Portarias Informática

2024-12-18T13:06:45Z

Eriton.pereira@unesp.br:

==Principais portarias de Informática==

{| class="wikitable"
|-
! No Portaria !! Data !! Origem !! Assunto
|-
| [[http://sistemas.unesp.br/legislacao-web/?base=P&numero=162&ano=2009&dataDocumento=08/04/2009 162/2009]] || 08/04/2009 || Reitoria Unesp || Dispõe sobre a criação do Comitê Superior de Tecnologia da Informação (CSTI).
|-
| [[http://sistemas.unesp.br/legislacao-web/?base=P&numero=162&ano=2009&dataDocumento=08/04/2009| 381/2012]] || 25/06/2012 || Reitoria Unesp || Dispõe sobre normas para elaboração e execução de projetos de Tecnologia da Informação e Comunicação (TIC), em construções e reformas de edifícios na UNESP
|-
| [[Portaria RUNESP 385/2012|385/2012]] || 25/06/2012 || Reitoria Unesp || Baixa o Regulamento Geral para Uso e Administração de Recursos de Tecnologia da Informação e Comunicação na UNESP
|-
| 31/2013 || 04/06/2013 || CSTI || Constitui o Comitê Gestor do Sistema de Gestão Ocupacional, instância normativa subordinada ao CSTI
|-
| 63/2015 || 09/10/2015 || Reitoria Unesp || Dispõe sobre a estrutura organizacional, atribuições e competências para a criação, desenvolvimento, implantação e manutenção de Sistemas Institucionais na Unesp
|-
| [[http://sistemas.unesp.br/legislacao-web/?base=P&numero=60&ano=2016&dataDocumento=05/02/2016| 60/2016]] || 06/02/2016 || Gabinete do Reitor || Dispõe sobre a Relação de corresponsabilidade entre Reitoria e Unidades Universitárias, Campus Experimentais, Unidades Complementares e Assessoria de Informática no processo de desenvolvimento de software
|-
| [[http://sistemas.unesp.br/legislacao-web/?base=P&numero=373&ano=2018&dataDocumento=10/09/2018| 373/2018]] || 10/09/2018 || Reitoria Unesp || Dispõe sobre o acesso aos serviços de e-mail e infraestrutura de redes aos usuários dos serviços de TIC da Unesp
|-
| [[http://sistemas.unesp.br/legislacao-web/?base=P&numero=31&ano=2021&dataDocumento=26/02/2021| 31/2021]] || 26/02/2021 || Reitoria Unesp || Dispõe sobre o acesso aos serviços de infraestrutura de rede aos usuários de Tecnologia da Informação e Comunicação da Unesp.
|-
| [[http://sistemas.unesp.br/legislacao-web/?base=P&numero=94&ano=2021&dataDocumento=13/07/2021| 94/2021]] || 13/07/2021 || Reitoria Unesp || Dispõe sobre a composição do Comitê de Governança e Proteção de Dados Pessoais
|-
|}

Termos de Referência publicados Informática

2024-12-18T12:18:56Z

Eriton.pereira@unesp.br:

{| class="wikitable"
|-
! UASG !! Data !! TR N. !! Objeto !! Tipo
|-
| 102323 - IGCE Rio Claro || 02/08/2024 || 68/2024 || [[TR-102323-68-2024 Contratação de serviços de REPARO EM CABO DE FIBRA ÓTICA|Contratação de serviços de REPARO EM CABO DE FIBRA ÓTICA]] || Serviço
|}

Diretrizes de configuração de switches Extreme

2024-02-19T18:10:02Z

Eriton.pereira@unesp.br: /* Tabela de VLANs padrão */

[[Category:Extreme]]

Este documento fornece diretrizes detalhadas para configurar um switch de rede, abordando desde configurações gerais, como nomeação do dispositivo e ajuste do fuso horário, até a criação de listas de controle de acesso (ACLs) para bloquear consultas SNMP e acesso SSH.

São apresentadas instruções para criação e gestão de VLANs, adição de IPs, criação de usuários com considerações sobre políticas de senhas. Além disso, são abordados tópicos como SNMP, NTP, acesso remoto via SSH, configuração de VLANs e portas, Link Aggregation (LAG) e Stacking.

Destacamos ainda a importância de práticas seguras, como a exclusão das communities private e public no SNMP, a desativação de protocolos inseguros como Telnet e HTTP e a utilização de SSH.

==Configurações gerais==
Facilite a identificação do dispositivo na rede atribuindo um nome através do comando:

<code>configure snmp sysName "<NOME DO DISPOSITIVO>"</code>

Ajuste o fuso horário para a zona brasileira:

<code>configure timezone name BRT -180 autodst</code>

Configure o(s) servidor(es) DNS ativo(s):

<code>configure dns-client add name-server <endereço IP></code>

Adicione o gateway padrão com o comando:

<code>configure iproute add default <IP></code>

==Criação das VLANs==
Uma ação importante é a remoção da vlan Default de todas as portas. Não é recomendado usá-la. Para isso, rode o comando:
configure vlan Default delete ports all
Além disso, crie todas as VLANs e suas tags com <code>create vlan <nome> tag <número></code>. Importante: o nome da VLAN deve, obrigatoriamente, iniciar por uma letra.

Para adicionar um IP à VLAN de Gerenciamento:
<code>configure vlan GERENCIA ipaddress <IP do switch> <máscara de subrede decimal></code>

Isso pode ser feito tanto para IPv4 quanto para IPv6. O comando é o mesmo, bastando substituir a informação referente aos protocolos.

===Tabela de VLANs padrão===
A tabela a seguir contém as VLANs padrão a serem utilizadas. Note que a Unidade é livre para o uso de outras VLANs além das mencionadas:

{| class="wikitable"
|-
! VLAN ID
! Nome/Uso
|-
|2
|Telefonia IP
|-
|10
|Servidores
|-
|20
|Gerenciamento
|-
|25
|Extreme
|-
|44
|Eventos
|-
|45
|Visitantes
|-
|55
|Vigilância
|-
|77
|Eduroam
|-
|88
|IoT
|-
|99
|Videoconferência
|-
|100
|STI
|}

==Configuração de VLANs e Portas (tagged/untagged)==
Uma das principais configurações a serem aplicadas em switches é a parte de VLANs e portas.

<code>configure vlan <nome da VLAN> add ports <número(s) da(s) porta(s)> (un)tagged</code>

Lembrando que portas untagged são para conexão de dispositivos finais (computadores, câmeras, impressoras, etc) e tagged para dispositivos intermediários (telefone VOIP, switches, APs, etc).

==Configuração do STP (Spanning Tree Protocol)==
O modo de configuração do spanning tree segue as características abaixo:

'''Modo STP:''' RSTP

'''Primary Root Bridge:''' Priority 0 nome-switch.core (modelo equipamento)

'''Bridge Priority Default dos demais Equipamentos:''' (32768 por default)

'''Portas Edge:''' Serão configuradas como STP Edge Ports todas as portas de host da rede, seguindo todas as características necessárias de segurança do spanning tree. Para uplinks 802.1q ou portas de acesso com transmissão de BPDUs entre switches, a feature não será utilizada.

==Criação das ACLs (policies)==
Utilize o editor VI na linha de comando para criar as políticas de acesso que bloqueiam consultas SNMP e acesso SSH. Exemplo: O comando <code>vi acl_ssh.pol</code> criará um arquivo (se ainda não existir) com o nome acl_ssh.pol, que permitirá a inclusão das regras de bloqueio e liberação. Um template que pode ser usado como conteúdo do arquivo é este:

<pre>
entry allowManagementIP {
if match any {
source-address <IP/Faixa de IPs 1>;
source-address <IP/Faixa de IPs 2>;
source-address XXX.XXX.X.X/XX;
}
then
{
permit;
}
}
entry denyAll {
if match any {
source-address 0.0.0.0/0;
}
then
{
deny;
}
}
</pre>

A simples criação do arquivo não aplica a política de acesso no switch. É necessário vinculá-la à configuração desejada. Duas situações comuns, como citado, são o bloqueio de SNMP e SSH que podem ser configuradas, respectivamente, com os comandos:

SSH: <code>configure ssh2 access-profile <nome do arquivo, sem o .pol></code>

SNMP: <code>configure snmp access-profile "<nome do arquivo, sem o .pol>" readonly</code>

Note que estas configurações são um complemento às configurações de SSH e SNMP (mencionadas posteriormente neste documento) para aumentar a segurança da rede, impedindo acessos externos não autorizados.

==Criação de usuários==
Para criar usuários que acessarão o switch utilize o comando:

<code>create account admin <nome> <senha></code>

Utilize uma senha segura, pois o usuário receberá privilégios de administrador com o comando anterior. A senha é armazenada criptografada no switch.

É interessante configurar políticas de senhas como as que estão citadas a seguir:

<code>configure account all password-policy min-length 8</code> exige um mínimo de 8 dígitos.

<code>configure account all password-policy lockout-on-login-failures on</code> bloqueia o usuário em caso de falha no login.

<code>configure account all password-policy lockout-time-period 5</code> define o tempo (5 minutos no exemplo) que o usuário estará bloqueado.

==SNMP==
É boa prática também a exclusão das communities private e public. Para isso:

<code>configure snmpv3 delete community "private"</code>

<code>configure snmpv3 delete community "public"</code>

Para adicionar uma nova community (v2c), use o comando:

<code>configure snmpv3 add community "<nome da community>" name "<nome da community>" user "v1v2c_ro"</code>

==NTP==
Para habilitar o uso de um servidor NTP, faça uso dos comandos:

<code>enable ntp</code>

<code>configure ntp server add <IP></code>

==Acesso remoto==
É recomendado desativar o acesso via HTTP, Telnet e habilitar o uso apenas do SSH.

<code>disable web http</code>

<code>disable telnet</code>

<code>enable ssh2</code>

Para adicionar um usuário com sua chave pública, rode o comando:

<code>create sshd2 user-key <nome> <chave pública></code>

Além da criação é necessário vincular a chave do usuário ao usuário, com o comando:

<code>configure sshd2 user-key <nome da chave SSH criada> add user <nome do usuário></code>

==Link Aggregation (LAG)==
Para realizar a configuração de um link lógico de alta capacidade que é originado de um agrupamento de mais de um link de rede (uplinks) chegando em portas diferentes:

<code>enable sharing <porta Master> grouping <lista de portas dos uplinks> algorithm address-based L2</code>

==Stacking==
Por padrão, os switches já vêm com o suporte ao empilhamento ativados. Ainda assim é necessário habilitar o stacking quando houver a pretensão de uso da funcionalidade, permitindo que vários switches ajam como se fossem apenas um.

<code>(comando opcional) enable stacking-support</code>

<code>enable stacking</code>

Ao realizar o comando o switch o sistema operacional EXOS preparará o switch para funcionar em modo Stacking, realizando todas as suas configurações automaticamente.
===Conexão dos cabos DAC===

A imagem a seguir ilustra a maneira correta de conexão dos cabos DAC às portas 31 e 32 (as duas últimas) dos switches de acesso 5320.

[[File:Stacking.png|750px|centre]]

Note que a porta 31 é sempre conectada à porta 32 do switch de baixo da pilha, de modo que a porta 32 do último switch é conectada à porta 31 do primeiro switch da pilha, permitindo assim a realização de redundância das conexões. Em caso de falha de algum dos switches haverá uma reorganização automática do stacking, permitindo a continuidade (mesmo que parcial) das operações.

==Convenção de nomes para os equipamentos==

Os switches Distribuição e Acesso nesse projeto utilizarão os seguintes padrões de hostnames.

Visando facilitar a identificação e diferenciação dos dispositivos de rede adotaremos o seguinte padrão para nomeá-los:

'''{site}.{sect}.{type}.{ip}[.p_rack]'''

LEGENDA:

'''site:''' Sigla de identificação da Localidade, de acordo com a tabela a seguir.

'''sect:''' Identificação para setor ou andar, adotar padrão desejado pela Unidade.

'''type:''' Tipo de dispositivo gerenciado, seguindo o padrão de nomenclatura citado em tabela própria.

'''ip:''' último número do endereçamento IPv4 destinado ao dispositivo.

'''p_rack:''' posição no rack de telecomunicações, se aplicável.

[[File:name_pattern.png|1000px|centre]]

[[File:sigla_equipamento.png|600px]]

==TEMPLATE - COMANDOS BÁSICOS==

Os comandos a seguir realizam diversas configurações básicas nos switches de acesso. Note que há outras configurações necessárias que devem ser realizadas por cada campus, de acordo com a sua realidade.

#Configurações gerais do Switch
configure snmp sysName "REIT.07ANDAR.SW.157" #NOME SEGUNDO NOVO PADRÃO
configure timezone name BRT -180 autodst

#Servidores DNS
configure dns-client add name-server 200.145.6.1
configure dns-client add name-server 200.145.1.1

#VLANs
#Remoção da vlan Default de todas as portas
configure vlan Default delete ports all

#Criação das VLANs padrão
create vlan "VOIP"
configure vlan VOIP tag 2
create vlan "SERVIDORES"
configure vlan SERVIDORES tag 10
create vlan "GERENCIA"
configure vlan GERENCIA tag 20
create vlan "GERENCIA_AP"
configure vlan GERENCIA_AP tag 22
create vlan "EVENTO"
configure vlan EVENTO tag 43
create vlan "EVENTO-AUTH"
configure vlan EVENTO-AUTH tag 44
create vlan "VISITANTE"
configure vlan VISITANTE tag 45
create vlan "CAMERAS"
configure vlan CAMERAS tag 55
create vlan "EDUROAM"
configure vlan EDUROAM tag 77
create vlan "IOT"
configure vlan IOT tag 88
create vlan "VIDEOCONFERENCIA"
configure vlan VIDEOCONFERENCIA tag 99
create vlan "STI"
configure vlan STI tag 100

#VLAN DE GERÊNCIA
configure vlan GERENCIA ipaddress X.X.X.X Y.Y.Y.Y #IPV4
configure vlan GERENCIA ipaddress X::/64 #IPV6

#CONFIGURAÇÕES DAS VLANS - EXEMPLOS
configure vlan 2 add ports 1:1-24 tagged
configure vlan 100 add ports 1:1-20 untagged

#IDENTIFICAÇÃO DE PORTAS
configure ports 1:22 description-string "CAMERA REFEITORIO"

#USUÁRIOS
configure account all password-policy min-length 8
configure account all password-policy lockout-on-login-failures on
configure account all password-policy lockout-time-period 5
create account admin NOME_USUARIO SENHA_SEGURA

#SHARING
enable sharing 1:24 grouping 1:24,2:24 algorithm address-based L2

#ROTA ESTÁTICA
configure iproute add default X.X.X.X #IPV4
configure iproute add default X::X #IPV6
disable iproute ipv4 compression
disable iproute ipv6 compression

#SNMP - DELETAR COMMUNITIES PADRÃO
configure snmpv3 delete community "private"
configure snmpv3 delete community "public"

#SERVIDOR NTP (HORÁRIO)
enable ntp
configure ntp server add 200.145.255.25

#TELNET
disable telnet

#HTTP
disable web http

#SSH
enable ssh2
create sshd2 user-key NOME_USUARIO_SSH CHAVE_PUBLICA
configure sshd2 user-key NOME_USUARIO_SSH add user NOME_USUARIO

==Veja também!==
Na página [[Switch_Extreme]] há estas e outras configurações que podem servir de guia para a implementação de configurações diversas!

wikiti - Contribuições do usuário [pt-br]

Portarias Informática

Termos de Referência publicados Informática

Diretrizes de configuração de switches Extreme