Mac OS X Server Die Kommunikationszentrale für Mac, Windows, Linux und iphone. O Reilly. André Aulich

Transkript

1 Mac OS X Server 10.6 Die Kommunikationszentrale für Mac, Windows, Linux und iphone O Reilly André Aulich

2 Inhalt Vorwort IX 1 Überblick über Mac OS X Server Warum 10.6 ein Update wert ist Offene Standards Vorüberlegungen Die Internetverbindung des Servers und ihre Folgen Benutzerverwaltung Hardware-Auswahl Beispielkonfigurationsdaten Betriebssysteminstallation Basiskonfiguration Admin Tools auf Remote-Rechner installieren Konfiguration ohne Display Konfigurationsdialog Serverassistent DNS-Konfiguration Systemaktualisierung Dienstauswahl im Server-Admin USV einrichten DHCP Erstellen eigener SSL-Zertifikate Einrichten eines Open Directory-Masters RADIUS und SACLs Push-Benachrichtigung V

3 Mobiler Zugriff Backups Fileservices AFP SMB FTP Einrichten von Benutzern und Gruppen Freigaben Client-Anbindung Webserver Grundeinstellungen Mailserver Grundeinrichtung /etc/postfix/main.cf Mailbenutzer anlegen Mail-Clients Fetchmail Spamfilter-Finetuning Mailregeln und Abwesenheitsbenachrichtigungen Kennwortänderung Portumleitungen Mail-Backup Wartung im Server-Admin Adressbuchserver Einrichtung des Adressbuchservers Einrichtung der Clients Dateistruktur Portumleitungen der Firewall ical-server Einrichtung des ical-servers Benutzer- und Gruppenkalender aktivieren Ressourcen anlegen Client-Einrichtung Portumleitungen der Firewall VI Inhalt

4 10 Druck- und Fax-Server Druckerfreigabe im Server-Admin Fax-Freigabe ichat-server Server-Einrichtung Client-Einrichtung Portumleitungen VPN-Server Firewall VPN-Servereinstellungen Client-Einrichtung Weitere Ressourcen Index Inhalt VII

5 KAPITEL 2 Vorüberlegungen Bevor wir mit der Installation von Mac OS X Server beginnen, müssen wir uns zunächst mit der Planung beschäftigen, um herauszufinden, was wir für unser System alles benötigen. Die Internetverbindung des Servers und ihre Folgen Es gibt verschiedene Möglichkeiten, unser Firmennetzwerk an das Internet anzubinden, und je nachdem, was wir genau vorhaben, hat das deutliche Auswirkungen auf unsere Netzwerkstruktur. Zwar variiert die Einrichtung des Servers in den verschiedenen Szenarien nicht besonders stark, aber diese Anleitung wäre nicht vollständig, wenn das Umfeld des Servers wie Router-Einrichtungen, Internetverbindungen, Netzwerkplanung und Webhoster nicht in der Planung berücksichtigt würde. Am besten schauen wir uns zwei Möglichkeiten unseres Netzwerkaufbaus einmal genauer an, um die grundlegenden Strukturen zu unterscheiden. Einfache Netzwerktopologie In Abbildung 2-1 sehen Sie, wie eine einfache Netzwerkstruktur aussehen kann. Im Wesentlichen ist unser Netzwerk in diesem Szenario mit einer beliebigen Leitung an das Internet angebunden, sei es mittels einer preiswerten ADSL-Verbindung, über Glasfaser oder sonstiges. Wir verwenden einen NAT-Router, der prinzipiell keinen Zugriff von außen auf unser Netzwerk zulässt mit Ausnahme von VPN-Verbindungen, damit unsere Mitarbeiter auch dann auf unsere internen Daten zugreifen können, wenn sie auf Reisen oder zu Hause sind. 5

6 Webhoster externe Clients NAT-Router Webserver interne Clients Abbildung 2-1: Einfache Netzwerktopologie Webseiten und s werden von einem externen Webhoster für wenige Euro im Monat gehostet. Dennoch betreiben wir einen internen Mailserver, der alle fünf Minuten eingehende Mails vom Webhoster abholt und ausgehende Mails über den Webhoster verschickt. Der NAT-Router stellt außerdem ein WLAN bereit, das verschlüsselten Funkzugang zu unserem internen Netzwerk ermöglicht. Wenn Sie einen WLAN-Zugang in Ihrem privaten Netzwerk anbieten, müssen Sie unbedingt darauf achten, die Authentifizierungsmethoden möglichst sicher zu gestalten, da sich ansonsten der ganze Aufwand mit der Firewall nicht lohnt, wenn Ihr Nachbar mit dem Standardkennwort Ihres WLAN-Routers Zugriff auf Ihr gesamtes Netzwerk erlangt. Machen Sie das Netzwerk auch möglichst unsichtbar, und lassen Sie den Zugriff nur für Geräte mit bestimmten MAC-Adressen zu. 6 Kapitel 2: Vorüberlegungen

7 In diesem Szenario verwenden wir eine preiswerte ADSL-Anbindung unseres Netzwerks ans Internet, einen preiswerten Webhoster sowie einen einzelnen zentralen Server in unserem internen Netzwerk, auf dem wir zahlreiche Dienste parallel betreiben können. Wofür benötigen wir den externen Webhoster? Er ermöglicht uns, rund um die Uhr unsere Website zu präsentieren und s zu empfangen, auch wenn unser interner Server einmal ausfällt. Darüber hinaus ist es auf diese Weise sehr einfach, unser Netzwerk gegen den Zugriff von außen abzusichern, da prinzipiell jeglicher Zugriff von außen unterbunden wird, soweit kein VPN-Tunnel verwendet wird. Aber wofür benötigen wir dann den internen Server? Abgesehen davon, dass interne Dienste wie Fileservices, gemeinsame Kalender und Adressen, Wikis, TimeMachine-Backups u. v.m. von irgendeiner zentralen Maschine bereitgestellt werden müssen, macht es auch Sinn, die s vom Webhoster auf unseren eigenen Server zu übertragen. Zum einen zahlt man beim Webhoster in der Regel für die Menge an Festplattenplatz. Das ist nicht übertrieben teuer, aber preiswerter ist es in der Regel, die Nachrichten auf den eigenen Server zu übertragen, wo meist viel mehr Festplattenkapazität zur Verfügung steht. Wenn Sie bereits eine Website und eine -Domäne von einem Webhoster verwalten lassen, dann stellt der Aufbau dieser einfachen Netzwerktopologie eine Umstellung dar, die mit minimalem Aufwand realisierbar ist. Erweiterte Netzwerktopologie Wenn Sie Ihre Website in Ihrem eigenen Netzwerk bereitstellen möchten und s ohne dazwischengeschalteten Provider senden und empfangen möchten, dann sieht Ihre Netzwerktopologie oft so aus, wie in Abbildung 2-2 dargestellt. In diesem Szenario ist unser Netzwerk über zwei getrennte Leitungen mit dem Internet verbunden. NAT-Router 1 verwendet eine SDSL-Leitung, die gegenüber einer preiswerten ADSL-Leitung eine höhere mögliche Upload-Geschwindigkeit bietet, was für die Bereitstellung von Websites relevant ist. Gegenüber breitbandigen ADSL- oder Glasfaseranbindungen, die heute bereits Uploads mit 5 oder gar 10 Mbit/s ermöglichen, hat diese Anbindung aber vor allem den Vorteil, dass wir im öffentlichen DNS-System, das in diesem Szenario von unserem Leitungsanbieter für uns verwaltet wird, Adress-, Pointer- und MX-Records für unsere Domäne und unsere öffentliche IP-Adresse verwalten können. Dies ist wichtig, da s, die unser Server verschickt, sonst vom Empfänger- Mailserver abgelehnt werden und somit niemals beim Adressaten ankommen (siehe auch den Exkurs»DNS und «auf Seite 9). Die Internetverbindung des Servers und ihre Folgen 7

8 NAT-Router 3 NAT-Router 2 Abbildung 2-2: Erweiterte Netzwerktopologie SDSL-Leitungen sind leider sehr viel teurer als ADSL-Leitungen. Während asynchrone (Upstream geringer als Downstream), also A-DSL-Leitungen zum Teil schon 120 MBit/s Down- und 5 Mbit/s Upstream für gut 80 monatlich bieten, so bieten synchrone (Up- und Downstream gleich schnell) S-DSL-Leitungen derzeit 2 Mbit/s ab ca. 100 monatlich. 8 Kapitel 2: Vorüberlegungen

9 DNS und Wenn unser interner Server direkt Nachrichten unserer Domäne an Mitglieder anderer Domänen verschickt, dann benötigt unser Server im öffentlich erreichbaren DNS einen Adress-, einen Pointer- und einen MX-Eintrag. Dies bedeutet: Wenn z.b. unsere IP-Adresse, die wir vom Provider zugeteilt bekommen haben, lautet, teilen die öffentlich erreichbaren DNS-Server jedem, der es wissen will, mit, dass der Rechner mit der IP-Adresse z.b. den DNS-Namen office.loopholesolutions.tv trägt und für den Mailverkehr der Domäne loophole-solutions.tv zuständig ist. Dabei beantwortet der Adresseintrag (auch A-Record oder Address-Record genannt) die Frage»Welche IP-Adresse hat der Rechner office.loophole-solutions.tv?«, der Pointer (PTR) beantwortet die Frage»Welchen DNS-Namen hat der Rechner mit der IP-Adresse ?«, und der MX-Record besagt, dass der Rechner office.loophole-solutions.tv s der Domäne loophole-solutions.tv verarbeitet. Verwenden wir eine ADSL-Leitung, so erhalten wir zwar gegen Aufpreis eine statische IP-Adresse, allerdings gibt es selten die Möglichkeit, unsere IP-Adresse in einen Hostnamen nach Wunsch aufzulösen. Das bedeutet, dass unsere externe IP-Adresse dann in der Regel einen DNS-Namen wie z.b. static netcologne.de hat, wenn die IP-Adresse lautet. Diese Daten können wir nicht ändern, wir könnten aber zusätzlich z.b. den Namen office.loophole-solutions.tv auf die IP-Adresse zeigen lassen. Fragt also ein Mailserver nach dem Namen office.loophole-solutions.tv, erhält er als Antwort die IP-Adresse Fragt er dann nach dem Namen der IP- Adresse , erhält er als Antwort static netcologne.de, da dieser sogenannte Reverse Lookup (also die Ausgabe eines DNS-Namens bei Eingabe einer IP-Adresse) nur einem Namen zugeordnet werden kann, während der Lookup (also die Ausgabe einer IP-Adresse bei Eingabe eines DNS-Namens) auch von mehreren Namen einer einzelnen IP-Adresse zugeordnet werden kann. Warum ist das für uns relevant? Fast alle Mailserver führen umfangreiche Tests zur Vermeidung eingehender Spam-Nachrichten durch. Einige dieser Tests bestehen darin, zu überprüfen, ob der versendende Server überhaupt Mails einer bestimmten Domäne versenden darf. Viele Server lehnen generell Nachrichten ab, die von dynamischen oder statischen ADSL-IP-Adressen stammen; andere lehnen Nachrichten ab, die von Servern stammen, deren DNS-Reverse- Lookup nicht eindeutig dem DNS-Lookup zugeordnet werden kann. Fortsetzung Die Internetverbindung des Servers und ihre Folgen 9

10 Index A Abwesenheitsnotiz 113 ACLs 63 Adressbuchserver 120 CardDAV 119 gemeinsame Adressen 120 Apache httpd.conf 71 Apple Remote Desktop 25 Arbeitsgruppenmanager 57 B Backups Archiware PresSTORE 48 Carbon Copy Cloner 50 mailbfr 116 SuperDuper! 50 Time Machine 48, 62 Benutzerverwaltung Open Directory 14 Bonding 25 Bonjour 18, 143 C CardDAV 119 D DHCP statische DHCP-IP-Adressen 36 DMZ Split-DNS 14 DNS Adress-Record 7 CNAME 31 DNS-Master 30 Forwarding 32 MX-Record 7, 30 Pointer-Record 7 Primärzone 30 rekursive Anfragen 32 Reverse-Lookup 14 Reverse-Lookup-Zone 31 Slave 30 Wiki-Mailing-Listen 31 Zonenübertragung 30 DNS-Konfiguration 27 Dovecot 104 Dateistruktur 104 Gemeinsame Postfächer 107 DynDNS 13 E entfernte Anmeldung Netzwerkschnittstellen 25 per Apple Remote Desktop 24 per SSH 24 F Fax-Freigabe 144 Fax-Modem 141 USB-Fax-Modem 142 Fax-Software PageSender 143 Fileservices ACLs 63 AFP 51 AFP-Root-Zugriff 53 Freigaben 60 FTP 56 Locking 62 POSIX

11 POSIX vs. ACLs 63 primärer Domänen-Controller 54 SMB 54 Spotlight-Suche aktivieren 62 G Greylisting 89 Großartige Stadt Köln 24 H Hardware Mac mini Server 16 Mac Pro 16 Xserve 16, 20, 25 I ical Einladungen 126 Gruppenkalender 125, 132 persönliche Kalender 132 Stellvertretung 133 Verfügbarkeit von Teilnehmern 134 Wiki-Server 126 ical-server-dienstprogramm 130 Ressourcen 130 ichat-server Jabber 149 Installation Datenmigration 24 Import 24 Serverassistent 23 Internetverbindung 5 iphone Akkulaufzeit 46 Gruppenkalender 139 Mail-Einrichtung 99 persönliche Kalender 138 IPv4 32-Bit-Adressierung 12 IPv6 26 J Jabber 149 K Kennwortänderung 115 Kerberos 38 Kerberos-Realm 40 L L2TP 153 launchd 103, 117 LDAP-Suchbeginn 41 Lightning Kalender-Einladungen 137 Lights-out-Management 25 LOM 25 M Mac mini Server 1, 16 Mac OS X Installation 19 Target-Modus 20 Upgrade 19 Mail Backup-Relay 11 Store-And-Forward-Relay 11 Mailregeln 113 Mailserver 15, 81 /etc/postfix/main.cf 89 Abwesenheitsnotiz 113 Authentifizierungsmethoden 87 Catch-All-Postfach 102 Cluster 89 s ohne Authentifizierung 83 Fetchmail 83, 100 Greylisting 89 Hostalias 88 IMAP 83 Junk-Mail 86 launchd 103, learnjunk 111 Mail-Archiv 83 Mailbenutzer anlegen 92 mailbfr 116 Mailing-Listen 87 Mailman 87 Mailregeln 113 Mailweiterleitung 92 Outlook und Postfix Index

12 Push-Dienste 82 RBL 84 Realtime-Black-List 84 recipient_delimiter 91 Spam 85 SpamAssassin 84 Squirrelmail 94 Thunderbird 98 Virtuelle Domäne 88 Virusfilter 86 Webmail 94 Mailserver launchd 111 Management-Tools Servereinstellungen 67 N NAT-Router 6 Netzwerk 32-Bit-Adressierung 12 Active Directory 40 ADSL-Verbindung 5 Apple AirPort Extreme 43 Bonding 25 Bonjour 18 demilitarisierte Zone 11 DMZ 15 DNS-Konfiguration 27 DynDNS 13 Fileservices 51 GigaBit 10 Internetverbindung 5 IPv6 26 Kerberos 38 Kerberos-Realm 40 LDAP-Suchbeginn 41 Lights-out-Management 25 LOM 25 Mailserver 15 NAT-Router 6 Open Directory 14 Open Directory-Replik 39 Planung 5 Push-Benachrichtigungen 45 RADIUS 42 Reverse-Lookup 14 Router 17 Routing 25 Schnittstellen 25 SDSL 7 Single-Sign-On 38 Split-DNS 14 SSO 38 statische DHCP-IP-Adressen 36 statische IP-Adresse 9 Statische Routen 12 Suchdomänen 31 Topologie 5, 7 Trunking 25 WLAN 43 Neuerungen automatische Abwesenheitsbenachrichtungen 1 persönliche Kalender 1 Verwalten von Mailregeln 1 O Open Directory 14 Archivierung 42 Binding 68 Open Directory-Master 38 Verzeichnisdienste-Programms 69 Outlook ZideOne 134 P PageSender 143 POSIX-Rechte 63 primärer Domänen-Controller 54 R Rechte-Vererbung ACLs 63 POSIX 63 root-benutzer 24 S Server Monitor 25 Serverassistent 23 Servereinstellungen 67 Sicherheit 6 SMB primärer Domänen-Controller 54 SpamAssassin 84 Spam erlernen 106 Index 163

13 Split-DNS 14 Squirrelmail 94 SSL-Zertifikate selbst-signiert 37 T Target-Modus 20 Thunderbird 98 Time Machine Client-Einrichtung 70 Topologie Mailserver 15 Trunking 25 U Ubuntu-Desktop 98 USB-Fax-Modem 142 V VPN L2TP 153 Routing 154 W Webmail 94 Webserver Apache 2 71 Domänen-Umleitung 79 Forward-Proxy 72 Kennwort ändern 80 Maildomäne 73 Mailregeln, server-basiert 80 RedirectMatch 79 Reverse Proxy 74 SSL-gesichert 76 Wikis 74 Wiki 74 Einrichten einer neuen Site 128 Kalender 128 Mailing-Liste 128 persönliche Kalender 129 Podcasts 75 Rechte 129 Versionierungssystem 76 Windows Vista Lokale Sicherheitsrichtlinie 55 NTLM 55 NTLMv2 55 WLAN Sicherheit 6 X Xserve 20, 25 LOM 25 Trunking 25 Z ZideOne Index