伴隨著 TANET / TWAREN 骨幹100G 的新世代發展 校園網路管理比起十年前更加嚴峻 逐一介紹不同層面的挑戰，以及因應之道

Transcription

1 東華大學 分享網路管理與資訊安全 2018/08/21 張瑛杰 1

2 暨南大學簡介 2

3 暨南大學簡介 3

4 暨南大學簡介 4

5 暨南大學簡介 5

6 自我介紹 張瑛杰 任職於國立暨南國際大學 資訊工程學系兼任助理教授 計算機與網路中心技術員 學歷 國立暨南國際大學國際企業學系博士學位 國立暨南國際大學資訊管理學系碩士學位 長榮大學企業管理學系學士學位 6

7 自民國 92 年任職於國立暨南國際大學擔任台灣高品質學術研究網路 (TWAREN) 專任助理負責 TWAREN GigaPOP 維運業務推動 於民國 97 年執行台灣學術網路 (TANet) 南投區網中心成立與網路管理 多次承接財團法人台灣網路資訊中心 (TWNIC) IPv6 推廣與教育訓練計畫, 對象包含政府與學術單位 7

8 曾多次接受原廠演講邀約 無線網路 資訊安全 在 2017 年亞太網路資訊中心 ( APNIC) Asia-Pacific Network Information Centre 第 44 屆會議上進行發表 8

9 長期協助國內不同區網中心與縣網中心 進行教育訓練 在網路與資訊安全領域 有 14 年以上的實務經驗 9

10 上午場 09:00 ~ 12:00 下午場 13:00 ~ 16:00 10

11 伴隨著 TANET / TWAREN 骨幹 100G 的新世代發展 校園網路管理 比起十年前更加嚴峻 逐一介紹不同層面的挑戰 以及因應之道 11

12 上午場大綱 1. 關鍵性的校園網路管理指標有哪些? 2. 如何有效運用成熟的網路管理套件 3. IPv4/IPv6 Dual Stack 模式下, 管理層需要面對的挑戰 4. 傳統校園網路拓樸的風險 5. 資訊安全與建置設備成本的兩難 6. 分享暨南大學校網路管理實務 12

13 校園網路查修 關鍵性指標 13

14 管理五大要訣 網路拓樸 網段規劃 節點資訊 設備功能 技術資源 14

15 校園網路拓樸 Core Layer Router Layer 3 Switch Firewall IPS Load Balance Distribution Layer or Aggregation Layer Layer 2 Switch Access Layer Layer 2 Switch 15

16 繪製簡易學校的網路架構圖 16

17 對外介接線路 TANET TWAREN ISP CABLE 17

18 線材種類 UTP Cat 5e Cat 6 Fiber 光纖單模多模 光纖模組 SFP SX LX ZX SFP+ SR LR 18

19 網段規劃 1 個 Public 網段 1 個 Private 網段 1 個 Public IP address 網段 + 1 個 Private 網段 1 個 Public 網段 + n 個 Private 網段 IPv6 在一個 Vlan 中提供一組 /64 19

20 Addresses Hosts Netmask Amount of a Class C / /64 / /32 / /16 / /8 / /4 / /2 / / / / / / / / /

21 校園網路節點資訊 對照表 牆壁孔 Switch port description IP address 與 Switch port MAC 與 Switch port IP address & MAC 與 Switch port 對照表 無線網路 SSID 的編碼 21

22 17 項網管功能測試 管理上須具備的功能 22

23 系統提供 SYSLOG, 包括外送與內存於設備上, 並且不因電力中斷而造成設備內存的紀錄消失, 有利於查修 SYSLOG 23

24 具備 SNMP v1/v2c/v3, 可以透過 polling 的方式取的資訊,MRTG 使用須注意超過 1G 流量務必使用 v2c SNMP 24

25 防止封包一直在迴路中循環而送不出去, 導致網路癱瘓, 防止最常發生的單點 loop LOOP DETECTION 25

26 防止 GW 被假冒避免使用者被欺騙綁定 MAC 在 DOWN LINK 限制使用權限 ARP SPOOFING 26

27 同樣是避免迴圈發生, 須注意過大的 Domain 可能造成效能問題 SPANNING TREE 27

28 防止未經允許下使用者私自 接取會發 budp 的 Switch BPDU 28

29 允許單一埠執行 IP & MAC 位址的綁定 IP & MAC & PORT 29

30 運用於電腦教室內的大量派送服務, 協助處理以少量頻寬傳送超載的資料, 並減輕相關網路設備的負載 MULTICAST 30

31 提供 Netflow v5/v9 或 sflow 流量監控功能 NETFLOW / SFLOW 31

32 提供雙向 ACL (Access Control List) 封包封鎖之 ACL 計數器封包允許之 ACL 計數器 ACL / FILTER 32

33 包括可以透過 IPv6 執行的網管方式 Syslog Telnet SSH SNMP NTP & DNS IPV6 33

34 確保 DHCP Server 的回應封包一定會來自合法的 DHCP 伺服器 DHCP SNOOPING 34

35 可指定 port 雙向或單向的資 料進行 mirror PORT MIRRORING 35

36 避免廣播封包量過大, 可以提供單純告警或是直接封鎖兩種做法 STORM CONTROL 36

37 當修改系統造成本系統失聯時, 設定檔須能在指定時間內自動恢復成之前可連線狀態之功能, 可節省設定錯誤造成斷線時必須至現場處理的時間 COMMIT CONFIRMED DEFAULT TIME RECOVERY CONFIGURATION 37

38 系統提供多組以時間排序的設定檔儲存, 可選擇任一設定檔進行還原, 還原過程中網路不中斷 ROLLBACK 38

39 Console Port Telnet SSH 及 HTTP/HTTPS 等方式均可進行網管及參數設定與執行系統軟體更新 連線方式 39

40 12 項參數設定 該如何確認有哪些參數 40

41 broadcast multicast & unknown-unicast Bandwith / Count STORM 41

42 Trust un-trust rate limit DHCP SNOOPING 42

43 Dynamic ARP inspection DAI 43

44 避免跨網段大量掃 IP address ICMP-LIMIT 44

45 限制可存取的來源 SNMP LIMIT 45

46 避免 NTP 放大攻擊 NTP LIMIT 46

47 限制每一個 port 的 MAC count 以及 MAC table 暫存的 time MAC TABLE 47

48 限制同網段廣播封包量以及 Router 上 ARP 暫存的 time ARP 48

49 ssh & https telnet & http LOGIN LIMIT 49

50 避免惡意搶奪 Gateway GATEWAY MAC - STATIC 50

51 避免太大的 domain STP 51

52 紀錄資訊是否足以提供判斷 HISTORY SYSLOG 52

53 資安防禦機制 In-line / sniffer mode 53

54 Critcal 應變流程 資安設備 Log Router mail 監看 / 學習 統計 / 查詢 自動阻擋 管理者 High / Medium 應變流程 資安設備 Log mail Router 監看 / 學習 統計 / 查詢 管理者 手動阻擋 54

55 all day / critical 統計時間約為 晚間九點五十分 55

56 all day / critical 小時來源 IP address 次攻擊類型 Netcore.Netis.Devices.Hardcoded.Password.Security.Bypass Netcore.Netis.Devices.Hardcoded.Password.Security.Bypass Netcore.Netis.Devices.Hardcoded.Password.Security.Bypass Netcore.Netis.Devices.Hardcoded.Password.Security.Bypass 統計時間約為 晚間九點五十分

57 all day / high 57

58 all day / medium 58

59 59

60 all day / high 60

61 查詢內部資訊 61

62 派送指令 預設指令 set firewall family inet filter re_filter term deny_atk from destinationprefix-list admin_atk_v4 set firewall family inet filter re_filter term deny_atk then count blockcount set firewall family inet filter re_filter term deny_atk then discard 阻擋指令 set policy-options prefix-list admin_atk_v /32 62

63 派送模組 63

64 技術支援 各校使用經驗交流 SOP 是否出充足 廠商的配合程度 原廠的支援程度 64

65 IPv4/IPv6 Dual Stack 模式下 對資安防護及區域聯防服務推動 的衝擊與影響以及新挑戰 65

66 Cacti 網管軟體 66

67 討論內容 What is Cacti? 使用 Cacti 的原因和好處 Cacti 在實務上的運用 告警類型 各項設定方式 What is rrdtool? rrdtool 和 MRTG 的差異 程式碼解說 資料來源 67

68 提供管理者進行遠端設備監控的平台包括流量, 負載, 溫度, 人數等 基本套件 Apache PHP MYSQL SNMP 必要套件 RRDTOOL Cacti What is Cacti 68

69 69

70 使用 Cacti 的原因與好處 系統管理者 架設簡易 使用容易 實用的 plugin Monitor Settings THOLD 重點 :rrdtool 的整合使用平台 70

71 Cacti 在實務上的運用 Router CPU Loading 骨幹流量 Switch & AP 設備是否有回應 流量是否滿載 71

72 告警類型一 72

73 告警類型二 73

74 操作說明 1. 新增設備流量 2. 新增 CPU LOADING 3. 設定異常告警 74

75 新增設備流量 1 75

76 新增設備流量 2 76

77 新增設備流量 3 77

78 新增 CPU loading 1 78

79 新增 CPU loading 2 79

80 CPU 異常告警 80

81 CPU 異常告警 81

82 CPU 異常告警 82

83 What is rrdtool rrdtool 和 MRTG 是相同的作者 面對 MRTG 的缺點進行改進, 但並非完美 使用動機 效率問題 使用 rrdtool 的出發點, 是因為在相同伺服器下, 使用 rrdtool 會比使用 MRTG 監測更多的遠端網路設備 83

84 rrdtool & MRTG 的差異 MRTG 因資料儲存格式的關係, 所以時間單位為日 週 月 rrdtool 透過數值再運算的方式, 提供比較好的處理方法在數值差異過大問題上 因架構的改變,rrdtool 具有強大的繪圖能力 84

85 rrdtool 的運作流程 rrdtool create rrd 的資料庫副檔名為 *.rrd 例如 AA1CI.rrd AA1DI.rrd rrdtool update 將 snmpget 取得的資料更新到資料庫內, 例如 AA1CI.rrd 五分鐘一次 rrdtool graph 只需要繪圖的時候才執行, 可以減少 server 的 loading 85

86 rrdtool create 86

87 rrdtool update 87

88 rrdtool graph 88

89 rrdtool 繪製的圖 89

90 90

91 91

92 舊版的套件網站 92

93 93

94 Cacti 安裝及 thold 套件的搭配 94

95 安裝相關的套件 Apache yum y install httpd httpd-devel 95

96 安裝相關的套件 MySQL yum y install mysql mysql-server 96

97 安裝相關的套件 PHP yum y install php-mysql php-pear phpcommon php-gd php-devel php php-mbstring php-cli 97

98 安裝相關的套件 PHP-SNMP yum y install php-snmp 98

99 安裝相關的套件 NET-SNMP yum y install net-snmp-utils net-snmp-libs 99

100 安裝相關的套件 RRDTool yum y install rrdtool 100

101 啟動 Apache, MySQL, SNMP service httpd start service mysqld start service snmpd start 101

102 設定系統啟動 /sbin/chkconfig --levels 345 httpd on /sbin/chkconfig --levels 345 mysqld on /sbin/chkconfig --levels 345 snmpd on 102

103 安裝相關的套件 EPEL wget 6/x86_64/epel-release-6-8.noarch.rpm rpm -ivh epel-release-6-8.noarch.rpm yum install epel-release wget rpm -ivh epel-release-7-9.noarch.rpm 103

104 安裝 Cacti yum y install cacti 104

105 設定 MySQL 密碼 mysqladmin -u root password < 密碼自己打 > 105

106 建立 MySQL Cacti 資料庫 mysql -u root p create database cacti; GRANT ALL ON cacti.* TO < 帳號自己打 >@localhost IDENTIFIED BY < 密碼自己打 >'; FLUSH privileges; quit; 106

107 搜尋 cacti.sql 的位置 rpm -ql cacti grep cacti.sql 107

108 在 MySQL 設定 Cacti Tables mysql -u cacti -p cacti < /usr/share/doc/cacti h/cacti.sql 108

109 設定 Cacti 的 MySQL Settings vim /etc/cacti/db.php /* make sure these values reflect your actual database/host/user/password */ $database_type = "mysql"; $database_default = "cacti"; $database_hostname = "localhost"; $database_username = < 帳號自己打 >"; $database_password = < 密碼自己打 >"; $database_port = "3306"; $database_ssl = false; 109

110 設定防火牆 iptables -A INPUT -p udp -m state --state NEW --dport 80 -j ACCEPT iptables -I INPUT -p tcp -m state --state NEW -- dport 80 -j ACCEPT service iptables save /etc/init.d/iptables restart 110

111 設定 cacti.conf vim /etc/httpd/conf.d/cacti.conf 111

112 重新啟動 Apache service httpd restart 112

113 設定 Crontab vim /etc/cron.d/cacti */5 * * * * cacti /usr/bin/php /usr/share/cacti/poller.php > /dev/null 2>&1 取消註解就好 113

114 透過瀏覽器連上虛擬機 114

115 透過瀏覽器連上虛擬機 115

116 透過瀏覽器連上虛擬機 116

117 管理者登入 帳密為 admin, admin 會強制更換密碼 117

118 設定遠端 snmp 左側欄點 Devices 點右上 Add 118

119 設定遠端 snmp 119

120 製作 Graphs 點設定完成頁右上的 *Create Graphs for this Host 或是點左側欄的 New Graphs 將你感興趣的 Interfaces 右邊打勾 在右下 Select a graph type 選擇 In/Out Bits (64- bit Counters) 點右下的 Create 在每一頁重複以上步驟 ( 一次性設定可以把左上的 Items 改成較大的數, 可以改變一頁顯示的量 ) 120

121 製作 Graphs 121

122 製作 Graphs 點左側欄的 Graph Trees 點右上的 Add 設定完後點 Create 122

123 製作 Graphs 點右邊的 Add 第二項 Tree Item Type 選擇 Host 123

124 安裝 Threshold 相關套件 cd /usr/share/cacti/plugins wget settings-v tgz wget thold-v0.5.0.tgz tar -xvf settings-v tgz tar -xvf thold-v0.5.0.tgz 124

125 安裝 Threshold 相關套件 125

126 設定 SMTP Server 點左側欄的 Settings 點 Mail / DNS 標籤 126

127 設定 Notification List 點左側欄 Notification List 點右上 Add 127

128 設定 Threshold 點左側欄 Threshold 點右上 Add 128

129 設定 Threshold 129

130 運用 SDN 技術 解決臺灣學術網路 (TANet) 校內資訊安全管理之困境 2018/03/15 張瑛杰 130

131 大綱 臺灣學術網路 (TANet) 為了落實網路安全管理 在網路骨幹建構整偵測與通報機制 131

132 大綱 因為資安政策各校自主規劃資安防禦設備 大多是將 IPS 或 IDS 建置在校園出口 這和 TANet 資訊安全架構有重疊之處 132

133 大綱 國中小 高中職在校園內網的資訊安全管理明顯地表現較薄弱大部分將資安設備取代核心路由器在收納層建置小型的資安設備 133

134 大綱 當內網大量傳輸很容易造成單一節點資安設備效能不足原因在受限於資安設備的效能隨著使用頻寬的提升變成一個難以解決的問題 134

135 希望能分享運用 SDN 概念 提出的管理架構 面對頻寬持續增加時的資安挑戰 135

136 臺灣學術網路 (Taiwan Academic Network, TANet) 臺灣各級學校網路及資訊教育之平台 136

137 臺灣學術網路 教育部及幾個主要國立大學於民國 79 年 7 月起所共同建立的一個全國性教學研究網路 其主要目的是支援全國各級學校及研究機構之教學研究活動促進資源分享與合作 137

138 臺灣學術網路 TANet 骨幹網路 骨幹網路 區域網路中心 縣市教育網路中心 TANet 存取網路 大專校院 高中職校 國中小學 138

139 教育學術網百 G 數位學校創第 E 教育部 中央研究院 科技部國家實驗研究院 規劃推動三年期計畫教育學術研究骨幹網路頻寬效能提升計畫 - 100G 骨幹網路 139

140 教育學術網百 G 數位學校創第 E 140

141 教育學術網百 G 數位學校創第 E 105 年 4 月 26 日開始試營運 建置臺灣高品質 高頻寬學術網路骨幹 國內學研單位教學 研究 實驗 共用的網路平臺, 增加雲端服務效能 141

142 教育學術網百 G 數位學校創第 E 提供公開透明的網路速度及品質資訊 建構以臺灣為中心 連接亞太 歐美, 與全世界接軌的 學術研究網路 142

143 記者會現場 143

144 144

145 學術網路資訊安全通報機制 為了落實網路安全管理 在網路骨幹建構完整 偵測與通報機制 145

146 資安通報重要單位 台灣學術網路危機處理中心 TANet Computer Emergency Response Team 學術資訊安全維運中心 Academic Security Opertion Center 區網中心 GigaPOP 146

147 當頻寬不斷增加 1G / 10G / 40G / 100G 既有設備依舊正常提供服務 但問題是 這些設備都只 1G Port 可以進行介接 例如 :Firewall IPS IDS 常聽到的解決方法 購買更昂貴的資安設備 10G / 40G 147

148 10G / 40G / 100G 的資訊安全設備在建置成本上都會高於 Router 或 Switch 甚至是倍數成長這是一個需要被討論的問題!!! 148

149 討論項目 1. SDN-based security supporting infrastructure(i) Network and Service bypass 2. SDN-based security supporting infrastructure(2) Netflow generation 149

150 Region Network Center TANET 100G Previous Topology Pitfalls Devices out of service Mini-gbic failure Single point of failure Cable / Fiber failure Failed configuring Single point of failure 150

151 Region Network Center TANET 100G New Topology Bypass Switch Security Supporting Mechanism: - Bypass switch - Proprietary SDN device( L2-L7 support ) IDS-1 IDS-2 SDN device IDS-3 IDS-4 IPS 151

152 Region Network Center TANET 100G Bypass Switch In-Line Mode Network packets pass through the Bypass Switch, SDN device, and IPS IDS-1 IDS-2 IDS-3 IDS-4 152

153 Region Network Center TANET 100G Bypass Switch Bypass Switch should provide health check in case any element (including itself, SDN device, IPS) malfunctions. Health Check 153

154 Region Network Center TANET 100G Bypass Switch TAP MODE When some troubles happen Health Check packets are lost or delayed a lot(high latency) Health Check IPS 154

155 Region Network Center TANET 100G When IPS can not sustain for the network throughputs. However, let s consider 1080P/4K YouTube video streaming: High bandwidth Low risk SDN [Service Bypass] The SDN device directs YouTube packets not to pass through IPS/IDS but loop back directly IPS 155

156 Region Network Center TANET 100G The SDN device helps to reduce IPS loading. We could extend the period of use for IPS SDN IPS 156

157 Region Network Center TANET 100G Load balance function could direct traffic to a few of IDS simultaneously according to IP address / subnet/5-tuple hash SDN IPS 157

158 Region Network Center TANET 100G We could control different application traffic to different IDS. This eases new services testing. SDN TEST LAB IPS 158

159 Region Network Center TANET 100G Bypass Switch SDN Function ( IDS + IPS ) Flexible IDS-1 IDS-2 IDS-3 IDS-4 Redundant TEST LAB IPS 159

160 討論項目 1. SDN-based security supporting infrastructure(i) Network and Service bypass 2. SDN-based security supporting infrastructure(2) Netflow generation 160

161 Region Network Center TANET 100G Bypass Switch Flow Report Server Router does not support 1:1 non-sampling Netflow v9, If traffic grows up day by day, Router will always busy. 161

162 Region Network Center TANET 100G In-Line Mode Flow Report Server SDN The SDN device analyzes traffic and then generate 1:1 Netflow v9 for Flow Report Server. This helps to reduce Router CPU usage. 162

163 Traditional NetFlow generation architecture New NetFlow generation architecture Region Network Center TANET 100G Region Network Center TANET 100G NetFlow (Sampling 64:1) Port Mirror Filtering L2-L7 filtering (remove low-risk traffic) NetFlow Gen Netflow Analyzer Netflow Analyzer NetFlow V5/V9 generation Sampling rate 1:1 Active Timeout 60 sec Passive Timeout 60 sec 163

164 Region Network Center TANET 100G TAP Mode Flow Report Server SDN If IPS is out of service so that Bypass Switch state is changed to TAP mode, we still could log 1:1 traffic flow 164

165 比較之下的優點 SDN-based Security Supporting Mechanisms 可用性 負載平衡 降低成本 彈性增加 165

166 TANET 的 Last Mile 國中小是 TANet 數量最多的連線單位 臺灣學術網路 (TANet) 為了落實網路安全管理 在網路骨幹建構完整偵測與通報機制 166

167 Last Mile 的問題 各校在資安管理的自主規劃 大多是將 IPS 或 IDS 建置在校園出口 這和 TANet 資訊安全架構有重疊之處 167

168 校園內網 資安設備大部分建置於核心層或收納層內網大量傳輸很容易造成單一節點問題資安設備建置成本隨著使用頻寬的提升變成一個難以解決的問題 168

169 分享運用 SDN 提出新的管理架構 面對頻寬持續增加 資安挑戰 169

170 校內實測紀錄 地點 國立暨南國際大學管理學院 無線網路使用環境 拓樸 將 SDN Device 夾在存取層 過濾內容 Facebook Youtube 170

171 建議不同拓樸模式 171

172 AP AP AP Switch POE Switch Switch AP AP POE Switch 國中小高中職常見網路拓樸 172

173 AP AP AP Switch POE Switch Switch AP AP POE Switch 校內資安設備建置範例一 173

174 AP AP AP Switch POE Switch Switch AP AP POE Switch 校內資安設備建置範例二 174

175 AP AP AP Switch POE Switch Switch AP AP POE Switch 校內資安設備建置範例三 175

176 對於國中小 高中職的 建議方案 176

177 AP AP AP Switch POE Switch Switch AP AP POE Switch SDN IPS 177

178 AP AP AP Switch POE Switch SDN AP AP POE Switch IPS 178

179 FaceBook 和 Youtube 送進去 IPS 的量 01/22 18:50 濾掉 Mbps, 約總流量的 94.14% 02/01 15:05 濾掉 Mbps, 約總流量的 94.18% Mon Jan 22 18:50: Mbps 94.14% Thu Feb 1 15:05: Mbps 94.18%

180 Mon Jan 22 18:50: Mbps 94.14% Thu Feb 1 15:05: Mbps 94.18%

181 IP address 黑名單 IP address 黑名單是普遍的作法 Gateway IPS 透過 SDN Device 過濾異常黑名單 降低 Router 和 IPS 的 Loading 增加設定筆數 181

182 過去 Domain name 過濾 透過 IP address 黑名單降低資安風險 現在 駭客使用 Domain name 可以不斷變更 IP address 在 SDN Device 上設定阻擋已知異常 Domain name 可有效抑制更換 IP address 的攻擊行為 182

183 Netflow 1:1 紀錄 透過 Free Netflow Analyzer 收集資料 完成 1: 1 netflow 轉換 詳細記錄資訊 183

184 南投區網中心建置 184

185 校園測試型號 185

186 繼續不斷嘗試不同做法 186

187 資訊收集查詢概念 Layer 3 IP address & MAC address Layer 2 MAC address & Switch Port number 187

188 Syslog-ng 架設 輔助式管理 188

189 輔助式管理過程 Switch 管理機制 常用的 linux 指令 Syslog-ng Server 安裝流程 不同的網路設備的 syslog 設定 文字介面封包擷取器 排程 crontab 189

190 常用的 Linux 指令 cat grep awk tr sort uniq wc crontab 190

191 cat 範例檔案 1.txt 191

192 cat 範例檔案 2.txt 192

193 cat 範例檔案 3.txt 193

194 grep 找出單一檔案中指定字串的行 找出 13 這一個值出現在哪幾行 找出 13 這一個值出現在哪幾行, 並用顏色顯示 194

195 grep 找出多個檔案中有指定字串 13 的行, 進一步增加顏色顯示效果 195

196 grep 統計單一 / 多個檔案中指定字串出現的次數 196

197 grep 進行多筆數搜尋時, 讀取 3.txt 的關鍵字, 搜尋單一 / 多個檔案 197

198 grep 進行多筆數搜尋時, 讀取 3.txt 的關鍵字, 搜尋單一 / 多個檔案 198

199 grep 進行多筆數搜尋時, 搜尋時顯示行數 199

200 grep 搜尋以特定字串開頭的行 200

201 grep 搜尋不是特定字串開頭的行 201

202 搜尋以特定字串結尾的行 202

203 grep 在單一檔案中搜尋單一 / 多個特定字串的行 203

204 grep 在多個檔案中搜尋多個特定字串的行 204

205 grep 查詢網路資訊 eth1 查詢 IPv4 查詢 IPv6 205

206 awk 印出 2.txt 檔案中的第 1 欄和第 6 欄 206

207 判別式 == 等於!= 不等於 > 大於 < 小於 >= 大於等於 <= 小於等於 數字不需要 "" 例如 11 文字需要用 "" 例如 "aa" 207

208 awk 2.txt 檔案, 第 1 欄位等於 09, 印出同行中和第 2 欄位第 3 欄位第 4 欄位 208

209 awk 2.txt 檔案, 第 1 欄位大於等於 10, 印出同行中和第 2 欄位第 3 欄位第 4 欄位 209

210 awk 4.txt 檔案, 以 : 作為分隔印出第 1 欄和第 3 欄 210

211 tr 4.txt 檔案, 刪除 : 211

212 sort cat 1.txt sort -n -r -k 2 -n 是表示當成數字來排序 -r 將結果反過來 -k 指定要排序的欄位 212

213 sort 2.Txt 檔案, 將第一行以數字作為排序 213

214 sort 2.Txt 檔案, 將第一行以數字作為反向排序 214

215 sort 2.txt 檔案, 將第六行以數字作為排序 215

216 uniq -c, --count 每行前加上出現次數 -d, --repeated 只印出重複的資料 -u, --unique 只印出不重複的資料 建議 : 請先使用 sort 進行排序 216

217 uniq 217

218 uniq 218

219 SYSLOG-NG Server 安裝流程 219

220 wget 220

221 221

222 222

223 223

224 224

225 225

226 226

227 227

228 228

229 編輯 IPv4 防火牆 vi /etc/sysconfig/iptables 加入以下兩行 -A INPUT -m state --state NEW -m tcp -p tcp --dport 514 -j ACCEPT -A INPUT -m state --state NEW -m udp -p udp --dport 514 -j ACCEPT 重啟服務 /etc/init.d/iptables restart 229

230 編輯 IPv6 防火牆 vi /etc/sysconfig/ip6tables 加入以下兩行 -A INPUT -m state --state NEW -m tcp -p tcp --dport 514 -j ACCEPT -A INPUT -m state --state NEW -m udp -p udp --dport 514 -j ACCEPT 重啟服務 /etc/init.d/ip6tables restart 230

231 不同的網路設備的 syslog 設定 231

232 232

233 233

234 234

235 235

236 文字介面封包擷取器 tcpdump 236

237 常用參數 -i 指令要監控的網路介面, 如 eth0 lo any 等 tcpdump -i eth0 tcpdump -i eth1 -nn 直接以 IP 及 port number 顯示, 而非主機名與服務名稱 tcpdump -i eth0 - nn -e 直接以用 MAC address 顯示 tcpdump -e 237

238 範例 host 來源或目的 IP 是 # tcpdump host src host 來源 IP 是 # tcpdump src host dst host 目的 IP 是 # tcpdump dst host

239 範例 ether host aa:bb:cc:dd:ee:ff # tcpdump ether host aa:bb:cc:dd:ee:ff 來源或目的 mac address ether src aa:bb:cc:dd:ee:ff # tcpdump ether src aa:bb:cc:dd:ee:ff 來源 mac address ether dst aa:bb:cc:dd:ee:ff # tcpdump ether dst aa:bb:cc:dd:ee:ff 目的 mac address 239

240 範例 net mask # tcpdump net mask net /24 # tcpdump net /24 src net /24 # tcpdump src net /24 dst net /24 # tcpdump dst net /24 240

241 範例 tcp # tcpdump tcp 使用 tcp 封包 udp # tcpdump udp 使用 udp 封包 icmp # tcpdump icmp 使用 icmp 封包 241

242 範例 port 53 來源或目的 port 為 domain (53) # tcpdump port 53 tcp src port 22 # tcpdump tcp src port 22 可加上 src dst 或 tcp udp port syslog # tcpdump port syslog 直接使用 domain 242

243 排程 crontab 243

244 資料來源 : 鳥哥的 Linux 私房菜 244

245 資料來源 : 鳥哥的 Linux 私房菜 245

246 範例一 資料來源 : 鳥哥的 Linux 私房菜 246

247 範例二 資料來源 : 鳥哥的 Linux 私房菜 247

248 範例三 資料來源 : 鳥哥的 Linux 私房菜 248

249 資料來源 : 鳥哥的 Linux 私房菜 249

250 校園無線網路 發展與建置規劃分享 250

251 因為行動裝置的極高度普及無線網路已經是比有線網路更受使用者使用的上網方式 但是, 對於管理者而言如何提供穩定的服務環境並且有效控制成本 這都是一大難題 251

252 例如 : 狀況一基地台建置地點的選擇, 佈建數量的決定狀況二該怎樣選擇適當的設備狀況三舊技術遇見的瓶頸, 新技術提供的解決方式狀況四有線網路如何規劃 在本次會議中將會分享 1. 暨南大學的無線網路發展史 2. 挑戰高密度的使用環境 3. 如何提升服務效能 4. 檢討過去的規劃方式 5. 發現高乘載設備的優勢 6. 新技術提供的超能力 7. 優化 5GHz 的方式 8. 安全? 如何做? 252

253 報告大綱 暨南大學的無線網路發展史 挑戰高密度的使用環境 如何提升服務效能 檢討過去的規劃方式 發現高乘載設備的優勢 新技術提供的超能力 vsz 可同時支援新舊版本 優化 5GHz 的方式 253

254 暨南大學的無線網路發展史 設備型號 Cisco 350 Cisco 1100 D-Link 2590 Controller Ruckus 7363 Ruckus 7372 Ruckus 7982 Controller 採用規格 b a/b/g a/b/g/n 2.4GHz or 5GHz Aruba Controller Gateway mode g/n & n/a 2.4/5 GHz 2 2 : 2 14 支天線 g/n & n/a 2.4/5 GHz 2 2 : 2 12 支天線 g/n & n/a 2.4/5 GHz 3 3 : 3 21 支天線 Ruckus vscg Controller Ruckus R500 Ruckus R600 Ruckus R700 Ruckus R g/n n/a ac 2.4/5 GHz 2 2 : 2 12 支天線 g/n n/a ac 2.4/5 GHz 3 3 : 3 12 支天線 g/n n/a ac 2.4/5 GHz 3 3 : 3 21 支天線 g/n n/a ac 2.4/5 GHz 4 4 : 4 24 支天線 wave2 Ruckus T g/n n/a ac 2.4/5 GHz 2 2 : 2 254

255 挑戰高密度的使用環境 測試新設備的能耐 255

256 256

257 單組 AP 可乘載 201 Client Ruckus

258 2.4GHz 乘載 MAX 116 Client Ruckus

259 5GHz 乘載 MAX 100 Client Ruckus

260 長時間觀察 Ruckus

261 2016/03/16 在校內演講中, 記錄到 R500 同時乘載了 449 個 Client TX 瞬間最高流量部分也有到 36.7 Mbps 261

262 Ruckus R

263 如何提升服務效能 其實並不困難 263

264 管理者所需要了解的資訊 1. 測量空間中訊號衰減狀況 2. 空間內須提供服務的設備數量上限 3. 依環境推估使用者可能使用的設備類型 4. 尋找適當的設備 264

265 檢討過去規劃的方式 挑戰備援機制與分流問題 265

266 早期的建置方式 : 1. 採用多組無線網路基地台 2. 單台設備成本便宜 3. 分流使用者的流量 4. 提供備援機制 266

267 Site Survey 新舊測試報告 267

268 Site Survey 新舊測試報告 268

269 發現的瓶頸 : 1. 大量建置導致 2.4GHz 同頻段干擾相當嚴重 2. 有形成本 設備與線路 3. 無形成本 管理與人力 269

270 消失的成本 發現高乘載設備的優勢 270

271 成本試算 每人平均成本 若是教室內有 50 個座位 推估設備量為人數之兩倍, 約為 100 個 單台 AP 的乘載量 AP 單價所需數量 AP 成本 單一連線成本 35 人 6,000 元最少三組 18,000 元 180 元 120 人 12,000 元只需一組 12,000 元 120 元 271

272 總成本試算 20 間教室, 每間 50 個座位, 設備量為人數之兩倍 AP 類型 AP 數量實體線路 24 Port PoE Switch License 低乘載 60 台 60 條 3 台 60 組 高乘載 20 台 20 條 1 台 20 組 272

273 迷思 分流機制 備援機制當 AP 當機時, 備援組無法收納所有使用者的連線, 無線服務依舊停擺 273

274 發現新技術的超能力 解決舊技術遇見的瓶頸 274

275 不同頻段 - 分流概念 正視 5GHz 的使用者快速增加透過 Dual band 的方式分流 2.4GHz & 5GHz 的 Client 一台高乘載的 Ruckus AP 當兩台使用 275

276 如何挑選頻道 同頻干擾的嚴重性 眼睛看得到,Ping 值高達 300~500 演算法 依據不同 Channel 的可用頻寬 自動挑選適當的 AP Channel 276

277 智慧型天線 (Smart Antenna) 智慧型天線 (Smart Antenna) 的發展來自於適應性天線陣列 (Adaptive Antenna Array) 增加天線增益 (Antenna Gain) 提升訊號雜訊比 (SNR; Siganl to Noise Ratio), 有利於雜訊的消除 並且降低多路徑衰落 (multipath fading) 與時間延遲延展 ( time delay spread ), 以及增加發射效率 (transmission efficiency) 與訊號涵蓋範圍 277

278 波束成型技術 (BeamForming) 必須同時結合晶片 天線以及軟體控制 才能發會最好的效果,IEEE802.11ac, 已經將 Beamforming 標準化 278

279 256 QAM 調變技術 正交振幅調變技術的改變 (QAM;Quadrature Amplitude Modulation) IEEE n 標準採用的是 64 QAM IEEE ac 的標準中已經提升採用 256 QAM 指一個封包可以乘載的資料量多寡直接的影響是傳輸速率的改變 279

280 多重輸入與輸出 MIMO (Multi-input Multi-output) T x R:S 發射天線數量 X 接收天線數量 : 空間流數 3 x 3 : 3 說明的是 三支發射天線與三支接收天線提供三個空間流 4 x 4 : 3 代表有一組天線是冗餘收發器 280

281 優化 5GHz 的方式 有效提升使用感受 如何讓使用者優先使用 281

282 各校常見的發展過程 早期 Tunnel - Single Point of Failure 改善 New Topology 進化 Trunk Native Vlan 282

283 Tunnel - SPOF 當所有流量都回到 Controller 早期使用量不多時可能不成問題, 但是當 loading 增加時, 管理者的心臟就要越大顆 當使用者越多時 加密傳輸是一種可能造成設備負載的狀況, 尤其當原本拓樸上有異常狀況發生時, 可能開始有接不完的抱怨電話 283

284 New Topology 早期現象 使用 Tunnel mode 易於建置, 經常將 AP 建置在原本的實體線路上 New Topology 易於查修 無線網路查修較為困難, 因此為了便於查修, 常見的做法是佈建實體線路, 提供一張新的網供無線網路服務 實際案例 備援機制 學校又停電了, 但是無線網路是通的 業務權責 管理和問題查修上, 有利於確判別問題 284

285 Trunk Native Vlan Router interfaces { ge-0/0/0 { unit 0 { family ethernet-switching { port-mode trunk; vlan { members v105; } native-vlan-id v103; } } } trunk Switch /16 trunk AP /16 讓 management 與 data 分在不同 Vlan 避免廣播封包造成管理上的問題 SSID NCNU /16 285

286 最在乎的報表資訊 那些 AP 遇到同時上線的 Client 接近危險邊緣 建議 : 是否需要增加 AP 那些 AP 下的使用者連線訊號最糟糕 建議 : 調整 AP 位置或增加 AP 286

287 各項經驗總結 人在哪 基地台就安裝在哪 選擇支援智慧型天線的必要性 有線網段的規劃與設計 287

288 如何建置 802.1x 無線網路認證 暨大怎麼做? 288

289 怎麼讓使用者 不需要一直打帳密 暨大怎麼做? 289

290 分享您的經驗 感謝您的參與 290