oferece somente o método EAP- PEAP/MSv2, a UNICAMP o EAP-TTLS/ e a UFSC, por utiliza apenas o método EAP-TTLS/GTC. Muitas das dúvidas e dificuldades em relação às configurações foram solucionadas a partir da ajuda mútua entre as instituições envolvidas pela lista de discussão criada para o projeto denominada eduroam-br@midiacom.uff.br. Todas as mensagens enviadas à lista estão disponíveis para consulta em 5. Testes de roaming entre instituições Foram realizados os testes de roaming entre as instituições e descritos na forma da Tabela 2. Para facilitar estes testes, cada instituição cadastrou em sua base de dados um usuário de teste. Seguem os dados referentes a esses usuários: UFF UFRJ o usuário: teste@uff.br o senha: teste123

10 o usuário: o senha: teste123 UFMS o usuário: testernp@ufms.br o senha: senha1234 UFRGS o usuário: @ufrgs.br o senha: t3st33dur04m UNICAMP o usuário: teste@unicamp.br o senha: teste123 O roaming consiste na habilidade de se estender a cobertura de uma rede a um usuário que está fora de sua área de cobertura local. Por isso, os testes de roaming foram feitos de maneira a simular o acesso de um usuário de outra instituição à rede sem fio local de cada instituição parceira. Basicamente, quando um usuário com um login contendo um domínio externo (realm) tenta se autenticar na rede local, o servidor re-encaminha o pedido de validação de usuário e senha ao servidor da federação, por meio do proxy. Todos os métodos de autenticação foram combinados tanto pelo cliente de linha de comando do Linux radtest quanto pelo suplicante nativo de cada sistema operacional e de terceiros, quando necessário. A Tabela 2 mostra o status atual dos testes de roaming realizados pela UFF, UFMS e UFRJ respectivamente. A Tabela 3 exibe os testes de roaming realizados para as instituições internacionais, onde inicteluni.edu.pe corresponde à instituição localizada no Peru, abaixo do LATLR (servidor RADIUS top-level da América Latina servidor da confederação) e test.rediris.es, o servidor de testes localizado na Espanha. Testes de roaming internacional para o usuário de testes da UFF foram realizados também através de instituições subordinadas ao LATLR e ETLR, todos com sucesso. É importante ressaltar que hoje já é possível realizar autenticações de usuários participantes do projeto piloto tanto no Brasil quanto em qualquer instituição integrada com o eduroam internacional, pois o eduroam-br está tecnicamente integrado ao serviço eduroam internacional. Entretanto, para que o Brasil participe formalmente da confederação eduroam, são necessários alguns procedimentos adicionais, como será detalhado na Seção 7. A Tabela 4 exibe os testes realizados pelas instituições voluntárias as projeto piloto UFSC, UNICAMP e UFRGS, que autenticaram com sucesso us usuários de teste das instituições participantes UFF UFRJ e UFMS. A Tabela 5 exibe a legenda de cores utilizada nas tabelas anteriores. Para acesso com o método de autenticação utilizando o Windows XP e Windows 7, é necessária a instalação de um suplicante de terceiros, como por exemplo SecureW2, Wire1X etc. Nos testes da realizados pela UFF com Windows 7, foi utilizado o SecureW2. No ipad e iphone, também não há o suporte a nativo, sendo necessária a instalação de um software adicional.

11 Tabela 2 Status atual dos testes de roaming realizados por UFF, UFRJ e UFMS UFF UFRJ UFMS radtest teste@uff.br radtest teste@gta.ufrj.br radtest testernp@ufms.br XP XP XP Linux Linux Linux ios4+ ios4+ ios4+ Andr. Andr. Andr. Tabela 3 Status atual dos testes de roaming internacional realizados pela UFF inictel-uni.edu.pe test.rediris.es radtest radtest Tabela 4 Status atual dos testes realizados pelas instituições voluntárias (UFSC, UFRGS e UNICAMP) uff.br gta.ufrj.br ufms.br radtest radtest radtest Tabela 5 Legenda de cores das Tabelas 2, 3 e 4

12 Legenda OK Falhou Não responde 6. Demo Realizada no WRNP/SBRC 2011 A equipe do projeto realizou uma demonstração do serviço eduroam no XII Workshop da RNP, evento conjunto ao XXIX Simpósio Brasileiro de Redes de Computadores e Sistemas Distribuídos realizado em Campo Grande, MS. Foi montado um estande no evento e instalada a infraestrutura necessária ao oferecimento do serviço, emulando uma instituição representada pelo domínio sbrc.br durante o evento. Todos os usuários já cadastrados nas bases de dados das instituições participantes do piloto tiveram acesso seguro à rede sem fio eduroam no evento de forma transparente, ou seja, usando suas credenciais e configurações de acesso de suas instituições de origem. A infraestrutura montada para o serviço eduroam no evento foi composta dos seguintes equipamentos montados nos estande: Estação servidora do domínio sbrc.br com a seguintes configuração de software: o Ubuntu LTS ("Lucid Lynx") 32bits o VirtualBox o Máquina virtual com servidores RADIUS e LDAP Estação cliente com sistema operacional Windows 7 e software PowerPoint do Office 2007 TV 32 para apresentação de slides sobre o piloto eduroam-br A infraestrutura de pontos de acesso sem fio (APs) montada para o evento foi utilizada para oferecimento do serviço eduroam. Os APs foram configurados com SSID eduroam e autenticação no servidor RADIUS do domínio sbrc.br. A Figura 5 ilustra a hierarquia de servidores eduroam-br, incluindo o servidor temporário representando o domínio sbrc.br instalado para o evento WRNP Figura 6 Hierarquia de servidores usada para a demo eduroam-br

13 As Tabelas 6 e 7 apresentam as estatísticas de acesso ao serviço eduroam nos dias 30 e 31 de maio de 2011 durante o evento WRNP. Tabela 6 Estatísticas de acesso para o domínio sbrc.br no WRNP 2011 Domínio SBRC.BR 30/05/ /05/2011 Pedidos de autenticação Autenticações com sucesso Usuário ou senha inválida 13 3 Usuários cadastrados* 14 * todos os usuários cadastrados utilizaram o acesso com sucesso Tabela 7 Estatísticas de acesso para outros domínios no WRNP 2011 Outros domínios 30/05/ /05/2011 Pedidos de autenticação Autenticações com sucesso Usuário ou senha inválida Acessos únicos 8** 7*** ** 4 eram usuários da UFF, 3 da UFMS e 1 da UFRJ *** 3 eram usuários da UFF, 2 da UFMS e 2 da UFRJ O número de pedidos de autenticação é alto geralmente por conta da gerência de energia dos dispositivos móveis, que desativam a interface sem fio como forma de economia. O alto número de pedidos de autenticação considerados como de outras instituições ocorreu porque qualquer acesso com domínio diferente de sbrc.br foi encaminhado ao servidor da federação eduroam-br. 7. Documentação Adicional Em relação à documentação, as fontes mais utilizadas para consulta foram os arquivos disponíveis no site do eduroam.org, como o cookbook [1] e os guias para as configurações tanto no nível institucional como da federação [2]. Relatos de instituições que já estão integradas ao eduroam auxiliaram, principalmente por meio de discussões e relatos, nas dúvidas de configuração do serviço, fornecendo um maior embasamento teórico sobre os aspectos envolvidos no projeto eduroam. É relevante citar os slides disponíveis em [3]. Em relação às configurações do servidor Linux com os serviços necessários ao eduroam, FreeRADIUS e LDAP, foi expressivo o auxílio do Server Guide disponível pelo próprio Ubuntu em sua versão no endereço [4] e a documentação disponível pelo projeto FreeRADIUS [7].

14 Durante a fase de configuração, as reuniões técnicas foram essenciais para o andamento do projeto e cumprimento das expectativas. A UFRJ ressalva que as documentações adicionais produzidas pela UFMS e UFF foram muito úteis e serviram como fonte de consulta para em todas as etapas, além de servir como fonte de confirmação para os momentos de ratificação dos procedimentos. Como o processo de configuração foi interativo entre os grupos as trocas de informações por foram de primordial importância. Essas duas fontes de consulta, a saber, da UFMS e da UFF se mostraram bem atualizadas e completas, registrando sempre os resultados das discussões com as melhores praticas definidas pelos grupos atuantes. Outras dúvidas foram esclarecidas com a ajuda das ferramentas de pesquisa na Internet. A documentação complementar encontra-se disponível como anexo a este relatório. Foram gerados os seguintes documentos adicionais: cookbook guia de configuração do proxy.conf. Necessário ao roaming arquivos de configuração do FreeRADIUS padronizados para o projeto passo-a-passo de configuração do eduroam nos sistemas operacionais Windows 7, MacOS Leopard e Linux Ubuntu. O cookbook compreende os procedimentos de instalação e configuração, enfatizando os arquivos de configuração do FreeRADIUS e criação da base de dados LDAP. Vale destacar o documento gerado como auxílio à configuração do arquivo proxy.conf, arquivo este que é responsável pelo encaminhamento de requisições à federação de domínio que não seja da própria instituição. A documentação final gerada pela UFMS pode ser encontrada no link [8]. Os principais arquivos citados neste relatório final estão disponíveis em [9]. 8. Participação Oficial do Brasil na Confederação eduroam Internacional Apesar do piloto eduroam-br estar integrado ao serviço eduroam internacional, para o Brasil e América Latina fazerem parte oficialmente da confederação eduroam, são necessários os seguintes procedimentos. Para oferecer eduroam oficialmente na América Latina (eduroam LA), é necessário: hospedar o servidor RADIUS LATLR em um datacenter da rede CLARA, provavelmente no POP no Brasil; definir publicamente a equipe de pessoas responsáveis pela gestão do serviço em nível internacional e passar os contatos a equipe de operações eduroam global; estabelecer mecanismos de coordenação (lista de s, reuniões presenciais videoconferências do eduroam LA; apesar de não ser estritamente necessário, seria interessante ter um monitoramento do serviço. Para oferecer eduroam oficialmente no Brasil, é necessário: definir as pessoas responsáveis pelo serviço no Brasil, assim como divulgar seus contatos; criar um site web ( que reúna as seguintes informações: instituições participantes, locais em que está disponível o serviço

15 eduroam, passos a seguir para os novos participantes se integrarem à federação brasileira, documentação técnica, política do serviço no país. 9. Conclusão Este relatório apresentou a implantação do piloto eduroam-br na UFF, UFRJ e UFMS e nas instituições que foram convidadas a participar como voluntárias no projeto, a saber, UFSC, UNICAMP e UFRGS. O relatório comenta também a interligação aos servidores eduroam na América Latina e Europa e a demonstração do serviço realizado no WRNP/SBRC Os contatos com parceiros eduroam na América Latina, mais especificamente com na instituição INICTEL no Peru, com o objetivo de integração do eduroam-br à comunidade internacional foram bem sucedidos, sendo possível realizar testes de roaming internacional tanto partindo da UFF quanto das instituições localizadas no Peru (LATLR) e na Espanha (ETLR). 10. Referências [1] eduroam cookbook - [2] Guia do eduroam - uroam+on-site+or+on+campus [3] FreeRADIUS e eduroam - ner-eduroam-freeradius.pdf?version=1 [4] Ubuntu Server Guide [5] SecureW2 - [6] Xsupplicant do projeto Open1x - [7] FreeRADIUS version 2 documentation, acessado em [8] wiki UFMS [9] Documentação do Projeto Eduroam-br Anexos Anexo A: cookbook, contendo além da instalação a configuração essencial dos arquivos do RADIUS

16 Anexo B: arquivo de configuração proxy.conf para comunicação com a federação Anexo C: arquivo de configuração do eduroam no cliente Windows 7 Anexo D: arquivo de configuração do eduroam no cliente Linux Ubuntu Anexo E: arquivo de configuração do eduroam no cliente ios Leopard Anexo F: conjunto de todos os arquivos necessários à configuração do FreeRADIUS padronizados para a integração do eduroam.