Upravljanje mrežnom opremom i sustavom za upravljanje i nadzor mreže

Upravljanje mrežnom opremom i sustavom za upravljanje i nadzor mreže Priručnik za e-škole tehničare Zagreb, 2016.

Sadržaj 1. Osnove mrežnog sustava... 4 2. Pasivna mrežna oprema... 5 2.1. Instalacija kabliranja... 5 2.1.1. Matične škole... 5 2.1.2. Područne škole... 6 2.2. Prijenosni mediji... 6 2.3. Polaganje i terminiranje kabela... 6 2.3.1. Terminiranje kabela... 7 2.3.2. Smještaj opreme... 8 2.3.3. Priključne kutije, prespojni paneli i konektori... 9 2.3.4. Trase polaganja kabela... 11 2.4. Sustav označavanja... 13 2.4.1. Fizičke pozicije... 13 2.4.2. Oznake nacrta (dwg)... 15 2.5. Potrebni dispozicijski nacrti opreme... 18 2.5.1. Trase kabela i sustava za vođenje kabela... 18 2.5.2. Popis razdjelnika i smještaj na nacrtu... 22 2.5.3. Nacrti pozicioniranja opreme unutar razdjelnika... 23 2.6. Atestiranje ugrađenih linkova... 25 3. Aktivna mrežna oprema... 28 3.1. Sustav za upravljanje i nadzor mreže... 28 3.2. Cloud networking arhitektura mreže... 28 3.2.1. Sigurnost cloud rješenja... 32 3.3. Integrirani sigurnosni sustav... 32 3.4. Mrežni preklopnici... 35 3.5. Bežične pristupne točke... 36 4. Konfiguracijske značajke računalne mreže... 38 4.1. Arhitektura sustava... 38 4.1.1. Cloud Networking... 38 4.1.2. Meraki dashboard arhitektura... 38 4.2. Sustav označavanja aktivne opreme... 40 4.3. Značajke matičnih i područnih škola... 41

4.3.1. Područne škole... 41 4.3.2. Matične škole... 41 4.4. WAN mreža... 42 4.5. LAN mreža... 42 4.5.1. Integrirani sigurnosni sustav... 42 management... 43 4.5.2. Mrežni preklopnici... 47 4.5.3. Bežične pristupne točke... 48 4.6. Sigurnosne postavke... 52 4.7. MDM sustav za upravljanje klijentskim uređajima... 54 5. Administracija, održavanje i nadogradnja LAN infrastrukture... 56 5.1. Spajanje Meraki mrežnog uređaja u mrežu... 56 5.2. Vraćanje konfiguracije Meraki mrežnog uređaja na tvorničke postavke... 56 5.3. Uključivanje mrežnog uređaja drugog proizvođača na Meraki mrežu... 57 5.4. Nadzor mrežne opreme... 57 5.4.1. Integrirani sigurnosni sustav... 57 5.4.2. Mrežni preklopnici... 59 5.4.3. Bežične pristupne točke... 66 5.5. Nadzor klijenata spojenih na računalnu mrežu... 71 5.6. Konfiguracija osnovnih postavki na mrežnoj opremi... 76 5.7. Dodavanje android tableta u Meraki MDM... 83

1. Osnove mrežnog sustava Kao preduvjet za administraciju i nadzor računalne mreže instalirane u sklopu projekta e-škole nužno je da tehničar koji će se time baviti poznaje osnove mrežnog sustava, mrežne protokole i servise, kao i osnove rada bežične mreže te sigurnost računalnih mreža. Budući da se od e-škole tehničara očekuje osnovno znanje o navedenom, barem na razini poznavanja pojmova, u ovom dokumentu neće biti detaljno opisani mrežni protokoli i njihov način rada, već će biti samo naveden popis termina za koje se smatra da bi ih tehničar trebao usvojiti. o Adresiranje u računalnim mrežama o o o o o Mrežni uređaji o L2/L3 preklopnik, usmjeritelj, vatrozid, UTM, bežična pristupna točka Bežična mreža o o o Sigurnost u bežičnim mrežama autentikacija vs enkripcija U sklopu edukacije predviđeno je da predavač polaznicima objasni sve pojmove, termine i protokole te pojasni pojmove koji su im nepoznati ili nedovoljno razumljivi.

2. Pasivna mrežna oprema Prilikom snimki stanja odrađenih u sklopu realizacije projekta e-škole, u većini je škola zapaženo da postoji sustav kabliranja koji ne zadovoljava tražene kvalitativne i kvantitativne zahtjeve iz natječajne dokumentacije te u konačnici ne udovoljava potrebama škola. U sklopu projekta e- Škole definirani su parametri kvalitete pasivne mrežne infrastrukture koja se postavlja u školama. Ako u školama postoji dio infrastrukture koji udovoljava traženim parametrima kvalitete, dopušteno je korištenje postojeće infrastrukture, bez obzira na to je li riječ o mrežnim ormarima, priključnicama, kabelskim trasama itd. pa je ta mogućnost iskorištena u nekim školama, odrađenim u ovoj fazi projekta. Za potrebe novog sustava kabliranja u školama dogovoreno je da će se koristiti postojeće trase (kabelski kanali) i EFD razdjelnici, ako raspolažu dovoljnim kapacitetom. Novoizgrađena infrastruktura omogućit će: stabilnu i kvalitetnu pasivnu mrežnu infrastrukturu veći kapacitet LAN veza povezivanje korisnika na aktivnu mrežnu infrastrukturu stabilan i prilagodljiv nadzor i upravljanje jednostavniju administraciju, održavanje i nadogradnju. 2.1. Instalacija kabliranja U školama je izvedeno strukturno kabliranje, u skladu s normom ISO/IEC 11801:2002 (odnosno EN 50173). U sklopu izvođenja lokalne računalne mreže, predložene su trase polaganja kabela druge i treće razine lokalne računalne mreže te smještaj potrebne telekomunikacijske opreme (razdjelnici, prespojni paneli, priključne kutije i sl.). U svakoj školi postavljen je novi razdjelnik građevine +BD1 koji se povezuje s komunikacijskim razdjelnicima +FDx sa svjetlovodnim višemodnim kabelom (12 niti, OM4 kategorija). Postojeći razdjelnici građevine +EFDx, u koje nije instalirana aktivna mrežna oprema isporučena u sklopu ovog projekta, su na +BD1 komunikacijski ormar povezana s dva neoklopljena bakrena 4-parična kabela ( po normi ISO/IEC 11801:2002, odnosno EN 50173). Telekomunikacijski priključci (TO) povezuju se s razdjelnicima +FDx ili +BD1 ovisno o svojoj poziciji s dva (2) neoklopljena bakrena 4-parična kabela ( po normi ISO/IEC 11801:2002, odnosno EN 50173). Strukturno kabliranje izvedeno je u matičnim i područnim školama prema uvjetima projekta. Količina potrebnih telekomunikacijskih TO (engl. Telecommunications Outlet) priključaka za svaku prostoriju specificirana je na priloženim tlocrtima pojedine lokacije koji su prilog dokumentacije, temeljem tlocrta iz natječajne dokumentacije. Precizne pozicije potrebnih TO unutar pojedine prostorije određene su u skladu sa zahtjevima pojedine škole i dogovorene su na licu mjesta prilikom instalacije. Količina i precizne pozicije potrebnih TO priključaka za kabliranje AP (Access Point) specificirane su na priloženim nacrtima za svaku lokaciju. 2.1.1. Matične škole U svim matičnim školama strukturnim kabliranjem obuhvaćene su sljedeće prostorije: sve učionice s minimalno dva UTP kabela

dvije STEM učionice s minimalno pet UTP kabela administrativne prostorije (ravnatelj, zbornica, tajništvo, računovodstvo) s minimalno dva kabela po prostoriji prostorije odgojno-obrazovnog osoblja (knjižnica, ured pedagoga, ured psihologa, ured logopeda) s minimalno dva kabela po prostoriji svi AP-ovi (Access Point) s jednim UTP kabelom. 2.1.2. Područne škole U područnim školama postavit će se u učionicama i zbornici minimalno dva UTP kabela. U područnim školama nije predviđena instalacija Access Pointova pa nije ni predviđeno postavljanje mrežnih kabela u svrhu njihova povezivanja na računalnu mrežu. 2.2. Prijenosni mediji Prijenosni mediji korišteni za izvedbu strukturnog kabliranja su sljedeći: višemodni svjetlovodni kabeli OM4 kategorija s 12-niti (za unutarnje polaganje) koji odgovaraju zahtjevima norme ISO/IEC 11801:2002 (EN 50173) neoklopljeni bakreni 4-parični kabel (U/UTP), kategorije 6A () prema normi ISO/IEC 11801:2002, odnosno EN 50173). Takvi prijenosni mediji omogućavaju korištenje strukturnog kabliranja definiranog ovim projektom u više budućih generacija računalnih mreža, koje će raditi na većim brzinama. Dužina pojedinih segmenata U/UTP kabela između razdjelnika i priključnih kutija (treća razina kabliranja) ne prelazi 90 m. 2.3. Polaganje i terminiranje kabela Kabeli se polažu u nove i postojeće kabelske kanale, stoga se prilikom njihova polaganja vodilo računa o sljedećim zahtjevima: pri odmotavanju kabela s kolotura treba pripaziti na to da se kabel ne uvije i da se ne ošteti vanjski omotač polumjeri savijanja pri polaganju kabela i pri eksploataciji ne smiju biti manji od onih koje propisuje proizvođač maksimalne dopuštene sile koje trajno ili privremeno opterećuju kabele ne smiju biti veće od onih koje propisuje proizvođač ako se energetske instalacije i UTP kabeli polažu istom trasom, dužom od 35 m, zahtjevi za razmakom U/UTP kabela od izvora elektromagnetnih smetnji definirani su normom EN 50174-2:2000 (dani su u tablici 2-2) nije dopušteno nastavljanje kabela kabele treba rezati tek nakon polaganja zbog potrebe razvođenja kabela unutar razdjelnika, položene U/UTP kabele treba rezati najmanje četiri metra od točke na kojoj kabel doseže dno razdjelnika radi potrebe razvođenja kabela kod priključnih podnih kutija U/UTP kabela, treba rezati najmanje 1,5 metara više od točke na kojoj kabel doseže dno podne kutije kabelske završetke treba izvesti propisano i kvalitetno sve kabele na oba kraja treba označiti naljepnicom s upisanom oznakom kabela

na priključne kutije treba staviti naljepnicu s oznakom utičnog modula prespojne panele potrebno je jasno označiti njihovom oznakom i napisati koji dio mreže pokrivaju (npr. kat ili prostorije). 2.3.1. Terminiranje kabela Pojam terminiranja, odnosno zaključivanja kabela označava montaža konektora na njegove krajeve. Pri zaključivanju kabela treba se pridržavati sljedećih pravila: zaključivanje kabela mora se izvesti kvalitetno zaključivanje kabela mora izvoditi za to obučena osoba dužina skinutog zaštitnog omotača na U/UTP kabelu mora biti najmanja moguća, ne više od 5 cm spajanje pojedinih vodova 4-paričnog U/UTP kabela na RJ-45 module priključnih kutija s jedne strane i prespojne panele s druge strane, definirano je normom ISO/IEC 11801 (odnosno EN 50173) koja propisuje način spajanja parica prema slici 1 parice u kabelu označene su bojama; prikazan je pogled s prednje strane modula RJ45. Slika 2-1 Spajanje pojedinih vodiča U/UTP kabela izvelo se prema normi EIA/TIA 568, a prema shemi spajanja T568B. Tablica 2-1 - Spajanje U/UTP kabela na RJ-45 konektor prema shemi spajanja T568B Pin konektora Bakreni vodič 1. bijela/narančasta 2. narančasta 3. bijela/zelena 4. plava Slika 2-2 5. bijela/plava 6. zelena 7. bijela/smeđa

2.3.2. Smještaj opreme 8. smeđa Aktivni uređaji, prespojni paneli i sl. smještaju su u razdjelnike prema predloženom rasporedu. Razmještaj i preraspodjela opreme po razdjelnicima provedeni su na lokaciji prilikom same instalacije pasivne i aktivne opreme. Slika 2-3 - Primjer razdjelnika BD Slika 2-4 - Primjer razdjelnika FD

Prostor oko razdjelnika mora biti tolik da omogućava nesmetan pristup razdjelniku i rukovanje kabelima i opremom. 2.3.3. Priključne kutije, prespojni paneli i konektori U prostorijama s predviđenim priključkom na lokalnu računalnu mrežu ugrađuju se priključne tzv. TO kutije. Na prednjoj strani priključnih kutija nalaze se po dva mjesta za RJ45 konektore (za U/UTP priključke). Slika 2-5 - Primjer priključne kutije Do priključnih kutija u prostorijama doveden je po jedan U/UTP kabel (ili dva kabela); oni su spojeni na odgovarajuće priključno mjesto. Priključne kutije montiraju su nadžbukno. U/UTP kabeli treće razine kabliranja spojeni su na jednom kraju na priključno mjesto na prespojnom panelu, a na drugom kraju na priključno mjesto u priključnoj kutiji. Kao prespojni paneli predviđeni su 24-portni U/UTP paneli, 24 portni modularni paneli u koje se ugrađuju odgovarajući moduli (za priključak RJ-45 konektora ili dvostrukog LC prespojnika). Slika 2-6 - Primjer modula RJ45 Prespojni paneli namijenjeni su ugradnji u razdjelnike, širine vertikalnih tračnica 19''. Prespajanje krajnjih točaka kabela međusobno, kao i spajanje aktivnih uređaja na kabele izvedeno je prespojnim kabelima unutar razdjelnika.

Slika 2-7 - Primjer optičkog LC prespojnog panela Slika 2-8 - Primjer U/UTP prespojnog panela Svjetlovodni prespojni kabeli imaju dvije niti (engl. duplex). Oni su zaključeni svjetlovodnim konektorima tipa LC.

Slika 2-9 - Svjetlovodni LC konektor U/UTP prespojni kabeli zaključeni su s obje strane neoklopljenim RJ45 konektorima. 2.3.4. Trase polaganja kabela Slika 2-10- UTP RJ-45 konektor U prostorima škola kabeli su položeni u nove PVC kabelske kanale, što je bio čest slučaj, te u postojeće ako su imali dovoljno kapaciteta. Detaljan plan polaganja instalacija strukturnog kabliranja nalazi se u izvedbenoj dokumentaciji isporučenoj u sklopu projekta. Instalacije strukturnog kabliranja položene su na propisanoj udaljenosti od ostalih instalacija, kao što je prikazano u tablici ispod. Tablica 2-2 - Propisane udaljenosti mrežnog kabliranja od ostalih instalacija Tip instalacije Neoklopljeni kabel za napajanje <-> neoklopljeni IT kabel (UTP) Neoklopljeni kabel za napajanje <-> oklopljeni IT kabel (STP) Oklopljeni kabel za napajanje <-> neoklopljeni IT kabel (UTP) Oklopljeni kabel za napajanje <-> Oklopljeni IT kabel (STP) Udaljenost Bez pregrade S aluminijskom pregradom S čeličnom pregradom 200 m 100 m 50 m 50 m 20 m 5 m 30 m 10 m 2 m 0 m 0m 0 m

Dimenzije kabelskih kanala i instalacijskih cijevi definirane su na nacrtima polaganja kabelskih kanala. Poprečni presjek kabelskih kanala je takav da omogućuje dodatno polaganje kabela, ako se pokaže za tim potreba. Na trasama na kojima kabeli prolaze kroz granice požarnih zona (i u svim vertikalnim probojima) provedeno je protupožarno brtvljenje materijalom odgovarajuće požarne otpornosti.

2.4. Sustav označavanja Oznake komunikacijskih ormara i krajnjih točaka terminacije slijede preporuke standarda za strukturno kabliranje, uz prilagodbe i specifičnost prostora. U nastavku je detaljan opis sustava označavanja. 2.4.1. Fizičke pozicije Fizičkim pozicijama prethodi znak "+". Položaj građevina, položaj komunikacijskih razdjelnika i položaj opreme prikazan je dispozicijskim nacrtima. Radni prostori u kojima se izvode radovi instalacija strukturnog kabliranja lokalne računalne mreže smješteni su po etažama građevine. Svaka etaža, kao i pripadajuće fizičke pozicije opreme na pojedinoj etaži, označavaju se odgovarajućom oznakom. Oznaka etaže Oznake etaža koje će se prikazati u crtežima dane su u Tablici1. Tablica 2-3 - Oznake etaža etaža oznaka prvi kat +01 prizemlje +00 podrum +99 Primjer: +01. - predstavlja fizičku poziciju na prvoj etaži (+01). Oznaka razdjelnika Glavna čvorišta instalacija strukturnog kabliranja čine razdjelnici koji se koriste za smještaj aktivnih uređaja računalne mreže te opreme za prespajanje segmenata strukturnog kabliranja. U nastavku je dan opis funkcija razdjelnika i način označavanja pojedinih dijelova razdjelnika: +BD glavni razdjelnik građevine čvor koji povezuje vertikalne razvode (prvi u drugu razinu kabliranja) s horizontalnim razvodom kabela. U razdjelniku je ujedno postavljen i izlaz na WAN mrežu. +FD razdjelnik etaže čvor koji povezuje horizontalne razvode kabela (treća razina kabliranja) za priključna mjesta u učionicama te ostalim uredima. U nekoj školi može biti više razdjelnika etaže, ali ne mora biti niti jedan, ako svi razvodi kabela završavaju u glavnom razdjelniku. Unutar razdjelnika, pojedine pozicije definiraju se na sljedeći način: +BDy+PPx-z gdje y označava broj BD razdjelnika, PP označava prespojni panel, a x označava njegov redni broj, z označava poziciju na panelu, tj. broj porta. Primjer:

o +BD1+PP2-5 predstavlja fizičku poziciju koja čitana zdesna nalijevo označava priključak 5 na patch panelu dva (PP2) u razdjelniku BD (+BD1). Slika 2-11 - Primjer označavanja razdjelnika i panela U učionicama i ostalim prostorima pojedine pozicije definiraju se na sljedeći način: +BD1+PP1-TOx- gdje x označava broj TO priključnice. Primjer: o +BD1+PP2-TO5 predstavlja fizičku poziciju koja čitana zdesna nalijevo označava priključak 5 na patch panelu dva (PP2) u razdjelniku BD (+BD1).

Slika 2-12 - Primjer označavanja priključnica Kabeli se označavaju na sljedeći način: -TOx-Wy gdje x označava redni broj priključnice, W označava kabel, a y redni broj kabela. Primjer: o -TO8-W2 predstavlja fizičku poziciju koja čitana zdesna nalijevo označava drugi kabel (W2) na priključnici TO8. 2.4.2. Oznake nacrta (dwg) Nacrti isporučeni u sklopu izvedbene dokumentacije u.dwg formatu izrađene nakon završetka projekta označeni su brojčano za svaku školu prema popisu: Tablica 2-4 Naziv škole OŠ Vijenac, Osijek 1 ime nacrta škole (dwg)

OŠ Klana, Klana 2 OŠ Dragutina Tadijanovića, Vukovar 3 PŠ Bogdanovci PŠ Lužac OŠ SK Začretje 4 PŠ Kozjak PŠ Mirkovec PŠ Sekirišće OŠ Z. Franka, Kutina 5 PŠ Gojlo PŠ Ilova OŠ I. Perkovca, Šenkovec 6 PŠ Drenje OŠ Čazma 7 PŠ Dapci PŠ Draganec PŠ Grabovnica PŠ Miklouš PŠ Vrtlinska OŠ E. Kumičića, Slatina 8 PŠ Bakić PŠ Gornji Miholjac PŠ Josipovo PŠ Novaki PŠ Vaška OŠ Domovinske zahvalnosti, Knin 9 PŠ Golubić PŠ Kijevo OŠ VN Križevci 10 PŠ Carevdar PŠ Kloštar Vojakovački PŠ Majurec PŠ Većeslavec PŠ Đurđic OŠ Šijana, Pula 11 PŠ Muntić PŠ Valtura OŠ Čakovec 12 PŠ Krištanovec PŠ Novo Selo Rok OŠ I. Kršnjavog, Zagreb 13 PŠ Klaićeva

Gimnazija Gospić 14 SŠ Vela Luka 15 SŠ Bernardina Frankopana, Ogulin 16 Pomorska škola Zadar 17 SŠ M. Mesić, Slavonski Brod 18 Prva gimnazija, Varaždin 19 Zdravstvena škola, Split 20

2.5. Potrebni dispozicijski nacrti opreme Potrebni dispozicijski nacrti opreme ucrtani su u nacrtima isporučenim u sklopu izvedbene dokumentacije u.dwg formatu s pripadajućim opisom u legendi. Dispozicijski nacrti sadrže: trase kabela i sustav za vođenje kabela popis razdjelnika i smještaj (fizičke pozicije) pozicioniranu opremu unutar razdjelnika. 2.5.1. Trase kabela i sustava za vođenje kabela Trase kabela i sustav za vođenje kabela (kabelske kanalice) ucrtani su u priloženim nacrtima u sklopu izvedbene dokumentacije u.dwg formatu s pripadajućim opisom u legendi. Glavne trase kabela izvode se u hodnicima, a trase do pojedinih priključnica izvode se unutar učionica nadžbukno. Sustav za vođenje kabela sastoji se od plastičnih kabelskih kanala određenih dimenzija koje su naznačene u nacrtima. Primjer za jednu školu: Slika 2-13 Sve tablice kabela i tablice spajanja kabela nalaze se u Excel fileovima priloženim u sklopu izvedbene dokumentacije. Primjer za jednu školu:

Tablica 2-5 - Tablice kabela i tablice spajanja kabela Redni Oznaka kabela Tip kabela Krajnje točke Komentar broj Razdjelnik - BD1 1. -TO1-W1 2. -TO1-W2 3. -TO2-W1 4. -TO2-W2 5. -TO3-W1 6. -TO3-W2 7. -TO4-W1 8. -TO4-W2 9. -TO5-W1 10. -TO5-W2 11. -TO6-W1 12. -TO6-W2 13. -TO7-W1 14. -TO7-W2 15. -TO8-W1 16. -TO8-W2 17. -TO9-W1 18. -TO9-W2 19. -TO10-W1 20. -TO10-W2 21. -TO11-W1 +BD1+PP1-X1 +BD1+PP1-X2 +BD1+PP1-X3 +BD1+PP1-X4 +BD1+PP1-X5 +BD1+PP1-X6 +BD1+PP1-X7 +BD1+PP1-X8 +BD1+PP1-X9 +BD1+PP1-X10 +BD1+PP1-X11 +BD1+PP1-X12 +BD1+PP1-X13 +BD1+PP1-X14 +BD1+PP1-X15 +BD1+PP1-X16 +BD1+PP1-X17 +BD1+PP1-X18 +BD1+PP1-X19 +BD1+PP1-X20 +BD1+PP1-X21 -TO1-X1 -TO1-X2 -TO2-X1 -TO2-X2 -TO3-X1 -TO3-X2 -TO4-X1 -TO4-X2 -TO5-X1 -TO5-X2 -TO6-X1 -TO6-X2 -TO7-X1 -TO7-X2 -TO8-X1 -TO8-X2 -TO9-X1 -TO9-X2 -TO10-X1 -TO10-X2 -TO11-X1 22. -TO11-W2 +BD1+PP1-X22 -TO11-X2

23. -TO12-W1 24. -TO12-W2 25. -TO13-W1 26. -TO13-W2 27. -TO14-W1 28. -TO14-W2 29. -TO15-W1 30. -TO15-W2 31. -TO16-W1 32. -TO16-W2 33. -TO17-W1 34. -TO17-W2 35. -TO18-W1 36. -TO18-W2 37. -TO19-W1 38. -TO19-W2 39. -TO20-W1 40. -TO20-W2 41. -TO21-W1 42. -TO21-W2 43. -TO21-W3 44. -TO21-W4 45. -TO21-W5 46. -TO22-W1 47. -TO22-W2 48. -TO22-W3 +BD1+PP1-X23 +BD1+PP1-X24 +BD1+PP2-X1 +BD1+PP2-X2 +BD1+PP2-X3 +BD1+PP2-X4 +BD1+PP2-X5 +BD1+PP2-X6 +BD1+PP2-X7 +BD1+PP2-X8 +BD1+PP2-X9 +BD1+PP2-X10 +BD1+PP2-X11 +BD1+PP2-X12 +BD1+PP2-X13 +BD1+PP2-X14 +BD1+PP2-X15 +BD1+PP2-X16 +BD1+PP2-X17 +BD1+PP2-X18 +BD1+PP2-X19 +BD1+PP2-X20 +BD1+PP2-X21 +BD1+PP2-X22 +BD1+PP2-X23 +BD1+PP2-X24 -TO12-X1 -TO12-X2 -TO13-X1 -TO13-X2 -TO14-X1 -TO14-X2 -TO15-X1 -TO15-X2 -TO16-X1 -TO16-X2 -TO17-X1 -TO17-X2 -TO18-X1 -TO18-X2 -TO19-X1 -TO19-X2 -TO20-X1 -TO20-X2 -TO21-X1 -TO21-X2 -TO21-X3 -TO21-X4 -TO21-X5 -TO22-X1 -TO22-X2 -TO22-X3

Razdjelnik -FD1 1. -TO22-W4 2. -TO22-W5 3. -TO23-W1 4. -TO24-W1 5. -TO25-W1 6. -TO26-W1 7. -TO27-W1 8. -TO28-W1 9. -TO29-W1 10. -TO30-W1 11. -TO31-W1 12. -TO32-W1 13. -TO33-W1 14. -TO34-W1 15. -TO35-W1 16. -TO36-W1 17. -TO37-W1 18. -TO38-W1 19. -TO39-W1 20. -TO40-W1 21. -TO41-W1 22. -TO42-W1 23. -TO43-W1 24. -TO44-W1 +FD1+PP1-X1 +FD1+PP1-X2 +FD1+PP1-X3 +FD1+PP1-X4 +FD1+PP1-X5 +FD1+PP1-X6 +FD1+PP1-X7 +FD1+PP1-X8 +FD1+PP1-X9 +FD1+PP1-X10 +FD1+PP1-X11 +FD1+PP1-X12 +FD1+PP1-X13 +FD1+PP1-X14 +FD1+PP1-X15 +FD1+PP1-X16 +FD1+PP1-X17 +FD1+PP1-X18 +FD1+PP1-X19 +FD1+PP1-X20 +FD1+PP1-X21 +FD1+PP1-X22 +FD1+PP1-X23 +FD1+PP1-X24 -TO22-X4 -TO22-X5 -TO23-X1 -TO24-X1 -TO25-X1 -TO26-X1 -TO27-X1 -TO28-X1 -TO29-X1 -TO30-X1 -TO31-X1 -TO32-X1 -TO33-X1 -TO34-X1 -TO35-X1 -TO36-X1 -TO37-X1 -TO38-X1 -TO39-X1 -TO40-X1 -TO41-X1 -TO42-X1 -TO43-X1 -TO44-X1

2.5.2. Popis razdjelnika i smještaj na nacrtu Svi potrebni razdjelnici BD i FD ucrtani su u izvedbenoj dokumentaciji u.dwg formatu s pripadajućom oznakom. Primjer za jednu školu: Slika 2-14

2.5.3. Nacrti pozicioniranja opreme unutar razdjelnika Nacrti pozicioniranja opreme unutar razdjelnika BD i FD nalaze se u priloženim nacrtima (dwg). Primjer za jednu školu: Slika 2-15 - BD1 razdjelnik škole

Slika 2-16 - FD1 razdjelnik škole

2.6. Atestiranje ugrađenih linkova Nakon završetka instalacije pasivne mrežne infrastrukture u školi, održana su atestiranja svih ugrađenih linkova bakrenih i optičkih. U nastavku je primjer rezultata atestiranja jednog bakrenog te jednog optičkog linka i objašnjenje dobivenih rezultata.

Slika 2-17 - Rezultat atestiranja UTP veze

Vježba 2-1. Upoznavanje pasivne infrastrukture U sklopu ove vježbe, s predavačem treba obići BD komunikacijski ormar te jedan FD, odnosno FD/EFD komunikacijski ormar, ako postoji u školi, te jednu učionicu. U sklopu vježbe polaznici će upoznati sljedeće: - oznake mrežnih ormara i prespojnih panela - mrežne priključke u učionicama - aktivnu mrežnu opremu smještenu u komunikacijski ormar - način povezivanja aktivne mrežne opreme unutar ormara i između ormara. U sklopu vježbe potrebno je odraditi aktivaciju (tzv. patchiranje) jedne mrežne utičnice.

3. Aktivna mrežna oprema 3.1. Sustav za upravljanje i nadzor mreže U većini tradicionalnih mrežnih rješenja fokus je na samoj mrežnoj opremi te na funkcionalnosti i konfiguraciji uređaja. Sustav za upravljanje i nadzor obično se smatra nadogradnjom mrežnog rješenja, odnosno nadogradnjom na mrežnu opremu. U Meraki mrežnom rješenju, sustav za upravljanje i nadzor mreže, odnosno Meraki dashboard, glavna je mrežna komponenta, dok mrežni uređaji imaju funkciju odrađivanja funkcionalnosti i konfiguracije koju dobivaju od Meraki dashboarda. Sustav za nadzor i upravljanje je nužna komponenta sustava, budući da konfiguracija mrežne opreme Meraki nije moguća ni na jedan drugi način osim Meraki dashboardom. Meraki dashboard je centralizirano web administratorsko sučelje, izrazito intuitivno i jednostavno za korištenje IT administratorima. IT administratori koji održavaju taj sustav ne moraju nužno biti stručnjaci na području računalnih mreža da bi se koristili Meraki mrežnim rješenjem i iskoristili sve njegove mogućnosti. Slika 3-1 - Meraki dashboard Meraki dashboard omogućuje korisnicima upravljanje svim mrežnim komponentama sustava preko jedinstvenog i centraliziranog web sučelja. Komponente Meraki mrežnog rješenja su sljedeće: - integrirani sigurnosni sustav - mrežni preklopnik - bežična pristupna točka - MDM sustav za upravljanje klijentskim uređajima. 3.2. Cloud networking arhitektura mreže Cloud networking arhitektura mreže omogućuje upravljanje i nadzor s centraliziranog web sučelja cjelokupnom mrežnom opremom. Fizička lokacija opreme kojom se upravlja nije važna te se jedinstvenim sustavom upravlja opremom instaliranom na središnjoj lokaciji, kao i na udaljenim lokacijama.

Mrežna oprema komunicira sa servisima u oblaku, odnosno s Meraki podatkovnim centrom preko kriptirane upravljačke (management) veze. Kroz tu vezu iz oblaka se šalje konfiguracija na mrežnu opremu, nadograđuje se firmware na opremi, a oprema u podatkovni centar šalje statističke podatke o prometnim karakteristikama, kako bi se kroz Meraki dashboard mogle vidjeti statistike o korisnicima spojenim na mrežu, aplikacijama koje se koriste u mreži, mrežnoj topologiji i ostalom. Više o pregledu statistika bit će navedeno u poglavljima koja slijede. Slika 3-2 - Meraki dashboard arhitektura Kako možemo vidjeti na slici iznad, ovakvo rješenje pogodno je i za organizacije koje imaju mrežnu opremu instaliranu na samo jednoj lokaciji, kao i za organizacije koje imaju velik broj udaljenih lokacija, budući da se kompletno upravljanje i nadzor obavlja putem središnjeg web sustava.

Slika 3-3 - Povezivanje Meraki opreme na cloud Kao što vidimo na slici 3-3, za pristup na Meraki servise nužno je osigurati pristup na Internet s mrežne opreme. Već je spomenuto da se za upravljački (management) promet primjenjuje kriptirana veza uređaja i Meraki servisa. Količina podataka koja se prenosi tom vezom vrlo je mala, obično je manja od 1 kbps po mrežnom uređaju. Korisnički promet ne ulazi u oblak, nego izravno izlazi na Internet. U sklopu projekta e-škole, za autentikaciju na Meraki dashboard sustav koristi se SAML protokol koji omogućava autentikaciju na servis u oblaku, a da se korisnički podaci, poput korisničkog imena i lozinke, ne pohranjuju u oblak. Za autentikaciju na sustav upotrebljava se AAI@EduHr sustav, te se korisnicima na temelju njihovih prava omogućuje pristup na organizacije, odnosno škole za čiju su administraciju zaduženi. Pristup administraciji lokalne mreže putem Meraki dashboarda imaju e-škole tehničari, pri čemu je nužno da je u HUSO sustavu atribut "Uloga u ustavnovi" postavljena na "e-škole tehničar". Djelatnici škole koji su imenovani

administratori imaju ulogu AI, AR ili AS, imaju read-only pristup sučelju. Svi ostali korisnici nemaju pravo pristupa Meraki dashboardu. Vježba 3-1. Pristup na Meraki dashboard Za pristup na Meraki dashboard koristimo se računalom spojenim na Internet; u internetski preglednik unesemo sljedeći URL: https://mreza.e.skole.hr. Slika 3-4 - Meraki dashboard početna stranica Za autentikaciju na sustav upotrijebit ćemo AAI@EduHr identitet. Kako bi pristupio upravljačkom dijelu sučelja, e- Škole tehničar mora u AAI@EduHr sustavu imati postavljenu ulogu "e-škole tehničar" (atribut "Uloga u ustanovi"u administracijskom sučelju HUSO sustava).

Slika 3-5 - Autentikacija na Meraki dashboard S instruktorom treba proći osnovne mogućnosti Meraki dashoard sustava bez izmjena konfiguracije sustava. 3.2.1. Sigurnost cloud rješenja Budući da sustav za upravljanje i nadzor mreže nije smješten u lokalnoj mreži korisnika, važno je da je cijeli sustav (i podaci u sustavu) siguran te da je visoko dostupan. Zato je Meraki podatkovni centar certificiran kao tier-1, SAS70 type II podatkovni centar izgrađen prema standardu PCI DSS Level 1 te jamči dostupnost od 99,99%. Redundancija podatkovnog centra postignuta je tako da Meraki ima pet podatkovnih centara na različitim lokacijama u svijetu. Od toga se tri podatkovna centra nalaze unutar Europske unije (Dublin, München i Frankfurt) kako bi se zadovoljile EU regulative te kako bi svi podaci bili zadržani u Europskoj uniji. 3.3. Integrirani sigurnosni sustav Integrirani sigurnosni sustav - Meraki MX - sadrži velik broj sigurnosnih mogućnosti, od klasičnih funkcionalnosti vatrozida, naprednih (next-gen) funkcionalnosti vatrozida, IPS-a, mrežnog antivirusa i sl. Stoga ga dalje u tekstu možemo zvati i UTM (Unified threat management) uređajem. Osim toga, sadrži i mogućnosti klasičnog gateway uređaja namijenjenog pozicioniranju na središnjim i udaljenim lokacijama unutar organizacije.

Slika 3-6 - Integrirani sigurnosni sustav - Meraki MX64 Slika 3-7 - Integrirani sigurnosni sustav - Meraki MX100 Slika 3-8 - Integrirani sigurnosni sustav - Meraki MX400 Svi tipovi Meraki MX integriranog sigurnosnog sustava imaju jednak skup mogućnosti. Razlikuju se isključivo u performansama, odnosno količini prometa i broju konekcija koje mogu istovremeno proći kroz sustav te o broju fizičkih sučelja na samom uređaju. Ovisno o procijenjenom broju korisnika koji će se istovremeno koristiti sustavom, u škole je instaliran određeni model Meraki MX integriranog sustava. Navedeni modeli imaju propusnost od 250 Mbps do 1 Gbps, a podržavaju maksimalno između 100.000 i 1.000.000 istovremenih konekcija.

Slika 3-9 - Mogućnosti Meraki MX integriranog sigurnosnog sustava Kao što vidimo na slici 3-8, Meraki MX UTM razdvaja WAN od LAN mrežnog segmenta. Na njemu se odrađuje tzv. gateway, odnosno routing funkcionalnost te sigurnosna analiza prometa. Velika prednost instaliranog rješenja je centralizirano upravljanje, putem sustava za nadzor i upravljanje mreže, koje omogućuje jednostavnu administraciju i nadzor sustava. Od gateway funkcionalnosti na uređaju može se odrađivati sljedeće: definiranje VLAN-ova i L3 mrežnih segmenata DHCP server za LAN klijente NAT, PAT, Port forwarding QoS klasificiranje prometa i ograničavanje prometa (eng. traffic shaping) mogućnost povezivanja redundantnih veza prema LAN mreži 3G/4G failover. Od sigurnosnih mogućnosti MX serija omogućuje sljedeće: prepoznavanje aplikacija na L7 mrežnom sloju te primjena firewall i QoS temeljenih na tipu aplikacije (npr. YouTube, Skype, P2P ) content filtering s podrškom za YouTube for Schools mogućnost definiranja GeoIP sigurnosnih pravila integrirani IPS (Intrusion Prevention System) s integriranom bazom SNORT pravila politika

integrirani Anti-Virus i Anti-phising sustav mogućnost konfiguracije tzv. Identity-based sigurnosnih pravila mogućnost terminacije LAN-to-LAN i Remote Access VPN tunela. 3.4. Mrežni preklopnici U sklopu projekta e-škole, u pristupnom dijelu LAN infrastrukture instaliraju se mrežni preklopnici Meraki MS220. Ovisno o količini potrebnih sučelja, u svaki mrežni ormar u kojem završavaju nove RJ-45 priključnice, instalira se određen broj MS220-8P i MS220-24P modela preklopnika. Minimalni broj preklopnika, odnosno mrežnih sučelja, u pojedinom ormaru određen je brojem RJ-45 mrežnih priključaka koji završavaju u pojedinom ormaru. Svi preklopnici unutar jednog ormara povezani su na jedan preklopnik unutar ormara, a veze između ormara realizirane su preko optičkih veza. Za to se koriste multimodni SFP optički moduli. Slika 3-10 - Mrežni preklopnik - Meraki MS220-8P Slika 3-11 - Mrežni preklopnik MS220-24P Slika 3-12 - SFP

MS220 serija preklopnika omogućuje uobičajeno L2 preklapanje prometa. Budući da je predviđeno da se kompletna L3 funkcionalnost odrađuje na MX seriji integriranih sigurnosnih sustava, nije potrebno da preklopnici imaju L3 mogućnosti. Od bitnih mogućnosti koje ima MS220 serija preklopnika važno je napomenuti sljedeće: centralizirano upravljanje putem sustava za nadzor i upravljanje mreže povezivanje u tzv. virtual stack, odnosno mogućnost upravljanja i konfiguracije više preklopnika preko istog konfiguracijskog sučelja napredni alati za otkrivanje mrežnih problema poput mogućnosti snimanja prometa koji prolazi kroz preklopnik, mogućnosti testiranja UTP kabela i slično PoE i PoE+ funkcionalnost na sučeljima preklopnika upravljanje i konfiguracija putem oblaka omogućuje tzv. zero-touch remote provisioning, odnosno instalaciju uređaja bez postavljanja inicijalne konfiguracije. 3.5. Bežične pristupne točke Za pokrivanje škola bežičnim signalom, u školama je instalirana Meraki MR32 serija bežičnih pristupnih točaka. Slika 3-13 - Bežična pristupna točka - Meraki MR32 Meraki MR32 serija bežičnih pristupnih točaka pripada enterprise klasi pristupnih točaka. Glavne značajke sustava su sljedeće: centralizirano upravljanje preko sustava za nadzor i upravljanje mreže automatska RF optimizacija mreže mogućnost konfiguracije sigurnosnih pravila i tzv. BYOD politika Traffic Shaping na Layer 7 aplikativnoj razini jednostavna konfiguracija tzv. guest mreža autentikacija na mrežu preko tzv. Captive portala upravljanje i konfiguracija putem oblaka omogućuje tzv. zero-touch remote provisioning, odnosno instalaciju uređaja bez postavljanja inicijalne konfiguracije podrška za 2,4 i 5 GHz 2x2 802.11ac s 1,2 Gbps agregiranom propusnošću uređaja 2x2 MIMO standard izdvojena antena za analizu RF spektra i wips zaštitu koja omogućuje 24-satni rad navedenih mogućnosti bez utjecaja na korisnički promet.

Slika 3-14 - Dijagram zračenja integrirane antene u Meraki MR32 na 2,4 GHz području Slika 3-15 - Dijagram zračenja integrirane antene u Meraki MR32 na 5 GHz području

4. Konfiguracijske značajke računalne mreže 4.1. Arhitektura sustava U sklopu projekta e-škole, u školama je u sklopu izgradnje aktivne mrežne infrastrukture implementirano Cisco Meraki mrežno rješenje opisano u prethodnom poglavlju. Navedeno rješenje je specifično, budući da se kompletno upravljanje i nadzor mreže radi putem sustava u oblaku. Zato kad govorimo o arhitekturi sustava, možemo razmatrati arhitekturu na više razina: - Cloud Networking arhitektura - Meraki dashboard arhitektura - LAN/WAN mrežna arhitektura 4.1.1. Cloud Networking Cloud Networking arhitektura sustava detaljno je objašnjena u poglavlju 3.2, zato je ovdje nećemo ponovno objašnjavati. 4.1.2. Meraki dashboard arhitektura Meraki dashboard arhitektura objašnjava podjelu sustava na različite administrativne cjeline. Arhitektura je podijeljena na tri razine: - MSP Managed Service Provider - Organization - Network. Slika 4-1 MSP, odnosno razina Managed Service Provider, krovna je razina koja omogućuje administratorima da preko jednog sučelja pristupaju mrežama različitih organizacija. U našem slučaju, CARNet i ponuditelj predstavljaju MSP razinu.

Navedeni administratori mogu se spojiti u svrhu održavanja sustava na računalne mreže svih škola obuhvaćenih ovim projektom. U ovoj fazi projekta većina školskih administratora neće imati uvid u MSP razinu, budući da će biti administratori samo jedne škole i zato će imati izravan pristup samo mreži one škole za koju administriraju. U sklopu projekta definirano je da je Organizacija (Organization) administrativna jedinica koja predstavlja jednu školu. Svaka organizacija je jedinstvena cjelina na koju se primjenjuju licence na hardversku opremu, koja ima vlastitu konfiguraciju mrežne opreme, te za koju je moguće generirati različite izvještaje o stanju i korištenju mreže. Da bi mreža mogla funkcionirati, nužno je da organizacija ima dovoljan broj licenci za sve tipove uređaja dodijeljenih samoj organizaciji. Network je niža administrativna jedinica u sklopu organizacije. Svaka organizacija mora imati definiran barem jedan Network, a moguće je da u organizaciji postoji veći broj Networka. U Network se pridjeljuju mrežni uređaji, međutim, oprema je licencirana na razini organizacije. Svaki Network može imati svoje konfiguracijske značajke. U našem slučaju, svaka lokacija škole predstavlja jedan Network, odnosno matična škola je jedan Network, a svaka područna škola ima zaseban Network. Vježba 4-1 Dodavanje i brisanje mrežnog uređaja iz Networka Dodavanje uređaja u Organizaciju/Network Prije dodavanja mrežnog uređaja u Network, uređaj je potrebno dodati u Organizaciju. Nakon logiranja u Meraki dashboard, potrebno je kliknuti na Organization > Inventory, nakon čega treba kliknuti na Claim u gornjem desnom kutu. Slika 4-2

Slika 4-3 U prozor unesite serijski broj i kliknite na Claim. Nakon toga će se novi uređaj pojaviti na listi uređaja. Označimo kvadratić pokraj novododanog uređaja te kliknemo na Add to zatim označimo Existing network i izaberemo Network u koji se dodaje uređaj. Brisanje uređaja iz Networka/Organizacije. Uređaj nije moguće obrisati izravno iz organizacije; najprije ga treba obrisati iz Networka. Primjer za brisanje bežične pristupne točke je sljedeći: kliknemo na Wireless> Access Points, na listi označimo kvadratić ispred AP-a koji želimo obrisati. Kliknemo Move i zatim Remove from Network. Brisanje iz organizacije radi se klikom na Organization > Inventory, označi se kvadratić ispred uređaja koji želimo obrisati i klikne se na Unclaim. Licenca se počinje trošiti kad uređaj dodamo u Network. Dok je pridijeljen samo organizaciji, ali ne i Networku, uređaj ne troši licencu. Status Licenci može se provjeriti na Organization > License info. 4.2. Sustav označavanja aktivne opreme Prilikom spajanja na sustav, pristupamo željenoj organizaciji. Ime organizacije sastoji se od punog imena i adrese škole. Primjer imena organizacije: Osnovna skola Sveti Kriz Zacretje, Skolska 5, 49223 Sveti Kriz Zacretje Unutar organizacije postoji jedan Network ili više njih. Primjer imena je sljedeći: - MS Sv. Kriz Zacretje - PS Kozjak - PS Mirkovec - PS Sekirisce. U svakoj mreži definirani su mrežni uređaji. Ime uređaja sastoji se od skraćene oznake imena županije, imena škole te tipa i broja uređaja. Iznimka je i ime preklopnika koje sadrži i oznaku mrežnog ormara u kojem je instaliran uređaj. Primjer označavanja dan je u nastavku:

Primjer imenovanja UTM-a: KR-SKZACRETJE-UTM Primjer imenovanja AP-a: KR-SKZACRETJE-AP1 KR-SKZACRETJE-AP2 Primjer imenovanja preklopnika: KR-SKZACRETJE-BD1-SW1 KR-SKZACRETJE-BD1-SW2 KR-SKZACRETJE-FD1-SW3 4.3. Značajke matičnih i područnih škola 4.3.1. Područne škole U područnim školama nije podignuta cjelovita mrežna infrastruktura zasnovana na Meraki cloud rješenju. U područne škole instaliran je samo MS preklopnik, i to u pravilu jedan Meraki MS220-8P, preklopnik, budući da je dovoljan za spajanje svih novih priključnica na mrežu. Preklopnik se povezuje na opremu pružatelja internetskih usluga neovisno o tome postoji li na lokaciji samo ADSL link od tzv. pružatelja internetskih usluga ili postoji stalna veza prema CARNet mreži. Navedeni preklopnik služi isključivo za povezivanje krajnjih uređaja na mrežu kako bi im se osigurao izlaz na Internet te kako bi se klijentski promet u područnim školama mogao nadzirati preko Meraki dashboarda. Meraki preklopnik instaliran u školi dobiva management IP adresu iz korisničkog LAN-a. To je nužno zato da bi se omogućilo upravljanje, nadzor i konfiguracija preklopnikom instaliranim u područnoj školi. U područnim školama u sklopu projekta nisu instalirani integrirani sigurnosni sustav ni bežične pristupne točke. U školama ne postoji središnji L3 uređaj pod administracijom škole. Sve funkcije središnjeg čvora LAN mreže obavlja uređaj u vlasništvu i nadzoru ISP-a. Stoga u područnim školama mreža nije segmentirana na više L3 segmenata, odnosno VLAN-ova. L3 točka, odnosno default gateway za klijente nalazi se na opremi u vlasništvu ISP-a te su na njemu podignuti i mrežni servisi poput DHCP-a i NAT-a. Bežična pristupna mreža u područnoj školi može se realizirati preko bežičnih pristupnih točaka nabavljenih izvan projekta, ali njihova konfiguracija, nadzor i upravljanje nisu mogući preko Meraki dashboarda. Zato tako realizirana bežična mreža u područnim školama neće moći naslijediti značajke bežične mreže matičnih škola. 4.3.2. Matične škole U sklopu projekta posebno je važna implementacija mrežne infrastrukture u matičnim školama. U njima je instalirana kompletna mrežna infrastruktura predviđena natječajem i dizajnirana prema zahtjevima naručitelja. Za matične škole razrađen je model koji definira prava pristupa učenika, nastavnog osoblja, izvannastavnog osoblja i gostiju na LAN mrežu, i to za žičnu i bežičnu infrastrukturu. Prilikom definiranja modela prava pristupa, razmatrani su sljedeći slučajevi: 1. Učenici. Učenicima se prilikom korištenja zajedničkih tablet uređaja u STEM učionicama omogućuje pristup na bežičnu mrežu e-skole. Za pristup mreži i za autentikaciju na mrežu i enkripciju prometa koristi se metoda WPA2 PSK. Na tablete je instaliran sustav Meraki MDM kojim se na učeničke tablete automatski šalju postavke bežične mreže i distribuiraju ključevi za autentikaciju i enkripciju. Za pristup Internetu i servisima, svaki učenik mora se autenticirati preko tzv. Captive portala na UTM-u. 2. Nastavno osoblje. Nastavnom osoblju se na isti način omogućuje pristup na bežičnu mrežnu infrastrukturu i autentikacijom preko Captive portala omogućuje se pristup mreži. Da bi bilo što jednostavnije, prema istom modelu pristupa razmatrana su i računala koja

služe za upravljanje pametnim pločama koje iznimno imaju pristup servisima bez dodatne autentikacije. To je postignuto korištenjem tzv. whitelisti, odnosno mogućnošću da se klijenti prema MAC adresi uređaja propuštaju na Internet bez autentikacije preko Captive portala. 3. Djelatnici škole. U ovom modelu razmatran je slučaj djelatnika škole koji se koriste žičnim pristupom Internetu u uredu. Mrežne priključnice nalaze se u uredima u kojima učenici nisu nikad prisutni bez nadzora. Stoga žičnu mrežu u takvim prostorima smatramo sigurnom pa nema potrebe za dodatnom autentikacijom korisnika. 4. Računalne učionice. Većina takvih učionica spojena je na već postojeće preklopnike instalirane u školama i u pravilu na Meraki mrežu dolaze s jednom utičnicom. Budući da se ta računala smatraju nesigurnima i podložnima virusima, izolirana su u zaseban mrežni segment. Za pristup servisima i Internetu potrebna je autentikacija korisnika na mrežu preko Captive portala. 5. Gosti. Gostima se omogućuje pristup bežičnoj mreži. Bežična mreža je otvorenog tipa, a za autentikaciju se koristi Captive portal. Za autentikaciju korisnika na mrežu potrebna je mail adresa korisnika koju administrator sustava unosi u Meraki dashboard prilikom zahtjeva korisnika za pristup mreži. U nastavku dokumenta opisuju se značajke i mogućnosti sustava instaliranog u matičnim školama. 4.4. WAN mreža Sa stajališta škole, WAN mrežu označava pristup na CARNet infrastrukturu. Povezivanje na WAN mrežu odrađuje Središnji integrirani sustav, odnosno Meraki MX uređaj koji predstavlja granicu između LAN mreže škole i CARNet mreže, odnosno Interneta. Meraki MX se na ISP mrežu povezuje preko tzv. Internet" sučelja koje je direktno povezano s CARNetovim CPE (customer-provided equipment) usmjeriteljem. Internet sučelje Meraki MX UTM-a dobiva IP adresu dinamički putem DHCP protokola iz CARNet mreže. S Interneta, odnosno iz CARNet mreže, nije moguće pristupiti direktno u LAN škole, odnosno na računala i servere spojene na LAN infrastrukturu. Javnim servisima može se omogućiti pristup prema korištenjem NAT pravila i definiranjem pristupnih listi koje omogućuju pristup javnim servisima po točno definiranim UDP/TCP portovima. Za administraciju opreme predviđeno je udaljeno povezivanje VPN-om i spajanje u LAN mrežu, umjesto omogućavanja izravnog pristupa na servise s Interneta samo u svrhu administracije servisa. 4.5. LAN mreža LAN mrežni segment sastoji se od sljedećih hardverskih komponenti: - Meraki MX serije integriranih sigurnosnih sustava - Meraki MS220 serije mrežnih preklopnika - Meraki MR32 serije bežičnih pristupnih točaka. U nastavku je detaljan pregled konfiguracijskih značajki svake komponente. 4.5.1. Integrirani sigurnosni sustav Središnja komponenta LAN mreže je Meraki MX uređaj, odnosno integrirani sigurnosni sustav. On odrađuje sve funkcionalnosti klasičnog UTM sustava, mrežnog usmjeritelja te središnje L3 točke u mreži. Virtualni LAN (VLAN) i IP adresiranje

Na MX uređaju definirano je više virtualnih LAN-ova (VLAN-ova) kako bi se mreža segmentirala prema namjeni korištenja. Na taj je način lakše izolirati potencijalne probleme u mreži te se smanjuje utjecaj mrežnih problema na jedan segment i tako znatno povećava sigurnost mreže. U školama su definirani VLAN-ovi i pripadajuće IP adresiranje kako su definirani u tablici ispod. Tablica 4-1 VLAN ID ime VLAN-a mrežni raspon 1 management 192.168.128.0/24 10 ucenici 192.168.30.0/23 12 djelatnici 192.168.34.0/23 13 gosti 192.168.36.0/23 14 eduroam 192.168.38.0/23 15 javni_servisi 192.168.40.0/23 16 info_ucionica 192.168.42.0/23 U nastavku je kratak opis namjene pojedinog VLAN-a: VLAN 1 je takozvani management VLAN i služi za upravljanje mrežnom opremom i za njezino povezivanje na Internet VLAN 10 služi za povezivanje učeničkih tableta u STEM učionicama na bežičnu mrežu eskole, kao i za povezivanje nastavničkih računala i tableta na žičnu i bežičnu mrežu putem eduroam mreže, VLAN 12 služi za povezivanje na mrežu računala u uredima u koje učenici nemaju pristup bez nadzora (ured ravnatelja, tajništvo i sl.) VLAN 13 služi za povezivanje gostiju na bežičnu mrežu VLAN 14 služi za spajanje na eduroam bežičnu mrežu (eduroam pristup koriste svi učenici i nastavnici kad se na bežičnu mrežu spajaju privatnim uređajima) VLAN 15 služi za spajanje javnih servisa (poput sustava videonadzora) VLAN 16 služi za povezivanje informatičkih učionica na mrežu. KonfiguracijaDHCP servera Za svaki VLAN konfiguriran na mreži podignut je DHCP server na Meraki MX UTM. U pravilu je vrijeme čuvanja IP adrese (Lease time) pojedinom klijentu četiri sata za VLAN-ove koji se koriste i za bežične klijente te 24 sata za VLAN-ove koji se koriste samo za spajanje žičnih klijenata. Dodatne konfiguracijske značajke DHCP servera u školama nisu konfigurirane. Konfiguracijske postavke DHCP servera mogu se vidjeti u Meraki dashboardu klikom na Security appliance > Configure > DHCP

Slika 4-4 - Konfiguracijske postavke DHCP servera Popunjenost DHCP poola, kao i popis klijenata i njihovih IP adresa, može se vidjeti klikom na Security appliance > Appliance Status te odabirom Live tools > DHCP Leases.

Slika 4-5 - Ispis statistika s DHCP servera NAT i Pristupne kontrolne liste (eng. Access Control List) MX UTM služi za zaštitu lokalne mreže škole koje dolaze s Interneta. U tu svrhu MX se ponaša kao klasičan vatrozid, odnosno potpuno zabranjuje dolazni promet s Interneta, a propušta odlazni promet s LAN mreže prema Internetu te omogućuje odgovor s Interneta na upite koji dolaze s LAN mreže. Ako treba omogućiti izravan pristup s Interneta određenom servisu, koristi se 1:1 NAT uz propuštanje prometa prema IP adresi servera po određenim UDP/TCP portovima. Za većinu VLAN-ova nema definiranih pristupnih listi, što znači da je sav promet između VLAN-ova, kao i prema Internetu, omogućen. Iznimka je guest VLAN kojem je zabranjen pristup prema LAN infrastrukturi i omogućen je isključivo pristup Internetu. Na uređaju je moguće definirati i tzv. Layer 7 pristupne liste koje nisu temeljene na IP adresi i portu, nego su temeljene na zapisu u sklopu Layer 7 headera. Drugim riječima, omogućuje se zabrana prometa na određeni web site, zabrana P2P razmjene, tj. BitTorrent prometa, portala s računalnim igricama i slično. U Meraki dashboardu klikom na Security appliance > Configure > Firewall može se vidjeti konfiguracija Layer 3 i Layer 7 pristupnih listi, kao i konfiguracija NAT pravila.

Slika 4-6 - Ispis ACL konfiguracije Slika 4-7 - Primjer NAT konfiguracije

Ograničavanje brzine pristupa mreži Meraki sustav ima mogućnost ograničavanja brzine pristupa mreži klijentima, tj. ima mogućnost Traffic Shaping. Ograničavanje je moguće za pojedinog klijenta, za pristup određenoj aplikaciji ili servisu na Internetu, korisnicima spojenim na određeni VLAN, SSID i sl. VPN postavke U slučaju potrebe za udaljenim spajanjem djelatnika ili administratora sustava na pojedine resurse smještene u LAN mreži škole, moguće je nameraki MX UTM uređaju omogućiti udaljeni VPN pristup. U mrežama škola koje nisu zahtijevale omogućavanje VPN pristupa, on u sklopu implementacije sustava nije konfiguriran te se može kreirati naknadno, ako bude potrebno. Kroz Meraki dashboard, klikom na Security appliance > Configure > Client VPN otvara se prozor kao na slici ispod. Slika 4-8 - Konfiguracija udaljenog VPN pristupa Primjer konfiguracije klijentskog računala koje VPN-om pristupa na mrežu škole može se vidjeti na sljedećem linku: https://docs.meraki.com/display/mx/vpn+settings+for+windows+7 4.5.2. Mrežni preklopnici Konfiguracijske značajke MS220 mrežnih preklopnika instaliranih u školama su sljedeće: - na njima se propagiraju svi VLAN ID-evi definirani na MX integriranom sigurnosnom sustavu u školi - sučelja u koja su spojeni AP-ovi i integrirani sigurnosni sustav konfigurirana su kao trunk sučelja s native VLAN ID-em 1 i dodijeljena im je TAG oznaka AP - sučelja u kojima su aktivirane mrežne utičnice u učionicama konfigurirana su kao access i dodijeljena su VLAN-u 10. Navedena sučelja imaju TAG oznaku UCIONA - sučelja u koja su spojeni mrežni printeri i računala djelatnika škole konfigurirana su kao access i dodijeljena su VLAN-u 12; imaju TAG oznaku DJELATNICI

- sučelja u koja su spojeni postojeći preklopnici u školama u koja su spojena računala iz računalnih učionica konfigurirana su kao access i dodijeljena su VLAN-u 16; imaju TAG oznaku OLD_SWITCH - u područnim školama sva sučelja su konfigurirana kao trunk uz native VLAN ID 1, budući da se na većini koristi ADSL veza te je mimo preklopnika jedini mrežni uređaj na lokaciji router koji je isporučio ISP i nema mogućnost nikakve konfiguracije. Prilikom konfiguracije sučelja i definiranja VLAN-a, na sučelju se automatski definira i propagira VLAN. Za zaštitu od mrežnih petlji, na preklopniku je uključen RSTP (Rapid Spanning-tree protokol). Preklopnik ima mogućnost napajanja uređaja preko PoE/PoE+ standarda. Količina struje koju preklopnici mogu isporučiti (neovisno o tome je li riječ o modelu s 8 ili 24 sučelja) dovoljna je da omoguće istovremeno napajanje na svim sučeljima, ako je riječ o PoE klijentima te na 50% svih sučelja (4 ili 12 ovisno o modelu) ako je riječ o PoE+ klijentima. Budući da su AP-ovi isporučeni u sklopu ovog projekta PoE+ klijenti potrebno je obratiti pozornost na to da se AP-ovi povezuju na preklopnike tako da se ne premaši PoE budžet preklopnika. 4.5.3. Bežične pristupne točke Slika 4-9 - Prikaz statusa preklopnika Prilikom dizajniranja bežične mreže vodilo se računa o tome da se postigne jednostavnost pristupa mreži za korisnike, a s druge strane da se zadrži sigurnost u mreži i uvid u ponašanje korisnika na mreži kako bi se mogla otkriti neprimjerena ponašanja i uvesti mehanizmi za njihovo sprječavanje. Osim konfiguracijskih postavki koje definira sam administrator sustava, Meraki ima integrirane značajke koje poboljšavaju rad bežične mreže bez uplitanja administratora u konfiguraciju sustava. Najvažnija je integrirana funkcionalnost Load balancinga, tj. prebacivanja opterećenja u slučaju velikog broja korisnika spojenih na mrežu. Sustav u uvjetima velikog broja klijenata spojenih na mrežu automatski prebacuje klijente na bežične pristupne točke koje imaju manji broj spojenih klijenata, umjesto da se spajaju na točku s najjačom snagom signala. Tako se znatno povećavaju performanse bežične mreže i omogućuje neometan pristup mreži velikom broju korisnika koji se nalaze na relativno malom prostoru.

Slika 4-10 - Značajke Meraki bežične mreže U bežičnoj mreži škole sve pristupne točke postavljene su na automatski način rada, odnosno automatski odabiru izlaznu snagu signala te kanal na kojem rade. Cisco Meraki ima mogućnost osluškivanja snage signala susjednih pristupnih točaka te zagušenosti pojedinih kanala u mreži, stoga može automatski smanjiti, odnosno povećati izlaznu snagu te prema potrebi u realnom vremenu promijeniti kanal na kojem pojedina bežična točka toga trenutka radi. U sklopu projekta, u bežičnoj mrežnoj infrastrukturi škole definirana su tri SSID-a (Service Set Identifier), odnosno tri različite bežične mreže: - eskole - eduroam - guest. Svaka mreža konfigurirana je tako da je vidljiva korisnicima, da radi na 2,4 GHz i 5 GHz frekvencijskom pojasu uz opciju da se klijente forsira na korištenje5 GHz spektra (korištenjem tzv. Band Select opcije), ako klijentski uređaji podržavaju takvu mogućnost. Zbog optimizacije rada bežične mreže definirano je da klijenti moraju biti u mogućnosti spojiti se na bežičnu mrežu s minimalno 12 Mbps kako bi ostvarili asocijaciju. Navedena postavka onemogućuje pristup mreži starim 802.11b klijentima, ali je nužna zato da spori klijenti i klijenti koji se pokušavaju spojiti na udaljene bežične pristupne točke, ne bi degradirali kvalitetu cijele bežične mreže. Sve mreže imaju definiran vidljiv SSID. Za pristup mreži eskole primjenjuju se sljedeći parametri: - PSK (pre-shared key) za autentikaciju korisnika i pristup na bežičnu mrežu - WPA2 enkripcija podataka na pristupnom sloju bežične mreže - Captive portal za autentikaciju korisnika prilikom pristupa Internetu - korisnici nakon pristupa u mrežu eskole pripadaju VLAN-u 10 i imaju IP adresu iz mreže 192.168.30.0/23 - Captive portal za autentikaciju korisnika prilikom pristupa Internetu https://prijava.e.skole.hr. Izgled portala vidimo na slikama ispod.

Slika 4-11: Prijava na bežičnu mrežu eskole

Slika 4-12 Autentikacija na bežičnu mrežu eskole putem AAI@eEduHr sustava Za pristup mreži eduroam primjenjuju se sljedeći parametri: - 802.1X enterprise RADIUS autentikacija uz WPA2 enkripciju podataka - za pristup mreži eduroam koriste se postavke TTLS-PAP. Detaljnije upute mogu se naći na instaler.eduroam.hr - korisnici nakon pristupa u mrežu eduroam pripadaju VLAN-u 14 i imaju IP adresu iz mreže 192.168.38.0/23, osim nastavnika koji tada pripadaju VLAN-u 10 i imaju IP adresu iz mreže 192.168.30.0/23 - za navedenu mrežu limitira se ukupna propusnost na 10% ukupne propusnosti linka ako se ne radi o nastavnicima, odnosno ako se klijenti pozicioniraju u VLAN 14. Za pristup mreži guest primjenjuju se sljedeći parametri: - otvoren pristup mreži uz mogućnost Captive portal autentikacije pristupa na Internet - za autentikaciju se koristi baza korisnika iz Meraki dashboarda; svakom gostu kojem treba omogućiti pristup Internetu, tehničar mora unijeti e-mail adresu u Meraki dashboard da bi mu omogućio pristup - korisnici nakon pristupa u mrežu eduroam pripadaju VLAN-u 13 i imaju IP adresu iz mreže 192.168.36.0/23 - za navedenu mrežu limitira se ukupna propusnost na 10% ukupne propusnosti linka prema Internetu.

4.6. Sigurnosne postavke Sigurnosne postavke definiraju se na MX uređaju ili na WiFi mreži. Prilikom implementacije sustava klijentima je omogućen neograničen pristup Internetu, odnosno CARNet mreži. Promet se filtrira isključivo na CARNetovu središnjem sustavu za filtriranje nepoćudnog sadržaja. U slučaju potrebe, moguće je na Meraki MX UTM-u uključiti Content Filtering opciju i zabranjivati pristup određenim sadržajima na Internetu koji već nisu obuhvaćeni zabranom na CARNetovu središnjem sustavu. Klikom na Security appliance > Configure > Content filtering u Meraki dashboardu otvara se prozor kao na slici ispod. Na tom mjestu moguće je konfigurirati zabranu pristupa dijelu internetskog sadržaja. Slika 4-13 - Meraki Content filtering Osim spomenutog filtriranja sadržaja, moguće je blokirati pristup pojedinim mrežama korištenjem klasičnih Layer 3 i Layer 7 pristupnih listi (ACL Access Control List). Prilikom implementacije sustava u školama, nije zabranjena komunikacija između različitih mreža, odnosno VLAN-ova unutar školske mreže niti je zabranjen pristup servisima na Internetu. Iznimka je guest mreža(vlan 16) za koju je zabranjen pristup na bilo koju drugu mrežu unutar školskog LAN-a. Guest mreži je omogućen je isključivo pristup na Internet.

Slika 4-14 - ACL na Meraki MX UTM-u Na Meraki MX UTM-u uključen je i IPS (Intrusion Prevention System) koji štiti mrežu od različitih napada s Interneta, kao i sustav za otkrivanje i blokiranje nepoželjnog Malwarea. Navedene opcije uključuju se na Meraki UTM-u klikom na Security appliance > Configure >Security filtering. Slika 4-15 - Meraki Security filtering

4.7. MDM sustav za upravljanje klijentskim uređajima U sklopu Meraki mrežnog rješenja integrirano je i MDM rješenje, odnosno sustav za upravljanje klijentskim uređajima preko Meraki centraliziranog web sučelja. Navedeno rješenje omogućuje upravljanje, dijagnostiku, nadzor i upravljanje sigurnosnim postavkama klijentske opreme s IOS, Android, Windows phone, Windows, Windows Server i MacOS operativnim sustavom. Preko navedenog sustava moguće je sljedeće: određivanje lokacije uređaja zabrana rada uređaja ako se ne nalazi na određenom području instalacija softvera i aplikacija na uređaje definiranje sigurnosnih postavki na uređajima automatska konfiguracija WiFi i VPN postavki na klijentskim uređajima provjera statusa uređaja nadzor te udaljena dijagnostika i mogućnost uklanjanja problema na klijentskim uređajima mogućnost selektivnog i potpunog brisanja podataka na uređajima. Slika 4-16 - Meraki MDM politike

Slika 4-17 - Meraki MDM otkrivanje lokacije uređaja

5. Administracija, održavanje i nadogradnja LAN infrastrukture 5.1. Spajanje Meraki mrežnog uređaja u mrežu Uključivanje i spajanje Meraki opreme na mrežu vrlo je jednostavan proces, uz prethodno prijavljivanje serijskog broja uređaja školi, odnosno organizaciji. Ako se radi o MX UTM-u, nužno je spojiti tzv. Internet sučelje u CARNetov CPE uređaj, a Meraki preklopnike koji su instalirani u mreži spajamo u preostala sučelja na UTM-u. Meraki MX UTM dobit će IP adresu, ostvariti vezu na Internet, odnosno na Meraki cloud, napraviti nadogradnju Firmwarea na aktualnu verziju i automatski dohvatiti konfiguraciju iz Meraki clouda.uređaj je aktivan i spojen na cloud kad njegova LED lampica svijetli zeleno. Ako se radi o Meraki preklopniku, treba ga spojiti na LAN sučelje na MX UTM-u ili na trunk sučelje drugog preklopnika na koji povezujemo novi uređaj. Uređaj će IP adresu dobiti od Meraki MX UTM-a. Proces spajanja na cloud i dohvaćanja konfiguracije je isti kao i za UTM. Uređaj je aktivan kad njegova lampica svijetli zeleno. Meraki AP povezuje se na preklopnik u sučelje konfigurirano u trunk način rada. Da bi se AP napajao, treba ga spojiti na preklopnik koji ima dovoljno PoE+ kapaciteta. Proces povezivanja na cloud i dohvaćanja konfiguracije je isti kao i kod preklopnika. Uređaj je aktivan kad njegova LED lampica svijetli zeleno (nema spojenih klijenata na AP) ili plavo (ima spojenih klijenata na AP). Detalji o inicijalnoj instalaciji mrežnih uređaja Meraki na mrežu, kao i značenje LED lampica na uređajima mogu se vidjeti na sljedećim linkovima: https://docs.meraki.com/display/mx/meraki+mx100+installation+guide https://docs.meraki.com/display/ms/installation+guides https://docs.meraki.com/display/mr/mr32+installation+guide 5.2. Vraćanje konfiguracije Meraki mrežnog uređaja na tvorničke postavke U slučaju problema s pristupom određenog uređaja na Meraki cloud, moguće je vratiti konfiguraciju uređaja na tvorničke postavke. Konfiguracija mreže u školama određena je tako da omogućuje povezivanje uređaja s tvorničkim postavkama na Internet, odnosno na cloud. Slika 5-1 - Tipka Reset na Meraki MX100 UTM-u

Slika 5-2 - Tipka Reset na Meraki MS200 preklopniku Slika 5-3 - Tipka Reset na Meraki MR32 AP-u 5.3. Uključivanje mrežnog uređaja drugog proizvođača na Meraki mrežu Pretpostavka je da u računalnu mrežu instaliranu u sklopu projekta e-škole nema potrebe dodavati i spajati novu mrežnu opremu. Iznimka mogu biti mrežni preklopnici za potrebe proširenje broja mrežnih sučelja za prihvat novih računalnih učionica na mrežu. U tom slučaju potrebno je novi mrežni preklopnik spojiti na Meraki mrežni preklopnik. Sučelje na Meraki mrežnom preklopniku može se konfigurirati kao trunk, ako je preklopnik drugog proizvođača koji se spaja na mrežu upravljiv i ako na njemu postoji mogućnost administracije i konfiguracije. Ako se ne bude administrirao ili nije upravljiv, sučelje na Meraki preklopniku na koje se spaja novi preklopnik konfigurira se kao access te se postavlja u VLAN 16 definiran za prihvat računalnih učionica. 5.4. Nadzor mrežne opreme Nadzor cjelokupne mrežne infrastrukture u školama određuje se preko Meraki dashboarda. U nastavku će detaljno biti objašnjene mogućnosti nadzora i administracije sustava preko Meraki dashboarda. U svrhu nadzora moguće je koristiti i Meraki aplikaciju za mobilne uređaje, no rad s navedenom aplikacijom nije obuhvaćen ovim priručnikom. 5.4.1. Integrirani sigurnosni sustav Za nadzor statusa i dobivanje osnovnih informacija o stanju Integriranog sigurnosnog sustava (UTM-a) potrebno je kliknuti na Security Appliance > Monitor > Appliance status. Nakon toga se otvara ekran kao na slici ispod.

Slika 5-4 - Status Meraki UTM-a U navedenom prikazu možemo vidjeti sljedeće informacije: - status mrežnih sučelja - serijski broj uređaja - javnu IP adresu uređaja - broj klijenata koji je generirao promet kroz uređaj u posljednja 24 sata - grafički prikaz količine podataka koja u realnom vremenu prolazi kroz uređaj - prosječnu količinu prometa koja prolazi kroz uređaj u određenom vremenu Osim samog prikaza informacija o uređaju, moguće je pokrenuti razne alate koji su korisni u analizi rada mreže i u otkrivanju mrežnih problema. Najvažniji alati u sklopu provjere statusa UTM uređaja su sljedeći: - DHCP leases prikaz imena računala i DHCP-om dodijeljenih IP adresa te informacije o broju slobodnih IP adresa u DHCP poolu - Ping/Traceroute omogućuje slanje ICMP paketa prema željenom klijentu u LAN-u ili na Internetu - Throughput mjerenje mrežne propusnosti s UTM-a prema Internetu, odnosno serveru u Meraki cloudu.

Slika 5-5 - Meraki UTM Live tools Klikom na Security Appliance > Monitor > Route table može se vidjeti routing tablica UTM uređaja. U konkretnom slučaju mreže unutar škole, routing tablica je vrlo jednostavna jer se u njoj nalaze samo tzv. directly connected mreže. 5.4.2. Mrežni preklopnici Slika 5-6 - Meraki UTM routing tablica Za osnovni nadzor mrežnih preklopnika spojenih u mrežu škole, odnosno pregled njihova statusa potrebno je kliknuti na Switch > Monitor > Switches, nakon čega se otvara prozor kao na slici ispod.

Slika 5-7 - Popis preklopnika u pojedinoj školi Na ekranu vidimo popis svih preklopnika spojenih u mrežu škole. Ako im je status označen zelenom bojom, znači da je s preklopnicima sve u redu i da uredno komuniciraju s Meraki cloudom. Ako je status crvene boje, preklopnik nema vezu s Meraki cloudom i njega trenutačno nije moguće konfigurirati. U tom slučaju, ovisno o vrsti problema, moguće je da korisnički promet prolazi mrežom, ali je moguće i da u slučaju problema sa samim preklopnikom korisnički promet ne prolazi kroz njega. Ako je status žute boje, znači da korisnički promet prolazi kroz mrežu, ali postoji manji problem s komunikacijom između uređaja i Meraki clouda. Osim samog statusa, u prikazu se mogu vidjeti informacije o preklopniku (model uređaja, serijski broj, IP adresa, broj zauzetih sučelja), kao i statistike o korištenju preklopnika u određenom vremenu, poput broja klijenata i količine prometa kroz uređaj. Klikom na plus ( + ) u gornjem desnom kutu tablice, moguće je u prikaz uključiti i dodatne informacije. Ako želimo vidjeti informacije o preklopniku u područnoj školi, potrebno je pozicionirati se u mrežu područne škole, kako je to prikazano na slici ispod, nakon čega se otvara prozor s informacijama o preklopniku u područnoj školi. Slika 5-8 - Prikaz preklopnika u područnoj školi Klikom na jedan od preklopnika dobivaju se detaljne informacije o pojedinom preklopniku. Na slici ispod vide se sljedeće informacije o preklopniku: - MAC adresa uređaja - serijski broj - privatna i javna IP adresa preklopnika te pripadajući VLAN - informacija o STP (Spanning tree protocol) statusu - informacije o PoE potrošnji - informacije o statusu firmwarea i o konfiguraciji uređaja - informacije o statusu mrežnih sučelja.

Slika 5-9 - Detaljan prikaz informacija o pojedinom preklopniku Kao i na primjeru UTM-a, preklopnik ima korisne alate za nadzor i otkrivanje mrežnih problema. Kao najvažnije, navodimo sljedeće: - Blinking LED pokretanjem toga alata (klik na tzv. play-button pokraj Blink LEDs ) LED lampica na preklopniku počne treperiti plavom bojom, što omogućuje lako otkrivanje pozicije preklopnika u mrežnom ormaru.

Slika 5-10 - Blink LED alat - Forwarding table prikazuje trenutačni status tablice MAC adresa na preklopniku Slika 5-11 - Ispis tablice naučenih MAC adresa - Cable test pokretanjem testa na jednom UTP sučelju ili na više njih, preklopnik će provjeriti status bakrenih parica i javiti dužinu i status mrežnog kabela na trasi između preklopnika i krajnjeg uređaja spojenog u testirano sučelje na preklopniku.

Slika 5-12 - Testiranje UTP trase Na sljedećem linku nalazi se detaljan opis Live tool alata za preklopnike. https://documentation.meraki.com/ms/monitoring_and_reporting/using_the_ms_live_tools Klikom na jedno od sučelja na preklopniku otvara se prozor s detaljnim informacijama o samom sučelju. U prikazu možemo vidjeti sljedeće informacije: - količina prometa na sučelju u stvarnom vremenu - popis klijenata spojenih na određeno sučelje - koliko prometa generira pojedini klijent spojen na to sučelje - informaciju o CDP/LLDP susjedu (ako je na to sučelje spojen aktivni mrežni uređaj) - informaciju o rezerviranoj PoE potrošnji i stvarnoj PoE potrošnji - informacije o greškama u primljenim i poslanim paketima na mrežnom sučelju

Slika 5-13 - Detaljne informacije o statusu sučelja na preklopniku

Klikom na Network-wide > Monitor > Topology iscrtava se fizička shema mreže. Takav prikaz može biti vrlo koristan u slučaju ispada pojedinog mrežnog uređaja, budući da lako možemo otkriti koji je uređaj u prekidu i gdje bi trebao biti spojen. Slika 5-14 - Grafički prikaz mrežne topologije

5.4.3. Bežične pristupne točke Za nadzor bežičnih pristupnih točaka, u mreži se u Meraki dashboardu pozicioniramo na Wireless > Monitor > Access Points. Nakon toga se otvara prozor kao na slici ispod. Slika 5-15 - Prikaz statusa bežičnih pristupnih točaka Kao što možemo vidjeti, prikaz sadrži različite informacije o statusu uređaja, broju klijenata trenutačno spojenih na uređaj, kanala na kojem uređaj radi, ime i sučelje preklopnika na koji je bežična pristupna točka spojena. Kao i u primjeru s preklopnicima, klikom na plus ( + ) u gornjem desnom kutu tablice, moguće je u prikaz uključiti i dodatne informacije. Za lakše snalaženje i pretraživanje, možemo se koristiti tražilicom u lijevom gornjem kutu. Klikom na jednu od pristupnih točaka, otvara se prozor kao na slici ispod, koji sadrži detaljne informacije o navedenoj pristupnoj točki te omogućuje pokretanje Live tool alata.

Slika 5-16 -Detaljan prikaz statusa pojedine bežične pristupne točke Na detaljnom prikazu možemo vidjeti popis SSID-ova aktivnih na AP-u, privatnu i javnu IP adresu uređaja, serijski broj, status firmwarea i konfiguracije AP-a. Moguće je vidjeti i broj klijenata spojenih na AP, količinu prometa koju generira pojedini klijent, količinu prometa koja kroz AP prolazi u realnom vremenu te povijesni prikaz statistike korištenja. Meraki AP ima i vrlo koristan alat za analizu stanja radiofrekvencijskog spektra. Klikom na RF tab, otvara se prozor kao na slici ispod. Na njemu možemo vidjeti status i zagušenost RF spektra na kanalu koji AP trenutačno koristi, kao i na ostalim kanalima. Ako primijetimo zauzeće RF spektra na aktivnom kanalu na više od 80%, možemo očekivati probleme u komunikaciji klijenata koji su na mrežu spojeni preko tog AP-a.

Slika 5-17 - Prikaz opterećenja RF spektra Kao i u ostalim segmentima, i za bežične pristupne točke postoje alati Live tools. Kao najzanimljiviji za bežičnu mrežu izdvajamo alat Blink LED koji može otkriti točnu poziciju pojedinog AP-a u školi.

Slika 5-18 Osim alata Live tool, nadzor statusa bežične mreže radi se i korištenjem alata RF spektar. Klikom na Wireless > Monitor > RF spectrum otvara se prozor kao na slici ispod Slika 5-19 - Prikaz zauzeća RF spektra po svim AP-ovima instaliranim u mreži Na slici vidimo popis bežičnih pristupnih točaka u mreži, kanale na kojima trenutačno aktivno rade te stupanj zauzeća tih kanala. Ako je stupanj zauzeća kanala, odnosno RF spektra, na kanalu označen kao vrlo visok, moguće je da klijenti spojeni na taj AP imaju poteškoće u radu bežične mreže. Zauzetost kanala je moguća iz dva razloga: prvi je što se preko AP-a trenutačno prenosi velika količina podataka, a drugi razlog je velika količina šuma koji generiraju susjedni AP-ovi

ili drugi izvor šuma koji utječe na kvalitetu signala. Važno je napomenuti da je u stvarnim situacijama šum mnogo manji na području od 5 GHz, zbog čega se i forsira klijente da se spajaju na taj spektar kako bi ostvarili bolju kvalitetu veze. Klikom na pojedini AP s liste, otvara se prozor kao na slici ispod, te se pokreće spektralni analizator u kojem je moguće pratiti detaljni status signala na pojedinom AP-u. Slika 5-20 - Meraki spektralni analizator Klikom na Interfering APs može se vidjeti lista AP-ova koji najviše utječu na rad promatranog AP-a. Kao što je već spomenuto, kanal na kojem AP radi te izlazna snaga signala AP-a određuju se automatski i sustav sam prilagođava parametre ovisno o realnom stanju na terenu. No ako je potrebno, moguće je fiksirati navedene postavke klikom na Wireless > Configure > Radio Settings i promijeniti željene parametre. Vježba 5-1 Provjera RF spektra Polaznici edukacije logiraju se na Meraki dashboard i moraju odrediti sljedeće: - AP čiji je RF spektar na aktivnom kanalu najzagušeniji - provjeriti kakva je situacija na ostalim kanalima - odrediti koji susjedni AP-ovi interferiraju s njim.

Slika 5-21 - Popis aktivnih kanala te izlazne snage signala za AP-ove 5.5. Nadzor klijenata spojenih na računalnu mrežu Jedna od prednosti Meraki mrežnog rješenja je vrlo jednostavna mogućnost nadzora klijenata spojenih na mrežu te njihovih aktivnosti. Meraki web sučelje jednostavno i pregledno prikazuje popis klijenata spojenih na mrežu te prikazuje njihovu aktivnost na mreži. Aktivnostima klijenata pristupa se klikom na Network-wide > Monitor > Clients, nakon čega se otvara prozor kao na slici ispod.

Slika 5-22 - Popis klijenata spojenih na mrežu Na prikazu je moguće vidjeti popis klijenata koji su se koristili mrežom u određenom vremenu i različite informacije o klijentima: - njihov trenutačan status (aktivan na mreži ili neaktivan) - IP adresu i VLAN-ID klijenta - OS instaliran na klijentskom uređaju - vrijeme kad je klijent prvi put te posljednji put viđen na mreži - SSID na koji je korisnik spojen ako se koristi bežičnom mrežom, - preklopnik i sučelje na preklopniku na koje je korisnik spojen ako se koristi žičnom mrežom - količinu prometa ostvarenu u određenom vremenu - mrežne aplikacije kojima klijent pristupa

- korisničko ime ako se klijent autenticirao za pristup mreži Kroz tražilicu je jednostavno filtrirati klijente prema nekom od parametara. Klikom na plus (+) u gornjem desnom kutu tablice, moguće je tablicu proširiti dodatnim poljima koja sadrže dodatne informacije o klijentima. Osim informacija o klijentima, na grafičkom i tabličnom prikazu moguće je vidjeti koje se aplikacije koriste u mreži, koliko pojedine aplikacije opterećuju mrežu te se po potrebi klikom na željenu aplikaciju može ograničiti brzina pristupa na mrežu ako se utvrdi da prekomjerno opterećuje mrežu. Detaljnom prikazu o korištenju aplikacija pristupamo tako da kliknemo na More ispod grafičkog prikaza u gornjem desnom kutu ekrana. Nakon toga se otvara prozor kao na slici ispod. Slika 5-23 - Popis aplikacija korištenih u mreži Klikom na pojedinog klijenta otvara se prozor kao na slici ispod, gdje možemo vidjeti detaljni prikaz aktivnosti tog klijenta na mreži.

Slika 5-24 - Popis aplikacija kojima određeni klijent pristupa Filtriranje klijenata Ako se primijeti da pojedini klijent generira previše prometa i tako opterećuje mrežu i ometa rad ostalim korisnicima, može mu se onemogućiti pristup mreži ili ograničiti pristup mreži korištenjem tzv. Group-policy pravila. Na slici ispod prikazana je opcija zabrane pristupa mreži za željenog klijenta.

Slika 5-25 - Blokiranje pristupa mreži pojedinom klijentu Detaljne mogućnosti nadzora klijenata na mreži opisane su na sljedećem linku: https://documentation.meraki.com/ms/monitoring_and_reporting/client_details_page_overview Vježba 5-2 Određivanje klijenta koji generira najviše prometa Polaznici edukacije logiraju se na Meraki dashboard i moraju odrediti sljedeće: - ime uređaja koji trenutačno generira najviše prometa na mreži - odrediti aplikaciju koja se najviše koristi u mreži - ime uređaja koji je generirao najviše prometa u posljednja dva dana, te aplikaciju kojom se taj uređaj najviše koristio.

Prije dodavanja mrežnog uređaja u Network, uređaj je potrebno dodati u Organizaciju. Nakon logiranja u Meraki dashboard, potrebno je kliknuti na Organization > Inventory, nakon čega treba kliknuti na Claim u gornjem desnom kutu. 5.6. Konfiguracija osnovnih postavki na mrežnoj opremi Kreiranje novog VLAN-a na UTM-u U Meraki dashboardu klikom na Security Appliance > Configure > Addressing&VLAN su routing dijelu, potrebno je kliknuti na Add a Local VLAN,nakon čega se otvara prozor kao na slici ispod. Slika 5-26 - Kreiranje novog VLAN-a na Meraki MX UTM-u Prilikom kreiranja ovog VLAN-a potrebno je definirati ime, IP mrežu, IP adresu UTM-a te VLAN ID. Po potrebi se na VLAN može primijeniti i Group-policy. Prilikom kreiranja novog VLAN-a, na Meraki MX-u automatski se aktivira DHCP server za navedeni VLAN. Rekonfiguracija sučelja na preklopniku Rekonfiguracija sučelja na preklopniku radi se klikom na Switch > Switch Ports, nakon čega se otvara prozor kao na slici ispod, na kojem su prikazana sučelja sa svih preklopnika instaliranih u mreži.

Slika 5-27 - Popis sučelja na Meraki preklopnicima u mreži Klikom na željeno sučelje ili označavanjem više sučelja istovremeno i klikom na gumb Edit, moguća je rekonfiguracija jednog sučelja, odnosno više sučelja istovremeno. Tada se otvara prozor kao na slici ispod.

Slika 5-28 - Rekonfiguracija parametara mrežnog sučelja na Meraki MS preklopniku Vježba 5-3 Kreiranje novog VLAN-a i dodjeljivanje sučelja na preklopniku u novi VLAN Na Meraki MX UTM-u potrebno je kreirati novi VLAN sa sljedećim postavkama - Name: TEST - Subnet 10.0.0.0/24 - MX IP 10.0.0.1 - VLAN ID 100. Na Meraki MS preklopniku potrebno je jedno od nekorištenih sučelja postaviti u access način rada i postaviti u VLAN 100. Spojiti PC u konfigurirano sučelje i provjeriti IP adresu koja je dodijeljena PC-u.

Kreiranje nove bežične mreže Prilikom kreiranja bežične mreže, potrebno je na Meraki dashboardu kliknuti na Wireless > Configure > SSID, nakon čega se otvara prozor kao na slici ispod. Slika 5-29 - Popis bežičnih mreža kreiranih u školi Nakon aktivacije mreže i definiranja imena, treba kliknuti na edit settings, nakon čega se otvara prozor kao na slici ispod.

Slika 5-30 - Konfiguracijske postavke bežične mreže

U navedenom dijelu konfiguriraju se sigurnosne postavke, mehanizmi autentikacije, LAN postavke i dodatne opcije bežične mreže. Vježba 5-4 Kreiranje nove bežične mreže Na Meraki bežičnoj mreži potrebno je kreirati novi VLAN sa sljedećim postavkama: - SSID Name: TEST - Association requirements: preshared key with WPA2 - definirati da klijenti pripadaju VLAN-u 100 - uključiti opciju Band steering - minimum bitrate postaviti na 12 Mbps. Klijentski uređaj treba spojiti na mrežu i provjeriti IP adresu uređaja te mogućnost pristupa Internetu. Za spajanje u guest potrebno je kreirati korisnički račun u Meraki dashboardu. Klikom na Network-Wide > Configure > Users otvara se prozor s popisom administratora i gostiju kojima je omogućen pristup mreži. Klikom na Add new user otvara se prozor kao na slici ispod. Slika 5-31 - Dodavanje novog korisnika na guest mrežu Nakon unosa imena, elektroničke adrese i lozinke, potrebno je u polju Authorized odabrati Yes, kako bi se korisniku omogućio pristup bežičnoj mreži, te kliknuti na Create user. Pregled aktivnosti administratora na Meraki dashboardu Meraki sustav ima stalno uključenu opciju bilježenja bilo kakvih konfiguracijskih promjena u sustavu. Moguće ih je vidjeti klikom na Organization > Monitor > Change Log

Slika 5-32 - Meraki change log Provjera statusa licenci U slučaju isteka licenci, može doći do prekida rada mreže. Stoga je važno voditi računa o tome da su licence ažurne. Status licenci može se provjeriti klikom na Organization > Configure > License info Slika 5-33 - Status licence u Meraki dashboardu

5.7. Dodavanje android tableta u Meraki MDM Da bi se klijentskim uređajem upravljalo i nadziralo ga se preko Meraki MDM rješenja, nužnoje na njega instalirati Meraki MDM agent. MDM agent je moguće instalirati direktno preko.apk instalacijske datoteke ili ga je moguće dohvatiti preko mreže s Google Play servisa. Budući da za instalaciju preko Google Play servisa uređaj treba spojiti na mrežu i imati aktivan račun na Google Play servisu, u nastavku opisujemo proceduru lokalne instalacije preko.apk datoteke. 1. Povucite alatnu traku i odaberite postavke u gornjem desnom kutu. Slika 5-34 2. Pod postavkama odaberite Lock screen and security te omogućite Unknown sources na desnoj strani izbornika.

Slika 5-35 3. Na početnoj stranici odaberite My Files Device Storage Download.

Slika 5-36 4. Pokrenite AndroidSM.apk. 5. Kad se otvori instalacijski prozor, odaberite NEXT.

Slika 5-37 6. U instalacijskom prozoru odaberite INSTALL.

Slika 5-38 7. U aplikacijama odaberite Systems Manager.

Slika 5-39 8. Na sljedećem zaslonu odaberite ENROLLMENT.

Slika 5-40 9. Na sljedećem zaslonu unesite šifru i odaberite ENROLL THIS DEVICE.

Slika 5-41 Nakon prethodnog koraka potrebno je na sljedećem zaslonu pod Device Administrator odabrati Enable.