Skip to end of metadata
Go to start of metadata

 Information in English (Click here to expand)
Funet supports eduroam, the international collaboration service for easier network access for academic users. The service is available e.g. in Finnish universities and in most of the universities of applied sciences. The information on this page is available only in Finnish. If you have problems using the service, please contact first your home organisation.


Additional information

Kuvaus

Verkkovierailupalvelu eduroamin piirissä olevien Funet-jäsenorganisaatioiden käyttäjät voivat kirjautua omilla tutuilla käyttäjätunnuksillaan langattomaan vierailijaverkkoon vieraillessaan minkä tahansa eduroam-verkon kuuluvuusalueella. Kunkin käyttäjän käyttäjätunnustiedot haetaan tämän kotiorganisaatiosta eikä erillisiä vierailijatunnuksia tarvita, mikä vähentää käyttäjähallinnointiin liittyvää työtä. Toteutus perustuu 802.1X-autentikointiin ja WPA2/AES-salaukseen, joten palvelun käyttö on turvallista ja suositeltavampaa kuin avointen WLAN-verkkojen käyttäminen. Oikein konfiguroitu päätelaite kytkeytyy eduroam-verkkoon sen kantoalueella automaattisesti, ja slogan kuuluukin "open your device and be online".

Verkkovierailupalvelu eduroam on kansainvälinen järjestelmä, joka edistää käyttäjiensä liikkuvuutta ja työskentelyä ympäri maailman. Palvelu perustuu organisaatioiden väliseen vastavuoroisuuteen, ja siihen voivat liittyä ylemmät oppilaitokset ja tutkimuslaitokset. Suomessa eduroamia koordinoi Funet. Maailmanlaajuinen eduroam-kattavuus selviää eduroam.orgin kuuluvuuskartasta.

eduroamissa organisaatio tarjoaa omille ja vieraileville eduroam-käyttäjille langatonta verkkoaan kuuluvuusalueellaan. Tällöin palvelua kutsutaan Service Provider (SP) ja Identity Provider (IdP) ratkaisuksi.

HUOM. eduroamiin on mahdollista liittyä myös Funet palveluntarjoajana (Service Provider), jolloin esimerkiksi kaupunki tai kahvila voi tarjota vierailijoilleen maksuttoman pääsyn eduroamiin. Lue tarkemmin eduroam proxy -palvelusta.

Seuraavassa eduroamin kolme merkittävintä etua tavalliseen vierailijaverkkoon nähden:

  1. Muista eduroam-organisaatioista saapuvat vierailijat saavat käyttöönsä tunnetun ja heti käyttövalmiin vierailijaverkon ilman erillisiä vierailijatunnuksia.

  2. Vastaavasti omat käyttäjät pääsevät verkkoon kotikorkeakoulunsa lisäksi kaikissa muissakin eduroam-paikoissa kotimaassa ja ulkomailla. Kotiverkossa omille käyttäjille voi antaa vierailijoita laajemmat käyttöoikeudet, esimerkiksi pääsyn intranetiin.

  3. Palvelu perustuu tietoturvallisiin tekniikoihin, kuten 802.1X-autentikointiin ja WPA2-salaukseen.

Käyttöönotto

Mukaan pääsevät kaikki Funet-jäsenorganisaatiot korkeakouluista tutkimuslaitoksiin ilman erillistä sopimusta. eduroamiin liittyäkseen Funet-jäsenorganisaation on täytettävä eduroam policyn mukaiset tekniset vaatimukset. Loppukäyttäjän asennusohjeet taas saat omasta korkeakoulustasi sekä loppukäyttäjille kohdennetulta eduroam.fi -sivustolta.

Tarkemmat liittymisohjeet organisaatiolle löytyvät alempaa Ohjeet-kohdasta tältä sivulta. Saat myös aina apua Funetilta, ota halutessasi yhteyttä: Yhteystiedot.

Suomessa eduroam on käytettävissä seuraavissa organisaatioissa:


Käyttäjä sitoutuu noudattamaan sekä kotiorganisaationsa että vierailtavan organisaation verkon käyttösääntöjä. Myös päätelaitteen tietoturva tulee huomioida, sillä vierailijaverkon ja internetin välissä ei välttämättä ole palomuuria tai samaa pakettisuodatusta kuin oman kotikorkeakoulun verkossa. Eri toimijoiden toteuttamissa vierailijaverkoissa voi myös olla erilaisia teknisiä rajoituksia tai laadullista vaihtelua. Ongelmatilanteissa käyttäjän tulee olla aina ensiksi yhteydessä omaan kotiorganisaatioonsa, joka on vastuussa käyttötuen tarjoamisesta omalle käyttäjälleen.

Hinnoittelu

Palvelu sisältyy Funet-maksuun.

Tilastot

Verkkovierailupalvelu eduroamissa on mukana yli 30 Funet-jäsenorganisaatiota. Verkko on käytettävissä sadoissa kohteissa Suomessa ja kansainvälisesti noin 100 maassa. Maailmanlaajuisia tilastoja voi tarkastella osoitteessa monitor.eduroam.org.

Ohjeet

Seuraavassa on tiivis yhteenveto siitä, mitä vaatimuksia ja toimenpiteitä eduroamin käyttöönottoon liittyy.

Kuka pääsee mukaan?

Kaikki Funet-jäsenorganisaatiot voivat liittyä maksutta mukaan eduroam-verkkovierailuun. Mukana ovat jo muun muassa kaikki yliopistot sekä valtaosa ammattikorkeakouluista.

Verkkoinfrastruktuuri

Langattomien tukiasemien on tuettava 802.1X- ja WPA2/AES-tekniikoita. Lisäksi tukiasemien pitää pystyä mainostamaan eduroam-SSID:tä mahdollisten muiden verkkojen lisäksi. Nykyaikaiset enterprise-tukiasemat kelpaavat lähes poikkeuksetta. Funetin sisällä käytetyimpiä ovat Aruban, Ciscon ja HP:n kontrolleripohjaiset ratkaisut. Verkkoinfrassa käyttäjät lajitellaan tyypillisesti eri virtuaalilähiverkkoihin (VLAN) sen perusteella, onko kyse omasta vai vierailevasta käyttäjästä.

Autentikointipalvelin ja käyttäjätietokanta

Käyttäjien autentikointia varten tarvitaan RADIUS-palvelin, joka liitetään eduroamin kansainväliseen RADIUS-hierarkiaan Suomen eduroam-juuripalvelinten kautta (Service Provider). Funet vastaa Suomen juuripalvelusta ja avustaa liitoksessa. Jotta organisaation omat käyttäjät pystyvät kirjautumaan eduroamiin sekä kotiverkossaan että vieraillessaan muissa eduroam-verkoissa (Identity Provider), tulee organisaation liittää RADIUS-palvelin omaan käyttäjätietokantaan, jota vasten sen omat käyttäjät autentikoidaan. RADIUS-palvelimina on yleisesti käytössä FreeRADIUS, Radiator ja Microsoftin IAS/NPS. Käyttäjätietokanta voi olla esimerkiksi AD. Funet toimittaa testausvaiheessa määräaikaiset testitunnukset, joilla voi testata eduroam-kirjautumista vierailevan käyttäjän näkökulmasta.

RADIUS-palvelimelle tarvitaan palvelinvarmenne. Funet-jäsenorganisaatioilla on mahdollisuus hankkia maksuton julkisen varmentajan allekirjoittama varmenne Funet-varmennepalvelun kautta. Myös itseallekirjoitettu varmenne kelpaa, mutta tällaista varmennetta ei luonnollisestikaan löydy valmiina käyttäjien päätelaitteista.

eduroam-yhteisö on määrittänyt verkkopalvelut, jotka on oltava saatavilla vierailijoille. Alla Porttimääreet-kohdassa on esitetty portit, jotka on avattava eduroam-vierailijoille. Kyse on minimivaatimuksesta.


 Porttimääreet (näytä/piilota)

Palvelu

Protokolla/Portti

Suunta

Standard IPSec VPN

IP protocol 50 (ESP)

IP protocol 51 (AH)

UDP port 500 (IKE)

saapuva ja lähtevä

saapuva ja lähtevä

lähtevä

OpenVPN 2.0

UDP port 1194

saapuva ja lähtevä

IPv6 Tunnel broker service

IP protocol 41

saapuva ja lähtevä

IPSec NAT - Traversal

UDP port 4500

saapuva ja lähtevä

Cisco IPSec VPN over TCP

TCP port 10000

lähtevä

PPTP VPN

IP protocol 47 (GRE)

TCP port 1723

saapuva ja lähtevä

lähtevä

SSH

TCP port 22

lähtevä

HTTP

TCP port 80

TCP port 443

TCP port 3128

TCP port 8080

lähtevä
lähtevä
lähtevä
lähtevä

Sähköpostin lähettäminen

TCP port 465

TCP port 587

lähtevä
lähtevä

Sähköpostin vastaanottaminen

TCP port 143

TCP port 993

TCP port 110

TCP port 995

lähtevä
lähtevä
lähtevä
lähtevä

FTP (passiivinen)

TCP port 21

lähtevä

Viimeistelevät toimenpiteet

Kun verkkovierailujärjestelmä on teknisesti käyttökunnossa, tulee vielä huolehtia muun muassa käyttäjäviestinnästä ja tukitoiminnoista. Omia käyttäjiä kannattaa tiedottaa eduroamin olemassaolosta sekä kannustaa ja opastaa sen käyttöön. Päätelaitteiden konfigurointi on suositeltavaa suorittaa provisiointityökaluilla, joilla saavutetaan yhteensopivat ja tietoturvalliset konfiguraatiot. Funet suosittelee eduroam CAT -työkalua (https://cat.eduroam.org), joka tulee Windows-, Linux-, Mac-, iOS- ja Android-alustoja. Funet luo verkkoylläpitäjille pyynnöstä käyttäjätunnukset eduroam CAT -palveluun, johon ylläpitäjä syöttää oman eduroam-verkkonsa tiedot, kuten varmenteen ja autentikointipalvelimen nimen. Tämän jälkeen CAT luo käyttöjärjestelmäkohtaiset asennuspaketit loppukäyttäjien noudettavaksi.

Ilmoita uusista tai poistuneista eduroam-käyttöpaikoista (katuosoitteen tarkkuudella) Funetille, joka ylläpitää Suomen tietoja kansainvälisessä eduroam-peittokartassa. Karttadatan pohjalta toimii myös eduroam Companion -mobiilisovellus (Android ja iOS), joka löytää GPS-paikannuksen ja karttadatan perusteella käyttäjää lähimpänä olevat eduroam-tukiasemat. Sovellusta on hyvä markkinoida myös korkeakoulun eduroam-ohjeistuksen yhteydessä. Funetilta saa eduroam-tarroja kiinnitettäväksi esimerkiksi kampusrakennusten tai luentotilojen sisäänkäyntien yhteyteen. Joissain korkeakouluissa on myös valmisteltu opiskelijatöinä eduroam-aiheisia julisteita. Mielikuvitusta saa käyttää!

Verkkovierailun toimivuutta kannattaa myös valvoa. Valvonnan toteutuksesta on kirjoitettu muun muassa MobileFunet-yhteistyöryhmän Parhaat käytännöt -dokumentissa WLAN-verkon infrastruktuuri. Vertaistukea eduroamiin ja laajemminkin langattomiin verkkoihin liittyvissä asioissa voi hakea MobileFunetin postituslistan kautta.

Informoi käyttäjiä palvelusta julistein! Lataa eduroam-julistetiedosto tulostettavaksi/painettavaksi:


Dokumentaatio, konfigurointiohjeet ja tuki

Verkkovierailupalvelu eduroam on kansainvälisesti tunnettu verkkovierailujärjestelmä, joten internetistä löytyy runsaasti siihen liittyvää materiaalia. Seuraavassa on valikoituja linkkejä hyviksi todettuihin materiaaleihin, ja eduroamiin liittyvissä asioissa voi aina olla yhteydessä myös Funetiin (ota yhteyttä).

eduroam.org: eduroam Policy Service Definition (pdf, eduroamin palvelukuvaus ja politiikka)

MobileFunet:  Parhaat käytännöt -dokumentit (oppaita ja konfigurointiohjeita, mm. ladattavat konfiguraatiot FreeRADIUSv2-palvelimelle)

Geant.org: How to deploy eduroam on-site or on campus (kattava wiki eduroamin käyttöönottoon kampuksella)

Tietosuojadokumenttipohja eduroam IdP -organisaatioille: eduroam Privacy Notice template for institutions-CSC-Funet v1.0.docx

Loppukäyttäjäsivusto: www.eduroam.fi

Vianselvitys

Jos käyttöönottovaiheessa autentikointiin kuuluva viestinvälitys ei toimi ongelmitta, onglema saattaa olla UDP-fragmentoinnissa. UDP-fragmentointi pitää sallia WLAN-verkon kontrollerilta  RADIUS-palvelimelle asti koko matkalla (palomuurit, reitittimet. ym.). Linkillä saattaa olla tyypillisesti esim. MTU-arvo 1500, mutta tavanomaisenkin RADIUS-autentikoinnin aikana paketit saattavat kasvaa tuota suuremmiksi, jolloin fragmentoinnin pitää toimia tai kehykset eivät tule perille ehjinä.

Jos yksittäisellä käyttäjällä on liittymisongelma syyksi paljastuu hyvin usein väärin syötetty salasanaa, esim. salasanavaihdon yhdeydessä. Muissa tapauksissa on syytä kehoittaa käyttäjää varmistamaan päätelaitteensa konfiguroinnin oikeellisuus ajamalla oman kotiorganisaationsa käyttöjärjestelmäkohtaisen asennuspaketin uudelleen eduroam CAT -työkalusta (https://cat.eduroam.org).

Verkon puolella mahdollisten autentikointiongelmien syyksi paljastuu useimmiten käyttäjätietokantojen toimintahäiriö.