eduroam

Работа над сервисом началась в 2002 году, когда при подготовке к созданию рабочей группы TF-Mobility для TERENA Клаас Виеренга (Klaas Wierenga) из SURFnet поделился идеей совмещения инфраструктуры на основе протокола RADIUS и технологии IEEE 802.1X для предоставления роумингового сетевого доступа в научно-исследовательских и образовательных сетях.[5] Изначально сервис поддерживали учреждения в Нидерландах, Германии, Финляндии, Португалии, Хорватии и Великобритании.[6] Позже и другие национальные научно-исследовательские и образовательные сети в Европе поддержали идею и начали присоединяться к сервису, названному eduroam.[7] С 2004 года Европейский союз помогал в финансировании дальнейших исследований и разработки сервиса посредством проектов GN2[8] и GN3[9].[10] С сентября 2007 года Европейский союз через эти проекты так же финансировал поддержку и обслуживание сервиса на Европейском уровне.[11]

Первой из не европейских стран, присоединившейся к сервису, была Австралия в декабре 2004 года.[12] В Канаде eduroam появился по инициативе Университета Британской Колумбии, позже став одним из сервисов CANARIE(англ.).[13] В США eduroam изначально был экспериментальным проектом Национального научного фонда (NSF) и Университета Теннесси (UTK). В 2012 году Internet2 объявил о добавление eduroam к сервисам, предоставляемым программой NET+.[14] Американским оператором от имени Internet2 стала компания AnyRoam LLC, сформированная из бывших сотрудников UTK.

Сервис eduroam использует технологию IEEE 802.1X для аутентификации и иерархическую систему RADIUS-серверов.[15] Иерархия состоит из RADIUS-серверов участвующих учреждений, национальных RADIUS-серверов национальных операторов роуминга и региональных RADIUS-серверов высшего уровня для отдельных регионов. Когда пользователь A из учреждения B страны C с двухбуквенным национальным доменом верхнего уровня xy посещает учреждение P в стране Q, мобильное устройство пользователя A предоставляет его входные данные RADIUS-серверу учреждения P. Этот RADIUS-сервер обнаруживает, что B.xy не лежит в зоне его ответственности, поэтому передаёт запрос доступа национальному RADIUS-серверу страны Q. Если страны C и Q различны, тогда запрос доступа передаётся региональному RADIUS-серверу высшего уровня, а дальше национальному RADIUS-серверу страны C, содержащему список поддерживающих eduroam учреждений этой страны. Этот национальный сервер передаёт входные данные RADIUS-серверу учреждения B, где происходит их проверка. Наконец, подтверждение отправляется обратно по иерархической системе RADIUS-серверу посещённого учреждения P, где пользователю представляется доступ к сети.

Так как входные данные пользователя следуют через некоторое количество промежуточных серверов, неподконтрольных учреждению пользователя, важно, чтобы входные данные были надёжно защищены. Это условие ограничивает типы возможных аутентификационных методов. По существу есть 2 категории используемых методов: те, которые передают входные данные с помощью шифрования с открытым ключом с сертификатами, и те, которые используют для аутентификации туннелирование. Большинство учреждений используют методы из второй категории, которым нужны только серверные сертификаты. Эти сертификаты используются для установки защищенного туннеля между мобильным устройством и аутентификационным сервером, через который и происходит безопасная передача входных данных пользователя.

Возможно осложнение, если учреждение пользователя использует не двухбуквенный национальный домен верхнего уровня, а Общий домен верхнего уровня, например .edu или .org. По такому домену не понятно, какому национальному RADIUS-серверу нужно отправить запрос, поэтому по умолчанию такие домены не будут работать при межнациональном роуминге. Обходным путём этой проблемы является создание исключений в таблицах маршрутизации межнациональных RADIUS-серверов; однако это решение не масштабируется при росте количества исключений. Для будущего решения этой проблемы было предложено несколько решений, самым многообещающим среди которых является RADIUS через TLS с динамическим обнаружением. Это решение не использует статические таблицы маршрутизации в RADIUS-серверах для направления запросов.[16] Вместо этого, участвующие учреждения добавляют по одной ресурсной записи DNS к зонам DNS свои доменов, которая указывает на сервер, отвечающий за аутентификацию eduroam для этого домена.

TERENA учредила простую структуру глобального управления.[17] Учитывая большие различия в организации и финансировании научно-исследовательской деятельности и системы образования в различных странах и регионах, правила для операторов eduroam’а сведены к техническим и административным потребностям, необходимым для быстрой и безопасной работы сервиса. Более того, операторы eduroam’а играют ключевую роль в создании и поддержании правил для глобального управления сервисом.

Комитет по глобальному управлению eduroam (Global eduroam Governance Committee (GeGC)) занимает центральное место в структуре глобального управления eduroam’ом. Его члены выбираются Европейской конфедерацией eduroam в Европе и национальными операторами роуминга в других регионах, а потом утверждаются в TERENA. Комитет состоит из 3-х членов, представляющих Европу, 2-х, представляющих Азиатско-Тихоокеанский регион, 2-х, представляющих Северную Америку, 2-х, представляющих Латинскую Америку и 2-х, представляющих Африку. Дополнительно TERENA может назначить одного или нескольких сторонних экспертов в качестве членов комитета, не имеющих права голоса.

eduroam доступен в следующих 67 странах, национальные операторы роуминга которых подписали заявление о соответствии eduroam[18]. Так же возможен экспериментальный доступ в странах, находящихся в процессе присоединения к сервису.

• eduroam.org — официальный сайт Eduroam