Apoio à compatibilização do IPv6 em instituições de Ensino Superior ligadas à RCTS

Transcrição

1 Apoio à compatibilização do IPv6 em instituições de Ensino Superior ligadas à RCTS Instituto Politécnico de Lisboa (IPL) Pedro Ribeiro Lisboa, Pequeno Auditório do LNEC 15/12/09 1

2 BARREIRAS ANTERIORES NA REDE Maioria dos comutadores multi-camada (MLS) que suportavam o encaminhamento de IPv4, não possuíam suporte de IPv6 Catalyst3550 e Catalyst3750 Encaminhamento IPv6 suportado por routers desactualizados que tinham sido substituídos pelos Catalyst Cisco 1721, 2611 e 3620 Firewall central (CiscoFWSM) sem suporte de IPv6 Passava ao lado com filtragem simples baseada em ACLs nos Cisco7206VXR Mau desempenho e impacto significativo na carga dos 7206VXR Baixo desempenho da conectividade IPv6 face à IPv4 Na ordem das 10x Complicado convencer os utilizadores das vantagens do IPv6 Quando verificam ter débitos inferiores e atrasos superiores 2

3 BARREIRAS ANTERIORES NOS SISTEMAS Algumas aplicações não suportavam o transporte sobre IPv6 DNS WEB servers SGBD (SQL) Muitos sistemas não estavam ainda configurados para o suportar 3

4 REDES (1) O campus de Benfica tem conectividade IPv6 com desempenho equivalente ao de IPv4 Catalyst4503 com o Supervisor 6 que tem suporte de IPv6 MLS Serve 5 unidades orgânicas Redundância de conectividade IPv6 assegurada por um Cisco2821 ISEL tem um Catalyst6509 com Supervisor720 O IPL adquiriu novos routers para as restantes unidades orgânicas com bom desempenho para IPv6 Cisco2821com 2 interfaces Gigabit Débito em pacotes/segundo anunciado como metade do de IPv4 4

5 REDES (2) Implementamos um Firewall com suporte de encaminhamento IPv6/IPv4 de excelente desempenho e escalabilidade Um par de máquinas ASUS Intel dual-core de 1U Linux Gentoo, com kernel recente Quagga para o OSPFv2 e OSPFv3 IPTables/conntrack e scripts desenvolvidos formando um sistema redundante de statefull packet inspection (SPI) O Catalyst6509 do centro de dados e comunicações tem bom desempenho em IPv6 Supervisor720 com MSFC3, apoiado por um Catalyst4503 com Supervisor5 de péssimo desempenho em IPv6 A Cisco suporta IPv6 nos IOS recentes dos Catalyst3750 e Catalyst3560 Alguns dos MLS já passaram a desempenhar também um papel na rede IPv6 5

6 CONECTIVIDADE INTERNA IPv6 nativo e público em praticamente todas as redes (cerca de 100) Algumas redes muito internas ou dedicadas não tiram partido Vigilância, VoIP, Gestão de APs, Gestão de Switch L2 Redes administrativas só têm outbound Num dos pólos o IPv6 é assegurado por túneis de v6 sobre v4 Limitação da rede do operador de transporte Os pólos principais possuem conectividade redundante de IPv6 e IPv4 Sistemas cliente obtêm endereçamento através de Router Advertisements DNS com DHCPv6 stateless, selecção automática de gateway preferido Linux - contributo na correcção de bug nesta área aceite no kernel

7 CONECTIVIDADE EXTERNA Para IPv4 o IPL tem multi-homming via FCCN/Novis, em IPv6 não! Operador comercial não se manifestou disponível para fornecer o serviço Necessidade de adquirir um bloco IPv6 provider independent (PI) Quando perdemos a conectividade FCCN, só temos IPv4 (nas redes criticas) Ligação à FCCN com routers redundantes de ambos os lados Com sessões de BGP privadas sobre IPv6 Visitantes de eduroam têm conectividade via 6to4 Conversão 6to4 dentro do IPL para máxima eficiência Assim que possível será nativa VPN PPTP com conectividade IPv6 IPv6 nativo em casa, sem complicações em Windows Vista e Windows7 7

8 SISTEMAS (1) Todos os servidores Web sob nossa gestão directa têm conectividade dual-stack (Apache, Lighttpd, IIS) Sistema de com as 3 combinações possíveis de transporte (Exim, Dovecot, Spamassassin e Clamav) Recepção, envio, acessos POP, IMAP e SMTP todos v4/v6 O depósito das mensagens no servidor de armazenamento é exclusivamente IPv6! Submissão das mensagens ao anti-vírus e classificador de SPAM só em IPv4 (limitações do software usado) 8

9 SISTEMAS (2) Os 5 servidores de DNS centrais há muito que atendem pedidos sob IPv6 (3 BIND + 2 DNSWall) Serviço autoritário para a maioria dos domínios.ipl.pt Funções de resolver recursivo Os sistemas centrais baseados em Linux fazem a primeira tentativa de resolução sobre IPv6 Os clientes Windows Vista, Windows 7, Linux e MAC OS X usam-nos como preferidos Gestão de sistemas Todos os que têm suporte estão configurados e com nome A e AAAA no DNS Routers, Servidores Linux e Windows 9

10 SISTEMAS (3) Publicação de conteúdos (PureFTP) Via FTP/FTPoverSSL Áreas de páginas pessoais e umas dezenas de virtual hosted sites Colector central de SYSLOG (Syslog-ng) Armazena diariamente os eventos dos sistemas, a maioria deles enviados por TCP sobre IPv6 Repositório de software Mirrors exclusivamente IPv6 (Lighttpd, RSync) Imagens ISO de vários sistemas operativos Open Source Repositório portage para Linux Gentoo 10

11 APOIO OBTIDO O IPL propôs ao Desafio IPv6 o fornecimento de um Catalyst4503 com o Supervisor6 Suporta multilayer switching para IPv4 e IPv6 com desempenho similar Actual nó central do campus de Benfica (ESELx, ESCS, ESML, SAS e SC) Prescindimos de alguns módulos Mais portas 1000BaseT Fonte redundante Módulos Ópticos GBIC e SFP O IPL adquiriu os módulos restantes 11

12 NÚMEROS Routers 24 participam no OSPFv3 70 redes incluídas nos LSA DNS (11/12/2009) 146 registos AAAA publicados 35% dos pedidos de resolução de redes internas SYSLOG (Novembro 2009) 94% dos eventos arquivados (Novembro 2009) 35% do submetido a partir de redes internas 2% do enviado para a Internet 12

13 TRÁFEGO 11/12/2009 IPv4 IPv6 13

14 PRINCIPAIS DIFICULDADES Servidores Web, DNS e de Apesar da insistência, não podemos obrigar as unidades orgânicas a activar o IPv6 Sistemas geridos por empresas externas são complicados Aplicações sem suporte de IPv6 Facilidades dos routers sem paralelo em IPv6 Sistemas demasiado optimizados para IPv4 (FWSM, SLB, MLS) Dificuldade na identificação de clientes Windows nas LAN Todos os endereços (inclusive link local) são do tipo temporário Clientes que indevidamente se anunciam como routers de IPv6 (eduroam!) 14

15 TRABALHO FUTURO Pressão oficial do IPL perante as UO para a adaptação dos sistemas ao IPv6 No mínimo, evitar investimento no incompatível Melhorar a conectividade das unidades orgânicas (UO) A maioria das UO estão ligadas a 10Mbit/s há anos, tráfego agregado limitado a cerca de 1,2Gbit/s Adiado desde 2008 por limitações económicas e burocráticas Fazer actualização do núcleo da rede para 10Gbit/s e adquirir comutadores MLS para o suportar de forma equivalente em v4 e v6 Adiado em 2009 por limitações económicas Transporte do VoIP@RCTS sobre IPv6 Implantação de nós ANYCAST com serviços IPv4/IPv6 DNS, NTP, RADIUS, etc. 15

16 CONCLUSÕES Estamos tecnicamente bem posicionados Falta uma estratégia oficial da instituição Unidades orgânicas não estão interessadas em instabilidade Sistemas comerciais ignoram genericamente a tecnologia Conectividade comercial indisponível no mercado Custos muitos elevados no degrau 1Gbit/s => 10Gbit/s Indisponibilidade de recursos humanos 16

17 OBRIGADO 17