Funktionen

Aktualisierung des Sicherheits-Gateways “Secomat” unter besonderer Berücksichtigung von Lastverteilung und Ausfallsicherheit

A Revision of LRZ’s Security Gateway „Secomat“ with particular Focus on Load Balancing and Redundancy

Hintergrund der Arbeit:
Das Sicherheitsgateway “Secomat”, eine Eigenentwicklung des Leibniz-Rechenzentrums (LRZ), wird im Münchner Wissenschaftsnetz (MWN) betrieben und besteht aus einem hochverfügbaren Clusterverbund von vier Rackservern. Primäre Aufgaben sind die Adressübersetzung (NAT) von RFC1918 IP Adressen auf einen dedizierten NAT-Pool, sowie Traffic Monitoring und Shaping. Sobald interne Clients des MWN gewisse festgesetzte Schwellwerte überschreiten, werden diese am X-WiN Übergang vollautomatisch gesperrt und auf eine Sperrwebsite umgeleitet.

Zur Aktualisierung des “Secomats”, ist die Migration auf ein aktuelles Linux-Betriebssystem durchzuführen, wobei zusätzlich die Unterstützung für das Protokoll IPv6 implementiert werden soll. Weiter ist die automatische Konfiguration des Clusters mittels Konfigurationsmanagement-Tools umzusetzen, um die Provisionierung von neuen Cluster-Knoten so weit möglich zu automatisieren.

Das aktuelle System baut auf der Linux-integrierten Firewall “iptables”. Für den in Zukunft dezentral beabsichtigten Aufbau des Secomaten im MWN, soll das Konzept der Virtualisierung auf Basis von Open vSwitch (OVS), OpenFlow o. ä. Software analysiert und die Umsetzung in der Netzumgebung des LRZ geprüft werden. Mithilfe von Virtualisierungstechniken gibt es die Möglichkeit “Overlay Network” Topologien zu erstellen, die die vorhandene Netzwerkinfrastruktur abstrahieren und als reine IP Ende-zu-Ende Verbindung nutzen. Eine weitere Möglichkeit besteht darin Broadcast-Domänen über Layer 3 Grenzen hinweg aufzubauen. Aktuell ist der Secomat an einem einzigen Standort fest verankert und stellt trotz ausfallsicherer Cluster-Knoten einen “Single Point of Failure” dar. Ziel ist es mit dem Mittel der Virtualisierung den Secomaten ortsunabhängig zu betreiben und die Synchronisation der einzelnen Knoten mithilfe eines "Overlay Networks" abzubilden.

Ziel der Arbeit:

• Installation einer Testumgebung auf SUSE Linux Enterprise Server 12 (SLES12)
• Integration von Network Namespaces zur logischen Trennung von Management-/Transportnetz Interfaces
• Konzept zur Unterstützung des IPv6 Protokolls und Umsetzung
• Implementierung von spezifischen Traffic Monitoring und Shaping Regeln für IPv6
• Planung und Durchführung der Live-Migration zur Ersetzung des aktuellen Systems
• Entwurf einer Machbarkeitsstudie zum Einsatz von Virtualisierungstechniken mit besonderem Fokus auf Lastverteilung und Hochverfügbarkeit

Aufgabensteller:
Prof. Dr. H. Reiser

Anforderungen:
vertiefte Kenntnisse in Rechnernetzen; Linux

Dauer der Bachelorarbeit bzw. des Einzelpraktikums: Die Dauer ergibt sich durch die jeweils gültige Prüfungsordnung; beim Bachelorstudiengang Informatik z.B. 20 Wochen für eine Bachelorarbeit.

Anzahl Bearbeiter: 1

Betreuer:

• Bernhard Schmidt (LRZ)