Připojení k eduroamu v ČR

Administrativní rámec české eduroam federace je zajištěn eduroam politikou. Instituce připojené k síti CESNET se mohou připojit bez dalších formálních administrativních úkonů. Připojení ostatních institucí je možné, pokud instituce splňuje AP a AUP sítě CESNET.

Všechny připojené instituce se připojením k české eduroam federaci zavazují dodržovat a respektovat eduroam politiku. Základním kamenem eduroamu je prinicip reciprocity, krom výjimečných případů není možné připojit organizaci, která nebude poskytovat WiFi konektivitu návštěvníkům. Máte-li pochybnosti, zda je možné vaši organizaci k eduroamu připojit, kontaktujte nás.

Připojení instituce k eduroam.cz je komplexní úkon, je žádoucí, aby se správci instituce předem seznámili s principy fungování eduroamu. Tuto problematiku pokrývá dokument „eduroam v rámci české NREN“. Technické zapojení je znázorněno na obrázku. Nezbytnou podmínkou je funkční AAI infrastruktura na instituci a dále zprovoznění vlastního RADIUS serveru tak, aby odpovídal eduroam politice parametrům uvedeným dále na těchto stránkách.

Zbytek této stránky je koncipován jako úkolovník, kterým se může správce realizující připojování nechat vést. Pro snažší zapojování nových organizací byla vytvořena přehledová stránka pripojovani.eduroam.cz. Správci nově zapojovaných organizací mohou tuto stránku využít pro zjištění aktuálního stavu připojovaní dané organizace. Přehlednou a jasnou formou jsou prezentovány všechny kroky, které je třeba splnit, společně s odkazy na dokumentaci. Správce by v ideálním případě měl postupovat podle zobrazeného stavu nově připojované organizace a neměla by být potřeba dodatečná vysvětlující komunikace.

Pokud správce nemá dostatečné vlastní kapacity, může využít pomoc i implementačních firem se zkušenostmi s eduroamem.

Každá připojená instituce musí oznámit jaký realm (doménu) bude používat, jak se jmenuje její RADIUS server a jmenovat správce zodpovědné za provoz serverů instituce a za její uživatele.

Další informace ...

Pro spojení s národním RADIUSem přes RadSec/IPsec, musí správce připojované organizace získat certifikát od uznávané CA. Uznávaná certifikační autorita eduroam CA 2 vydává certifikáty pro registrované RADIUS servery.

Pro EAP je možno použít jakýkoliv certifikát dle uvážení správců organizace.

Další informace ...

Protokolem připojení je myšlen protokol pro spojení RADIUSu instituce s národním RADIUSem. Na výběr máme RadSec nebo RADIUS zabezpečený pomocí IPsec. Používáte-li Linux, BSD doporučujeme použít FreeRADIUSu v3 nebo Radiator, které RadSec podporují. Používáte-li RADIUS server, který RadSec neumí (například Network Policy Server od Microsoftu), budete muset RADIUS provoz zabezpečit pomocí IPsec. Alternativně se dá pro zabezpečení RADIUS provozu použít radsecproxy, což může být snadnější než konfigurace IPsec, zvláště pokud máte k dispozici Linux server, kde by radsecproxy mohla být umístěna.

Další informace ...

Jako RADIUS server lze použít v podstatě jakoukoli implementaci RADIUS protokolu. Požadované parametry jsou detailněji rozepsány na stránce souhrn technických parametrů.

Doporučujeme použít FreeRADIUS verze 3.

Další informace ...

Organizace připojené v režimu IdP poskytují testovací účet, který je použit pro monitoring. Současně je nutné zpřístupnit RADIUS server organizace monitoringu.

Monitoring se provádí ze stroje monitoring.eduroam.cz a je nutno povolit přístup na ICMP ping a port UDP/1812.

Informace o eduroamem pokrytých lokalitách předává každá zapojená instituce pomocí aplikace pokryti.eduroam.cz

Další informace ...

Po splnění všech výše uvedených a dílčích bodů může být organizace, po následné kontrole, kompletně připojena k české federaci eduroam.

Pro správce je také k dispozici přehled informačních zdrojů, které mají k dispozici.