Sieć szkolna OSE- zrozumienie topologii, zasady działania, możliwości rozbudowy

Potrzebuję pomocy w zrozumieniu topologi sieci szkolnej OSE. Szczególnie będę wdzięczny Koledze @IC_Current jeśli włączy się do dyskusji, bo z tego co mi wiadomo posiada ogromną wiedzę jeśli chodzi o OSE. Do rzeczy. Topologia jak na rysunku:

Temat dopiero rozeznaje bo zostałem poproszony w ramach "przyjaźni" ze szkołą o pomoc (poprzednia osoba się poddała).
W chwili obecnej jest jedna sieć dla wszystkich (nauczycieli, uczniów, etc.). Szkoła zakupiła już APki U6-pro i switch zarządzalny. Nie są jeszcze zamontowane. To co na schemacie dostarczyło OSE i według wiedzy dyrektora nie ma do nich dostępu (brak danych do logowania). Chciałbym potworzyć VLANy ale podobno z OSE nie idzie się dogadać (nie gadałem z nimi jeszcze). I teraz pytania: do czego jest router Microtik? Jest też inspekcja SSL. Gdzie ona jest realizowana? Bo routery ze schematu nie ogarniają inspekcji. Chce zamiast switch huawei postawić swój router i dalej zrobić sieć po swojemu. Czy to dobry pomysł? Czy może dogadam się z OSE i zrobią mi router na patyku?

Szkoła dane logowania posiada. Dostała je przy odbiorach. Kontakt jest przez dedykowany serwis po podaniu ID szkoły. Domyślnie na portalu szkoła ma jedno konto. Trzeba utworzyć konta dla techników itd. i nadać uprawnienia. Z poziomu tego konta techników też podglądnie podstawowe informacje o konfiguracji. Przez portal można też napisać o podanie wszystkich danych do konfiguracji, ewentualnie poprosić o zmiany konfiguracji. Jak przy uruchomieniu szkoła miała kogoś ogarniętego, to konfigi były cycuś glancuś, a jak nie było, to jest burdelik. Technicy po prostu stawiali co dostali z OSE, a potem na zasadzie "panie, będzie dobrze" tylko wpinali stary router szkolny w pierwszy lepszy interfejs. Ten Mikrotik to właśnie jakiś szkolny sprzęt, wstawiony tam, bo nikt nie ogarniał OSE. Nawet jak nie ogarniecie konfiguracji od OSE, to ... switche Huawei nie mają blokady na tryb ROMMON (czy jak to się tam w Huawei nazywa). Można zbotować do tego trybu i skopiować sobie aktualny konfig, będzie w txt a hasła ustrój nie są szyfrowane. Odnajdziesz sobie konto dla szkoły. To podobno celowy zabieg, żeby jak ktoś spartoli ze strony szkoły konfigi, to żeby była możliwość odzysku i odratowania switcha. Do routera nie ma dostępu, bo OSE się boi, że ktoś zrobi dziadostwo.
Tam, gdzie nadzorowałem uruchomienie, to prosiłem zawsze o konfig na zasadzie- jeden interfejs routera w bridge i adres (lub pula /28) publiczny na mój sprzęt. Tam już moja dowolność. Drugi interfejs jako routowalny z NAT i na nim pula dla gościnnego vlanu (relanie dla uczniów) WiFi.
W takiej konfiguracji switch zostaje wolny, do użycia wg własnego widzimisię i do mądrego zintegrowania z resztą szkoły.
Inspekcja SSL jest na serwerach OSE w formie Carier Grade UTM.
Od routera OSE do ich serwerowni są spięte cztery VLANY 802.1Q. Jeden do zarządzania, drugi dla nauczycieli, trzeci dla uczniów, czwarty nie pamiętam, chyba WiFi. Jeśli złożycie pismo od dyrekcji (prosicie o wyłączenie security i koniecznie dopisujecie, ze szkola bedzie dbala o bezpieczeństwo we wlasnym zakresie) to można wyłączyć inspekcje na danym VLANIE.

Dzięki piękne!
Skoro są już 4 VLANy to nie muszę stawiać własnego routera. Na potrzeby tej szkoły to w zupełności wystarczy. Także muszę męczyć dyrektorkę o dostęp do portalu i ściągnąć sobie konfig.
Teraz pytanie..bo wiadomo jak to bywa..znasz może adres tego portalu? Działa on poza siecią OSE?
{EDIT}
Ok..portal znalazłem..teraz jeszcze dane dostępowe..

Te cztery VLANY to są rozciągnięte przez sieć publiczną do serwerowni OSE. Wewnątrz szkoły jest inaczej.

Rozumiem. Ale skoro VLANy są od strony WAN to pewnie od strony LAN też. Może jest jakiś port trunkowy..zresztą nie ma co gdybać..dyrektorka złożyła już dla mnie wniosek o nadanie dostępu jako technicznego. Także niedługo pewnie poznam konfig.

A ja dołączam się z podziękowaniem za tak szybką i fachowa pomoc dla kol. @quiet 'a
i za wyjaśnienie zarówno tego "jak być powinno" oraz tego jak jest najczęściej w praktyce
Oraz odrobinę sorry za "wydanie Cię" @IC_Current (bo pamiętam że miałeś naprawdę
spooorą widzę o praktyce stosowania rozwiązań z OSE) - chciałem wstępnie pomóc @quiet 'owi sam,
ale tutaj potrzeba było wiedzy o strukturze, zastosowanych rozwiązań VLANowych
i tego do czego one są używane w ramach OSE oraz czy ten drugi router (mietek) jest w ogóle
co czegoś potrzebny (np. realizuje jakieś uwierzytelnianie w tle czy coś..) .

Kolejną sprawą która mnie trochę zastanawiała - było w jaki sposób szkoła ma wygenerować
te certyfikaty i jakiego typu (parametry wersje itp itd) . Tak po prostu wziąć i użyć openssl ... ?
Chyba jednak nie bo wtedy dostępne to by było tylko dla nielicznych bardzo szkół
(kwestia posiadania wykształconego administratora systemów linux) .

VLANY w szkole od strony LAN i WAN to dwie odrębne kwestie.
Certyfikaty UTM generuje NASK i pobiera je się chyba przez ten portal i dodaje do zaufanych centrów CA.

Certyfikaty są dostępne dla każdego ze strony OSE:
https://ose.gov.pl/certyfikaty-ose
Dostęp do panelu OSE już mam jako technicznego reprezentanta. Niestety brak jakichkolwiek tam danych konfiguracyjnych. Nie wiem kto mógłby nadać jakieś uprawnienia żeby to widzieć. Będę chyba do nich dzwonił lub skrobnę jakiegoś maila.

IC_Current napisał:

VLANY w szkole od strony LAN i WAN to dwie odrębne kwestie.

+

Cytat:

Od routera OSE do ich serwerowni są spięte cztery VLANY 802.1Q. Jeden do zarządzania, drugi dla nauczycieli, trzeci dla uczniów, czwarty nie pamiętam, chyba WiFi.

no ale jeśli dobrze zrozumiałem zwyczaje i praktykę w OSE - to skoro te VLANy "WANowe" mają być zdefiniowane pod kątem pojawiającego się w nich ruchu - to skoro po stronie LANu mają być również VLANy które będzie już sobie tworzył @quiet , jako administrator, to gdzieś trzeba będzie zapewnić inter-vlan-routing dla nich - żeby to wszystko się spinało, czy nie tak ? Żeby ruch uczniowski trafiał z LAN do WAN do konkretnego VLANu , a tak samo nauczycielski , itp itd ...

Czy sie mylę może ?

Jak dla mnie skoro są VLANy po stronie WAN to żeby one miały w ogóle sens to muszą być również VLANy po stronie LAN i musi być już pomiędzy nimi routing. Bo po jaki grzyb miałyby być VLANy po stronie WAN skoro od strony LAN byłaby jedna sieć która byłaby "połączona" z jednym VLANem po stronie WANu. Masło maślane ale myślę że wiadomo o co chodzi. Napisałem do supportu o konfig routera. Dam znać jak odpiszą

markooff napisał:

jako administrator, to gdzieś trzeba będzie zapewnić inter-vlan-routing dla nich - żeby to wszystko się spinało, czy nie tak ?

Konfiguracje są tworzone wg potrzeb szkoły. Tam gdzie ja sobie pilnowałem, to dostawałem publiczny IP/pulę i połączeniówkę /30 na router OSE i robiłem wszystko na swoim sprzęcie + sieć gościnną z NAT na sprzęcie OSE (wydzielony interfejs). Do tego puszczali sobie jeszcze trunka na switcha z tym vlanem do zarządzania i standardowym konfigiem, ale switche i tak zawsze leciały albo do szafy albo na inne cele.

>>21364271 Jestem TRS od 4 lat. W szkole pełnię funkcję kierownika administracyjnego. Z racji tej, że jeden z mych zawodów to technik elektronik automatyk i przed wieloma laty pracowałem w ośrodku informatyki, dyrektorka szkoły przyjmując mnie do roboty, wcisnęła mi opiekę nad sprzętem teleinformatycznym i oczywiście nad siecią OSE. Gdy zakładali w szkole sieć (wiosna 2020), to nikogo tam nie było, kto by w ogóle cokolwiek wiedział na ten temat, więc jak któryś z przedmówców zauważył, zainstalowano po uważaniu i skonfigurowano jakośtam. Ja pracę podjąłem w lipcu 2020, a ostatecznie sieć ruszyła we wrześniu. Nie jestem informatykiem, więc nie było mi lekko to porozgryzać. W dokumentacji technicznej są dane dostępowe, ale nie do zarządzania switchem OSE. Wszelkie zmiany, jakie chciałem by wprowadzono, wykonywali technicy z Warszawy po zgłoszeniu mailowym. Jeśli to ważne, to jutro podskoczę do szkoły i zrobię kopię tej dokumentacji, którą mi przekazano.

A co do naszej sieci LAN i WLAN... Ta ostatnia nie funkcjonuje. Punkt dostępowy ma tak lichy zasięg, że na jednym piętrze można z nim złapać połączenie w odległości jakichś 5 metrów w jedną i w drugą stronę. Uczniowie nie korzystają, bo w szkole jest wprowadzony zakaz używania komórek. A w podstawówce w małym mieście na wschodzie kraju dzieciaki tabletów jeszcze na zajęcia nie noszą. Co do sieci LAN, to mamy skonfigurowanego ostatecznie switcha OSE tak, że 4 porty są w nim bez certyfikacji. Tam poprzez szkolną krosownicę mam wpiętą podsieć administracyjno-nauczycielską. W każdej sali lekcyjnej komputery nauczycieli pracują bez certyfikatów i poza eternetem OSE łączą się bezpośrednio z Internetem. W sumie z certyfikatami muszą pracować komputery uczniowskie w 2 pracowniach informatycznych oraz laptopy z tzw. pracowni mobilnej. Te są podłączone (też przez szkolny zestaw switchy) do jednego z portów certyfikowanych. Jak mnie pamięć nie myli, to na tym urządzeniu OSE mamy 16 portów. W szkole jest tylko sieć LAN.

Od roku sieć OSE pracuje już stabilnie. Ale jeszcze 2 lata temu to była istna zgroza. Co kilka dni awarie i przerwy w dostępie do Internetu. Zapadła więc decyzja o dzierżawie komercyjnej drugiego, awaryjnego łącza światłowodowego od lokalnego dostawcy. Odkąd we wrześniu 2023 r. oddano je do użytku - OSE się nie psuje. Ha, ha, ha...

>>21363637
Hej. Przypadkiem trafiłem na ten wątek, a ponieważ "trochę" ogarniałem ten temat, to coś dodam.
Temat jest trochę bardziej skomplikowany. Co Wam mogę napisać z własnego doświadczenia?
Router od OSE realizuje wrzucenie VLAN do tunelu i przerzucenie do głównych routerów OSE.
Na jego porcie ustawiony jest TRUNK z obsługą kilku VLAN - w moim przypadku (4 różne szkoły/oddziały wiejskie):
VLANy: 500, 510, 550, 1000, 3100, 3110. Można było na swoim switchu (lub AP) roztagować wg. własnych potrzeb. Nie pamiętam teraz z głowy, ale wybrane VLAN potrzebowały kluczy SSL na końcówkach, wybrane nie potrzebowały.
Teraz ciekawostka z routerami.
A) Według mojej obserwacji to OSE miała w większości lokalizacji od początku montowany router Huawei. Technicy mają do niego dostęp zdalny i kilka razy robiliśmy rekonfigurację podczas sesji "na telefonie".
B) Na łączach Orange był montowany router Mikrotik. Działało to poprawnie, ale technicy w OSE nie mieli do niego dostępu zdalnego. W związku z tym około 2 lata temu podjęto decyzję o wymianie. We wszystkich szkołach mieliśmy wizytę technika i montował router Huawei. Mikrotik poszedł w odstawkę. Co ciekawe, nie wiadomo, co z nim zrobić. OSE go nie chce (bo nie ich), Orange go nie chce (bo kupiony pod ten projekt i nigdzie więcej nie potrzebują, do tego opłacony z projektu unijnego).
Ciekawostka: w moim przypadku 2 egzemplarze routera Mikrotik nie miały ustawionego hasła na koncie admin. Możliwość logowania była wycięta na poziomie firewalla, ale na nieużywanych i nieskonfigurowanych portach można było się dostać do niego Winboksem w sesji po MAC-adresie.
W moim przypadku sam zmieniałem jego konfigurację, aby odpowiednio wystawić TRUNK z VLAN'ami.
Aktualnie po zmianie na routery HUAWEI używam routerów Mikrotik jak "własnych".
Oczywiście mam zgraną konfigurację routerów Mikrotik do RSC, tak w razie W. :-)

To tyle, co mam dziś do zeznania.
Pozdro.

>>21452570
Hej.
Właśnie przeglądałem stare maile z OSE i znalazłem takiego z załącznikiem w PDF, w którym opisano większość tego, o czym rozmawialiście. Myślę, że są to informacje, które mogą sporo pomóc w zrozumieniu, jak podejść do sieci w szkole. Nie bardzo potrafię załączyć tutaj PDF, więc przykleję najważniejsze.

3. Usługi sieci OSE
W ramach sieci OSE na CPE wykreowane są trzy usługi w oparciu o wydzielone wirtualne routery
tzw. VRF (Virtual Routing and Forwarding), por. Rysunek nr 1:
1. standard [nazwa wewnętrzna NASK: SEC, VRF1] - pełne usługi bezpieczeństwa, dla wszystkich
komputerów szkolnych, dołączonych przewodowo lub bezprzewodowo (przez sieć WLAN). Usługa
standardowa nie ma wprowadzonych żadnych ograniczeń. Sieć WLAN będzie rozgłaszana z SSID
„OSE_Internet” (w przypadku konfliktu nazw, np. dla dwóch szkół w jednej lokalizacji, konieczne jest
ustalenie w trybie roboczym unikalnych SSID).
2. ograniczone usługi bezpieczeństwa [nazwa wewnętrzna NASK: SEC_LITE, VRF2] - dla urządzeń,
na których nie można zainstalować certyfikatów TLS (np. urządzenia VoIP, tablice multimedialne).
Usługa nie może być używana w celu ominięcia zabezpieczeń w sieci OSE. W przypadku rezygnacji z
usług bezpieczeństwa należy zgłosić do NASK rezygnację z usług bezpieczeństwa dla usługi
standardowej - taka zmiana dokonywana jest bezpłatnie na żądanie szkoły.
W ramach usługi wprowadzone jest ograniczenie przepustowości do 5% pasma przeznaczonego dla
całości usług.
3. usługi publicznego WLAN [nazwa wewnętrzna NASK: WLAN, VRF3] WLAN udostępnianej dla
wszystkich użytkowników, w tym dla urządzeń prywatnych uczniów oraz gości szkoły korzystających z
urządzeń, niebędących w posiadaniu szkoły (zarządzanych przez szkołę).
Publiczny WLAN nie wymaga instalacji na urządzeniach certyfikatów TSL.
W ramach sieci bezprzewodowej publicznej sieci WLAN rozgłaszane będzie SSID „OSE_Open”.
W ramach realizacji technicznej usługa może mieć wprowadzone ograniczenia przepływności, w
celu zagwarantowania odpowiedniego poziomu jakości dla pozostałych usług o wyższym priorytecie.

4. Konfiguracja urządzeń dostarczonych w ramach OSE
Wszystkie szkoły podłączone w ramach projektu OSE
otrzymują urządzenia, które posiadają uruchomioną
podstawową konfigurację zapewniającą bezpieczny i szybki
dostęp do Internetu.
Konfiguracja podstawowa pozwala na realizację dostępu
do Internetu za pomocą połączeń przewodowych sieci LAN
oraz za pośrednictwem bezprzewodowej sieci WLAN.

Rysunek 1 - Konfiguracja VLAN dla CPE

- VLAN 500): sieć LAN szkoły do podłączenia przewodowego
urządzeń będących w posiadaniu szkoły,
- VLAN 510: sieć WLAN szkoły do podłączenia
bezprzewodowego urządzeń będących w posiadaniu szkoły,
SSID: OSE_Internet,
- VLAN 550: sieć WLAN szkoły do podłączenia
bezprzewodowego urządzeń będących w posiadaniu uczniów,
SSID: OSE_OPEN,
- VLAN 3000: sieć przeznaczona do podłączenia
SmartTV, tablic multimedialnych i podobnych urządzeń,
- VLAN 3010: sieć przeznaczona do dołączenia urządzeń
VoIP.

KONIEC CYTATU
Tak jak pisałem wcześniej, ja używając sprzętu Ubiquiti Unifi albo TP-LINK Omada ustawiam na sprzęcie te same VLANY, podłączam się do TRUNK i na portach w swoich switchach albo na AP w różnych WLAN-ach roztagowuję te VLANY, które potrzebuję. Najważniejsze to VLAN550 nie używa skanowania on-line połączeń SSL, więc podpięte do niego komputery nie muszą mieć wgranych certyfikatów.

Ha. Na koniec podczas podglądu wiadomości znalazłem przycisk "Dodaj załącznik", więc wspomniany wcześniej plik załączam.

Aktualnie robię dużą modernizację w kolejnej szkole, więc odkopałem i ponownie przerabiam ten temat.
Jakby ktoś miał pytania, to zapraszam.

Cześć, możecie mi podpowiedzieć, który to VLAN natywny dla przełączników dołączanych do sieci OSE? Mam trochę sprzętu UniFi do podłączenia w szkole i pierwszy raz zderzyłem się z tym rozwiązaniem.

Bardzo dziękuję za wszelką pomoc.

Porty na CPE ustawiane są w zależności od naszych potrzeb: trunk, access lub co tam potrzebujesz.
VLAN natywny dla Twoich urządzeń ustaw sobie jaki chcesz. Ja wrzuciłem je do podsieci dyrektora.
Generalnie mam skonfigurowane 5 VLANów:
- dla dyrektora bez usług security
- dla gości bez usług security
- dla urządzeń IoT bez usług security
- dla nauczycieli z uslugami security
- dla uczniów z usługami security
O wszystkie zmiany na CPE musisz pisać na portalu moje ose jako techniczny reprezentant szkoły.

Cześć!
Mam swoje przełączniki w szkole i kilka VLAN-ów. W jaki sposób muszę skonfigurować przełączniki, żeby dostarczać Internet z certyfikatem do komputerów nauczycieli? Są jakieś specjalne wymagania oprócz rozesłania tagowanego linku na wskazywane wyżej VLAN-y.
Dzięki za wszelką pomoc.

korbusm napisał:

Są jakieś specjalne wymagania oprócz rozszycia tagowanego linka na wkazywane wiżej VLANy.

Jeśli nic ekstra nie potrzebujesz, to tylko porobić trunki i wyciągnąć na switchach potrzebne VLANY na potrzebnych portach.
Szkoły dostały też dane do logowania do switcha, więc możesz sobie ewentualnie skonfigurować porty pod swoje potrzeby.

Nie rozumiem pytania? Nikt Ci nie powie jak skonfigurować przełączniki bo w każdej firmie wygląda to inaczej. Jeśli masz trunk na CPE to na switchu również trunk z odpowiednimi VLANami i dalej robisz to co potrzebujesz mieć.
Tak czy siak na początek musisz uzyskać informację jak masz skonfigurowane porty na CPE oraz jakie VLANy są utworzone. Najlepiej również dostosować konfiguracje pod swoje potrzeby. Np. mieć VLAN bez inspekcji SSL dla urządzeń IoT, np tablice multimedialne bo na nie przecież nie wgrasz certyfikatu.

quiet napisał:

Tak czy siak na początek musisz uzyskać informację jak masz skonfigurowane porty na CPE oraz jakie VLANy są utworzone

Wszystkie szkoły mają takie same VLANY. Jedynie różnice były w kwestii portów na routerach, bo część szkół dostała Huawei lub Fortunat a niektóre sporadycznie Mikrotiki.

Nie do końca się z tym zgodzę. Szkoła, którą ogarniałem, ma zmienioną konfigurację. VLANy są takie, jakie ja zdefiniowałem i posiadają usługi bezpieczeństwa, które również ja ustalałem jakie mają być. Nie mam również portu TRUNK bo chciałem aby VLANy były na każdym porcie CPE osobno. Także jeśli ktoś już coś robił to konfiguracja może być inna. Jeden mail do OSE NASK i już wie co się ma.