| 12 | | Als oplossing draagt onderwijsinstelling Y [http://www.eduroam.org eduroam] aan. Hiervoor gaan beide onderwijsinstelling X en Y de naam van hun draadloze netwerk gelijkmaken aan de generieke naam "eduroam". Wanneer (gast)gebruikers van X bij onderwijs instelling Y op bezoek zijn gaan hun laptops, tablets of telefoons automatisch het gelijknamige netwerk van onderwijsinstelling Y op. Dit werkt helaas nog niet direct, maar wel bijna! Onderwijsinstelling Y heeft namelijk niet de personendatabase met inloggegevens van onderwijsinstelling X om tegen te authenticeren, dus gebruikers van X op het netwerk bij Y krijgen alsnog de melding dat hun inloggegevens niet worden herkend! |
| 13 | | Wanneer er nu via een "centrale server" alleen de authenticatie "aanvragen" doorgestuurd worden naar die van de eigen instelling en de autorisatie "goedkeuringen" worden afgeleverd bij de instelling waar de gebruiker zich bevind, dan blijven de persoonsgegevens binnen de eigen onderwijsinstelling waar ze horen en kan de gebruiker bij de andere instelling toch het netwerk/internet op zonder ook maar iets aan zijn apparaat te hoeven veranderen. Vergelijkbaar met mobiele telefoons die tijdens het telefoongesprek in een auto rit van stad A naar B diverse toegangspunten (Telefoon Cells) passeren, zonder dat de gebruiker het merkt dat zijn verbinding weg valt. |
| 14 | | |
| 15 | | Dit eduroam systeem zorgt er uiteindelijk voor dat je als onderwijsinstelling in een strikter wordend klimaat van beveiliging, geslotenheid en aansprakelijkheid toch een dienst dat open, toegankelijk en verantwoordelijk van karakter is kan bieden. |
| 16 | | |
| 17 | | == technische betrokkenheid == |
| 18 | | Wireless Leiden neemt als non-onderwijsinstelling momenteel niet als "identity provider" deel aan eduroam, maar faciliteerd louter het doorgeven van de vereiste authenticatie "aanvragen" en autorisatie "goedkeuringen" via een intern ontwikkelde prototype infrastructuur. Tevens houd dit in dat ontwikkelaars van Wireless Leiden zelf, de roaming eigenschap van deze infrastuctuur alleen kunnen gebruiken en testen wanneer ze beschikken over een geldig accountsnaam en wachtwoord dat geleverd is door een aan eduroam/surf foundation gelieerde identity provider. Als voorbeeld Universiteit Leiden of Hogeschool Leiden. Wel zou er voor hen via een interne identity provider van Wireless Leiden zelf een account gemaakt kunnen worden, maar omdat deze niet centraal gekoppeld is werkt dit niet wanneer ontwikkelaars van het Wireless Leiden eduroam netwerk naar het Universiteits eduroam overgaan. Het Universiteits eduroam netwerk kan via de centrale server niet bij de onbekende Wireless Leiden interne identity provider komen en zal deze mensen niet op zijn netwerk toelaten. Hiermee word direct duidelijk dat een wederzijdse samenwerking nodig is om het onbegrensde karakter eduroam(ing) te laten werken en beschermen! |
| | 13 | Als oplossing draagt onderwijsinstelling Y [http://www.eduroam.org eduroam] aan. Hiervoor gaan beide onderwijsinstelling X en Y de naam van hun draadloze netwerk gelijkmaken aan de generieke naam "eduroam". Wanneer (gast)gebruikers van X bij onderwijs instelling Y op bezoek zijn gaan hun laptops, tablets of telefoons automatisch het gelijknamige netwerk van onderwijsinstelling Y op. Dit werkt helaas nog niet direct, maar wel bijna! Onderwijsinstelling Y heeft natuurlijk niet de personendatabase met inloggegevens van onderwijsinstelling X om gebruikers van X tegen te authenticeren, dus gebruikers van X op het netwerk bij Y krijgen alsnog de melding dat hun inloggegevens niet worden herkend omdat ze als X in de personendatabase van Y ontbreken, logisch toch! |
| | 14 | Wanneer onderwijsinstelling Y nu alleen de authenticatie "aanvragen" doorgestuurd via een "centrale server" op internet die op zijn beurt weer doorgekoppeld is aan de personendatabase van de eigen onderwijsinstelling (X in dit geval) en de autorisatie "goedkeuringen" via diezelfde route weer terug afleverd bij de instelling waar de gebruiker zich bevind, dan blijven de persoonsgegevens binnen de eigen onderwijsinstelling waar ze horen en kan de gebruiker na autorisatie bij de andere instelling toch het netwerk/internet gebruiken. Dit allemaal zonder ook maar iets aan zijn eigen apparaat te hoeven veranderen! Vergelijkbaar met mobiele telefoons die tijdens het telefoongesprek in een auto rit van stad A naar B diverse toegangspunten (Telefoon Cells) passeren, zonder dat de gebruiker het merkt dat zijn verbinding weg valt. |
| | 15 | |
| | 16 | Dit eduroam systeem zorgt er uiteindelijk voor dat je als onderwijsinstelling in een strikter wordend klimaat van beveiliging, geslotenheid en aansprakelijkheid toch een verantwoordelijk een dienst dat open, toegankelijk van karakter is kan bieden. |
| | 17 | |
| | 18 | == betrokkenheid Wireless Leiden == |
| | 19 | |
| | 20 | Wireless Leiden neemt momenteel niet als "identity provider" deel aan eduroam, maar faciliteerd louter het doorgeven van de vereiste authenticatie "aanvragen" en autorisatie "goedkeuringen" via een grotendeels intern ontwikkeld prototype infrastructuur. |
| 21 | | Dit maakt het exploiteren van eduroam draadloze toegangspunten tot op stadsniveau, via het Wireless Leiden netwerk eenvoudig, flexibel en betaalbaar! Dit in tegenstelling tot de vaak door kabel beperkte fysiek inpandige gesloten infrastructuur exploitatie, die zich gemakkelijk door het graven/leggen van dure kabelverbindingen laat uitstellen of zelfs afstellen. |
| 22 | | |
| 23 | | == technische en organisatorische opzet == |
| | 23 | Dit maakt het exploiteren van eduroam draadloze toegangspunten via het Wireless Leiden netwerk in publieke ruimte niet alleen, eenvoudig, flexibel en betaalbaar maar doet dit zelfs tot op stadsniveau! De huidige implementatie is een win-win situatie voor betrokken partijen, door de huidige multi SSID techniek neemt zowel de dekking van het eduroam netwerk van een onderwijsinstelling als het Wireless Leiden netwerk toe. Dit in tegenstelling tot de vaak door onderwijsinstelling geisoleerde fysiek inpandige en gesloten infrastructuur exploitatie, die zich gemakkelijk door het graven/leggen van dure kabelverbindingen laat uitstellen of zelfs afstellen. |
| | 24 | |
| | 25 | *Ontwikkelaars van Wireless Leiden zelf kunnen de roaming eigenschap van deze infrastuctuur alleen gebruiken, testen en ontwikkelen wanneer ze beschikken over een geldig accountsnaam en wachtwoord dat geleverd is door een aan eduroam/surf foundation gelieerde identity provider. Als voorbeeld Universiteit Leiden of Hogeschool Leiden. Wel zou er voor hen via een interne identity provider van Wireless Leiden zelf een account gemaakt kunnen worden, maar omdat deze niet centraal gekoppeld is werkt dit niet wanneer ontwikkelaars van het Wireless Leiden eduroam netwerk naar het Universiteits eduroam overgaan. Het Universiteits eduroam netwerk kan namelijk via de centrale server niet bij de onbekende Wireless Leiden interne identity provider komen en zal deze mensen niet op zijn netwerk toelaten. Hiermee word direct duidelijk dat een wederzijdse samenwerking nodig is om het onbegrensde karakter eduroam(ing) te laten werken en beschermen! Een andere mogelijkheid zou het aanvragen van een test-account bij de surf foundation zijn. |
| | 26 | |
| | 27 | == technische en organisatorische benodigdheden == |
| | 28 | |
| 25 | | 1. meerdere type "AccesPoints" die als "eduroam" hotspot zullen fungeren gebasseerd op het flexible OpenWRT |
| 26 | | 2. een enkel centraal en vaste gepositioneerde "Radius Proxy" en gateway functionerend met FREEBSD. |
| 27 | | De verbinding tussen deze twee typen installaties word via een OpenVPN tunnel beveiligd en geencrypt waardoor het mogelijk onveilige karakter van het open WirelessLeiden netwerk vervalt. Naast deze hardware matige en software matige eisen zijn er nog twee andere organisatorische eisen nodig waaronder: |
| 28 | | 1. toegangs/inlog gegevens tot de centrale eduroam surfnet identityprovider koppelaar |
| 29 | | 2. ip whitelisting voor deze server |
| 30 | | 3. inloggegevens/account van een aan eduroam gelieerde onderwijsinstelling! |
| 31 | | |
| | 30 | 1. meerdere type "AccesPoints" die als "eduroam" hotspot zullen fungeren met als basis OpenWRT. |
| | 31 | 2. een enkel centraal en vaste gepositioneerde "Radius Proxy" en gateway met als basis FREEBSD. |
| | 32 | De verbinding tussen deze twee typen installaties word via een OpenVPN tunnels beveiligd en geencrypt opgezet waardoor het mogelijk onveilige karakter van het open WirelessLeiden vervalt. Naast deze hardware matige en software matige eisen zijn er nog vier andere organisatorische eisen nodig waaronder: |
| | 33 | 1. toegang/inlog-gegevens tot de centrale eduroam/surf foundation identityprovider koppel server. |
| | 34 | 2. ip whitelisting voor toegang tot die server. |
| | 35 | 3. inloggegevens/account van een aan eduroam gelieerde onderwijsinstelling om het netwerk op te kunnen! |
| | 36 | 4. certnode die het creeeren van openvpn certificaten en config bestand faciliteert. |
| | 37 | Met deze middelen en een complete handleiding die nu volgt is een plug en play exploitatie van eduroam toegangspunten waar dan ook (binnen het Wireless Leiden netwerk) snel en eenvoudig te realiseren. |
| | 38 | |
| | 39 | == |
