Einleitung

Nachdem im Rahmen der zweiten Ausbaustufe des Lübecker Krankenhauskommunikationssystems im Jahr 2000 ein flächendeckendes Hochgeschwindigkeitsnetz konzipiert wurde, entstand mit dem Neubau Informatik die Anforderung für ein neues, leistungsfähiges Teilnetz. Bei der Planung des neuen Teilnetzes mussten die besonderen Anforderungen der Informatik berücksichtigt werden. Entstanden ist ein zukunftssicheres Backbone mit 10 Gbps und der Möglichkeit, in Zukunft die Backbonegeschwindigkiet auf 40 Gbps zu erweitern. Weiterhin ist es möglich, neben IPv4 auch IPv6 in Hardware zu routen und an jedem Standort mindestens 16 Ports GE in Kupfer für die Nutzer zur Verfügung zu stellen. Das neue Teilnetz wurde als redundantes Layer 3 Teilmesh mit OSPF-Multipathrouting (host based) realisiert und verfügt so über eine hohe Ausfallsicherheit. Jeder Standort (Institut) ist mit mind. 2 x 1 Gbps an das Backbone angebunden. Der Anschluss an das Campusnetz erfolgt redundant über zwei Gegenstellen, die jeweils über je zwei GE-Trunks angeschlossen sind. Der Betrieb von verteilten Systemen ist durch die hohen Bandbreiten bis zum Arbeitsplatz in Echtzeit möglich. In dem neuen Teilnetz ist ein flächendeckendes Accounting mit Hilfe von sFlow nach RFC3176 realisierbar. Darüber hinaus ist es mit sFlow möglich, Viren und Würmer, sowie Angriffe auf das Rechnernetz zu erkennen.

2. Beschreibung der Hard- und Software

Einige wesentliche Merkmale der aktiven Komponenten des Datennetzes sind im Folgenden aufgeführt.

2.1 Hardware

Alle eingesetzten Geräte sind modular aufgebaut und mit redundanten Netzteilen ausgestattet. Das Backbone wird von Switchen mit 10GE Modulen gebildet.

• Es wurden sieben modulare Backboneknoten mit 10GE Anschlüssen von Foundry Networks verbaut. Davon sind zwei Geräte vom Typ BigIronMG8 (acht Slots) und fünf Geräte sind vom Typ BigIron15000 (16 Slots), die mit 10 Gbps untereinander verbunden sind.
• Alle 13 modularen Workgroupswitche sind voll Layer3-fähig und in der OSPF-Area des Backbone eingebunden und mit mind. 48 x 10/100 Mbps TP-Ports, 16 x 100/1000 Mbps TP-Ports und 6 x GE-LWL-Ports ausgestattet. Die Switche sind vom Typ BigIron15000 von Foundry Networks.
• Verwendete Einschubkarten in den modularen Systemen: 4 x 10GE LWL, 2 x 10GE LWL, 40 x 1GE LWL, 8 x 1GE LWL, 16 x 100/1000 Mbps TP und 48 x 10/100 Mbps TP.
• Die GE-Einschubkarten sind mit GBICs modular bestückbar.
• Bis auf die 16 x 100/1000 Mbps Karte gibt es keine statistische Überbuchung auf L2 und L3 – die Verbindungsgeschwindigkeit zur Backplane beträgt pro Slot 8 Gbps.
• Die Netzteile und Einschubkarten sind im laufenden Betrieb austauschbar.
• Die Netzteile, und teilweise auch die zentralen Managementeinheiten, sind redundant ausgelegt.

Insgesamt sind die Switch-Systeme mit 12 Ports 10 GE, 232 Ports 1000Base-SW/LX, 288 Ports 1000Base-T und 1440 Ports 10/100Base-TX bestückt.

3. Topologie

Die Topologie des Datennetzes setzt sich aus zwei Grundtypen zusammen. Sie besteht aus einer klassichen Sterntopologie, die mit einer Ringtopologie kombiniert wird.

• Sterntopologie: Jeder Datennetzschrank (Rangierverteiler, RV) ist mit einem zentralen Raum im Erdgeschoss (RV74) über 24 Fasern Monomode verbunden.
• Ringtopologie: Auf jeder Etage sind die RV mit 24 Fasern Monomode ringförmig untereinander verbunden. Die Etagen wiederum stehen durch drei unabhängige Leitungen miteinander in Verbindung.

4. sFlow

Mit den eingesetzten Geräten ist ein flächendeckendes Accounting mit Hilfe von sFlow nach RFC3176 möglich. Mit sFlow können Informationen von Layer 2-7 gesammelt werden. Damit wird eine höhere Informationsgewinnung als z.B. über die üblichen MIBs (SNMP) oder den in Switchen üblichen RMON Implementationen ermöglicht. Durch den Einsatz von ASICs (application-specific integrated circiut) können die Informationen ohne Performanceverluste gewonnen werden. Die Informationen können z.B. genutzt werden, um Würmer, Viren und Trojaner oder P2P-Missbrauch im Rechnernetz aufzuspüren.

5. Sicherheit

Im Gegensatz zum restlichen Campusnetz, wird im Informatikgebäude für gewöhnlich kein Verwaltungsnetz benötigt. Aus diesem Grund sind an den Übergangsknoten vom Campusnetz zum Teilnetz der Informatik Routen-Filter gesetzt, so dass im Teilnetz der Informatik nur Wissenschaftsnetze (WI) geroutet werden. Zusätzlich sind im Backbone auf den Switchen Access-Listen konfiguriert, die IP-Nummern des Verwaltungsnetzes (VW) blocken. Sollte doch mal das VW-Netz benötigt werden, wird ein Subnetz aus den Übergangsknoten als VLAN zu dem entsprechenden Workgroupswitch konfiguriert.

5.1 Sicherer Betrieb des Backbone

Das Backbone routet alle ankommenden Pakete entsprechend ihres Ziels. Als Routingprotokoll kommt OSPF zum Einsatz. Zum Schutz der Routingtabellen wurde das Feature zur Authentifizierung (MD5) des OSPF-Interface aktiviert. Die Manipulation der Routen über einen fremden OSPF-Router ist so ausgeschlossen. Alle Subnetze der Nutzer sind passiv im OSPF konfiguriert. Vorsichtshalber werden im Backbone nur IP-Adressen aus dem Internet oder dem WI-Netz zugelassen. IP-Adressen aus dem privaten Adressbereich werden über Accesslisten geblockt. Die Knoten sind über Subnetze aus einem privaten Adressenbereich miteinander verbunden. Zum Konfigurieren und Überwachen der Switche ist ein spezielles Management-VLAN mit einem ebenfalls privaten Adressenbereich konfiguriert. Es ist nur möglich über dieses VLAN, in dem als Endgerät nur der Managementserver angeschlossen ist, auf die Switche zuzugreifen. Die Zugriffsregelung erfolgt über Access-Profile und Beglaubigung mit Nutzername und Passwort. Auf die Geräte wird über SSHv2 oder HTTPS zugegriffen. Die Zeit wird über SNTP synchron gehalten.

5.2 Sicherer Betrieb der Workgroupswitche

Die Workgroupswitche (WS) werden im Teilnetz der Informatik als Layer-3-Switch betrieben. Das jeweilige Subnetz eines Instituts wird auf dem WS geroutet bzw. geswitcht. Auf jedem Switch wird ein VLAN als Management-VLAN definiert. Jeder WS erhält eine IP-Nummer aus dem privaten Adressbereich des Management-VLANs über die der WS konfiguriert werden kann. Da keine Endgeräteports in das Management-VLAN definiert werden, ist der Zugriff nur von einer speziellen Managementstation aus möglich. Der Zugriff auf den WS aus dem VLAN wird über entsprechende Accessprofiles auf dem WS verhindert. Ein Zugriff auf den WS über SSH oder SNMP ist nur von der Managementstation aus dem privaten Adressbereich möglich. Der Switch holt regelmäßig über SNTP die Uhrzeit vom Managementserver, um die Logdatei konsistent zu halten. Alle Ports auf dem WS sind standardmäßig „disabled“ und müssen explizit freigeschaltet werden. Jedem VLAN wird eine Accessliste für eingehende und ausgehende Pakete zugewiesen. So wird z.B. verhindert, dass IP-Spoofing betrieben werden oder auf private Netze zugegriffen werden kann.

Zusammenfassend sind folgende Sicherheitsfeatures von Bedeutung:

• Mit Sicherheitsschlössern gesicherte Datennetzschränke
• Konsolenports sind über Passwörter geschützt – eine Wiederherstellungsprozedur ist nicht durch erneutes Booten möglich.
• Zugriffe auf den Switch über SSHv2 oder SNMP sind über Accessprofiles geregelt.
• Eine Telnetsitzung ist verschlüsselt (SSHv2).
• Automatischer Logout nach definierter Zeit.
• Zugriffe auf Rechner in Subnetzen können über Accesslisten/Paketfilter geregelt werden. Die Accesslisten können sowohl auf den Backboneswitchen, wie auch auf den Workgroupswitchen gesetzt werden.
• Beglaubigung des Zugriffs auf den Switch erfolgt über RADIUS.
• Ereignisse auf dem Switch werden zu einem Syslogserver und zu einem Trapserver geschickt.
• SNTP mit beglaubigtem Zeitserver.
• Jedes Institut besitzt ihr eigenes Subnetz (VLAN) mit eigenen Accesslisten
• Studentenpools sind extra abgegrenzt und haben nur sehr eingeschränkten Zugriff.