|
|
|
Descripción general del estudio guiado de caso |
| Requisitos generales El distrito escolar está en proceso de implementar una red que abarca toda la organización, que incluye redes de área local (LAN) en cada uno de los sitios y una red de área amplia (WAN) para suministrar conectividad de datos entre los sitios escolares. El acceso a Internet desde cualquier sitio en el distrito escolar también es parte integral de esta implementación. Una vez que la red esté en funcionamiento, el distrito escolar deberá implementar un conjunto de servidores para facilitar la automatización en línea de todas las funciones administrativas y de varias de las funciones curriculares del distrito. Como esta implementación de red debe ser funcional durante 7-10 años como mínimo, todas las consideraciones de diseño deben incluir por lo menos un crecimiento de 100x (veces) en el rendimiento de la LAN, un crecimiento de 2x (veces) en el rendimiento central de la WAN y un crecimiento de 10x (veces) en el rendimiento de la conexión de Internet del distrito. El requisito mínimo para el diseño de la implementación inicial es de 1.0 Mbps para cualquier computador host en la red y de 100 Mbps para cualquier servidor host en la red. Solamente se permite la implementación de dos protocolos de las capas 3 y 4 OSI en esta red, que son TCP/IP y Novell IPX. SECCIÓN 1 - Red de área amplia SECCIÓN 1 - RED DE ÁREA AMPLIA La red de área amplia (WAN) del Distrito Escolar Washington conecta todas las oficinas escolares y administrativas con la oficina de distrito con el propósito de enviar datos. La WAN se basa en un modelo jerárquico de dos capas. Se establecen tres (3) hubs regionales: la Oficina del distrito/Centro de datos, el Centro de servicios y la escuela primaria Shaw Butte con el propósito de formar una red central de WAN rápida. Las ubicaciones escolares se conectan a las ubicaciones de hub de la WAN central basándose en la proximidad con el hub. TCP/IP y Novell IPX son los únicos protocolos de networking que se aceptan para que atraviesen la WAN de distrito. Todos los demás protocolos se filtran en los sitios escolares individuales utilizando los routers de acceso. También se instalan routers poderosos, de extremo superior, en cada ubicación central de la WAN. El acceso a Internet o a cualquier otra conexión de red externa se suministra a través de la Oficina de distrito/Centro de datos a través de un enlace WAN Frame Relay. Por razones de seguridad, no se permite ninguna otra conexión. SECCIÓN 2 - ESQUEMA DE CABLEADO Y RED DE ÁREA LOCAL Se implementan dos segmentos de red de área local (LAN) en cada escuela y en la Oficina de distrito. Las velocidades de transporte deben ser Ethernet 10BASE-T, 100BASE-TX y 100BASE-FX. El cableado horizontal debe ser de par trenzado no blindado Categoría 5 (UTP CAT5) y debe tener capacidad (debe estar probado) para aceptar 100 Mbps. El cableado vertical (backbone) debe ser UTP Categoría 5 o cable de fibra óptica multimodo. La infraestructura de cableado debe cumplir con los estándares TIA/EIA-568-A y TIA/EIA-569. Se debe designar una LAN para el uso de los estudiantes/del currículum y la otra se debe designar para uso administrativo (ver: SECCIÓN DE SEGURIDAD). La infraestructura de la LAN se basa en la conmutación LAN Ethernet. Esto permite una migración a velocidades más altas (mayor ancho de banda) a los computadores individuales y entre los MDF y los IDF sin modificar el esquema de cableado físico para aceptar aplicaciones futuras. En cada ubicación se debe establecer una habitación para el Servicio de Distribución Principal (MDF) como el punto central donde termina todo el cableado de la LAN y también debe ser el punto de presencia (POP) para la conexión de la red de área amplia. Todos los componentes electrónicos principales de la red, tales como los routers y los switches de la LAN, se colocan en esta ubicación. En algunos casos, se debe establecer una habitación para el Servicio de Distribución Intermedia (IDF), donde las longitudes del cableado horizontal superen las distancias recomendadas en TIA/EIA 568-A o donde las condiciones del sitio lo determinen. En esos casos, el IDF brindará servicio a su área geográfica y el IDF se conectará directamente al MDF en una topología en ESTRELLA o en ESTRELLA EXTENDIDA. Cada habitación que requiera una conexión con la red debe poder soportar 24 estaciones de trabajo y se le deben suministrar cuatro (4) tendidos de cable UTP Categoría 5 para los datos, y uno de los tendidos debe terminar en la estación de trabajo del profesor. Estos tendidos de cable deben terminar en el MDF o IDF más cercano. Todos los tendidos de cable UTP Categoría 5 se deben probar de extremo a extremo para verificar la capacidad de ancho de banda de 100 Mbps. Se debe designar una sola ubicación en cada habitación como el punto de presencia (POP) de cableado para esa habitación. Debe estar compuesto por un gabinete que se pueda cerrar con llave, que contenga todas las terminaciones de cableado y los componentes electrónicos, es decir, hubs y switches de datos. Desde esta ubicación, se deben distribuir los servicios de datos dentro de la habitación a través de molduras de cableado decorativas. La Red 1 se asigna para uso curricular general y la red 2 se asigna para uso administrativo. SECCIÓN 3 - SERVIDORES SUMINISTRADOS POR EL DISTRITO Y SUS FUNCIONES Todos los servidores de archivo se clasifican como servicios de tipo Empresarial o de Grupo de trabajo, y luego se ubican en la topología de la red según la función y los modelos de tráfico anticipado de los usuarios. SERVICIO DE NOMBRES DE DOMINIO y SERVICIOS DE CORREO ELECTRÓNICO Los Servicios de Nombres de Dominio (DNS) y el envío de correo electrónico se implementan de forma jerárquica con todos los servicios ubicados en el servidor maestro de la oficina de distrito. Cada ubicación del hub de distrito contiene un servidor DNS que soporta las escuelas individuales a las que se les brinda servicio fuera de esa ubicación. Cada escuela también debe tener un host para los servicios de DNS y de correo electrónico (es decir, una oficina postal local) que mantiene un directorio completo de los miembros del personal y de los estudiantes que corresponden a esa ubicación. El host escolar es la casilla de correos local y allí se guardan todos los mensajes de correo electrónico. El proceso de actualización de DNS fluye desde el servidor escolar individual hacia el servidor Hub y hacia el servidor de distrito. Todos los servidores regionales deben tener la capacidad para comunicarse entre sí, creando de este modo redundancia en el sistema en caso de que el servidor maestro de Distrito no esté disponible. Si el servidor maestro de Distrito requiere una restauración de datos parcial o completa, se suministra la capacidad para solicitarle a uno o todos los servidores regionales que obtengan la información necesaria. SERVIDOR ADMINISTRATIVO El distrito escolar tiende hacia un sistema administrativo completamente automatizado basado en un servidor. Cada ubicación escolar contiene un servidor Administrativo que aloja los datos de seguimiento de los estudiantes, la asistencia, calificaciones y otras funciones administrativas. Este servidor debe ejecutar TCP/IP como su protocolo de capa 3 y 4 del modelo OSI y sólo debe estar a disposición de los profesores y los miembros del personal. SERVIDOR DE BIBLIOTECA El distrito escolar está implementando un sistema automatizado de recuperación e información automatizada de la biblioteca, que mantiene una biblioteca en línea para fines de investigación curricular. Este servidor debe ejecutar TCP/IP como su protocolo de Capa 3 y Capa 4 del modelo OSI y debe estar a disposición de cualquier persona en el sitio escolar. SERVIDOR DE APLICACIONES Todas las aplicaciones informáticas se alojan en un servidor central en cada ubicación escolar. Como los usuarios solicitan aplicaciones tales como procesamiento de textos con Word, Excel, PowerPoint, etc., estas aplicaciones se deben recuperar desde el servidor de aplicaciones. Esto suministra a los miembros del personal de soporte de distrito un método sencillo y eficaz para actualizar aplicaciones sin necesidad de volver a cargar el nuevo software en cada computador en la red de distrito. Este servidor debe ejecutar TCP/IP como su protocolo de Capa 3 y Capa 4 del modelo OSI y debe estar a disposición de cualquier persona en el sitio escolar. OTROS SERVIDORES Cualquier otro servidor implementado en los sitios escolares se debe considerar como un servidor departamental (de grupo de trabajo) y se debe colocar de acuerdo con las necesidades de acceso del grupo de usuarios. Antes de implementar otros servidores, se debe enviar un análisis de los requisitos con el propósito de determinar la ubicación del servidor en la red de distrito. SECCIÓN 4 - DIRECCIONAMIENTO Y ADMINISTRACIÓN DE LA RED La Oficina del distrito debe desarrollar y administrar un esquema de convención de nombres y de direccionamiento TCP/IP completo para todos los hosts, servidores y dispositivos de interconexión de red. Se debe prohibir la implementación de direcciones no autorizadas. El Esquema de direccionamiento de distrito se puede implementar de diversas formas. Algunas ideas que se pueden tener en cuenta son las direcciones Clase A, B y C con una división en subredes adecuada; Traducción de direcciones de red (NAT) y Números de redes privadas. Todos los computadores ubicados en las redes administrativas tienen direcciones estáticas, los computadores del currículum obtienen direcciones utilizando el Protocolo de configuración dinámica del host (DHCP). Cada sitio debe tener un servidor que ejecute DHCP y debe utilizar solamente direcciones que sean compatibles con el Esquema de direccionamiento de distrito general. Se establece un host maestro de administración de red en la Oficina de distrito, que tiene derechos administrativos totales sobre todos los dispositivos en la red. Este host también funciona como el host de configuración del router y mantiene las configuraciones actuales de todos los routers en la red. Cada ubicación regional (Hub) mantiene un host de administración de red regional que brinda soporte a su área. El esquema de administración para la parte de datos de la red se debe basar en los estándares del Protocolo de administración de red simple (SNMP). Todos los routers apuntan al host maestro de Administración de la red con el propósito de descargar configuraciones nuevas o existentes. La Oficina de distrito debe mantener las contraseñas de los superusuarios para todos los dispositivos de red y los cambios de configuración en estos dispositivos deben ser autorizados por la Oficina de distrito, es decir, los routers y los switches LAN. Amenazas externas: La conectividad de Internet debe utilizar una implementación de firewall doble, con todas las aplicaciones expuestas a Internet ubicadas en una red de backbone pública. En esta implementación, se rechazan todas las conexiones que se inician desde Internet hacia la red privada de la escuela. En el modelo de seguridad de distrito, la red se divide en tres (3) clasificaciones de red lógica: administrativa, del currículum y externa, con interconexiones aseguradas entre las mismas. Este modelo establece que se deben instalar dos infraestructuras LAN físicas en todas las escuelas y en la Oficina de distrito, una de ellas designada como administrativa y la otra como curricular. Cada uno de los computadores y servidores de archivos se clasifican de acuerdo con su función y se ubican en el segmento LAN correspondiente. En las escuelas, cada segmento LAN tiene un servidor de archivo. Todas las aplicaciones se deben clasificar y ubicar en el servidor adecuado. Al utilizar Listas de control de acceso (ACL) en los routers, todo el tráfico desde las LAN del currículum se prohíbe en la LAN administrativa. Las excepciones a esta ACL se pueden establecer individualmente. Se permite que las aplicaciones tales como correo electrónico y servicios de directorio pasen libremente ya que no implican ningún riesgo. Se debe publicar y hacer cumplir de forma estricta una política de ID de usuario y contraseña en todos los computadores del distrito. Todos los computadores de la red de distrito tienen acceso total a Internet. Todas las ACL se controlan en la oficina de distrito y las excepciones a las ACL se revisan antes de su implementación. SECCIÓN 6 - CONECTIVIDAD DE INTERNET La conectividad de Internet se debe suministrar a través de la Oficina de distrito, siendo esta oficina el único punto de contacto para todas las escuelas y organizaciones dentro del distrito. Esta conexión debe estar altamente controlada y su capacidad (ancho de banda) se debe actualizar según el uso. La conexión de Internet utiliza una implementación de firewall doble con una red pública (backbone Ethernet) que se establece para servicios expuestos a Internet, como correo electrónico maestro, Servicios de nombres de dominio (DNS) y servidor de la World Wide Web. Toda la conectividad que se inicia desde Internet a la red interna del distrito se debe proteger mediante listas de control de acceso (ACL) en los routers que componen la arquitectura de firewall doble. Se debe permitir que cualquier conectividad que se inicie desde el distrito hacia Internet se comunique libremente. Los servicios de correo electrónico y DNS se deben poder comunicar libremente en ambas direcciones dado que estas aplicaciones no implican ninguna amenaza a la seguridad. Se debe ubicar un servidor de Web en el backbone público y se debe particionar para permitir que cualquier escuela instale una página Web en Internet. Los servidores de Web individuales que necesitan exposición total a Internet no se deben permitir en la red de distrito interna. Si las escuelas requieren un host de servidor web independiente, este host se ubicará en el backbone de la red pública. SECCIÓN 7 - NÚMERO DE USUARIOS Estudio guiado de caso - Números de usuarios en cada sitio Direccionamiento del distrito escolar primario Distrito Escolar Primario Washington
Notas:
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
