Vai al contenuto

📡 Resource Provider

Un Resource Provider è un ente che partecipa alla federazione eduroam fornendo gli apparati e l'infrastruttura di rete che permette agli utenti di accedere alla rete.

Possono aderire come Resource Provider anche gli enti, istituti o organizzazioni che non sono collegati alla rete GARR come indicato in Chi può aderire.

📋 Requisiti

I requisiti per essere un Resource Provider sono:

  • Avere un'infrastruttura wifi che supporti 802.1X e WPA2/AES
  • Diffondere un SSID denominato eduroam
  • Un RADIUS server correttamente configurato

⚖ Obblighi

Come stabilito dal Regolamento Italiano della Federazione eduroam un Resource Provider deve:

  • fornire accesso ad almeno le seguenti porte e protocolli:

    • IPSec VPN: protocolli IP 50 (ESP) e 51 (AH) (entrata e uscita) e UDP/500 (IKE) (uscita)
    • OpenVPN 2.0: UDP/1194 (entrata e uscita)
    • IPv6 Tunnel Broker service: protocollo IP 41 (entrata e uscita)
    • IPsec NAT-Traversal: UDP/4500 (entrata e uscita)
    • Cisco IPSec VPN over TCP: TCP/10000 (uscita)
    • PPTP VPN: protocollo IP 47 (GRE) (entrata e uscita) e TCP/1723 (uscita)
    • SSH: TCP/22 (uscita)
    • HTTP e HTTPS: TCP/80, TCP/443, TCP/3128, TCP/8080 (uscita)
    • IMAP4 e IMAPS: TCP/143 e TCP/993 (uscita)
    • POP3 e POP3S: TCP/110 e TCP/995 (uscita)
    • (S)FTP passivo: TCP/21 (uscita)
    • SMTPS: TCP/465 (uscita)
    • SMTP submission via STARTTLS: TCP/587 (uscita).

  • le porte a cui hanno accesso i visitatori non dovrebbe essere ristretto (ossia consentire, oltre a quelle indicate nel punto precedente, il traffico in uscita senza filtri). Ove ciò non sia possibile, il numero di porte filtrate dovrebbe essere il minore possibile.

  • offrire almeno servizi wireless LAN IEEE 802.11b, mentre è consigliato IEEE 802.11g e possono essere forniti anche IEEE 802.11a e successive implementazioni

  • utilizzare e annunciare il SSID eduroam: nel caso di conflitti con reti vicine, PUO' utilizzare un SSID del tipo eduroam-xxxxxx con xxxxxx una stringa che suggerisca il nome dell'ente che lo propaga

  • inviare, all'interndo del datagramma RADIUS, il valore del Calling-Station-Id che deve essere valorizzato con il MAC Address del dispositivo che si sta collegando ad eduroam.

  • supportare IEEE 802.1X

  • supportare WPA2/AES (WPA2/TKIP PUO' essere supportato)

  • nominare almeno una persona responsabile del servizio, comunicandone al GARR il nominativo, l'indirizzo email e il numero di telefono. Eventuali variazioni di contatti tecnici e delle relative informazioni devono essere comunicate al GARR

  • assicurarsi che i sistemi utilizzati dagli utenti roaming siano configurati e mantenuti secondo i correnti standard di sicurezza, in modo da non mettere in pericolo la sicurezza propria e delle altre Organizzazioni

  • predisporre una pagina web che contenga la propria AUP e le informazioni necessarie per la connessione.

  • collaborare con l'Organizzazione a cui appartengono gli utenti del servizio roaming per risolvere eventuali problemi

  • collaborare con il GARR per la risoluzione di eventuali incidenti di sicurezza

  • conservare, per un periodo minimo di sei mesi o maggiore se prescritto dalla legislazione vigente, le informazioni relative agli accessi ed in particolare:
    • data e ora della richiesta
    • il valore dell'User-Name della richiesta (outer-identity)
    • il Calling-Station-Id nelle richieste di autenticazione
    • l'accoppiamento tra l'indirizzo hardware dell'apparato usato dall'utente e l'indirizzo IP assegnato
    • se presente, il valore del Chargeable-User-Identity
    • il risultato dell'autenticazione restituito dall'authentication server
    • i valori di Accounting Session Id e Accounting status type per le richieste di Accounting

  • assegnare un indirizzo IPv4 attraverso un DHCP

Inoltre un Resource Provider dovrebbe:

  • oltre alle porte e ai protocolli sopra indicati, consentire tutte le connessioni in uscita
  • evitare l'uso del NAT: ove presente deve essere possibile identificare il mapping tra l'indirizzo pubblico e quello privato
  • fornire connettività IPV6

E' inoltre raccomandato:

  • l'invio dell'attributo Operator-Name
  • richiedere il Chargeable-User-Identity
  • installare un server RADIUS secondario

Infine un Resource Provider non dovrebbe:

  • utilizzare un proxy. Nel caso sia presente un proxy, esse non deve essere utilizzato per acquisita informazioni personali dell'utente prima dell'accesso ad Internet e l'utilizzo deve essere reso noto sul proprio sito web eduroam.
  • inviare le richieste di Accounting ai server del GARR