Aufbau eines Schulnetzwerkes Wie man Bildung unabhängiger von proprietärer Software macht. FrosCon 2017 Daniel Menzel

Transkript

1 Aufbau eines Schulnetzwerkes Wie man Bildung unabhängiger von proprietärer Software macht FrosCon 2017 Daniel Menzel

2 Plan ein bisschen mehr zur Umsetzung ein bisschen zum Hintergrund Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 2/24

3 Hintergrund

4 Hintergrund die Schule Privatschule von Teach-First-Fellows mit sozialem Fokus gegründet Gebäude in Berlin-Wedding ( Brennpunkt-Kiez ) im Haus: Schülerinnen und Schüler, administratives Team, Untermieter lokaler Admin in Teilzeit als Ansprechpartner vor Ort nahezu vollständig gespendete Hardware (PCs, Laptops, Server) Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 4/24

5 Hintergrund der Weg zur OpenSource der Weg zur OpenSource Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 5/24

6 Hintergrund Anforderungen an das System einheitliches einfache Betriebssystem Benutzbarkeit geringe Kosten gespendete Hardware einfache Administration lokaler Ansprechp. Dynamik beachten teilweise Windows erm. private Rechner Datenschutz & -sicherheit Netztrennung Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 6/24

7 technische Umsetzung

8 technische Umsetzung Netzplanung Firewall Stacked Switch Phone 10.x.x.0/24 DMZ 10.x.x.0/24 Management 10.x.x.0/24 Schulnetz 10.x.x.0/24 Teamnetz 10.x.x.0/24 Untermieter 10.x.x.0/24 DECT-Telefone IP-Telefone VM "asterisk"vm "owncloud" vm "logserver" Drucker vm "backup" vm "monitoring" "puppet-sn" Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes Schüler-PC vm "samba" Drucker vm "fileserver" PC Team 8/24

9 technische Umsetzung Netzplanung 2 2;4 1;4 port-based VLAN 8 tagged VLAN MAC-based VLAN Telefon...11:12:13 PC...21:22:23 Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 9/24

10 technische Umsetzung Virtualisierungshosts srv1 (firewall) alt 6x 1GbE firewall neu 1x 10GbE srv2 (virthost-1) srv3 (virthost-2) 4x 1GbE 4x 1GbE Switch virthost backup 1x 10GbE 1x 10GbE Switch srv4 (virthost-3) 4x 1GbE Σ = (18 + 4) x 1GbE 0,3 kw Server 3 Server 24 h d 365 d a 0,28 kw h 2200 a Σ = 3 x 10GbE (+3 x 1GbE) 0,45kW 24 h d 365 d a 0,28 kw h 1100 a USV (2,1 kw): ~1500 Δ USV (900 W): ~650 EK,5a > 6000! Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 10/24

11 technische Umsetzung Virtualisierungshosts VM1 (Netz 1) VM2 (Netz 1) VM13 (Netz 5) Bridge br1 Bridge br5 Interface ens25.1 Interface ens25.5 HW ens25 Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 11/24

12 technische Umsetzung Firewall Hardware: Software: pfsense Atom C GbE-Karte Basis: FreeBSD (non-linux) grafisches Frontend DHCP-Server (mit Ausnahmen) Firewall Internet DMZ Schule Team VoIP-Priorisierung Managment VPN Upload Zeit Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 12/24

13 technische Umsetzung Telefonie VM: Telefonie SIP- Provider DMZ / Internet IP- Telefone alte Fritz!Box DMZ Trunk zum SIP-Provider Fritz!Box als DECT-Gateway Telefone im Monitoring DECT- Telefone Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 13/24

14 technische Umsetzung Benutzerverwaltung LAM Clients VMs: Benutzerverwaltung und Fileserver Fileserver Teamnetz (alle anderen Netze müssen durch Firewall) Clients nutzen SSO für Fileserver Rechteverwaltung über Gruppen Frontend: LDAP Account Manager (LAM) Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 14/24

15 technische Umsetzung Nextcloud DMZ / Internet VM: Nextcloud potentiell unsicherere Daten Sharing mit der Außenwelt 2FA für Admin mit Yubikey Let s-encrypt-zertifikat Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 15/24

16 technische Umsetzung Clients Hardware: divers Software: OS: kubuntu LTS / LTS LibreOffice Thunderbird Anbindungen: Installation über PXE mit Foreman & Puppet Login über Samba mit sssd (Caching!) und Kerberos (lokaler Admin für Fallback) Anbindung an Fileserver per User (verschiedene Freigaben) squiddebproxy als Paket-Cache Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 16/24

17 technische Umsetzung Clients Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 17/24

18 technische Umsetzung Foreman Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 18/24

19 technische Umsetzung Monitoring VM: Monitoring Icinga2 Monitoring für Server, VMs, Telefone Clients wäre möglich (will man das?) Bei Fehler: Mail an lokalen Admin und uns Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 19/24

20 technische Umsetzung Backup Server: Backup dedizierte Maschine mit 3,5 -Platten (HGST) Filesystem: ZFS (Snapshots) jede Nacht Backup der Files vom Fileserver jedes Wochenende Backup aller VMs Backupplan Aufbewahrung: letzte Woche: Jeden Tag letzter Monat: Jeden Sonntag letztes Jahr: Jeden 1. des Monats Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 20/24

21 technische Umsetzung Log-Server VM: Logserver zentrale Anlaufstelle für alle Serverlogs ermöglicht einen weiteren Überblick über das Gesamtsystem Alternative: ELK-Stack Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 21/24

22 Fazit

23 Fazit Kurze Anmerkung zu Univention Corporate Server Es geht! Nicht nur für Schulen auch in Unternehmen oder anderen Organisationen Ihr seid dran! Daniel Menzel Menzel IT Services Aufbau eines Schulnetzwerkes 23/24

24 Danke für Eure Aufmerksamkeit