Riccardo Veraldi - Riunione CCR Progetto TRIP Autenticazione 802.1x + EAP-TTLS (strutturati) INFN-dot1x Proxy radius Autenticazione locale alla sezione (radius locale, kerberos, unix password, NIS…) EDUROAM compliance Autenticazione portale WEB TINO Autenticazione via https con certificato o in locale NO PROXY 01-10-2009 Riccardo Veraldi - Riunione CCR

Riccardo Veraldi - Riunione CCR 802.1x VLAN LAN Captive Portal VLAN Default VLAN switch-router INFN-Web INFN-dot1x layer 2 switch router.x.infn.it Cisco AIR-AP1231G-E-K9 VLAN trunk WAN radius.x.infn.it tino.x.infn.it radius.garr.net radius.y.infn.it router.y.infn.it 01-10-2009 Riccardo Veraldi - Riunione CCR

TRIP flavours e problemi 802.1x utilizzo di DHCP server di sezione non dedicati a TRIP Interferenze con altri servizi di sezione Mac address devono essere registrati Utilizzo del certificato digitale (EAP-TLS non compliance con INFN-CA) Varianti al portale web Portali web senza autenticazione cert Autenticazione in proxy abilitata Problemi legati ai client 802.1x: Hardware non compatibile (Linux), pochi oramai Sistemi sia windows che linux che MacOS non correttamente configurati Problemi di evangelizzazione Alcuni utenti non sanno NULLA di TRIP La maggioranza ha le idee molto confuse soprattutto sul portale Web Altri lo usano correttamente 01-10-2009 Riccardo Veraldi - Riunione CCR

Riccardo Veraldi - Riunione CCR Anomalie Alcune sezioni si RIFIUTANO di aderire alle specifiche di TRIP Utilizzo di PEAP invece di EAP-TTLS Crea molta confusione negli utenti Utilizzo del proxy Web Seri problemi di security Il caos fra gli utenti Alcune sezioni affermano di non avere le risorse per assistere gli utenti Diverse altre sezioni lo usano correttamente senza lamentele 01-10-2009 Riccardo Veraldi - Riunione CCR

Riccardo Veraldi - Riunione CCR Distribuzioni Linux Molte distribuzioni linux funzionano out of the box con 802.1x: Fedora 11 Ubuntu 8.04 Hardware: TUTTI i portatili consip funzionano con le distribuzioni sopra citate MacOS X ha sempre funzionato (riunione finanziamenti tier2) E’ impossibile potere supportare tutti i linux flavour esistenti 01-10-2009 Riccardo Veraldi - Riunione CCR

Riccardo Veraldi - Riunione CCR TRIP e EDUROAM Modello di TRIP basato su EDUROAM Bisogna pensare a una soluzione perche’ INFN aderisca a EDUROAM solo cosi’ TRIP avra’ pienamente senso ed un valore aggiunto La solita figura degli italiani: all’estero possiamo autenticarci a casa nostra via EDUROAM, dall’italia non si puo’ autenticarsi verso le altri NREN via EDUROAM (che figura faremo quando ospiteremo il prozzimo HEPiX??) 01-10-2009 Riccardo Veraldi - Riunione CCR

Riccardo Veraldi - Riunione CCR Soluzioni Caldeggiare il pieno passaggio a eduroam e rinominare INFN-dot1x in eduroam Enforcing regole di TRIP/eduroam Proibire proxy da portale Web Supporto di una o al massimo due distribuzioni Linux per gli utenti TRIP Lista di portatili che sicuramente funzionano con Linux Alcuni corsi nazionali CCR per TRIP, per chiarire le idee agli utenti (volontari: Riccardo Veraldi, Mirko Corosu, altri ??) 01-10-2009 Riccardo Veraldi - Riunione CCR