Technische Beschreibung (Kurzform für Endnutzer) zum. Projekt. "Aufbau und Struktur einer leistungsfähigen und zukunftssicheren

Transkript

1 Technische Beschreibung (Kurzform für Endnutzer) zum Projekt 1. Ziel dieses Projektes 2. Bestandsanalyse 2.1 Hardware 2.2 Software 2.3 Problembetrachtung 3. Lösungsvorschlag 3.1 Grafische Übersicht 3.2 Beschreibung Terminal Server Einsatz 3.3 Beschreibung VPN-Tunnel Anbindung 3.4 Betrachtungen zur Systemsicherheit 4.0 Ihre Wünsche sind uns wichtig!

2 1. Ziel dieses Projektes Das Ziel dieses Projektes ist, im Rahmen der Neustrukturierung der Pommerschen Evangelische Kirche, verständliche Entscheidungsgrundlagen für den Aufbau und die Struktur einer leistungsfähigen und zukunftssicheren zu geben. Hierzu wurden der eingesetzten Projektgruppe verschiedene grundlegende Varianten von IT-Infrastrukturen (IT=Informationstechnologie) durch uns vorgeschlagen, ausführlich dokumentiert und diskutiert. Vor allem in Anbetracht der heutigen IT-Probleme, wie unter Punkt 2.3 genannt, wurde sich für eine Variante der Zentralisierung der primären IT-Ressourcen (Buchhaltung, Controlling, Dokumentenmanagement, Adressund Personalmanagement u.a.) entschieden. Diese Variante wird im folgenden Dokument in kurzer und verständlicher Form erläutert. Die interessierten Leser und Nutzer können an Hand der Anlagen sich tiefere Einblicke verschaffen. Wer mehr Informationen braucht, sollte mich direkt unter kontaktieren. Wichtig für das Gelingen einer sinnvollen und kostengünstigen Umstrukturierung der EDV (EDV=Elektronische Datenverarbeitung, als Teil der IT), ist eine detaillierte Kenntnis von Wünschen und Erfahrungen der bisherigen EDV-Nutzer. Hierzu wird eine Diskussionsplattform im Internet-Portal der PEK ( eingerichtet. Zusammenfassend sehen die Detail-Ziele wie folgt aus: Operative Ziele: Zentralisierung der Buchhaltung, des Controlling und deren Datenbestände Datensicherung aktueller Datenbanken und der Nutzer-Daten ( Eigene Dateien usw.) Langzeit-Archivierung aller notwendigen Daten Sicherung einwandfreier schriftlicher Kommunikationsmöglichkeit auf allen Arbeitsplätzen (vor allem durch -korrespondenz) Zentralisierung der Adressdatenbank Vereinheitlichung der Softwarebasis (Versionen + Service Packs) Vereinheitlichung der Desktops (Bildschirmoberflächen) Erhöhung Flexibilität der Anwendungsverteilung (möglichst jede notwendiger Software soll an jedem Arbeitsplatz zur Verfügung gestellt werden können Benutzer-Authentifizierung und Zugriffsberechtigungen auf neuestem Stand Strategische Ziele Aufbau Intranet mit vielen kleinen und größeren notwendigen Datenbanken Aufbau Dokumentenmanagement mit Langzeitarchivierung Senkung der administrativen Kosten Steigerung der Nutzer-Zufriedenheit Erhöhung der Systemsicherheit und Zuverlässigkeit Skalierbarkeit des Systems (z.b. für Dokumentenmanagement oder für höhere Benutzerzahlen)

3 2. Bestandsanalyse Die genauere Erfassung der Hardware (Computer, Drucker, Netzwerktechnik, Übertragungstechnik usw.) spielt im Detail keine Rolle, da die unten vorgeschlagene Variante mit allen bisherigen Systemen kompatiblen und funktionstüchtig ist. Dies gilt auch für Systeme mit Linux oder MacOS/OS X. Die Erfassung der Software wird durch Herrn Dobbe ausgeführt und ist für die weitere Lizensierung einer möglichst einheitlichen Softwarebasis notwendig. 2.1 Hardware Im Grundsatz werden bisher in der Pommerschen Evangelischen Kirche zwei IT-Strukturen angewandt: 1. Der Einzelplatz-Personalcomputer (PC) als FatClient ( =voll ausgestatteter PC oder Notebook) 2. Das Client-Server Netzwerk für die organisatorischen Einheiten (KVA s, Konsistorium), bestehend aus ein oder mehrere Server zzgl. PC s als Arbeitsstationen. An diesen PC s (PC=Personal Computer) werden Drucker, Scanner, ISDN-Modems und sonstige Peripheriegeräte betrieben. Im Client-Server-Netzwerk dient der Server vor allem als: Dateispeicher Druckmanager Datenbankserver Domain-Controller In letzter Zeit sind für den Internetzugang und dem -management dedizierte Kommunikations-Server in Greifswald hinzugekommen. Die anderen KVA s kenne ich leider nicht. Vermutlich werden die größte Anzahl an PC s per Modem bzw. ISDN-Karte ins Internet gehen. Die PC s sind mit sehr unterschiedlichen Leistungsdaten vertreten, vom alten Windows 95 PC mit 200 Mhz CPU (deutsch: Zentral-Prozessor) bis zum modernen 2,6 Ghz Multimedia-PC auf Windows XP. 2.2 Software Als Software kommen extrem verschiedene Versionen, vor allem aus dem Microsoft-Bereich, zur Anwendung. Hier ein Überblick ohne Lizenz-Anzahl: Betriebsysteme Windows 95 alpha Windows 95 beta Windows 98 Windows 98 second Edition Windows NT 4.0 Windows ME Windows 2000 Windows XP Anwendungssoftware Microsoft Office 95 Microsoft Office 97 Microsoft Office 2000 Microsoft Office 2002 Star Office 5.2 Internet Explorer Versionen 4.2 bis 6.0 SP1 Outlook Express Versionen 4.2 bis 6.0 SP1

4 Netscape Navigator Versionen 4.0 bis 6.0 verschiedene Pack-Utilities PostMe verschiedene Antivirenprogramme verschiedene Firewall-Software verschiedene Grafikprogramme uvm. Betriebswirtschaftliche Software HKR mit Synpro SQL Datenbank David Pro ProfiCash andere OnlineBanking Dies ist in keinem Fall eine vollständige Darstellung, da ich nicht alle Systeme persönlich kenne und eine Gesamtübersicht nicht existiert. Das Problem ist auch nicht, die vielen verschiedenen Softwaretitel, sondern deren stark unterschiedlichen Service-Pack-Stand. Als Service Pack bezeichnet man den aktuellen Entwicklungsstand der Software, der ein Beleg für die Software-Pflege ist. Eine genauere Übersicht, vor allem der KVA s und des Konsistoriums wird durch Herrn Dobbe erarbeitet. Diese wird dann durch die Projektgruppe analysiert. Es werden Entscheidungen zur Vereinheitlichung und Verteilung der Software getroffen.

5 2.3 Problembetrachtung Folgende Probleme ergeben sich im allgemeinen aus der o.g. verwendeten bisherigen IT-Struktur und im besonderen innerhalb der Pommerschen Evangelischen Kirche: Problem Beschreibung Gegenmaßnahmen Nicht aktueller Service Pack Stand von Anwendungssoftware Nicht aktueller Service Pack Stand von Betriebsystemen Attacken durch -viren Attacken durch unerwünschten Zugriff übers Internet ( z.b. durch Würmer) Probleme der fehlerhaften Lizensierung angewandter Software keine automatischen Antiviren- Updates keine Automatisierung der Backups, vor allem Benutzer bezogener Daten, Zugriff der Nutzer auf Systemeinstellungen Installationsmöglichkeiten der Nutzer Bereitstellung primärer Software auf allen gewünschten Arbeitplätzen (APL) Verhinderung von mehrfacher Arbeit und mehrfachen Dokumentenmanagement Meist wird die Orginalinstallation von der gelieferten CDROM benutzt, dabei gibt es oft nach kurzer Zeit Service Pack`s vom Hersteller, um eventuelle Fehler im Programm zu reparieren oder Erweiterung (z.b. Jahr 2000, Euro usw.) aufzunehmen Siehe oben, zur Beachtung: Betriebsysteme laufen auch aus dem Support der Hersteller aus z.b. Windows 95 und Windows NT Durch den direkten Internetzugang über Modem oder ISDN-Karte, Grund ist der schlechte Pflegezustand der localen Antivirensoftware oder das nicht Vorhandensein dieser (Virendefinitionen müssen fast täglich erneuert werden) Durch den direkten Internetzugang über Modem oder ISDN-Karte, Grund ist das nicht Vorhandensein einer einwandfrei konfigurierten Firewall-Soft- oder Hardware Anzahl und Alter der Versionen Updates der Antiviren-Software ist schwer auf Einzelplatz-PC s zu überprüfen, alte Versionen sind oft Praxis --> kein Virenschutz Einzelplatz-PC werden oft nicht gesichert, da entspr. Laufwerke fehlen (zweite Festplatte, Bandsicherung, CD-Brenner usw.), gleiches gilt für FatClient s im Netz, Sehr oft werden Probleme durch unbeabsichtigte Veränderung der Systemeinstellungen durch die Nutzer verursacht Leider entstehen viele Probleme durch fehlerhafte Installationen oder Kombination sich schlecht beeinflussender Softwarepakete Im herkömmlichen Client-Server-Netzwerk möglich, aber immer mit Aufwand verbunden, externe APL können nur schwierig mit Daten versorgt werden Oft stark unterschätzt, da bisher wenig untersucht, aber aus Erfahrung sehr häufig, Welche Adressen, Dokumente und allgemein Informationen werden mehrfach vorgehalten und bearbeitet? Wie viel Arbeitszeit kann hier eingespart werden? Zentrales Software-Management durch zentrale Vorhaltung der Software oder durch protokollierte Installation der Service Pack s Zentrales Software-Management durch zentrale Vorhaltung der Software oder durch protokollierte Installation der Service Pack s und Ersatz der ausgelaufenden Betriebssysteme auf den Einzelplatz-PC s Zentraler -server mit zentralen Antiviren-Check, für Einzelplatz-PC s automatisierte Antivirensoftware, Zentraler Internetzugang mit Firewall- Funktionen für Netzwerke, Einzelplatz-PC s sind sehr schlecht abzusichern, da Firewall-Software für PC s nicht benutzerfreundlich betreibbar ist, besser wäre der Weg über kleine Linux-Router mit Firewall-Funktionalität Zentrales Software-Management durch zentrale Vorhaltung der Software Zentraler Antivirenserver oder Terminalservereinsatz mit Antiviren-Scan Servergespeicherte Profile für NT, W2K und XP Systeme ( Nachteil, Backup-Jobs auf Server von PC s mit andere Betriebssysteme, Terminalservereinsatz, Einsatz NT, W2K, XP-Systeme, Anwendung von Richtlinien begrenzt auf die genannten Systeme, hoher Konfigurationsaufwand für Richtlinien, Terminalservereinsatz, Gute Ausbildung der Mitarbeiter Einsatz NT, W2K, XP-Systeme, Anwendung von Richtlinien begrenzt auf die genannten Systeme, hoher Konfigurationsaufwand für Richtlinien, Terminalservereinsatz, Nur durch weitestgehende Daten- Zentralisierung möglich Verringerung nur durch weitestgehende Daten-Zentralisierung möglich Diese Tabelle hat nicht den Anspruch der Vollständigkeit, sondern soll nur wichtige Denkanstöße liefern.

6 3. Lösungsvorschlag Natürlich gibt es nicht die Lösung in der Praxis, es wird immer eine heterogene Systemlandschaft geben, da alte Systeme und Software, schon aus betriebswirtschaftlicher Sicht, weiter genutzt werden sollen. Gerade aus diesem Grund möchte ich den Einsatz von Serverbasiertem Computing empfehlen. Ein Vergleich zwischen Linux- und Windows- basierten Systemen ist nicht Gegenstand dieses Projektes, da hierzu bereits eine grundsätzliche Entscheidung der Pommerschen Evangelischen Kirche getroffen wurde. Diese spricht für den Einsatz Microsoft-basierender Systeme, da die primäre Software im kaufmännischen und organisatorischen Bereich bereits von den Partnerfirmen (z.b. der KIGST GmbH) unter Microsoft- Systemen programmiert, angeschafft und betrieben wurde. Meine Empfehlung an die Projektgruppe lautete somit: Einsatz eines Terminalserver unter Windows Server 2003 als zentrales System für die fest vernetzten Arbeitsplätze und als Basis für den Zugang von externen Nutzern. Hinzu kommt der Betrieb der vorhandenen Systeme: Kommunikationsserver in der Bahnhofstrasse (Internetverkehr über Firewall, -server mit Antivirenscan, CAPI-Server für Fax-Dienst) Datenbankserver in der Bahnhofstraße für HKR Synpro alle externen PC s oder kleinere PC-Netze Eine Vernetzung der einzelnen Gebäude wird durch VPN- Tunnel (VPN=Virtual Privat Network virtuelles privates Netzwerk) über DSL-FlatRate-Verbindungen der Telekom Deutschland erzielt. Diese Leitungen sind derzeit die preiswerteste Variante um Gebäude kostengünstig miteinander zu vernetzen. Eine Anbindung der einzelnen Gemeinden und Sitze (z.b. Bischofs-Haus, Pfarramt usw.) mit Einzelplatz - PC s wäre ebenfalls durch VPN- Tunnel über jegliche Internetverbindungen möglich. Natürlich können auch Wählleitungen (ganz normale Telefonverbindungen mit analogem Modem oder ISDN-Adapter) gewählt werden. Diese sind aber deutlich teurer als Internetzugänge.

7 3.1 Grafische Übersicht Bischofs-Haus PC s Pfarrämter andere Außenstellen periodische Anbindung über Internet oder Wählleitung Zentrales Amt Bahnhofstrasse x Terminal Server x Kommunikations-Server x Datenbank Server Buchhaltung Breitscheid Str. -> PC s + Drucker Verbindung über DSL-Internet per VPN permanente Anbindung TPI usw. Karl Marx Platz -> PC s + Drucker 3.2 Beschreibung Terminal Server Einsatz Der Terminal Server stellt also allen PC s (FatClient s) und Terminals (ThinClient s) eine einheitliche Benutzeroberfläche unter Windows 2003 zur Verfügung. Die Idee ist keines Wegs neu, sondern stammt aus der UNIX-Welt. Sie kennen sicherlich alle die Terminals der Deutschen Bahn, Flughäfen oder der Banken. Alle nutzen das gleiche Prinzip. Nur so können überhaupt hunderttausende Computerarbeitsplätze mit vertretbaren Aufwand in solch großen Organisationen administriert werden. Die ausgeführten Programme werden absolut zentral vorgehalten und administriert. Die Einstellungen können Benutzer-bezogen gespeichert und verwaltet werden. Modernste Sicherheitsstandards sind einsetzbar (z.b. 128 bit Verschlüsselung des Datenverkehrs, verschlüsselte Authentifizierung usw.). Die Benutzeroberflächen können über alle Verbindungsmedien weltweit zur Verfügung gestellt werden, da die Übertragungsraten relativ gering sein müssen. Die unter Punkt 2.3 genannten Probleme können durch den Einsatz eines Terminal Servers fast vollständig beseitigt oder gut kontrolliert werden. Dieses System erlaubt eine heterogene Landschaft an PC s, Peripherie (Drucker, Scanner an PC s), Software und Betriebsystemen (Windows 95/98/ME/NT/2000/XP; Linux alle Varianten, Unix, Mac OS, OS X usw.). Alle diese Geräte holen sich vom Terminal-Server eine komplettes Betriebsystem Windows 2003 im Fenster.

8 Natürlich hat jedes technische System Nachteile, so wie diese aufgeführten im Fall des Terminal Servers: 1. Serverausfall Bei einem Ausfall des Servers stehen alle Terminals still, die PC s können noch lokal arbeiten. Es sollten also ein hoch verfügbarer Server zum Einsatz kommen. 2. Virenbefall Obwohl ein zentralisiertes System leichter zu schützen ist, wäre ein Virenbefall verheerend, da alle Nutzer in Sekunden betroffen wären. Moderne Firewall und Antiviren-Software ist daher unabdingbar. Vorteil: alles läuft nur einmal, auf oder vor dem Terminal Server. 3. Beschränkung der Anwendungssoftware Nicht jede Software ist für den Betrieb auf einem Terminal Server geeignet und muss daher für jedes Paket explizit getestet werden, insoweit keine Zertifizierung vorliegt. Gerade alte DOS oder Windows 3.11/NT 3.5 Software ist nicht zu empfehlen. 4. Beschränkung der Nutzerzahlen Grundsätzlich gilt, durch Verdoppelung der Prozessoren und des Hauptspeichers lassen sich doppelt so viele Nutzer am Terminal Server betreiben. Die Anzahl der Prozessoren muß daher vorher genau ermittelt werden, da eine spätere Nachrüstung eines Prozessors nur möglich ist wenn auch ein Mehrprozessor-Mainboard im Gerät installiert ist. 5. Kosten des Servers Der Terminal Server benötigt deutlich mehr Rechenleistung als ein herkömmlicher Dateioder Datenbankserver, da er ja für alle Benutzer rechnen muss. Durch die vereinfachte Wartung und die Konzentration der Hardware in wenigen Geräten reduzieren sich aber deutlich die Betreibungskosten (TCO siehe Anlage Serverbasiertes Computing). Das System läßt sich im Laufe der Anwendungszeit einfacher skalieren (mehr Rechenleistung durch neues Gerät) als viele einzelne PC s im Netzwerk. Sie kennen das Problem der Neuanschaffung von PC s in den letzten Jahren, da ständig die Software mehr Leistung verschlang. 3.3 Beschreibung VPN-Tunnel Anbindung (nur für DSL-Internet-Verbindung notwendig) Ein Virtual Private Network (VPN) ist die Erweiterung eines privaten Netzwerkes, das Verbindungen über ein öffentliches Netzwerk wie das Internet umfasst. Ein VPN ermöglicht es Ihnen, Daten zwischen zwei Computern über ein gemeinsames oder öffentliches Netzwerk so zu senden, als wären diese beiden Computer über eine private Point-To-Point-Verbindung (Punkt zu Punkt, d.h. PC zu PC) miteinander verbunden. Die Konfiguration und Erstellung eines Virtual Private Network wird Virtual Private Networking genannt. Um eine Point-To-Point-Verbindung zu emulieren, werden Daten mit einem Header eingekapselt oder verpackt, der mit Routing-Informationen für den Transport über das gemeinsame oder öffentliche Netzwerk ausgestattet ist. Außerdem werden die Daten verschlüsselt, um deren Vertraulichkeit zu gewährleisten. Pakete, die im gemeinsamen oder öffentlichen Netzwerk abgefangen werden, sind ohne den Verschlüsselungsschlüssel nicht zu verarbeiten. Der Teil einer Verbindung, in den die privaten Daten gekapselt werden, wird auch als Tunnel bezeichnet. Der Teil einer Verbindung, in dem die privaten Daten verschlüsselt werden, wird auch VPN-Verbindung genannt.

9 VPN-Verbindungen ermöglichen es Benutzern, sich von zu Hause oder unterwegs aus über einen sicheren Weg mit Hilfe der Routing-Infrastruktur eines öffentlichen Netzwerks (zum Beispiel des Internets) mit einem Remoteserver der Organisation zu verbinden. Aus der Sicht des Benutzers ist die VPN-Verbindung eine Point-To-Point-Verbindung zwischen dem Computer des Benutzers und einem Server der Organisation. Das dazwischenliegende Netzwerk ist für den Benutzer irrelevant, da es für diesen so aussieht, als würden die Daten über eine dedizierte private Verbindung gesendet. Außerdem ermöglicht es die VPN-Technologie Unternehmen, über ein öffentliches Netzwerk (zum Beispiel das Internet) eine Verbindung zu einer Zweigstelle oder einem anderen Unternehmen einzurichten und über diese Verbindung gesichert zu kommunizieren. Die VPN-Verbindung über das Internet arbeitet logisch als WAN (Wide Area Network) zwischen den Standorten. In beiden Fällen ist die sichere Verbindung über das öffentliche Netzwerk für den Benutzer eine private Netzwerkkommunikation, trotz der Tatsache, dass diese Kommunikation über ein öffentliches Netzwerk stattfindet (daher der Name Virtual Private Network). Die VPN-Technologie kommt einem aktuellen Trend in der Geschäftswelt entgegen: dem Trend zu vermehrter Telekommunikation und global verteilten Geschäftsstellen, in denen die Mitarbeiter die Gelegenheit haben müssen, zentrale Ressourcen zu nutzen, um miteinander kommunizieren zu können. Damit Mitarbeiter unabhängig von ihrem Standort eine Verbindung mit den Computerressourcen des Unternehmens/Organisation herstellen können, muss dieses eine skalierbare RAS-Lösung bereitstellen. In der Regel entscheiden sich Unternehmen/Organisationen entweder für eine MIS-Abteilungslösung (Management Information System) oder für ein VAN-Netzwerk (Value-added Network). Bei der MIS-Lösung wird eine interne Abteilung "Informationssysteme mit der Beschaffung, Installation und Wartung des Modempools und der Infrastruktur für ein privates Netzwerk beauftragt. Im Fall der VAN-Lösung wird ein Fremdunternehmen für die Beschaffung, Installation und Wartung des Modempools und der Telekommunikationsinfrastruktur bezahlt. Keine der Lösungen bietet jedoch die erforderliche Skalierbarkeit in Bezug auf Kosten, Flexibilität der Verwaltung und Verbindungsnachfrage. Daher ist es sinnvoll, die Modempools und die Infrastruktur für das private Netzwerk durch eine kostengünstigere, auf Internet-Technologie basierende Lösung zu ersetzen damit sich das Unternehmen/Organisation auf sein Kerngeschäft konzentrieren kann. Bei einer Internetlösung erfüllen schon wenige Internetverbindungen über einen Internet Service Provider (ISP) und VPN-Servercomputer die Anforderungen von Hunderten, ja Tausenden von Remoteclients (ferne Pc s) und Zweigstellen an ein Remotenetzwerk (ferne Netzwerke). Der Vorteil dieser VPN-Anbindung über DSL sind die niedrigen monatlichen Kosten bei vernünftiger Übertragungsleistung.

10 3.4 Betrachtungen zur Systemsicherheit Diese Übersicht enthält Thema, über die unabdingbar Entscheidung getroffen werden müssen. Es gibt weit mehr Fakten zum Thema IT-Sicherheit. Die hier aufgeführten werden von der Projektguppe diskutiert und entsprechende Maßnahmen werden festgelegt. IT-Sicherheit ist aufwendig, kostet damit Zeit und Geld. Die beste Hard- und Software nützt wenig ohne fachlich versierte Konfiguration. Trotzdem werden immer wieder neue Schlupflöcher gefunden. Grund hierfür ist vor allem die fast Monokultur Microsoft und eine enorme Komplexität der heutigen Systeme. Klare Konzepte und die Verringerung der Komplexität auf ein notwendiges Maß IT - Sicherheitsfelder Schutz vor Hardware-Ausfall Zugriffsschutz von Daten Viren- und Internet-Datenschutz Server Benutzer Virenschutz Hochverfügbarkeit des Servers Servicevertrag mit Reaktionszeit Clusterserver redundantes Bauteile (z.b. Netzteil) RAID Plattensystem (siehe Anlage RAID) Backupsystem (Bandlaufwerk, Backup-HD) Unterbrechungsfreie Stromversorgung Benutzername + Kennwort Kennwortlänge verschlüsselte Authentifizierung Zugriffsrechte auf Verzeichnisse zugriffsrechte auf Programme digitale Signaturen für vollautomatische -virenerkennung Kontrolle ein- und ausgehender Mails Zentralisierung des Antiviren-Scans Antiviren-Scan der PC s Offline/Online Infrastruktur (z.b. Switches, NTBA) Unterbrechungsfreie Stromversorgung FallBack-Systeme Datenverkehr Verschlüsselung Datentransfer verschl. Authentifizierung RAS-Benutzer Verzicht auf DHCP IP-Management Zentrale Firewall-Funktionalität Sperrung nicht notwendige Ports Kontrollfunktionen Internet-Datenverkehr Serverraum Verschlußzustand Boot-Schutz/Set-up-Passwort Server Verhalten im erkannten Infizierungsfall Betriebsanweisungen

11 4.0 Ihre Wünsche sind uns wichtig! Auf der eingerichteten Diskussionsplattform erwarten wir Ihre Wünsche und Anregungen, um diese in die Software-Konfiguration einfließen zu lassen. D. Schelauske Certified Novell Engineer Microsoft Certified Systems Engineer Finanzkaufmann AHDIS e.kfm. Lange Reihe 30b Greifswald