Novell OES Linux paedml Novell für schulische Netzwerke

Transkript

1 Novell OES Linux paedml Novell für schulische Netzwerke Installationsanleitung: Einrichten der Fernüberwachung für die paedml Novell Stand:

2 Impressum Herausgeber Landesmedienzentrum Baden-Württemberg (LMZ) Support-Netz Rotenbergstr Stuttgart Autoren der Zentralen Expertengruppe Netze (ZEN), Support-Netz, LMZ Soo-Dong Kim Peter Klein Endredaktion Birgit Mikley Weitere Informationen Veröffentlicht: 2010 Landesmedienzentrum Baden-Württemberg

3 Inhaltsverzeichnis 0. Inhaltsverzeichnis Vorbemerkungen und Voraussetzungen Allgemeines zur Fernüberwachung Ziel der Fernüberwachung Systemvoraussetzungen zur Fernüberwachung Software-Voraussetzungen Internetanbindung Statische IP-Adresse Dynamische IP-Adresse Allgemeines zu Dynamischem DNS Organisatorischer Ablauf der Fernüberwachung Firewall konfigurieren - Teil I Netzwerkobjekte anlegen Service-Typ: NRPE Host: Nagios-Server (LMZ) Regeln für die Firewall erweitern Regeln erstellen Regeln aktivieren Installation auf dem GServer Installationsdateien Installation - Teil I: Software zur Fernüberwachung Installation - Teil II: Konfiguration des DynDNS-Updaters (Optional) Nagios Kundeninterface Anhang Links Astaro aktualisieren 24 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

4 1 Vorbemerkungen und Voraussetzungen 1. Vorbemerkungen und Voraussetzungen 1.1. Allgemeines zur Fernüberwachung Im Rahmen des paedml Plus-Leistungspaketes besteht die Möglichkeit, den Zustand Ihrer paedml- Installation durch das Support-Netz per automatisierter Fernüberwachung in regelmäßigen Zeitintervallen überprüfen zu lassen. Ziel dieser Anleitung ist es, auf Ihrer paedml-installation die nötigen technischen Voraussetzungen zur Inanspruchnahme dieser Dienstleistung zu schaffen. Diese Anleitung richtet sich an den für Ihre paedml-installation zuständigen Netzwerkberater bzw. EDV-Fachbetrieb, welcher bei entsprechenden Ergebnissen der Fernüberwachung durch die Hotline kontaktiert wird. Das Support-Netz des Landesmedienzentrums Baden-Württemberg betreibt seit Oktober 2008 einen zentralen Nagios-Server in Karlsruhe, der das Herzstück der oben genannten Dienstleistung darstellt. Dieser Server ist seinerseits bei einem entsprechend spezialisierten IT-Dienstleister gehostet. Weiterführende Informationen über die zu diesem Zwecke eingesetzte Open Source -Software Nagios finden Sie unter bei Wikipedia im Internet (siehe Anhang Links). 2 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

5 Vorbemerkungen und Voraussetzungen 1.2. Ziel der Fernüberwachung Ziel der Fernüberwachung ist es, den Zustand ausgewählter Dienste und Hardware-Ressourcen auf Ihren Servern zu überwachen, welche in der Gesamtheit die Vitalität Ihrer paedml-installation ausmachen. Einen Überblick bezüglich der überwachten Dienste und Ressourcen gewährt Ihnen die nachstehend aufgeführte Tabelle: Parameter CPU-Auslastung in Prozent Festplattenfüllstand in Prozent Arbeitsspeicherbelegung über Swap / Auslagerungsdatei in Prozent DHCP DNS Webserver (Apache) Verzeichnisdienst (edirectory) Druckermanager für Netzwerkdrucker (iprint) Treiberablage für Netzwerkdrucker (iprint) Web-Proxy (Squid) Typ Hardware-Ressource Hardware-Ressource Hardware-Ressource Dienst Dienst Dienst Dienst Dienst Dienst Dienst Wichtiger Hinweis: Zur störungsfreien Überwachung des Web-Proxy Squid müssen Sie die Konfiguration gemäß der am 8. Oktober 2009 veröffentlichten Updateanleitung angepasst haben (siehe auch Abschnitt 3.2). Details dazu entnehmen Sie bitte aus der Anleitung unter Systemvoraussetzungen zur Fernüberwachung Software-Voraussetzungen Die Plugins des auf Ihren paedml-servern zu installierenden Nagios-Dienstes (siehe Abschnitt 3.1) sind ausschließlich auf Basis der paedml Novell getestet worden. Eine Fernüberwachung der Novell- Musterlösung 2.7 auf der Basis von Novell Netware 6 mithilfe des Nagios-Clients wird nicht unterstützt. Generell empfehlen wir allen Kunden, die paedml Novell oder älter einsetzen, Ihren Server auf die Version zu aktualisieren, bevor Sie die Plugins und Client-Software installieren. Auf diese Art und Weise können unsere Mitarbeiter der Novell-Hotline bei einem Störungsfall effizienter reagieren, weil dadurch versionsspezifische Eigenschaften weniger berücksichtigt werden müssen. paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

6 1 Vorbemerkungen und Voraussetzungen Internetanbindung Für die Durchführung der Fernüberwachung ist entscheidend, wie Ihre Schule an das Internet angebunden ist. Grundsätzlich wird die Fernüberwachung für die nachfolgend genannten Internet- Anbindungsarten unterstützt: 1. Permanente Internetanbindung über Statische IP-Adresse (z.b. durch Provider BelWü ) im Folgenden kurz Statische IP-Adresse genannt. 2. Permanente Internetanbindung über Dynamische IP-Adresse (z.b. Telekom DSL-Flatrate) im Folgenden kurz Dynamische IP-Adresse genannt Statische IP-Adresse a) Der Server besitzt eine öffentliche statische IP-Adresse Ist Ihr paedml-server mit der externen Netzwerkkarte über eine statische IP-Adresse direkt an das Internet angebunden, so müssen Sie bei Ihrem ISP (Internet Service Provider) eingehende TCP- Verbindungen auf den Port 5666 Port für Ihre externe IP-Adresse (sogenannte Public IP ) freischalten lassen. b) Ein eigener Firewall-Server besitzt eine öffentliche statische IP-Adresse Ist Ihr paedml-server nicht über eine Public IP direkt an das Internet angebunden sondern an einen Firewall-Server, der die ein- und ausgehenden Verbindungen ins Internet überwacht, muss zusätzlich für die Public IP der Firewall der Port 5666 freigeschaltet werden. Eine Anpassung der Firewall- Konfiguration sorgt dann dafür, dass alle Statusabfragen an den paedml-server weitergeleitet werden (siehe Abschnitt 2). Dies ist erforderlich, da der Nagios-Server des Support-Netzes am LMZ den auf Ihrem Server zu installierenden Nagios-Dienst genau über diese Schnittstelle abfragt. In der Regel kann dies per beantragt werden und dauert meist nicht länger als einen Werktag (z.b. bei BelWü). Wenn Ihr System eine statische IP Adresse hat, können Sie die vier nachfolgenden Abschnitte zum Thema Dynamische IP-Adresse und DynDNS überspringen und direkt mit dem Abschnitt 1.4 Organisatorischer Ablauf der Fernüberwachung fortfahren Dynamische IP-Adresse Ist Ihr paedml-server mit der externen Netzwerkkarte beispielsweise über eine Telekom-DSL-Flatrate an das Internet angebunden, so bekommt er in regelmäßigen Zeitabständen (spätestens über Nacht) eine neue sogenannte dynamische IP-Adresse von Ihrem Provider zugeteilt. Da Ihre paedml-installation somit nicht konstant über eine gleichbleibende Adresse von außen angesprochen werden könnte, würde eine Fernüberwachung vom Nagios-Server des Support-Netzes aus 4 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

7 Vorbemerkungen und Voraussetzungen nicht zuverlässig funktionieren, da dieser Server vom Wechsel Ihrer IP-Adresse nichts mitbekommen würde. Dieser Umstand lässt sich durch Registrierung eines Dynamischen DNS-Namen beheben (s. nächster Abschnitt ). Da Ihre Firewall mit der externen Netzwerkkarte in der Regel über einen DSL-Router an das Internet angebunden ist, muss dieser Router so konfiguriert werden, dass er eingehende TCP-Verbindungen auf den Port 5666 für Ihre externe IP-Adresse (sogenannte Public IP ) zulässt: Die nachstehende Abbildung zeigt dies beispielhaft an einem handelsüblichen Linksys-Router: In diesem Beispiel leitet der Router alle einkommenden TCP-Verbindungen auf den Port 5666 an die Public-IP der Firewall ( ) weiter, sodass der paedml-server nach seinem Zustand abgefragt werden kann Allgemeines zu Dynamischem DNS Über diese Technologie ist es möglich, einen Rechner trotz dynamisch wechselnder IP-Adressen über einen gleich bleibenden Klartextnamen über das Internet erreichbar zu halten. Streng technisch gesprochen handelt es sich hierbei um die Einrichtung einer DNS-Zone mit sehr kurzer TTL-(Time To Live)Zeit. Weitere Infos hierzu finden Sie zum Beispiel unter bei Wikipedia. paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

8 1 Vorbemerkungen und Voraussetzungen Heutzutage gibt es einige Anbieter im Netz, bei denen man sich kostenlos einen dynamischen DNS- Namen für seinen Rechner reservieren lassen kann. Einer der bekanntesten Anbieter eines solchen Dienstes ist derzeit DynDNS.org. Hier kann man sich beispielsweise für seinen Server einen dynamischen DNS-Namen wie Mein-paedML-Server.dyndns.org einrichten. Damit die Maschine auch tatsächlich trotz IP-Wechsel über diesen Namen konstant erreichbar bleibt, muss die Zuordnung dieses DNS-Namens zu der aktuellen dynamischen IP-Adresse ständig aktuell gehalten werden. Um dies zu erreichen, muss auf dem betreffenden Server ein Update-Client (ein sogenannter DynDNS-Client) installiert werden, der im Falle eines IP-Wechsels die aktuelle IP-Adresse an DynDNS.org übermittelt. Weitere Details zur Einrichtung eines dynamischen DNS-Namens am Beispiel DynDNS.org finden Sie in den beiden folgenden Abschnitten. 1. Einrichtung eines DynDNS-Accounts Um bei DynDNS.org einen DNS-Namen für Ihren Server registrieren zu können, müssen Sie sich zunächst über die Website des Anbieters einen sogenannten Account anlegen. Öffnen Sie einen Browser und geben Sie die nachstehend genannte Adresse in die Adresszeile ein: Im nachfolgend gezeigten Formular müssen Sie sich mit dem gewünschten Username und einer gültigen -Adresse registrieren. Die Angabe, wie Sie zu DynDNS gekommen sind, ist freiwillig und kann weggelassen werden: Scrollen Sie nun im Formular weiter nach unten, setzten Sie den Haken bei I agree to the AUP, hiermit nehmen Sie die AGB des Anbieters an. Des Weiteren setzen Sie bitte den Haken bei I will only create one (1) free account, hiermit versichern Sie, dass Sie nur einen kostenlosen Account für Ihre Zwecke nutzen werden. Dies ist wichtig, da der Anbieter nur einen kostenfreien Account pro Person gestattet. Im 6 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

9 Vorbemerkungen und Voraussetzungen Missbrauchsfalle behält es sich der Anbieter laut seinen AGB vor, alle in Frage kommenden Accounts gegebenenfalls zu löschen: Scrollen Sie nun im Formular weiter nach unten. Optional können Sie sich von DynDNS.org einen Newsletter sowie sonstige Informationen an Ihre oben angegebene -Adresse schicken lassen, setzen Sie im Bedarfsfalle die Haken entsprechend. Ansonsten können Sie den Registrierungsprozess direkt durch Klicken des Buttons Create Account anstoßen: paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

10 1 Vorbemerkungen und Voraussetzungen Im Normalfall erhalten Sie nun in den nächsten Minuten eine Bestätigungs- von DynDNS.org an die oben angegebene -Adresse. Diese enthält einen Link zur Login-Seite über die Sie sich binnen der nächsten 48 Stunden einloggen müssen, da ansonsten der soeben eingerichtete Account verfällt. Bitte klicken Sie den oberen der beiden Links ( um sich bei DynDNS einzuloggen und um Ihren Account zu bestätigen: Wie Sie sich nach dem Login einen dynamischen DNS-Namen einrichten, beschreibt der folgende Abschnitt. 2. Einrichtung eines DynDNS-Hostnames Bitte loggen Sie sich mit Ihren Zugangsdaten auf der DynDNS-Website ein: 8 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

11 Vorbemerkungen und Voraussetzungen Zur Einrichtungen eines dynamischen DNS-Namens für Ihren Server klicken Sie bitte in der linken Spalte My Services den Menüpunkt Add Host Services : Im ersten Eingabefeld der nachfolgenden Seite können Sie einen Namen für Ihren Server frei wählen. Dieser wird dann, durch einen Punkt getrennt, einer sogenannten Second-Level-Domain (z.b. dyndns.org ) des Anbieters vorangestellt, welche Sie im zweiten Eingabefeld (Dropdown-Box) auswählen können. Beim Radio-Button Service Type lassen Sie bitte die Option Host with IP address ausgewählt. Das Feld IP Address befüllen Sie bitte vorerst durch Klicken des direkt darunter stehenden Links Use auto detect IP address, diese Information wird später durch den auf Ihrem Server zu installierenden DynDNS-Client mit den tatsächlichen dynamischen IP-Adressen Ihres Servers aktualisiert. Klicken Sie abschließend den Button Create Host, um Ihren DynDNS-Namen anzulegen: Tipp: Allen Kunden, die bei uns registriert sind, ist eine eindeutige Installations-ID zugeordnet. Wir empfehlen Ihnen daher diese ID als Servernamen zu verwenden. Auf diese Art und Weise können unsere Hotline- Mitarbeiter Ihren Server bei einem Störungsfall leichter identifizieren, wodurch Ihnen schneller geholfen werden kann. Die Installations-ID Ihrer paedml sofern Sie sie nicht kennen können Sie per anfordern. Schreiben Sie dazu eine an hotline@lmz-bw.de mit mindestens folgenden Angaben: Name der Schule Anschrift der Schule Name der Kontaktperson (Netzwerkberater) -Adresse oder die Telefonnummer der Kontaktperson Öffentliche IP-Adresse des Servers beziehungsweise der Firewall Falls keine öffentliche IP-Adresse verfügbar, der Klartextnamen bei DynDNS paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

12 1 Vorbemerkungen und Voraussetzungen Auf der folgenden Seite wird der soeben erzeugte Hostname angezeigt: Sie können sich nun von der DynDNS-Website ausloggen (Link im Fenster ganz oben rechts Log Out ). 10 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

13 Vorbemerkungen und Voraussetzungen 1.4. Organisatorischer Ablauf der Fernüberwachung Nach Eingang Ihres Anmeldeformulars für das paedml Plus-Leistungspaket wird im UHD-System des Support-Netzes ein entsprechender Datensatz zu Ihrer paedml-installation angelegt. Anschließend müssen Sie die technischen Voraussetzungen zur Fernüberwachung auf Ihrer paedml-installation schaffen (vgl. ) Wichtiger Hinweis: Bitte wenden Sie sich danach an die Hotline, sodass der für Sie zuständige Mitarbeiter Ihr System zur Überwachung auf dem Nagios-Server freischalten kann. Bitte überprüfen Sie bei dieser Gelegenheit auch, ob die Hotline über Ihre aktuellen Kontaktdaten verfügt, sodass durch die Fernüberwachung entdeckte Störungen im Bedarfsfalle zeitnah abgestellt werden können. Nach Freischaltung Ihrer paedml-installation zur Fernüberwachung durch die Hotline werden die unter 1.2. beschriebenen Hardware-Ressourcen und Dienste auf Ihrem Server (bzw. auf Ihren Servern) durch den zentralen Nagios-Server des Support-Netzes überwacht. In Zeitintervallen von 30 Minuten wird der Zustand dieser Hardware-Ressourcen und Dienste auf Ihren Maschinen vom Nagios-Server über das Internet abgefragt (Pulling-Verfahren). Stellt der Nagios-Server im Zuge einer Abfrage fest, dass sich eine Hardware-Ressource bzw. ein Dienst auf einer Ihrer Maschinen in einem kritischen Zustand befindet, so wird postwendend eine entsprechende -Nachricht an das UHD-System der Hotline versandt. Diese -Nachrichten werden auf Seiten der Hotline in regelmäßigen Zeitabständen kontrolliert und im Bedarfsfalle kontaktiert Sie der zuständige Mitarbeiter über die von Ihnen angegebenen Kontaktdaten, um die Störung zu beheben. paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

14 2 Firewall konfigurieren - Teil I 2. Firewall konfigurieren - Teil I Bevor Sie den Nagios NRPE-Client installieren und die Fernoperatoren einrichten, müssen Sie Ihre Firewall um ein paar zusätzliche Regeln erweitern. Denn ohne diese Regeln wäre weder eine Fernüberwachung noch eine Fernwartung durch die Mitarbeiter der Novell-Hotline des LMZ möglich. In den nachfolgenden Abschnitten beschreiben wir, wie Sie die Konfiguration Ihrer Firewall um die notwendigen Regeln erweitern können. Wichtige Hinweise: 1. Die nachfolgend beschriebenen Filter gelten nur dann, wenn Astaro Security Gateway (kurz Astaro) als Firewall zum Einsatz kommt. Setzen Sie ein anderes Produkt als Firewall ein, müssen Sie die Konfiguration der Filter entsprechend anpassen. 2. Der Port 5666 darf nicht verändert werden! Der Nagios-Server des LMZ kommuniziert ausschließlich über den Port 5666 mit dem NRPE-Client auf Ihrem Server. 3. Die beschriebenen Filter basieren auf der Standard-Konfiguration für Astaro, die am auf der Seite ( veröffentlicht wurde. Falls Sie eine frühere Konfiguration verwenden, empfehlen wir Ihnen, zuvor Ihre Konfiguration zu aktualisieren (siehe Anhang, Astaro aktualisieren) Netzwerkobjekte anlegen Service-Typ: NRPE 5666 Ein Service beschreibt unter anderem den Typ des Datenverkehrs, etwa das zu verwendende Kommunikationsprotokoll und der dafür benutzte Port. Damit der Nagios-Server des LMZ und Ihr Server störungsfrei kommunizieren können, brauchen wir zuerst einen neuen Service-Typ Melden Sie sich an einer Arbeitsstation an. Starten Sie einen Browser, um das Konfigurationswerkzeug WebAdmin verwenden zu können. Rufen Sie im Browser die Seite auf. Melden Sie sich als Benutzer admin und dem erforderlichen Passwort an. Drücken Sie zuerst auf die Schaltfläche Definitions und danach auf den Link Services. 12 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

15 Firewall konfigurieren - Teil I 6. Fügen Sie einen neuen Service hinzu, indem Sie auf die Schaltfläche New Service Definition drücken Tragen Sie als Namen NRPE 5666 in das Eingabefeld Name ein. Wählen Sie als Type of Definition den Wert TCP aus dem Drop-Down-Menü. 9. Die restlichen Werte können Sie aus der Abbildung übernehmen. 10. Speichern Sie die Einstellungen mit Save Host: Nagios-Server (LMZ) Als nächstes müssen wir den Nagios-Server des LMZ als ein Netzwerkobjekt des Typs Host definieren, damit wir ihn später für die Paketfilter-Regel nutzen können Klicken Sie auf den Link Networks unter Definitions. Drücken Sie auf die Schaltfläche New network definition. paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

16 2 Firewall konfigurieren - Teil I 3. Wählen Sie als Type den Wert Host aus dem Drop-Down-Menü. 4. Als Interface wird die Schnittstelle External ausgewählt. 5. Übernehmen Sie die restlichen Werte aus der nachfolgenden Abbildung und fügen Sie das neue Netzwerkobjekt Nagios Server (LMZ) mit Save hinzu Regeln für die Firewall erweitern Wir benutzen eine Kombination aus einer DNAT- und Paketfilter-Regel, um die Kommunikation zwischen dem Nagios-Server und Ihrem Server zu ermöglichen. Hinweis: Statt der Kombination aus DNAT und Paketfilter kann ein generischer Proxy ebenfalls für den Verbindungsaufbau verwendet werden. Das hat allerdings den folgenden Nachteil: Es ist schwieriger für 14 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

17 Firewall konfigurieren - Teil I Sie nachzuprüfen, ob die Statusprüfung tatsächlich vom Nagios-Server des LMZ oder von einem anderen Server ausgeführt wird. Denn in der Log-Datei des Servers taucht stets die IP des Proxys, also die IP- Adresse als die Quelle auf, von der eine Statusanfrage an den NRPE-Client gerichtet wird Regeln erstellen Klicken Sie zuerst auf die Schaltfläche Network Security und anschließend auf den Link NAT. Wählen Sie die Registerkarte DNAT/SNAT aus. Drücken Sie auf die Schaltfläche New NAT rule. Tragen Sie NRPE in das Eingabefeld Name zur Kennzeichnung der neuen DNAT-Regel ein. Als Group wird die vordefinierte Gruppe SRV ausgewählt. Die Position der Regel kann frei gewählt werden, zum Beispiel: Group Top. Standardmäßig ist das Netzwerkobjekt Any als Traffic Source ausgewählt. Da wir aber nur dem Nagios-Server des LMZ erlauben wollen, eine Statusabfrage an den NRPE-Client zu stellen, löschen wir das Objekt Any zuerst. Klicken Sie dazu auf das Papierkorbsymbol links von Any. Als Traffic Source wählen wir nun das im Abschnitt angelegte Netzwerkobjekt Nagios Server (LMZ) aus. Klicken Sie dazu auf das gelbe Ordnersymbol neben dem grünen Plus. Im linken Frame öffnet sich dadurch ein Fenster für Netzwerkobjekte. Scrollen Sie das Fenster herunter, bis Sie das Netzwerkobjekt Nagios-Server (LMZ) finden. Drücken Sie auf das Objekt mit der linken Maustaste. Halten Sie die linke Maustaste gedrückt und ziehen Sie es auf die nun leere Eingabefläche rechts von Traffic Source. Lassen Sie die linke Maustaste erst dann los, wenn das Objekt vollständig über der Eingabefläche schwebt Löschen Sie das Serviceobjekt Any bei Traffic Service. Klicken Sie nun auf das Ordnersymbol bei Traffic-Service. Da es sich diesmal um Serviceobjekte handelt, finden Sie nun im linken Fenster Definitionen vor, die Netzwerkprotokolle beschreiben. paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

18 2 Firewall konfigurieren - Teil I 11. Scrollen Sie das Fenster herunter, bis Sie das Objekt NRPE 5666 finden. Markieren und ziehen Sie es, wie unter Punkt 7 beschrieben, auf die Eingabefläche Traffic-Service Löschen Sie das Objekt Any bei Traffic Destination. Wählen Sie, analog zu Punkt 8,als Traffic Destination das Netzwerkobjekt External (Address) aus. Als NAT Mode wählen wir DNAT (Destination NAT) aus dem Drop-Down-Menü aus. Das Ziel des Datenverkehrs ist Internal GServer03. Öffnen Sie dazu - mit Klick auf das Ordnersymbol - das Fenster für Netzwerkobjekte. Suchen Sie nach dem Objekt Internal GServer03 und ziehen Sie es auf die Eingabefläche rechts von Destination. Als Destination Service tragen wir noch einmal das Objekt NRPE 5666 ein. Speichern Sie die neue DNAT-Regel mit einem Klick auf die Schaltfläche Save. 16 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

19 Firewall konfigurieren - Teil I Damit haben wir eine DNAT-Regel namens NRPE definiert, die alle Datenpakete auf Port 5666 von der Firewall zum GServer03 umleitet. Als Nächstes brauchen wir noch zusätzlich einen Paketfilter, der die Annahme der Datenpakete vom Nagios Server(LMZ) durch den GServer03 erlaubt. 18. Falls ein Auswahlfenster für Netzwerkobjekte geöffnet ist, schließen Sie es, in dem Sie auf das rote Kreuzsymbol in der oberen rechten Ecke klicken Klicken Sie auf die Schaltfläche Network Security und anschließend auf den Link Packet Filter. Drücken Sie auf die Schaltfläche New Rule. Wählen Sie als Group PRV-in aus. Als Position wird wie bei DNAT-Regel NRPE Group Top ausgewählt. Das standardmäßig ausgewählte Objekt Any für Source, Service und Destination ersetzen Sie durch die in der nachfolgenden Abbildung dargestellten Objekte. 24. Speichern Sie die Regel mit Save. Wichtiger Hinweis: Als Destination muss dasselbe Objekt ausgewählt werden, das bereits für die DNAT-Regel als Destination der einkommenden Datenpakete festgelegt wurde. paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

20 2 Firewall konfigurieren - Teil I Regeln aktivieren Wir haben zwar im vorangegangenen Abschnitt die Voraussetzungen für einen Verbindungsaufbau zwischen dem Nagios- und Ihrem Server geschaffen, können jedoch noch keinen Nutzen daraus ziehen. Denn die beiden Regeln wirken noch nicht. Sie müssen daher zuerst aktiviert werden, bevor die Kommunikation zwischen den beiden Servern nach der Installation des NRPE-Clients geprüft werden kann Starten Sie den WebAdmin, falls Sie ihn beendet haben. Drücken Sie auf die Schaltfäche Network Security. Klicken Sie auf den Link Packet Filter. Suchen Sie nach der Regel, die wir gemeinsam im vorangegangen Abschnitt hinzugefügt haben. Benutzen Sie dazu die Suchfunktion des WebAdmins. 5. Aktivieren Sie die Regel, indem Sie auf die graue Schaltfläche neben dem roten Button klicken. Der Filter ist dann aktiv, wenn der Button grün leuchtet Klicken Sie nun auf den Link NAT unter Network Security. Wählen Sie die Registerkarte DNAT/SNAT aus. Suchen Sie nach der NAT-Regel NRPE. Leider steht für die DNAT-Regel keine Suchfunktion zur Verfügung. Je nach den vorhandenen Regeln ist es daher notwendig, die Seiten durchzublättern. Falls Sie die Regel NRPE auf der ersten Seite nicht finden, klicken Sie auf das Symbol >>, um auf die nächste Seite zu gelangen. 9. Aktivieren Sie die Regel (siehe Punkt 5). 18 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

21 Installation auf dem GServer03 3. Installation auf dem GServer Installationsdateien Tipp: Sie müssen sich nicht direkt am Server anmelden. Es genügt einen SSH-Client wie zum Beispiel putty ( um die Installation vollständig ausführen zu können. Herr Uwe Labs beschreibt in seiner Kurzanleitung, wie Sie mit einem solchen Client Ihren Server administrieren können. Die Anleitung finden Sie ebenfalls auf dem Lehrerfortbildungsserver der Landesakademie für Fortbildung und Personalentwicklung an Schulen: Laden Sie bitte vom Support-Netz-Portal unter das Archiv namens paedml_nov323_pluspaket.tgz herunter. Speichern Sie die Datei idealerweise auf Ihrem Home- Verzeichnis H:\ ab. Dadurch brauchen Sie die Datei nicht extra auf den Server zu kopieren, um die Fernüberwachungs-Software mithilfe von einem SSH-Client installieren zu können. Die Archiv-Datei enthält eine vollständige Ordnerstruktur, die neben dem Installationsskript alle notwenigen Installationsdateien enthält. Der Inhalt wird im Folgenden kurz erläutert: setup.sh Das ausführbare Skript setup.sh installiert und konfiguriert alle zur Fernüberwachung notwendigen Komponenten. Unterordner RPMS/nagios-plugins Er enthält alle Nagios-Plugins, die zur Statusabfrage ausgeführt werden. Unterordner RPMS/nrpe Hier finden Sie den Nagios-Dienst, der auf Statusabfrage des Nagios-Servers die Plugins ausführt und deren Rückgabewerte an den Server weiterleitet. Unterordner RPMS/preinstall_rpms Hier finden Sie insgesamt fünf RPM-Pakete, die zur Installation der Nagios-Plugins zwingend vorausgesetzt werden. Unterordner files In diesem Ordner finden Sie Vorlagen, die während des Installationsvorgangs für den paedml-server angepasst werden. Sie finden dort unter anderem eine LDIF-Datei, in der die Standardeigenschaften des Fernoperators RemoteAdmin definiert werden. DynDNS-Updater (RPMS/extras/ddclient paedML.rpm) Das RPM-Paket enthält den DynDNS-Updater von Paul Burry und weiteren Entwicklern (siehe DynDNS-Updater muss nur dann installiert werden, wenn Ihre Schule über keine statische IP-Adresse verfügt. Hinweise zur Anpassung der Konfigurationsdatei finden Sie im Anhang. paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

22 3 Installation auf dem GServer Installation - Teil I: Software zur Fernüberwachung Wichtiger Hinweis: Das Installationsskript setzt eine Anpassung in der Konfiguration des Web-Proxy Squid voraus. Ist sie nicht erfüllt, bricht der Installationsvorgang ab. Sorgen Sie bitte dafür, dass die in der Anleitung beschriebene Änderung vorgenommen wurden, bevor Sie mit der Installation der Fernüberwachungsmodule fortfahren Melden Sie sich als Benutzer root auf dem GServer03 an. Erstellen Sie einen Unterordner, zum Beispiel: mkdir PlusPaket Wechseln Sie in den eben erstellten Ordner: cd PlusPaket: Entpacken Sie die Datei paedml_nov323_pluspaket.tgz mit dem folgenden Befehl: tar zxvf \ /media/nss/docs/zentral/home/verwalter/admin/paedml_nov323_pluspaket.tgz Wechseln Sie in den Ordner Monitoring/Install_Dir: cd Monitoring/Install_Dir Führen Sie das Setupskript aus:./setup Vergessen Sie die beiden vorangestellten Zeichen./ nicht! Sonst wird das Skript nicht ausgeführt. Folgen Sie den Anweisungen des Setup-Skripts, bis die Installation aller Komponenten abgeschlossen ist. Wechseln Sie zurück zum Wurzelverzeichnis des Installationspaketes: cd../../ Hinweise zur Installation: a) Fernoperator RemoteAdmin Das Setupskript installiert nur die zur Fernüberwachung (Remote Monitoring) notwendigen Softwarepakete. Die zur Fernwartung notwendigen Benutzerkonten werden nicht von dem Setupskript eingerichtet. Falls Sie nur das Leistungsmerkmal Fernüberwachung in Anspruch nehmen möchten, können Sie nun die Installation abschließen und die Novell-Hotline des LMZ benachrichtigen, damit sie Ihren Server aufnehmen können. Vergessen Sie bitte nicht, die auf der Seite 9 genannten Angaben vollständig zu nennen. b) Deinstallation Sollte es während der Installation der Software-Pakete zu einem Fehler kommen, hilft es die bereits installierten Komponenten zuerst zu deinstallieren. Dazu müssen Sie das Setupskript mit der Option -f ausführen, also:./setup -f c) Log-Dateien Sollten Sie während der Installation Schwierigkeiten erfahren, fügen Sie bitte die Log-Dateien in Ihrer E- Mail bei. Damit helfen Sie der Novell-Hotline des LMZ, die aufgetretene Störung zügiger zu beheben. Die Log-Dateien finden Sie im Unterordner logs. 20 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

23 Installation auf dem GServer Installation - Teil II: Konfiguration des DynDNS-Updaters (Optional) Falls Sie im Abschnitt 3.2 den DynDNS-Updater installiert haben, muss die Konfigurationsdatei angepasst werden, bevor er als Serverdienst aktiviert wird Starten Sie einen Browser und rufen Sie die Anmeldeseite von DynDNS.org auf. Melden Sie sich mit Ihrem Benutzernamen und Passwort an. Klicken Sie auf die Schaltfläche Support. Klicken Sie auf den Link Update Client Configurator Setzen Sie ein Häkchen bei Add To Config File. Wählen Sie den Radio-Button ddclient aus und klicken Sie auf die Schaltfläche Generate, um eine zu dem ausgewählten DynDNS-Alias passende Konfiguration automatisch erstellen zu lassen. 7. Auf der anschließend erscheinenden Seite sehen Sie dann die fast vollständige Konfiguration für den DynDNS-Alias. paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

24 3 Installation auf dem GServer Kopieren Sie den Inhalt und bearbeiten Sie diesen mit einem Editor. Ersetzen Sie dabei den Platzhalter ##YOUR PASSWORD## durch Ihr eigenes Passwort. Fügen Sie unterhalb der Zeile pid=/var/ eine neue Zeile mit dem folgenden Inhalt hinzu: ssl=yes Speichern Sie die Datei unter dem Namen ddclient.conf ab, am besten auf einem tragbaren Datenträger, wie einem USB-Stick. Melden Sie sich auf Ihrem Server als Benutzer root an. Kopieren Sie die Datei ddclient.conf nach /etc/ddclient. Wichtiger Hinweis: Falls Sie die Datei auf einem Windows-PC bearbeitet haben, ist es wichtig, dass Sie die Datei mit dem Tool dos2unix konvertieren, nachdem sie auf den GServer03 kopiert wurde. Führen Sie das Tool wie folgt aus: dos2unix /etc/ddclient/ddclient.conf Da in der Datei sowohl der Benutzername als auch das Passwort für DynDNS.org im Klartext enthalten sind, ist es wichtig, die Zugriffsrechte auf die Datei so zu ändern, dass sie nur durch den Benutzer root bearbeitet werden kann: chmod 600 /etc/ddclient/ddclient.conf Registrieren Sie ddclient als Serverdienst, sodass er zur Bootzeit gestartet wird: chkconfig -a ddclient Um ddclient sofort starten zu können, müssen Sie noch folgenden Befehl ausführen: /etc/init.d/ddclient start 22 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

25 Nagios Kundeninterface 4. Nagios Kundeninterface Zum Abschluss möchten wir Ihnen das Kundeninterface zur Fernüberwachung mit Nagios vorstellen. Plus-Kunden der paedml haben die Möglichkeit, den Zustand ihrer paedml-server über das Internet selbst abzufragen. Nach Freischaltung Ihres Systems zur Fernüberwachung durch die Hotline bekommen Sie einen entsprechenden Web-Link mit Ihren Zugangsdaten per zugeschickt. Damit haben Sie den Status Ihrer paedml Novell künftig immer fest im Blick - ganz gleich, ob Sie sich im Klassenzimmer, am heimischen Schreibtisch oder im Internet-Cafe befinden. paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

26 5 Anhang 5. Anhang 5.1. Links Installationsanleitung für Astaro Security Gateway für die paedml Novell, Wissensdatenbank(Knowledge Base) der Astaro AG, DynDNS.org, Dokumentation zu DynDNS, DynDNS auf Wikipedia, DynDNS-Updater für Linux, DynDNS-Updater auf Sourceforge, Remote-Zugriff von außen, eine HowTo-Anleitung von Stefan Falk Nagios, Astaro aktualisieren Die in den Kapiteln 2 und 4 beschriebenen Regeln für die Firewall Astaro gelten nur in Kombination mit unserer Standardkonfiguration, die parallel zur Freigabe der paedml Novell veröffentlicht wurde. In diesem Abschnitt möchten wir Ihnen daher zeigen, wie Sie gegebenenfalls Ihre Konfiguration austauschen können. Sie können sie auf unserer Seite herunterladen. Da unsere Standardkonfiguration als eine Backup-Datei erscheint, müssen Sie zuvor unbedingt folgende Vorbereitungen treffen: a) Notieren oder drucken Sie alle von Ihnen individuell erstellten Regeln, die Sie bei der Wiederherstellung der Standardkonfigurationen überschrieben werden. b) Da die IP-Adresse der Schnittstelle External ebenfalls überschrieben wird, müssen Sie die IP- Adresse sowie die Netzwerkmaske und die IP des Gateways notieren. c) Halten Sie Ihre Lizenzdatei für Astaro bereit. Nach der Wiederherstellung der Standardkonfiguration ist es zwingend erforderlich, die Lizenzdatei erneut einzuspielen. Wichtiger Hinweis: Nach dem Entpacken der ZIP-Datei stehen zwei Backup-Dateien zur Verfügung. Die Datei für 3 NICs, also für drei Netzwerkkarten, ist nur dann von Bedeutung, wenn Sie über eine VLAN-fähige Netzwerkkarte verfügen. Wenn Sie nicht sicher sind, ob Ihr Firewall-Server dazu in der Lage ist, sollten Sie die Konfiguration für acht Netzwerkkarten wiederherstellen. 24 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

27 Anhang Starten Sie den WebAdmin der Astaro und melden Sie sich als Benutzer admin an. Klicken Sie auf das Menü Management. Wählen Sie dann das Untermenü Backup / Restore aus. Kontrollieren Sie, ob unter Available backups eine Backup-Datei mit dem Datum zu finden ist. Falls ja, brauchen Sie die nachfolgenden Schritte nicht durchzuführen Klicken Sie auf das Ordnersymbol bei Backup file. Fügen Sie die zu Ihrem Firewall-Server passende Backup-Datei (zum Beispiel, asg.oes.mlbw.de_7.006_ _ xNIC Ethernet ; singel external IP aktiv.abf) hinzu und klicken Sie auf Start Upload. 7. Nach einem erfolgreichen Upload - Sie erkennen es daran, dass im Eingabefeld Backup file die hinzugefügte Datei zu sehen ist - muss sie noch importiert werden. Klicken Sie dazu auf die Schaltfläche Import Backup. 8. Ist die Backup-Datei erfolgreich importiert worden, sollte sie nun in der Liste der Available Backups stehen. paedml Novell / Version / Installationsanleitung zur Fernüberwachung /

28 5 Anhang Bisher haben wir nur die Standardkonfiguration aus der Backup-Datei importiert. Sie ist jedoch noch nicht wirksam. Klicken Sie auf die Schaltfläche Restore, um sie übernehmen zu können. Das anschließend erscheinende Dialogfenster schließen Sie mit OK. Nach dem Neustart der Astaro beziehungsweise des WebAdmins werden Sie aufgefordert eine gültige Lizenzdatei aufzuspielen. Nachdem Sie Ihre Lizenzdatei für die Astaro eingespielt haben, wird der WebAdmin neu gestartet, sodass Sie sich anmelden können. Der Benutzername bleibt weiterhin admin, das Passwort ist jedoch auf das Standardpasswort zurückgesetzt. Ändern Sie daher zwingend das Passwort des Benutzers admin, nach der Anmeldung. Klicken Sie dazu auf das Menü Users. Klicken Sie nun auf das Untermenü Users. Über die Schaltfläche Edit links vom Benutzer admin, rufen Sie das Dialogfenster zur Änderung des Passworts auf. 14. Speichern Sie die Änderung mit Save. Bevor Sie nun mit der Anpassung Ihres Firewall-Servers nach Kapitel 2 und Kapitel 4 fortfahren, müssen Sie noch die Netzwerkkonfiguration wie zum Beispiel die IP-Adresse der externen Netzwerkkarte anpassen. Außerdem sollten Sie Ihre eigenen Regeln, sofern welche vorher definiert und verwendet wurden, wieder einpflegen. 26 paedml Novell / Version / Installationsanleitung zur Fernüberwachung /