Übersicht zu den Netzwerkdiensten

Die RBG betreibt das Rechnernetz der Technischen Fakultät. Unser Netzwerk leistet weit mehr als nur einen Zugang zum Internet herzustellen: Es verbindet die Arbeitsplatzgeräte untereinander und mit den übrigen IT-Diensten der Technischen Fakultät. Es stellt sicher, daß die Endgeräte mit dem bestmöglichen Datendurchsatz über Gigabit-Dosen versorgt werden. Und es realisiert eine zusätzliche Sicherheitsschicht, damit Daten nicht absichtlich oder unabsichtlich in die Hände von Unbefugten gelangen.

Auf dieser Seite motivieren wir den Aufbau des TechFak-Netzes. In einem Einbruchsszenario diskutieren wir einen potentiellen Angriff von einem Studentenrechner auf einen Arbeitsplatzrechner einer Arbeitsgruppe. Damit wollen wir nicht ausdrücken, daß wir unseren Studierenden mißtrauen; tatsächlich gehen die meisten Studierenden sehr kompetent und verantwortungsvoll mit unserer Infrastruktur um. Leider haben wir aber auch schon einige schwarze Schafe erwischt, weshalb das unten beschriebene Szenario ernstgenommen werden muß und entsprechende Maßnahmen auf der Netzwerkebene erforderlich sind.

Der Aufbau eines normalen Netzwerkes (den wir nicht verwenden)

Abb.1: Flächenförmiges Netzwerk

Die nebenstehende Abbildung zeigt ein typisches flächenförmiges Netzwerk. Fast alle Heim-Netzwerke und auch das Windows-Netz des HRZ sind nach diesem Prinzip aufgebaut. In diesem Netzwerk können alle Komponenten untereinander kommunizieren. So gibt es beispielsweise in diesem Netzwerk einen Rechner im GZI (grün), der Studierenden zur Verfügung steht, und einen weiteren Rechner, der als Arbeitsplatz in einer Arbeitsgruppe steht (blau). Außerdem werden bestimmte Ressourcen wie der Dateiserver zwischen verschiedenen Benutzergruppen geteilt. In diesem Fall liegen die Homeverzeichnisse der Studierenden und der Arbeitsgruppen-Mitarbeiter auf einem zentralen Dateiserver (unten). Das bedeutet anschaulich, daß Dokumente der Studierenden und der AG-Mitarbeiter auf der selben Festplatte liegen.

Potentielle Schwachstellen im flachen Netzwerk

Abb.2: Schwachstellen im flächenförmigen Netzwerk

Das flächenförmige Netzwerk funktioniert gut, solange sich die Benutzer kooperativ verhalten. Es bietet jedoch Angriffspunkte, die von geschickten Anwendern ausgenutzt werden können: Alle Rechner sind über das Netzwerk miteinander verbunden. Weist der Rechner des AG-Mitarbeiters eine Sicherheitslücke auf, kann diese direkt von dem Studenten-Rechner ausgenutzt werden. Auf diese Weise kann sich der Student Zugriff auf das "blaue" Dokument des Mitarbeiters verschaffen. Die Daten verschiedener Benutzergruppen liegen auf dem gleichen Dateiserver. Durch Unachtsamkeit des AG-Mitarbeiters (z.B. indem er auf seine Dateien falsche Zugriffsrechte vergibt) kann sich der Student über den Dateiserver ebenfalls Zugriff auf das "blaue" Dokument verschaffen. Ebenso ist es natürlich möglich, daß Schwachstellen im Dateiserver-Betriebssystem unerlaubte Zugriffe auf fremde Daten ermöglichen.

Aufbau des TechFak-Netzwerks

Abb.3: Aufbau des TechFak-Netzes

Das TechFak-Netzwerk sieht verschiedene Nutzergruppen vor, die jeweils eigene Netzwerkbereiche und Dateiserver erhalten. Ein typisches Beispiel sind die Arbeitsgruppen der TechFak und die Gruppe der Studierenden, die jeweils einen abgeschotteten Netzwerkbereich sowie einen eigenen Dateiserver bekommen. Damit scheitert der in Abb. 2 beschriebene Angriff bereits an dem Netzwerkaufbau: Es kann keine direkte Verbindung zwischen dem Studentenrechner und dem Rechner des AG-Mitarbeiters aufgebaut werden. Selbst wenn der Rechner des AG-Mitarbeiters eine Schwachstelle hätte, könnte sie mangels Zugriffsmöglichkeit über das Netz nicht ausgenutzt werden. Die Daten des AG-Mitarbeiters liegen auf einem eigenen Dateiserver außerhalb der Reichweite des Studentenrechners (vorher lagen sie ggf. auf der gleichen Festplatte!). Selbst wenn der AG-Mitarbeiter seine Daten versehentlich ungeschützt ablegen würde, wären sie so vor einem Zugriff aus den Studentenpools geschützt.

• Mehrere kleine Dateiserver bieten höheren Datendurchsatz.
  Jede Arbeitsgruppe kann die volle Datenbandbreite ihres eigenen Dateiservers nutzen. Es wird verhindert, daß sich verschiedene Nutzergruppen gegenseitig "das Wasser abgraben": Wenn zu viele Nutzer auf den gleichen Server zugreifen, hat das den gleichen Effekt, wie wenn Sie zu Hause mehrere Programme gleichzeitig starten - die Festplatte wird quälend langsam.
• Da viel Netzwerkverkehr innerhalb der Teilnetze stattfindet, müssen weniger Informationen über weite Strecken transportiert werden. Resultat: Wir können fast überall 1-GBit-Anschlüsse anbieten und diese auch auslasten (im HRZ-Netz gibt es typischerweise nur 100MBit).
• Der Ausfall eines kleineren Dateiservers ist leichter zu beheben als der einer großen zentralen Komponente, da weniger Daten zu rekonstruieren sind.
• Die Granularität der Rechtevergabe ist so flexibel, daß Kooperationen zwischen Arbeitsgruppen nicht behindert werden. Es ist problemlos möglich, den Angehörigen mehrerer Arbeitsgruppen den Zugriff auf gemeinsame Daten zu erlauben, während der Schutz der Daten vor dem Zugriff Unbefugter erhalten bleibt.
• Netzwerkstörungen können sich nicht so stark ausbreiten. Falls ein Arbeitsplatzrechner das Netzwerk stört (oder zum Beispiel von einer Schadsoftware befallen wird), ist nur die entsprechende Arbeitsgruppe betroffen. Eine Ausbreitung der Störung über die gesamte TechFak wird verhindert.