Transição e configuração de IPv6 em uma rede acadêmica

Transcrição

1 Transição e configuração de IPv6 em uma rede acadêmica José Eugênio de Mira Turma 3 Paulo Sérgio Pereira Pinto Turma 2 Trabalho de Conclusão do Curso de IPv6 a Distância Desenvolvido e ministrado por: Centro de Estudos e Pesquisas em Tecnologia de Redes e Operações ceptro.br 20 de Agosto de2013

2 Conteúdo Introdução... 3 Desenvolvimento... 4 Justificativa... 4 Descrição da Infraestrutura... 4 Cronograma da implantação... 6 Projeto e custos Conclusão Referências... 12

3 Introdução O IPv6 é o protocolo que foi desenvolvido para substituir o IPv4. Desde o final dos anos 90, o fim dos endereços IP formado por apenas 32 bits de dados era discutido tanto na esfera acadêmica quando nas esferas corporativas. O IPv6 começou a ser projetado em 1994, e desde então tem enfrentado diversos problemas para sua implantação. O motivo disso é que a dificuldade de se convencer administradores de redes, provedores e usuários a migrarem para o novo sistema, considerado complexo por conta de seus sistema diferenciado de endereçamento baseado em 128 bits de endereçamento e formato hexadecimal, aliado ao fato de novas tecnologias haverem sido desenvolvidas visando-se o prolongamento da vida útil do IPv4 prejudicou a implantação do novo protocolo em larga escala. No fim do ano de 2011, com a prevenção pelo IANA do esgotamento dos endereços IPv4, foi que surgiram estratégias mais diretas de treinamento e conscientização do uso do IPv6. Esse curso desenvolvido pelo NIC.br é fruto desse esforço. O trabalho a seguir foi desenvolvido por dois alunos do curso ministrado pelo NIC.br e demonstra o cronograma e a prática da implantação do sistema IPv6 em uma Instituição de Ensino de médio porte localizado no interior do estado de São Paulo. Os responsáveis por este trabalho são atualmente responsáveis pelo Departamento de TI da Faculdade, tanto da rede administrativa quanto da acadêmica.

4 Desenvolvimento Justificativa Justifica o desenvolvimento desse projeto a necessidade de atualização tecnológica para a conectividade IPv6 na estrutura de rede de uma Faculdade de Tecnologia de médio porte. Além de prever a futura mudança no sistema de endereçamento de rede, a migração de nossa infraestrutura servirá de exemplo para os discentes da instituição, que a partir dos laboratórios de nossa unidade terão o primeiro contato com o IPv6 na prática. Desse modo, nossa Faculdade cumpre não somente a necessidade de preparar os sistemas para o uso do novo protocolo como também atende a necessidade de toda universidade que é investir em pesquisa e tecnologias de ponta, ocupando o lugar como incubadora de ideias inovadoras que sempre lhe coube. Descrição da Infraestrutura A faculdade em questão conta com cerca de oitocentos alunos, quarenta docentes e uma equipe de treze funcionários administrativos, excluindo-se destes o pessoal de limpeza e vigilância. A Faculdade oferece três cursos superiores tecnológicos e funciona diariamente no período das 07:30 às 22:30. A infraestrutura de TI guarda algumas características clássicas de redes onde a rede não foi pensada em um modelo escalonável. Por conta disso, os servidores de serviços contam com uma capacidade limitada de expansão física, o que levou ao uso de máquinas virtuais para um uso mais eficiente dos recursos de memória e processamento. Um dos servidores usa sistema operacional legado, apesar disso, nenhum dos sistemas operacionais será problema para a implantação do IPv6, pois todos possuem suporte nativo. Abaixo, uma tabela que lista os sistemas operacionais presentes na infraestrutura atual: Tabela 1 - Servidores e Serviços Nome do Equipamento SO Função na Rede Server 01 Windows Server 2003 Roteamento, arquivos e Active Directory Server 02 Windows Server 2008 Suporte p/ virtualização Server XP (virtual) Windows XP Servidor de testes MySQL Firewall 01 (Virtual) Linux 2.4 (squid) Segurança de borda, balanceamento de link Server 03 (virtual) Windows Server 2008 AD Principal e DNS Além destes, a infraestrutura possui um sistema de vigilância publicado na internet através de um redirecionamento NAT. Este equipamento não possui sistema compatível com IPv6, e por conta disso, os custo de aquisição de um novo equipamento, com compatibilidade para a nova tecnologia. Os equipamentos que constituem o tronco da rede, além dos servidores acima, são os Switches e os Roteadores. A infraestrutura é composta por um Switch gerenciável Netgear, dois switches simples TP- (TL-SF1024 e TL-SF2048), de 24 e 48 portas, dois switches 3com

5 2226-SFP de 24 portas (laboratórios de informática 01 e 02), três acess points ASUS nos laboratórios de informática Wireless e cinco acess points Netgear que permitem acesso via wireless à internet para os alunos e professores. Completa a infraestrutura um roteador Cisco 2900 fornecido em comodato pela Vivo Empresas. Na ponta da rede, temos os equipamentos de uso de alunos e funcionários. Um sistema de três VLANs permita que cada rede funcione de maneira independente e segura, porém, como todas são conectadas há um único firewall que promove o balanceamento de dois links, a mudança na infraestrutura deve atingir todas as redes simultaneamente. A VLAN administrativa possui cerca de trinta hosts, entre equipamentos de uso dos docentes e dos funcionários do corpo técnico-administrativo. A segunda VLAN, a maior em número de hosts de uso contínuo, possui cento e trinta hosts e é integrada pelos computadores de uso acadêmico, como os computadores dos laboratórios de informática. A última VLAN é aquela utilizada pelos alunos para conexão wireless de seus equipamentos pessoais e por esse motivo, não é possível estimar a quantidade exata de hosts, sendo que estes variam de acordo com o horário e a quantidade de alunos na instituição. Estima-se que diariamente cerca de cem alunos conectem-se a rede, mas já foram registrados picos de cento e vinte equipamentos conectados simultaneamente. Sobre os hosts, vale lembrar que não serão feitas mudanças significativas, exceto pelo fato que um sistema DHCPv6 independente será instalado para cada uma das redes. Cada uma das sub-redes receberá um Bloco /32 de endereços. A distribuição das redes internas está descrita no quadro abaixo: Tabela 2 - VLANs Nome da VLAN Sub-rede Quantidade de Hosts Função VLAN Administrativo VLAN Laboratórios/acadêmico VLAN_WIFI ~120 Wireles - Alunos

6 Primário Secundário Firewall /Router Roteador VLAN1 - Administrativos VLAN_WIFI VLAN2 - Laboratórios Figura 1 - Topologia atual Como é de se esperar em uma infraestrutura de médio porte, o processo de implantação deve durar alguns meses. O cronograma de implantação e os pormenores de cada uma das etapas são especificados a seguir. Cronograma da implantação De acordo com as necessidades da Instituição, o cronograma de implantação da Tecnologia IPv6 foi dividido em três etapas. Cada uma das etapas tem um objetivo específico, e termina precisamente no ponto de partida da próxima. A ideia desse sistema é manter um ritmo constante e principalmente prover acessibilidade através do IPv4 enquanto ainda houverem sistemas e sites legados. No caso específico da infraestrutura em questão, a migração total dependerá ainda de sistemas utilizados pelo Governo estadual. Nesse caso, é impossível fixar datas para o fim da etapa número dois, visto que a migração total incorreria na impossibilidade de acesso a tais serviços. Etapa 01 - Definição da arquitetura e Levantamento de custos Em qualquer empresa, antes de um projeto ser aprovado pelo board da diretoria é essencial que um levantamento de custos preciso seja entregue. Por conta disso, a implantação do projeto começa na definição da arquitetura para que, a partir daí, sejam estabelecidos os custos necessários a implantação da tecnologia nos meses que se seguirão. Uma característica importante do projeto por nós elaborado é que no final da Etapa 02 todos os equipamentos já estarão instalados e em produção. Por conta disso, todo o custo de manutenção do projeto (com exceção das horas-trabalho do pessoal do departamento) estende-se tão somente até o fim dessa etapa. O motivo disso é que acreditamos que dessa

7 maneira o custo poderá ser pulverizado durante as três etapas, embora no início da terceira já seja possível que todo o sistema funcione com conectividade plena através do IPv6. O ponto principal do projeto é que o sistema que utiliza o balanceamento de link será aproveitado. Em um dos links, fornecido pelo governo do estado, a previsão é que o sistema IPv6 seja implantando nos próximos doze meses. Nesse caso, esse será o nosso link principal. O segundo link, fornecido pela NET Serviços não tem previsão de implantação dos serviços, por conta disso, esse link será o de contingência, funcionando com conexão IPv4 exclusiva nas Etapas 01 e 02, e com sistemas de tunelamento IPv6 a partir da Etapa 03. Nessa primeira etapa, todos os testes serão feitos em laboratório para se assegurar que a implantação definitiva ocorrerá sem traumas. Em um primeiro momento, utilizaremos máquinas virtuais configuradas com o sistema de tunelamento, para testar a conectividade e a eficiência do sistema. Dois tipos de tuneis serão testados: Tunel Freenet Testado em uma máquina com sistema operacional Windows 7, esse túnel será utilizado para a verificação do funcionamento e de compatibilidade de softwares que utilizam a rede interna e a internet, tanto no âmbito acadêmico, quanto no administrativo. O teste destes softwares nessa primeira fase será essencial para se decidir que rumos tomará o projeto, para o caso de serem necessárias adaptações ou licitações para versões atualizadas dos softwares. Além disso, será o primeiro contato da equipe de suporte com a tecnologia IPv6, onde receberão as noções básicas de funcionamento e endereçamento do protocolo. Tunnel Broker Oferecido pela Hurricane Eletric, esse túnel será utilizado na máquina virtual que simulará o Fierwall/roteador. Além de oferecer acesso mais seguro, a documentação ampla oferecida pelo serviço Tunnel Broker facilitará a implantação do serviço no Firewall baseado na tecnologia Linux com kernel 2.4. Nessa etapa também serão levantados os custos de todos os equipamentos que serão substituídos para tornar possível a implantação. Um levantamento detalhado foi feito, para que pudéssemos estimar os equipamentos que serão substituídos. Equipamentos: Switch 3com (Layer 2) Compatível IPv6 Switch Netgear (Layer 3) Não compatível Switch TP-link (Layer 2) Compatíveis IPv6 AcessPoint ASUS Não compatível Acess Point Netgear Compatível IPv6 Roteador Cisco - Compatível IPv6 Notem que todos os switches que operam na layer 2 do modelo OSI são compatíveis com o protocolo novo. O motivo disso é que nesses equipamentos apenas os endereços físicos são levados em conta na redistribuição dos frames Ethernet. Já os equipamentos que atuam nas

8 demais camadas, como é o caso do Switch gerenciável da Netgear deverão ser substituídos por equipamentos compatíveis. O levantamento completo dos equipamentos e o custo de substituição dos mesmos serão apresentados no último capítulo, junto com o resumo das horas totais empregadas no projeto. O tempo de duração dessa etapa será fixo, e estimado atualmente em seis meses, com um emprego mensal de 120 horas, ou 40 horas-homem, considerando uma equipe de três profissionais. Etapa 02 Implantação e teste da pilha dupla A segunda etapa inicia-se após todos os testes do funcionamento do Tunelamento no Firewall/Roteador e com todos os testes de software concluídos em laboratório. A Etapa 02 é a etapa de implantação, e característica mais importante dessa etapa é a pilha dupla. A pilha dupla permite que tecnologias IPv4 e IPv6 convivam e que os equipamentos de borda da rede tenha autonomia para escolher qual conexão será utilizada. Demonstramos a seguir como será realizada a implantação da pilha na infraestrutura. Fase 1 Roteadores e modems Essa fase depende exclusivamente da liberação do bloco de endereçamento IPv6 pelas operadoras. Consideramos aqui apenas o link principal, pois no escopo do projeto já contamos com a possibilidade do link secundário levar um tempo maior até a disponibilização dos blocos de endereçamento IPv6. Nesse primeiro momento, nos concentraremos na configuração do Roteador principal para o funcionamento em pilha dupla. Também nessa fase substituiremos a máquina virtual com o link secundário pela máquina que contém a configuração para o funcionamento via Tunnel Broker. Finalizadas essas configurações, uma máquina-cliente de testes será conectada através do roteador funcionando em pilha dupla, a fim de comprovarmos o funcionamento do sistema. Fase 2 Switches e Acess Points. Essa fase compreende a instalação e a configuração dos equipamentos de rede secundários na rede. Além da substituição dos Switches e dos AcessPoints, será nessa fase que as VLANs serão reconfiguradas no novo switch, e que o sinal dos AcessPoints antigos será desligado e subtituido pelos novos. Durante essa fase, a rede wireless deve operar com um SSID diferente, para evitar o uso acidental. Finda as configurações, os antigos será desligados e retirados da infraestrutura. Fase 3 Servidores Momento de configurar todos os servidores para o funcionamento com a nova infraestrutura. Primeiramente, as máquinas que ficarão responsáveis pelo DHCPv6 e DNS. Depois, todos os outros servidores. Nesse momento será feita a substituição do DVR com suporte para endereçamento IPv6. Consideramos essa a fase mais complexa do ponto de vista técnico, pois envolve equipamentos essenciais para o funcionamento da instituição e que possuem um downtime baixíssimo. Fase de duração mais longa.

9 Fase 4 Configuração de hosts Finalmente, máquinas de uso do pessoal administrativo e do acadêmico receberão seus endereços IPv6 através do DHCPv6 interno. Além dos hosts, nessa fase serão configurados em pilhas duplas outros equipamentos de uso final como por exemplo, impressoras de rede. A distribuição continuará obedecendo a ordem anterior, ou seja, serão três VLANs, onde a última, que é dedicada ao uso dos alunos com seus equipamentos pessoais será a última. Nesta, além da implantação do DHCPv6, a equipe de TI irá promover uma campanha informativa, observado sobre os motivos da migração e ministrando um minicurso sobre endereçamento IPv6, sua necessidade e suas vantagens sobre o IPv4. Essa última etapa, além de finalizar a fase de implantação da Etapa 02, cumpre um papel informativo, permitindo que professores e alunos da Faculdade experimentem o IPv6 em seus computadores dentro de um ambiente seguro e previamente preparado. A Etapa 02 encerra-se após o término da Fase 4 da migração, e embora estimemos entre 9 e 12 meses, não podemos afirmar com certeza, pois a finalização dessa etapa depende da disponibilidade dos endereços IPv6 pelos principais portais e sistemas de e comunicação da Internet. Nessa etapa, o emprego de mão de obra está estimado em 800 horas/mês, com uma equipe de cinco profissionais atuando duas horas por dia, cinco dias por semana. Etapa 03 Implantação IPv6 A Etapa 03, a etapa final da implantação apenas se inicia quando o link principal da infraestrutura receber um bloco de endereçamento. Neste momento, todos os equipamentos já estarão funcionando em Dual stack, e a partir daí a utilização do IPv6 será a escolha natural. Apesar disso, não podemos esquecer que o cenário do IPv6 ainda é uma realidade distante em alguns sites e portais brasileiros, e por conta disso nossa rede tem que contar com uma redundância. Para esses casos, o secundário continuará funcionando como um link de reserva e também para casos específicos onde um serviço IPv4 for solicitado. A ideia é modificar as ACLs do firewall de maneira que quando o DNS responder com um IP AAA, o mesmo seja encaminhado através de um Forward até o link secundário. É importante lembrar que os procedimentos descritos principalmente nas Etapas 02 e Etapa 03 dependem também das tecnologias adotadas pelos provedores. Por exemplo: É possível que os provedores, por uma questão econômica, resolvam adotar alguma tecnologia nativa de tunelamento. Nesse caso, seria necessária uma mudança significativa na ponta da conexão, ou seja, no Firewall/Router. Nosso projeto guarda a vantagem de se manter com a pilha dupla ativada todo o tempo e com apenas um equipamento responsável pela ponta dos links. Isso aumenta significativamente a facilidade de alterações no projeto pelo lado do provedor, além do fato desta máquina estar virtualizada concorrer para uma facilidade maior no intercâmbio entre tecnologias e configurações diferentes. Nesse sistema, o uso de Snapshots será um diferencial importante. Cenário 01 Usuário solicita endereço IPv6 Nesse cenário, o DNS responde com o endereço AAAA para o Firewall, que através da sua ACL específica encaminha a solicitação via Primário, que possui IPv6 nativo.

10 DNS Firewall/ Router Primário IPv6 Secundário IPv4 Figura 2 - Solicitação de endereço IPv6 Cenário 02 Usuário solicita endereço IPv4 Na situação seguinte, a solicitação responde com um endereço IPv4. Ao ser encaminhada ao Firewall, o mesmo realiza um Forward através da Interface com o modem o Secundário. DNS Firewall/ Router Primário IPv6 Secundário IPv4 Figura 3 - Solicitação de IPv4 Cenário 03 Queda do principal No cenário seguinte, o link principal está offline, e por esse motivo, uma rotina secundária é ativada. Um sistema do tipo hearthbeat ativa uma segunda máquina virtual, com um sistema de tunel IPv6 pré-configurado. A partir de então, todos as conexões irão trafegar através da rede IPv4 do provedor até um roteador IPv6 pré-configurado. Nesse ambiente, sites e portais que utilizem exclusivamente o IPv4 não estarão acessíveis. DNS Firewall/ Router Primário IPv6 Firewall/ Router Virtual 02 Conexão Tunelada Secundário IPv4 Figura 4 - Queda do principal

11 Projeto e custos Abaixo, mencionamos os custos aproximados de aquisição de alguns equipamentos que deverá ser obrigatoriamente substituídos durante a implantação da pilha dupla na estrutura. Importante ressaltar que os preços baseiam-se em valores de hoje, e pequenas flutuações são esperadas. Considerando que no mercado de Equipamentos de TI normalmente a procura promove uma queda acentuada nos preços, dado o aumento da produção, é provável que quando da implantação os valores dos equipamentos cotados tenham sofrido uma queda substancial. Equipamento Modelo Valor Un. Quantidade Total Switch IPv6 CISCOS RW2016-K9 R$ 1500, ,00 Acess Point D- DIR-655 R$ 400, ,00 DVR IPv6 AXIS 241Q R$ 1200, ,00 Além dos custos com os equipamentos, o processo de migração para o protocolo IPv6 tem um custo alto se considerarmos o tempo empregado pelo departamento de TI. Através de uma média, e estabelecendo um valor de R$ 10,00 a hora em uma equipe com dois analistas, dois técnicos e um estagiário, chegamos aos resultados: Etapa horas x R$ 10,00 = R$ 1200,00/Mês Em seis meses (estimativa) = R$ 7200,00 Etapa horas x R$10,00 = R$ 8000,00/Mês Em doze meses (estimativa) = R$ 96000,00 Os custos da Etapa 03 não foram mencionados, pois consideramos que nesse momento o sistema IPv6 deixaria de ser um projeto alternativo e passaria a constar como parte da infraestrutura. Nesse sentido, as horas dedicadas ao funcionamento e adequação do protocolo figurariam como horas de trabalho na rede interna da empresa. Conclusão Assim, concluímos que uma implantação segura e planejada do protocolo IPv6 em uma infraestrutura acadêmica de médio porte é possível, desde que todos os passos da implementação sejam executados com atenção e crivo profissional. A execução do trabalho deve sempre seguir os passos estabelecidos no projeto, apenas avançando para a etapa posterior quando a anterior se encontrar concluída. O uso de máquinas virtuais e de laboratórios de redes, além de sistemas de Tunelamento aberto é essencial para o sucesso desse projeto, principalmente em sua etapa inicial.

12 Referências Ceptro.br Centro de Pesquisas em Tecnologia de Redes e Operações < Acessado em 18 de Agosto de 2013 IPv6.br A nova geração do Protocolo Internet < Acessado em 18 de Agosto de 2013 Axis Tecnologia em Vídeo e vigilância < > - Acessado em 20 de Agosto de Hurricane Elétric Internet Services < - Acessado em 18 de Agosto de 2013 Contábeis.com Portal da profissão contábil < > - Acessado em 19 de Agosto de D- IPv6 Solutions < > - Acessado em 18 de Agosto de 2013 How to Install a DHCP Server for IPv6 on Windows Server 2008 R2 < > Acessado em 18 de Agosto de 2013 Túnel via freenet 6 < > - Acessado em 18 de Agosto de 2013