Redes de Comunicações Móveis / Tecnologias de Redes de Comunicações / Segurança Informática em Redes e Sistemas

Transcrição

1 UNIVERSIDADE TÉCNICA DE LISBOA INSTITUTO SUPERIOR TÉCNICO Redes de Comunicações Móveis / Tecnologias de Redes de Comunicações / Segurança Informática em Redes e Sistemas Enunciado do Projecto Conjunto Home Networking Rui M. Rocha / Fernando M. Silva / Ricardo Chaves OUTUBRO DE

2 1 Objectivos O objectivo deste projecto laboratorial é a implementação de um sistema de home networking integrando um conjunto de tecnologias de comunicação tipicamente disponível em habitações. Não se pretende abranger a parte de domótica que será objecto de outro projecto. 2 Equipamento a utilizar no laboratório O equipamento existente no laboratório é o seguinte: PCs fixos e portáteis; APs (2,4GHz e 5GHz), Embedded router Wi-Fi, Switches, ADSL e DSLAM, e eventualmente o sistema WiMAX. Os alunos devem utilizar os seus portáteis para a execução deste projecto. Para mais informações ver documentação complementar na página das cadeiras, nas áreas referentes ao laboratório. 3 Ambiente experimental A configuração do ambiente experimental é a mostrada na figura seguinte. Figura 1- Ambiente laboratorial de teste O cenário em causa pretende ilustrar um ambiente de casa. Para além do acesso à Internet e a determinados serviços de dados internos à habitação (e.g. controlo X10 [1] de aparelhagem, não abordado neste projecto), existe a possibilidade de garantir um serviço de VoIP e de streaming de vídeo, usando a mesma infra-estrutura de comunicações. A rede do lab. aparece nesta configuração representando a rede interna da casa. Desta rede, onde estarão ligados todos os recursos privados dos utilizadores, será possível aceder à Internet. Esta rede permitirá também a ligação de uma máquina que realiza as funções de AAA. Note-se que esta pode ser directamente ligada a uma das portas do embedded router, ou até integrada neste, permitindo estabelecer esta arquitectura em qualquer ambiente que se queira, sem necessidade de uma infraestrutura complicada.

3 Admite-se que existe pelo menos um router wireless com embedded linux. Este sistema embebido, para além de portas Ethernet, possui uma interface sem fios , podendo suportar funcionalidades de VoIP através da concretização de um SIP Express Router (SER). Note-se que numa configuração em que disponha de mais do que um AP wireless, não existe necessidade de infra-estrutura cablada, podendo inclusivamente aqueles sistemas serem ligados por WDS. Nesta situação, os dispositivos com interfaces cablada devem ser ligados directamente aos routers wireless. No que respeita à ligação à Internet três possibilidades são consideradas: i) utilização de um router com interface Ethernet 10/100 baset (pouco interessante numa rede doméstica); ii) utilização de acesso ADSL; iii) utilização de um link bidireccional WiMAX. A Internet, no caso do cenário experimental em causa, pode ser emulada por uma sub-rede da estrutura do lab. em que se adiciona uma máquina que suporta o conjunto de serviços a demonstrar (video streaming, VoIP, Web Server, etc.). 4 Funcionalidades do sistema 4.1 Funcionamento pretendido Pretende-se com este trabalho desenvolver um sistema de acesso a uma infra-estrutura simples mas em que apenas aos utilizadores autenticados é permitido o acesso aos recursos da rede interna e à Internet. Os alunos devem montar a estrutura mínima do demonstrador, incluindo os SER e os terminais SIP ligados à rede domestica. O SER deverá ter instaladas as funcionalidades de Proxy SIP e Registrar. A rede acessível aos utilizadores da casa é uma rede privada, devendo portanto ser implementado NAT no router de acesso. Por esta razão devem ser tomadas medidas para que o serviços VoIP consigam funcionar mesmo nesta configuração. Este requisito é opcional mas será, naturalmente, valorizado. Instalar e/ou desenvolver aplicações VoIP e testá-las no ambiente previamente montado e configurado, inicialmente apenas no acesso Wi-Fi através do router wireless, depois na rede doméstica e, posteriormente, envolvendo a Internet. Dado o tipo de ambiente, considera-se interessante dispor de mecanismos de descoberta de serviços que facilite o seu acesso por partes dos utilizadores residenciais, geralmente sem conhecimentos técnicos adequados. Propõe-se a utilização de um sistema openslp em conjunto com o servidor DHCP que permita correr aplicações de descoberta de serviços. Este requisito é opcional mas será, naturalmente, valorizado. Se optar por utilizar um acesso WiMAX, note que este é um sistema com Qualidade de Serviço (QoS). Portanto, é necessário ter em conta esta particularidade no processamento do tráfego dos utilizadores. Desta forma, o embedded router, que está ligado ao CPE (SS), deve controlar a admissão de tráfego dos utilizadores e fazer o respectivo policiamento. Existirá um fluxo best-effort para tráfego menos prioritário (e.g. internet) e n fluxos destinados a VoIP (uplink e downlink) ou streaming. 4.2 Autenticação dos utilizadores Esta autenticação é baseada em autenticação via web com o seguinte modo de operação: - Os utilizadores podem associar-se ao AP integrado no embedded router. Quando o utilizador se associa em IPv4, obtém automaticamente um endereço IP por DHCP. - Antes do utilizador estar autenticado, todas as tentativas de acesso à rede interna (e à Internet) são bloqueadas no router de acesso, através de um sistema de ACLs (e.g., iptables). Em particular, quando um utilizador não autenticado tenta aceder à web através do protocolo http, o seu acesso é redireccionado para uma página em que se informa que deverá proceder à sua autenticação. - Mediante a autenticação bem sucedida do utilizador, efectuada pela introdução das credenciais de acesso (username/password) numa página web, é introduzida uma ACL específica no router que permite ao utilizador ter acesso à rede interna da organização e também à Internet. Opcionalmente, considera-se interessante a utilização de VPNs para estabelecimento de túneis a partir da Internet, nos casos em que os utilizadores da rede doméstica se encontram fora desta. Neste caso, as funções que regulam o acesso aos recursos da rede são garantidas pela VPN que terá níveis de

4 segurança diferentes consoante o utilizador. Para este fim, o embedded router deverá garantir a execução de regras diferenciadas, i.e. um utilizador ao estabelecer uma ligação VPN desencadeia a busca numa base de dados das respectivas regras de utilização de recursos e serviços (débitos, interfaces, portas, etc.). Normalmente os administradores do sistema têm acesso privilegiado mesmo quando acedem remotamente. 4.3 Gestão de utilizadores Deverá ser implementado um sistema de gestão de utilizadores que permita nomeadamente a adição, remoção, autenticação e alteração de perfis dos mesmos. De entre as operações disponíveis para cada utilizador deverá ser possível nomeadamente: - Nomes e palavras de passe de autenticação do utilizador - Monitorização de tráfego no router 4.4 Objectivos concretos Os objectivos a atingir na demonstração do projecto são: 1. Configurar o embedded router [2] para criar um hotspot Wi-Fi e permitir estabelecer uma ligação VoIP/instant messaging entre um telefone baseado num portátil ligado por e outra máquina, quer no acesso com fios, quer no acesso sem fios. 2. Testar, nesta configuração o acesso a um servidor de video streaming na rede domestica. 3. Configurar a rede doméstica para permitir que uma máquina nesta rede possa aceder à Internet (e.g. a uma página com informação útil, alojada num servidor desta rede), através do método de acesso que escolheu (Ethernet, ADSL ou WiMAX). 4. Configurar a rede doméstica para estabelecer uma ligação VoIP entre um telefone baseado num portátil ligado por e um PC ligado à Internet. 5. Testar, nesta configuração o acesso a um servidor de video streaming na Internet. 6. Desenvolver a autenticação via web. Pode utilizar-se uma versão inteiramente open-source [3]. 7. Adicionar funcionalidades de gestão de clientes que permita a adição, remoção, autenticação e alteração de perfis de clientes. As operações estão definidas acima. 8. Desenvolver uma solução de descoberta de serviços baseada em openslp e que, em conjunto com uma opção de DHCP, permita referenciar um DA (directório de serviços). Este pode ser acedido através duma aplicação disponível aos utilizadores (jslp) e que permite anunciar e aceder aos serviços de VoIP e streaming, redireccionando-os para a aplicação correspondente (e.g. X-lite e VLC) (opcional). 9. Configurar /desenvolver uma solução de VPN para acesso remoto aos recursos da rede da casa. Introduzir regras diferenciadas para o acesso através de VPN consoante o utilizador (opcional). 10. Adicionar funcionalidades de monitorização de tráfego no router ou outras interessantes [4]. (opcional) 5 Relatório O relatório deverá apresentar uma especificação detalhada de todos os elementos implementados, opções de projecto, arquitectura da rede e da interligação detalhada de todos os equipamentos e a descrição dos módulos desenvolvidos. Deverá, em particular, completar as especificações apresentadas neste enunciado com todas as opções de implementação tomadas durante o desenvolvimento. O relatório a entregar deverá incluir os resultados dos testes de validação da arquitectura concretizada. Será considerado factor de mérito a reflexão justificada da caracterização do sistema.

5 6 Bibliografia [1] D. Rye, The X-10 Power Line Interface. ftp://ftp.x10.com/pub/manuals/technicalnote.pdf [2] Embedded linux (openwrt) [3] Wireless Authentication Solutions [4] Hot-Spot HowTo