Ocena wątku:
  • 0 głosów - średnia: 0
  • 1
  • 2
  • 3
  • 4
  • 5

Windows 11 OSE - Ogólnpoolska Sieć Edukacyjna

#1
Zakładam wątek OGÓLNOPOLSKIEJ SIECI EDUKACYJNEJ budowanej przez państwowy NASK.
Opisano mi konfiguracje w kilku szkołach i włosy się jeżą na głowie.
Blokowania stron można się pozbyć, ale nie to jest głównym grzechem.

PODWÓJNY NAT i za słaby router


Zgodnie z rozmową napisałem przed chwilą wątek ogólny o podwójnym NAT:
https://winforum.pl/Podwojny-NAT-Niebezp...ny_19519-t
Wszystkie konfiguracje w szkołach, które widziałem, miały podwójny NAT. Szkoła miała router, podłączenie do Internetu, zamiast tego starego internetu, podłączano sieć szkolną do OSE, która wystawia swój router i adresy prywatne.
Stare, dziesięcioletnie routery które nie miały nawet portów gigabitowych zatrudniano do NATOWANIA z pełną prędkością łącza, to jest 100 mega. Ich wydajność przy NAT jest dużo mniejsza, więc połączenia wysypywały się w losowych momentach, zwłaszcza w ciągu dnia, gdy ruch wewnątrz sieci szkolnej jest największy. Objaw tego jest taki, że przy przeglądaniu stron internetowych wyświetla się pusta strona, ale można odświeżyć i wtedy strona wyświetla się już normalnie.
Jeśli masz problem z OSE w szkole, sprawdź i usuń podwójny NAT, dopiero potem zajmij się innymi sprawami. Jeśli masz słaby router, wywalenie NAT i ustawienie routingu powinno znacząco poprawić działanie sieci.

Jak pozbyć się podwójnego NAT


Jeśli szkoła używa tylko jednej klasy adresowej, co jest powszechne, to trzeba zbridżować porty w swoim routerze i usunąć serwer DHCP. Poprosić OSE o zmianę adresacji na serwerze DHCP na tą, co szkoła używała do tej pory. Tak jest najszybciej dla admina, oczywiście nie najlepiej i nie najbezpieczniej, ale wierzymy OSE prawda Wink Ten nat jest na routerze OSE, który jest zainstalowany fizycznie w szkole, więc nie mamy dużego ryzyka dostania się do szkoły "obcych".
Przeniesienie routera szkolnego na router OSE nie stanowi dla szkoły problemu, bo szkołę chroni umowa z OSE.  To ostatnie chroni przed włamaniem z wewnątrz. Ludzie oddają poufne informacje w takie miejsca, że w sumie nie jest niebezpiecznie, pytanie czy się wierzy OSE.
Przy publicznym operatorze (innym niż OSE dedykowana umowa dla szkół) firewall po stronie zewnętrznej musi być. Sam NAT bez żadnych reguł jest pewnego rodzaju zabezpieczeniem. Jeśli go likwidujemy, pozwalamy operatorowi routować, to możliwe jest postawienie Transparent Filtering Bridge - Element ukryty. Rejestracja zajmie tylko minutę!. Obciąża on router znacznie mniej niż podwójny NAT.

PUBLICZNY ADRES IP OD OSE


Jeśli potrzebujemy w szkole VLANy wewnętrzne, to wtedy trzeba aplikować do OSE o adres publiczny IP, ustawić sobie wszystko po ludzku na adresie publicznym.

Samodzielne korzystanie ze switcha OSE


OSE pozwala administrować switchem Huiawei samemu. Login i hasło jest w dokumentacji. Do switcha dochodzi trunk z kilkoma VLANami od 500 w górę. Jeden z nich to czysty internet bez żadnych biurokracji. W VLANie jest sieć OSE_OPEN, ale ogreniczenie prędkości jest na APeku, więc wzięcie internetu z tego VLANu pozwala na czysty internet bez straty czasu. Oczywiście ten VLAN ustawiamy na jednym porcie dostępowym dla dyrekcji, a nie dla całej sieci, ale to już wg. uznania.

Numeracja VLANów OSE


VLAN 500      LAN CERTYFIKAT
Sieć: 192.168.10.0/24
Def gw: 192.168.10.1
Rozdawane adresy od 192.168.10.2 do 192.168.10.254
VLAN 510    OSE_INTERNET CERTYFIKAT
Sieć:  192.168.11.0/24
Def gw 192.168.11.1
rozdawane adresy od 192.168.11.2 do 192.168.11.254
VLAN 550  OSE_OPEN  BEZ CERTYFIKATU
Sieć 192.168.15.0/24
Def gw: 192.168.15.1
rozdawane adresy od 192.168.15.2 do 192.168.15.254

Intenet bez certyfikatu i bez hasła do switcha


Uplinki w switchu to są gotowe trunki OSE. Zwykle jeden przychodzi z routera, a drugi jest wolny.
Najszybciej jest wziąć jakiś switch zarządzalny, ustawić sobie vlan 550 port tunkowy i dostępowy. Trunkowy wpiąć do uplinku OSE, a dostępowy wpiąć do PC i sprawdzić, czy dostaniemy adres z puli 192.168.15.x To jest internet full speed i bez certyfikatu. W ten sposób nie musimy znać ani hasła do switcha, ani zmieniać wewnętrznej konfiguracji - wiadomo jak jest, pokaż kotku co masz w środku, ale puszka Pandory nie chcemy żeby się na nas otworzyła Wink
W swoim czasie OSE zachęcało wręcz do robienia w ten sposób, zgodnie z umową można sobie samemu przenosić switch i APek. Nie łamiemy umowy powyższym działaniem.

WEBINARIA OSE


Kolega autor wątku poleca każdemu adminowi OSE te dwa webinaria. W pierwszym z nich jest adresacja VLANów, ale można dowiedzieć się z nich o wiele więcej, są schematy sieci i mówią co wolno a czego nie wolno robić z ose.

DLA ADMINÓW - WYŻSZY POZIOM:



DLA POCZĄTKUJĄCYCH - BARDZO DOKŁADNIE OPISANE PODSTAWY SIECI





//Kolejne złożenie w całość
#2
(21.01.2024 15:16 )Targo napisał(a): Jeśli potrzebujemy w szkole VLANy wewnętrzne, to wtedy trzeba aplikować do OSE o adres publiczny IP, ustawić sobie wszystko po ludzku na adresie publicznym.
Całość można zrobić na private VLANach, na warstwie drugiej.
//Cały temat PVLAN oddzielony do nowego wątku Element ukryty. Rejestracja zajmie tylko minutę!.
#3
Posklejałem wpisy w jeden, żeby przypominał HOWTO. @Targo, proszę o sprawdzenie i komentarz na PW.

Czekamy na weryfikację, czy numeracja VLANów się zgadza.

Kolejna runda sklejania razem i robienia HOWTO.
#4
Na formularzu ktoś napisał, że problem z OSE jest taki, że strony szyfrowane nie chcą się otwierać, a speedtest pokazuje 100 megabitów up/down. Problem jest w środku dnia, wtedy, kiedy ruch jest największy. Nieszyfrowane strony szybko się otwierają. Na wyłączonym szyfrowaniu (dostęp do internetu bez certyfikatu, dla dyrekcji) problem nie występuje i wszystko otwiera się szybciutko.
#5
Wyniki testu dla VLANów u mnie. Podłączyłem się trunkiem przełącznika Huawei do portu z wkładką na uplinki, do wolnego portu. Na swoim switchu skonfigurowałem porty 500, 510, 550 i 1000 (podobno management VLAN). Ostatni port na mim switch to był trunk z wszystkimi tymi portami.

Na porcie w VLAN 500 dostałem internet z certyfikatem, adres IP 192.168.10.242.

Na porcie w VLAN 510 dostałem internet, adres IP 192.168.11.223
Na porcie VLAN 550 też dostałem internet adres IP 192.168.11.223
Czyli ta sama podsieć jest na 510 i na 550.
Na VLANie 1000 nie stwierdziłem żadnego ruchu. W dokumentacji stoi, że VLAN1000 jest do zarządzania.
Internet w podsieci 192.168.11.253 jest bez certyfikatu, ale z tego co widziałem przez 10 minut, to strony niebezpieczne są blokowane, chyba na poziomie DNSu. Za tydzień tam będę, zostawiłem ten internet w szkole do testów, to Wam napiszę dokładnie, co jest w tym VLANie.

Wygląda na to, że da się zdjąć deszyfrację ssla robioną za pomocą fortigate podłączając się do VLANU 550. Dziękuję bardzo za te informację i będziemy w kontakcie!!!
#6
Dzięki za info i czekamy na więcej.

Deszyfracja za pomocą Fortigate? Możesz napisać coś więcej? Interesuje mnie jak to rozwiązanie OSE jest zrealizowane - deszyfrowanie https jest centralne gdzieś w czeluściach NASK, czy na poziomie firewalla na terenie szkoły? Czy to w ogóle możliwe, żeby do każdej szkoły Forti korti kupowali? Big Grin
Większość ludzi tak naprawdę nie chce prawdy. Pragną jedynie ciągłego upewniania się, że to, w co wierzą, jest prawdą. Madaleine Albright
#7
UTMy są mątowane w szkole. OSE ma centralny system zarządzania. Za UTM-em, który jest w szkole ruch idzie na dzierżawionych VLANach do routerów OSE już normalnie. Jest FortiGate 101E Niektóre szkoły mają Huawei USG6330 i słyszałem też MikroTik CCR1009.

Jeśli chodzi o switche to są Huawei S1720, S5720 24 port + 4 uplinki albo DCN S4600.
APeki które ose montuje to FortiAP 221, Hawei AP4050DN lub Ubiquiti AC.

Amerykanie Huweia wywali całkowicie bo szpieguje, ale polskiemu narodowemu NASK to nie przeszkadza w ogóle i przeważają Huwaei-e. Sieć OSE tnie bo to te dzierżawione VLANy mają często parametry gorsze niż zamówione i zapłacone (Polska), oraz sam routing w sieci OSE...

https://www.telko.in/nask-nie-boi-sie-wy...awei-w-ose

ALE
https://biznesalert.pl/komisja-ma-zakaza...-sieci-5g/
#8
OSE ciąg dalszy. Od 1 lutego łącze wyraźnie nie wyrabia w godzinach południowych. Giną pakiety. Gdy się otwiera strony niby nie widać katastrofy, mtr pokazuje 50-90% utraty pakietów. Najgorzej jest od 12 do 14 godziny. Szkoła ma zgłaszać to OSE, zero odzewu, zero poprawy.

Polecam narzędzie WinMTR dla Windows, wpisać np. dns.pl odpalać o 11 przed południem, zamykać o 14 i sprawdzać utraty pakietów - najwięcej widziałem 91%. Wysyłać to do OSE, reklamacja od 1% utraconych pakietów w górę. Potrafią gubić pakiety we własnej sieci - bo dns.pl to nask. Po południu wszystko magicznie zaczyna być w porządku.

To łącze jest poniżej standardu, ale co się dziwić - płacisz - wymagasz. Za OSE płaci minister, on może wymagać, a nie szkoła.

Co do informacji powyżej o szyfrowaniu, wydaje mi się, że u mnie do analizy ruchu jest też FortiGate, ale nie sądzę, żeby on był w szkole, jest gdzieś dalej w czeluściach NASKu, jak sądze. Straty pakietów są na szyfrowanym i na nie szyfrowanym, to nie szyfrowanie za korek w południe odpowiada, tylko coś innego.

U mnie są wszystkie 3 VLANy tak jak w opsie w HOWTO na początku wątku. Pakiety znikają na wszystkich VLANach.
  


Podobne wątki
Wątek: Autor Odpowiedzi: Wyświetleń: Ostatni post
  Windows Serwer 2003 Brak kreatora Konfiguruj sieć w domu lub w małej firmie jak skonfigurować sieć? rafal700 1 291 28.11.2003 17:58
Ostatni post: rafu

Skocz do:


Użytkownicy przeglądający ten wątek:
3 gości