Accesso alla rete WiFi INFN-dot1x & eduroam

Presentazione sul tema: "Accesso alla rete WiFi INFN-dot1x & eduroam"— Transcript della presentazione:

1 Accesso alla rete WiFi INFN-dot1x & eduroam 07-06-2012Riccardo.Veraldi@cnaf.infn.it1

2 TRIP com’era e com’e’ 07-06-2012Riccardo.Veraldi@cnaf.infn.it2 Autenticazione WiFi distribuita Modello di autenticazione con proxy radius – INFN-dot1x (802.1x + EAP) EAP-TTLS – INFN-Web Captive Portal – Autenticazione locale – Autenticazione X.509

3 EDUROAM 07-06-2012Riccardo.Veraldi@cnaf.infn.it3 Autenticazione WiFi distribuita a livello paneuropeo e mondiale basata su 802.1x ed EAP Modello di autenticazione con proxy radius – eduroam EAP-TTLS EAP-TLS EAP-FAST PEAP

4 TRIP stato attuale 07-06-2012Riccardo.Veraldi@cnaf.infn.it4 router.x.infn.it WAN router.y.infn.itradius.y.infn.it WiFi LAN radius.infn.it

5 EDUROAM stato attuale 07-06-2012Riccardo.Veraldi@cnaf.infn.it5 router.x.infn.it WAN router.y.infn.itedu-radius.y.infn.it WiFi LAN radius.garr.net

6 TRIP & EDUROAM modello INFN Modello di autenticazione con proxy radius – eduroam EAP-TTLS PEAP (Kcrap) – TRIP EAP-TTLS PEAP (Kcrap) 07-06-2012Riccardo.Veraldi@cnaf.infn.it6

7 Questioni da affrontare Kcrap: lo adottiamo ufficialmente ? Alcune condizioni sono cambiate Manteniamo entrambi INFN-dot1x ed eduroam ? eduroam: proposta di integrazione in AAI, come procedere ? Interfacciamento TINO ad AAI, come proseguire ? 07-06-2012Riccardo.Veraldi@cnaf.infn.it7

8 KCRAP (PEAP) Decidere come proseguire Ne vale la pena, E’ mantenibile ? Windows 8 support EAP-TTLS by default – Microsoft ora ufficialmente supporta EAP-TTLS 07-06-2012Riccardo.Veraldi@cnaf.infn.it8

9 INFN-dot1x - TRIP Auspicabile unificazione delle due reti ma come ? Continuiamo a mantenere INFN-dot1x ? – SI se eduroam rimane un servizio ristretto agli ospiti – NO se riusciamo a integrare le funzionalita’ di TRIP per gli utenti locali dentro eduroam Spostamento degli utenti INFN/locali in VLAN privilegiata dopo l’autenticazione/autorizzazione 07-06-2012Riccardo.Veraldi@cnaf.infn.it9

10 Radius server e autenticazione centralizzate ? Unico server nazionale (eduroam) con auth/autz in AAI – Cosa fare dei server radius locali ? Interfacciarli ad AAI ? Eliminarli ? Perdita di controllo dell’infrastruttura a livello locale – chi ha fatto cosa e quando? – Perche’ un utente non riesce a collegarsi ? – Chi devo contattare se qualcosa non va ? Server radius distribuiti (situazione attuale) interfecciati ad AAI – consente integrazione in architettura AAI mista 07-06-2012Riccardo.Veraldi@cnaf.infn.it10

11 Interfacciamento TINO ad AAI Valutare il passaggio al nuovo portale TINO modificato con ridirezione su IdP INFN – Qualsiasi utente/ospite deve avere credenziali valide in AAI (portale WaWa) – Devono esserci ISTRUZIONI CHIARE per consentire alle amministrazioni di inserire gli ospiti in AAI tramite godiva oppure pe consenitre agl iospiti di auto registrarsi – DEVE avere il MINIMO impatto sui servizi calcolo Cercasi sezioni pilota per la sperimentazione! 07-06-2012Riccardo.Veraldi@cnaf.infn.it11