Integrierte IT-Service-Management- Lösungen anhand von Fallstudien

Transkript

1 Integrierte IT-Service-Management- Lösungen anhand von Fallstudien Fallbeispiele 2 Spezielle Anforderungen, Realisierung, RZ- Infrastrukturen, Operatives Management Dr. Michael Nerb et al., Prof. Dr. Heinz-Gerd Hegering SoSe 2007

2 Seite 2 Wiederholung Design der zentralen Dienste Mögliche Variante der -Anbindung und DMZ VPN-Gateways Road Warrior ACME AG Zulieferer für ACME ACME AG Extranet DMZ Public DMZ DMZ Mailboxen SAP-Systeme -Webserver Zeiterfassung Groupware LDAP, DNS, NTP,... Proxy Services Security Services Web-Hosting Mail Relay Externer DNS,...

3 Seite 3 Design des DNS Anforderungen und Entscheidungsfindung Domain Name System (DNS) soll unter der Hoheit der ACME AG liegen DNS dient der internen und externen Namensauflösung, d.h.: Abbildung interner Namen, z.b. intranet.acme.intern (nicht im sichtbar) Abbildung externer Namen z.b. vpn.acme.de, mail.acme.de (aber auch.com,.net oder.org Top-Level-Domains) Auflösen von Namen aus dem (z.b. Abstützen auf einen Secondary Nameserver im (z.b. pns.dtag.de) Zusätzliche Sicherung des DNS durch Verstecken des ACME DNS hinter dem Secondary DNS ( Hidden Primary ) Entscheidungsfindung: Keine wirkliche Alternative zur Open Source Lösung BIND

4 Seite 4 Realisierung des DNS Benötigte Systeme - Nutzer ACME AG Public DMZ DNS DNS DMZ pns.dtag.de

5 Seite 5 Realisierung des DNS Kommunikationsflüsse und Nutzung der Dienste (1) (2) IP is ACME AG (1) intranet.acme.intern? (4) IP is Externer DNS - Nutzer (3) Public Interner DNS Auflösung interner Namen, z.b.: IN NS interner DNS.acme.intern A pop3.acme.intern A Sapgui.acme.intern A Auflösung externer Namen, z.b.: IN NS externer DNS A mail.acme.de MX vpn.acme.de A pns.dtag.de (Vereinfachte Darstellung! Alle Kommunikationsflüsse gehen natürlich durch die s von und zu den entsprechenden DMZ!)

6 Seite 6 Realisierung des DNS Kommunikationsflüsse und Nutzung der Dienste (2) (1) (8) <Content> (2) IP of cisco.com Net Cache (5) IP is (6) (7) <Content> ACME AG Externer DNS Public Interner DNS (3) keine Ahnung; Kennst Du (4) IP is pns.dtag.de (Vereinfachte Darstellung! Alle Kommunikationsflüsse gehen natürlich durch die s von und zu den entsprechenden DMZ!)

7 Seite 7 Realisierung des DNS Advanced Features: Zonentransfer (Exkurs) ACME AG Externer DNS Public Interner DNS Master für interne Namen, z.b.: IN NS interner DNS.acme.intern A pop3.acme.intern A Sapgui.acme.intern A Master für externe Namen, z.b.: IN NS externer DNS A mail.acme.de MX vpn.acme.de A Zonen Transfer Zonen Transfer Slave für externe Namen, z.b.: IN NS A externer DNS mail.acme.de A MX mail.acme.de vpn.acme.de MX A vpn.acme.de A pns.dtag.de (Vereinfachte Darstellung! Alle Kommunikationsflüsse gehen natürlich durch die s von und zu den entsprechenden DMZ!)

8 Seite 8 Design des Mail-Dienstes (Relay und Mailboxen) Anforderungen Mail-Relay : Entgegennahme von Mails für ACME Mitarbeiter: Anti-Virus (Schutz vor Mailviren) Anti-SPAM (Schutz vor unerwünschten Mails) Anti-Relaying (Schutz vor Missbrauch des Mail-Relays) Versenden von Mails von ACME Mitarbeitern ins : Anti-Virus Anti-Spoofing (Schutz vor Missbrauch von Usernamen) Zwischenspeichern von eingehenden/ausgehenden Mails für eine gewisse Zeit (z.b. falls Mailboxen/Mail-Relays) voll sind Mail-Boxen : Speichern von Mails in Mailboxen der (ca ) User Zugriff über POP3 und/oder IMAP4, Quota: 100 Mbyte/User Virenscanning (von lokaler ausgelieferter Mail) Sicherung und Backup des Mailbox-Servers Bei User und 100 Mbyte Quota: 500 Gbyte!

9 Seite 9 Design des Mail-Dienstes (Relay und Mailboxen) Entscheidungsfindung Produkte: Mail-Relays: Sendmail und/oder Postfix Mailbox-Server: Cyrus-IMAPD, POP3D, SuSE Open Exchange Server, Microsoft Exchange Server Webwasher (SMTP-Relay mit umfangreichen Anti-* Funktionen) Novell Netmail, Diverse Virenscanner für Batch Scanning Einige Entscheidungskriterien: Kommerzielle Produkte vs. Open Source Unterstützung von Groupware-Funktionalitäten und Microsoft Produkten Integration der Anti-* Funktionen Wartung, Support und Flexibilität Entscheidung: Webwasher mit Anti-* Funktionen als Mail-Relay Cyrus-IMAPD, POP3D für Mailboxen

10 Seite 10 Realisierung Mail-Dienst (Relay und Mailboxen) Benötigte Systeme ACME AG Public DMZ Mailrelay DMZ pns.dtag.de Mailboxen Virenscanner

11 Seite 11 Realisierung des Mail-Relays (eingehende Mail) Kommunikationsflüsse und Nutzung der Dienste user1 ACME AG Mailbox Server (6) Virenscan und Local Delivery in Mailbox user1 (4) Mail für Mailrelay Anti-* (5) Anti-Relay? Anti-Virus? Anti-SPAM? - Nutzer (1) Mail an user1@acme.de (2) MX für acme.de? Public (3) IP für ACME MX = pns.dtag.de (Vereinfachte Darstellung! Alle Kommunikationsflüsse gehen natürlich durch die s von und zu den entsprechenden DMZ!)

12 Seite 12 Realisierung des Mail-Relays (ausgehende Mail) Kommunikationsflüsse und Nutzung der Dienste user1 (1) Mail an CC: Mx0.gmx.de ACME AG user2 Mailbox Server (2) Anti-Spoofing, Anti-Virus und Local Delivery in Mailbox user2 (3) Weiterleiten der CC an Smarthost (9) Mail für Mailrelay Anti-* (4) Anti-Virus? (5) MX für gmx.de? (8) IP = Externer DNS Public (6) MX für gmx.de? (7) IP = pns.dtag.de (Vereinfachte Darstellung! Alle Kommunikationsflüsse gehen natürlich durch die s von und zu den entsprechenden DMZ!)

13 Seite 13 Realisierung der Mail-Boxen Kommunikationsflüsse und Nutzung der Dienste user1 (1) Start des Mail-Clients (User1/ Password ) (4) Zugriff auf Mails Versenden von Mails Mx0.gmx.de ACME AG Mailrelay Anti-* Public Mailbox Server (2) POP3D/IMAPD user2 (3) Gibt es den User1 mit dem Password LDAP pns.dtag.de (Vereinfachte Darstellung! Alle Kommunikationsflüsse gehen natürlich durch die s von und zu den entsprechenden DMZ!)

14 Seite 14 Design des NTP Services Anforderungen und Entscheidungsfindung Alle Server sollen auf die gleiche Zeit synchronisiert werden Zeitsynchronität soll auf einer Referenz-Uhrzeit basieren, z.b.: DCF-77 (Sender der Physikalisch-Technischen Bundesanstalt) GPS (Global Positioning System) Produkte: Open Source: NTPD (Software zur Verteilung der Zeitinformation) DCF-77 Empfänger: Hirschmann, Netgear, (oder bei Conrad ;-) Oder: Nutzung einer Zeitquelle aus dem Entscheidungskriterien: Empfang im Rechenzentrum (bzw. wo muss der Empfänger im Rechenzentrum positionieren) Entscheidung für ACME AG: DCF-77 Empfänger und NTPD

15 Seite 15 Realisierung des NTP Services Benötigte Systeme und Kommunikationsflüsse (1) Current Time is: Tue Jun 15 17:00:45 CEST 2006 Extranet DMZ VPNGateway ACME AG Public DMZ NTP LDAP PKI DNS ACE/Server Proxy DNS DMZ Webwasher Mailrelay Mailboxen Virenscanner

16 Seite 16 Design des Web-Hostings Anforderungen präsenz für Portal für eine Tageszeitung Redaktioneller Content (News, Börse, Weltgeschehen usw.) Marktplätze (Job-, Immo-, KfZ-, Partnerbörse usw.) Diskussionsforen Betriebliche, organisatorische und technische Anforderungen: Rechenzentrumsinfrastruktur, -Konnektivität Hochverfügbarkeit und Redundanz Performanz, Flexibilität und Skalierbarkeit Bereitstellung von entsprechenden Inhalten (Content): Statische und dynamische Inhalte Möglichkeiten für Kommentare, Postings, Newsletter usw.

17 Seite 17 Design der Hochverfügbarkeit Server Load Balancing für Server IP: (z.b. News, Content) Service IP (via DNS): = Server IP: (z.b. Märkte) Server IP: (z.b. Börse) Server IP: (z.b. Börse) Server IP: (z.b. Märkte) Richtung B1 B2 Richtung Server IP: (z.b. News, Content) Funktionen der Load-Balancer: u.a. Lastverteilung, Redundanz, Session- Persistenz, Network Address Translation (NAT) Ausprägungen: Server Load Balancer, Layer 4-7 Nur bedingt: Application Proxy, Port Forwarder Unterscheidungskriterien (u.a.): Implementierung in HW/SW, OSI-Schicht, Unterstützte Protokolle Hersteller: z.b. F5 Networks, Radware, Alteon,...

18 Seite 18 Design der Hochverfügbarkeit Redundanz über zwei Brandabschnitte (B1/B2) B1 B2 Load Balancer Load Balancer Betriebsmodus Active/Active : Beide Systeme bedienen Requests (Load-Balancing) Systeme überwachen sich gegenseitig auf Ausfall Betriebsmodus Active/Standby : Aktives System bedient alle Requests Standby System übernimmt bei Ausfall (Fail-Over)

19 Seite 19 Design der Hochverfügbarkeit Load Balancing der -Leitungen (z.b.: IN A ) Richtung STM-1 (Provider1) Richtung B1 B2 STM-1 BGP (Provider2) (z.b.: IN A ) Load-Balancing eingehender Verkehr (aus dem ): Verwendung des DNS: Abbildung von auf zwei IP- Adressen (je eine aus dem IP-Adressbereich Provider1 und Provider 2) Load-Balancing ausgehender Verkehr (ins ): Entweder: Gleicher Weg zurück (LB hält Session-Information ) Andernfalls: Load-Balancer kann frei auf beide Leitungen verteilen

20 Seite 20 Design der zentralen Dienste Zusammenfassung: Service View auf alle Dienste Extranet DMZ VPNGateway ACME AG Public DMZ SAP R/3 Webserver NTP LDAP PKI DNS ACE/Server Proxy DNS DMZ Webwasher Mailrelay Webserver Mailboxen Virenscanner

21 Seite 21 Brandabschnitt 1 Realisierung der Services Layout (vereinfacht), Server View Screening Router 1 Public Screening Router 2 Brandabschnitt 2 Link-LB 1 Link-LB 2 Node 1 Extranet DMZ Node 2 Node 1 Web-Server Ca. 3 Server DNS, Mail, Proxy, ICAP (4 Server) Web-Server Ca. 3 Server DNS, Mail, Proxy, ICAP (4 Server) DMZ (nur skizziert) DMZ Node 2 MPLS-Netz

22 Seite 22 Realisierung der Services Rechenzentrumsinfrastruktur und zentrale Dienste Infrastruktur: Strom, Diesel, USV, Klima Brandschutz, Zugangskontrolle, Gebäudeleittechnik Zentrale Dienste: Rackspace, LAN-Connectivity, Glasfasern -Connectivity, Remote Access (z.b. über ISDN-Einwahl) Backup und Filesysteme, z.b.: Network Attached Storage (NAS) Storage Area Networks (SAN) Archivierung (Tape Libraries, Bandroboter, Safes) Personal vor Ort: Remote Hands für Power Cycling, Reboot o.ä. Bedienung von Konsolenswitches (Monitor, Maus, Tastatur-Umschalter)

23 Seite 23 Management der Lösung Randbedingungen und Anforderungen Server (Rechenzentrum) und betriebliches Management sind örtlich getrennt Alle Services sind hochverfügbar: Mindestens zwei Server pro Service Gegenseitige Überwachung mit Fail-Over und ggf. Load-Balancing Zu jedem Server gibt es mindestens 2 Wege: Auf dem Weg vom Betriebszentrum (SMC) zum Rechenzentrum halb des Rechenzentrums Anbindung der Server zum Backup (SAN/NAS) erfolgt über separates Netz Server und Services werden geeignet überwacht: Mindestens: Server: SNMP, Services: Nagios Zusätzlich: Web-Based Management über Browser-GUI s für Server und Services (je nach Möglichkeiten der einzelnen Produkte) Sicherung von relevanten Dateien von den Servern, z.b.: Konfigurationsdateien: Für eine schnelle Wiederherstellung Logdateien: Für eine Aufbereitung, z.b. der Dienstnutzung durch User

24 Seite 24 Management der Lösung Anbindung des SMC (Skizze) ISDN Router SMC (ISDN-Backup) ISDN SMC- Nutzer Mgmt.DMZ Extranet DMZ ACME AG VPNGateway SMC VPN-Tunnel Public SMC DMZ SAP R/3 Webserver NTP LDAP PKI DNS ACE/Server Proxy DNS DMZ Webwasher Mailrelay Webserver Mailboxen Virenscanner

25 Seite 25 Management der Lösung Anbindung der Server Wirknetz: Inband-Zugriff (Dienstnutzer), Produktivumgebung Management-Netz: Outband-Zugriff (nur für SMC) Eigene Ethernet-Schnittstelle Wirknetz Backup-Netz: Anschluss von SAN oder NAS Serielle Schnittstelle: Anbindung des Servers über einen Terminalserver Serielle Schnittstelle Backup Netz Managementnetz Wirk-, Management und Backup-Netz erfordern zusätzlich: Abschottungsmaßnahmen zur Trennung der Netze Eigene IP-Subnetze, Statische Routen Eigene Layer-2 Infrastruktur (es usw.) Zusätzliche Ethernet/Fibre Channel o.ä. Steckkarten auf den Servern

26 Seite 26 Mgmt-Server (ggf. mehrere) Management der Lösung Terminalserver (Skizze) ISDN Router SMC (ISDN-Backup) ISDN SMC- Nutzer Mgmt.DMZ ACME AG Terminalserver Extranet DMZ VPNGateway VPN-Tunnel Public SMC DMZ SAP R/3 Webserver NTP LDAP PKI DNS ACE/Server Proxy DNS DMZ Webwasher Mailrelay Webserver Konfiguration je System, z.b: Baudrate: 9600 HW/SW FlowControl: Off Bit/Parity/StopBits: 8N1 Mailboxen Virenscanner

27 Seite 27 Mgmt-Server (ggf. mehrere) Management der Lösung Management LAN (Skizze) ISDN Router SMC (ISDN-Backup) ISDN SMC- Nutzer Mgmt.DMZ ACME AG Terminalserver Mgmt Extranet DMZ VPNGateway VPN-Tunnel Public SMC DMZ SAP R/3 Webserver Mailboxen NTP LDAP PKI DNS ACE/Server Virenscanner Proxy DNS DMZ Webwasher Mailrelay Webserver (Anschluss des Backup- Netzes sinngemäß, d.h. erneut eigene es und ggf. noch eine FW!)

28 Seite 28 Managements der Lösung Betriebliche Aufgaben (kleine Auswahl) Fault/Performance Management: Suchen nach Ursachen von Problemen aller Art Backup/Restore von Konfigurationsdateien, Neuinstallation von Servern Überwachung von Servern/Services, z.b. mit SNMP und Nagios Change Management: Benutzerverwaltung z.b. Rücksetzen von Passwörtern Bestandsdatenverwaltung (Rack- und Verkabelungsplan, Netz, VLANund Routing-Plan, Kommunikationsmatrix, Wartungsinformationen usw.) Security Management: Testen und Einspielen von Patches, Bug Fixes usw. Security Audits, Scannen auf offene Ports, Analyse von Logfiles Accounting und Reporting: Aufbereitung und Visualisierung von Logdaten o.ä. Erstellen von Statistiken, Trends, Prognosen

29 Seite 29 Realisierung der Gesamtlösung Kostenbestandteile Checkliste Corporate Network u.a. Bandbreite, Länge des Local Loops, Markt- und Länderspezifika -Zugang Anschlussgebühr, Bandbreitenabhängige Grundgebühr und je nach Tarifmodell volumenabhängige Kosten (Euro/Gbyte), ggf. Kosten für Backup Housing und zentrale Rechenzentrumsdienste: Benötigte Höheneinheiten (HE) in 19 Racks, Glasfasern 1 Rack hat ca. 40 HE, wird aber wg. Abwärme nicht voll belegt Backup von Systemen, LAN-Infrastruktur, Zwei Brandabschnitte o.ä. Hardware, Software, Lizenzen und Kosten für Wartungsverträge Vor-Ort Replacement Service, Support, Bug-Fixes, Major/Minor Releases usw. Kosten für Planung und Realisierung der Lösung (Personentage) Design, Bestellung, Implementierung, Test, Dokumentation, Abnahme, Übergabe Projektmanagement, Steuerung und Koordination von Lieferanten,... Kosten für den Betrieb der Lösung HW (Terminalserver, PowerCycler, Mgmt-Server, Standleitung/ISDN für Mgmt.) Entwicklungs- und Testumgebung (HW und Personentage) Personentage für Fehler-, Change-, Performance-, Security Mgmt., Reporting,...

30 Seite 30 Das wärs für heute... Literatur: Siehe Linkliste der letzten Vorlesung Fragen / Diskussion Verbesserungsvorschläge Die Folien sind bereits auf die Web-Seite der Vorlesung: Juni 2007: Systems Management & Customer Self Care Referent: Tobias Schrödel Einen schönen Abend!!!