Netzwerk-USV-Server für Linux Windows-Rechner verwenden

Transkript

1 Synology Diskstation als Netzwerk-USV-Server für Linux oder Windows-Rechner verwenden Beim Einsatz einer unterbrechungsfreien Stromversorgung (USV) wird diese gerne an NAS-Geräte angeschlossen, um die darauf abgelegten Daten gegen Stromausfälle zu schützen. Bei Synology Diskstations gibt es die Möglichkeit diese als Netzwerk-USV-Server zu betreiben, also die Informationen über die USV auch anderen im Netzwerk befindlichen Rechnern zur Verfügung zu stellen. Der Vorteil liegt darin, dass dann auch Rechner, die nicht direkt mit dem Kabel der USV verbunden sind, geordnet herunterzufahren, wenn der Batteriepuffer der USV zur Neige geht. Synology verwendet auf den Diskstation die Network UPS Tools (NUT). Wie man diese über das Webfrontend der Diskstations konfiguriert ist hier beschrieben. In unserem Beispiel werden wir für einen weiteren LinuxRechner im Heimnetz den Dienst zur Verfügung stellen und dort konfigurieren. Schritt 1: Eintragen des neuen USV-Clients auf der Synology Diskstation unter Systemsteuerung / Hardware und Energie / USV. Zuerst setzen wir aber noch den Haken bei Netzwerk-USVServer aktivieren

2 Aktivieren des Diskstation USV-Netzwerk-Servers auf der Synology Danach klicken wir auf Zugelassene Diskstation Geräte. Keine Sorge auch wenn uns Synology hier mit dem Text suggeriert, dass dies nur für weitere Synology Diskstations geht: es geht auch für andere Rechner. Schritt 2: Im nachfolgenden Dialog tragen wir dann die IPAdresse des neuen Rechners ein, den wir als neuen Client betreiben wollen. Hinzufügen des neuen Clients als IP-Adresse

3 Danach konfigurieren wir den Client. Ich beschreibe das hier für Debian/Ubuntu: Schritt 1: Installieren von NUT sudo aptitude install nut Danach konfigurieren wir nut zuerst mit: sudo nano /etc/nut/nut.conf und setzen dort die Einstellung, dass wir NUT im Client Mode nutzen wollen: MODE=netclient Danach verweisen wir dann in der Datei: sudo nano /etc/nut/upsmon.conf auf den Synology USV-Netwerk-Server: MONITOR 1 monuser secret slave Selbstverständlich ersetzen sie hier die IP durch ihre passende IP ihres Netzwerk USV Servers. Danach starten wir NUT auf dem Client neu mit: sudo service nut-client restart Und kontrollieren per: sudo upsc ob die Verbindung klappt. Tut sie das, liefert der obige Befehle eine ähnlich Ausgabe wie diese hier: Init SSL without certificate database battery.charge: 100 battery.charge.low: 10 battery.charge.warning: 50 battery.date: not set battery.mfr.date: 2015/01/16 battery.runtime: 1447

4 battery.runtime.low: 120 battery.type: PbAc battery.voltage: 13.7 battery.voltage.nominal: 12.0 device.mfr: APC device.model: Back-UPS ES 700G device.serial: device.type: ups driver.name: usbhid-ups driver.parameter.pollfreq: 30 driver.parameter.pollinterval: 5 driver.parameter.port: auto driver.version: SDS factory-repack driver.version.data: APC HID 0.95 driver.version.internal: 0.38 input.sensitivity: medium input.transfer.high: 266 input.transfer.low: 180 input.transfer.reason: input voltage out of range input.voltage: input.voltage.nominal: 230 ups.beeper.status: enabled ups.delay.shutdown: 20 ups.firmware: 871.O3.I ups.firmware.aux: O3 ups.load: 21 ups.mfr: APC ups.mfr.date: 2015/01/16 ups.model: Back-UPS ES 700G ups.productid: 0002 ups.serial: 5B1503T03854 ups.status: OL ups.timer.reboot: 0 ups.timer.shutdown: -1 ups.vendorid: 051d Fertig. Bei Stromverlust melden der Netzwerk-USV-Server den niedrigen Batteriestand an die Clients weiter. Diese fahren dann per NUT sauber herunter. Für Windows gibt es das Programm WinNUT. Dies funktioniert

5 analog zu dem, was ich hier beschrieben hatte. Hier müssen Sie lediglich nach Installation in der Datei %Programfiles%\WinNUT\upsmon.conf den Netzwerk-USV-Server eintragen. Bandbreite zwischen Switches mit Aggregration erhöhen zwei Link Möchte man die Bandbreite der Datenübertragung zwischen zwei Switches erhöhen, so kann man dazu eine Link Aggregation Group (LAG) erstellen. Der Switch, so er denn dieses Verfahren unterstützt, nutzt dann gebündelt die der Link Aggregation Group zugeordneten Ports, um den Datenverkehr zwischen den Switches zu organisieren. Es erfolgt dabei auch eine Lastverteilung zwischen den beteiligten Ports. Das Verfahren wird auch als Port Trunking bezeichnet. Nähere ausführlichere technische Hintergründe gibt es hier. Je nach Hersteller sind die Schritte immer ein klein wenig anders. Ich zeige das hier exemplarisch für einen Switch von Netgear. Als erstes aktiviert man dazu eine Link Aggregation Group:

6 Anlegen bzw. Aktivieren einer LAG Aggregation Group Hat man das erledigt, dann ordnet man noch die Ports der LAG zu: Zuordnen der Ports zur Link Aggregation Group Das war es dann auch schon. Das gleiche muss man selbstverständlich auch auf dem zweiten Switch machen. Dann die Kabel in die Ports und fertig.

7 Telefonkabel auf Patchfeld auflegen. Wohin kommt nochmal welche Ader? Bei der Hausverkabelung hat man heute klassischerweise zwei wesentliche Kabeltypen, die man verlegt bzw. vorfindet. Netzwerkkabel nach einem der handelsüblichen Standards wie z.b. Cat7 oder Cat5 und sehr oft auch Telefonkabel (4-adrig). Oft stellt sich dann die Frage ob man die Telefonkabel auch auf das Patchfeld auflegen kann oder eben nicht und wenn ja, wohin kommt dann welche Ader? Dazu muss man zuerst mal auf das Patchfeld schauen, die im Regelfall eine Farbmarkierung haben nach den EIA/TUA 568A oder EIA/TUA 568B. Eine Farbtabelle habe ich hier mal angefügt aus der man das sehr schnell erkennen kann welchen Standard das Patchfeld anbietet. Adernpaar Pins EIA/TIA 568A EIA/TIA 568B IEC 1 4/5 blau/weiß blau/weiß weiß/blau 2 3/6 weiß/orange weiß/grün rot/orange 3 1/2 weiß/grün 4 7/8 weiß/braun weiß/orange schwarz/grau weiß/braun gelb/braun Im Normalfall ist das in Europa der Standard EIA/TIA 568A. Wenn man diese Information rausgefunden hat, kann man dann das Telefonkabel auflegen. Und zwar mit nachfolgender Zuordnung der Adern: Telefonkabel Pins EIA/TIA 568A EIA/TIA 568B IEC 1a/1b 4/5 blau/weiß blau/weiß weiß/blau

8 2a/2b 3/6 weiß/orange weiß/grün rot/orange Danach kann man dann aus dem Patchfeld heraus die Telefonkabel dorthin verlängern, wo diese benötigt werden (RJ11 auf RJ11, geht aber auch mit RJ45 auf RJ11) Zur besseren Veranschaulichung habe ich mal ein Bild beigefügt auf dem man sehen kann wie die Adern 1a/1b des Telefonkabels auf die Pins 4/5 des Patchfelds aufgelegt sind:

9 Telefonkabel-Adern 1a/1b auf Pins 4/5 eines Patchfelds Viel Spaß!

10 Doppelte Portweiterleitung oder: Wie kann man Rechner hinter einer Routerkaskade erreichen? In meinem Beitrag Einrichten einer echten DMZ mit zwei Fritz!Boxen habe ich aufgezeigt, wie man mit 2 Fritz!Boxen zu einer echten Hardware-DMZ kommen kann, um sein privates Netz in eine dem privaten Netz vorgelagerte rote Zone und eine abgesicherte nachgelagerte private blaue Zone unterteilen kann. Immer wieder erreichen mich Nachfragen, ob es denn nicht trotzdem möglich sei Rechner-IPs aus dem privaten blauen Netz von seiten des Internets zu erreichen? Zu der Thematik hat auch Ernst Ahlers von der c t aus dem heise Verlag einen schönen Artikel verfasst, den man unter Router Kaskaden aufrufen kann. Ganz abgesehen davon, dass man sich dazu Gedanken machen sollte, ob so etwas überhaupt sinnvoll ist, so kann es doch Szenarien geben, die dies sinnvoll erscheinen lassen: z.b. eine VPN-Verbindung in das blaue Netz. Oder ein Server steht aus gutem Grund im blauen Netz und soll doch von außen erreichbar sein. Die Lösung ist eigentlich recht einfach und Ihnen sicherlich schon in Teilen bekannt: man löst dies mit einer doppelten Portweiterleitung. Machen wir ein einfaches Beispiel und treffen ein paar

11 Annahmen: Sie haben ihr Netz in einen roten Aussenbereich und einen blauen geschützten Bereich segmentiert. Es spielt dabei keine Rolle, ob sie das per Hardware-DMZ oder anderweitig gelöst haben. Ihr rotes Netzwerk, dass direkt mit dem Internet verbunden ist, hat in unserem Beispiel folgende Daten: Router rot hat die interne IP-Adresse: Router rot hat auch eine externe IP-Adresse, die im Normalfall durch den Provider zugeordnet wird. Mit dieser IP ist häufig auch gerade bei DSLAnschlüßen mit wechselnden IPs die vom Provider zugeteilt werden, eine dynamischer DNS-Dienst verbunden (z.b. selfhost.eu oder dyndns.org, etc.). In unserem Beispiel beispiel.selfhost.eu wäre dies Ihr blaues geschütztes Netzwerk hat die folgenden Daten Router blau hat die externe IP-Adresse Das durch den Router blau verwaltete interne Netz lautet z.b XXX Sie wollen jetzt auf den Rechner auf dem in unserem Beispiel ein Webserver auf Port 80 läuft von außen zugreifen. Das ist mal der Plan schauen wir wie wir das umsetzen Die Lösung: doppelte Portweiterleitung: 1. Sie richten eine Portweiterleitung auf dem roten Router ein und zwar von Port 80 auf Port 80 mit dem Ziel (also der externen IP unseres blauen Routers). Alle Pakete die auf dem roten Router auf Port 80 extern aus dem Internet ankommen werden mit dieser Weiterleitung an den blauen Router auf Port 80 weitergereicht. 2. Sie richten eine weitere Portweiterleitung auf dem

12 blauen Router ein. Und zwar von Port 80 auf Port 80 mit dem Ziel Damit werden alle Pakete von Port 80 an den Zielrechner auf Port 80 weitergeleitet. Sie können jetzt von extern stehenden Webserver zugreifen. auf mit den der im Adresse blauen Netz Fertig. Unterbrechungsfreie Stromversorgung: Einbinden einer APC BE700G-GR in ein Netzwerk mit Linux-Clients Kennen Sie das? Selbst kleinere Stromschwankungen und kurze Stromausfälle können gerade bei Linux-basierten Rechnern/Servern gravierende Auswirkungen im Dateisystem haben. Gerade dann, wenn das Gerät zum Zeitpunkt des Stromausfalls im Dateisystem geschrieben hat. Dies kann bis dahin gehen, dass der Server oder Rechner danach nicht mehr bootet oder Schäden am Dateisystem bemängelt, die nur mit hohem manuellen Aufwand behebbar sind. Eine sichere Lösung für das Absichern von Servern im Heimnetzwerkbereich ist die Anschaffung einer unterbrechungsfreien Stromversorgung. In meinem konkreten Falle habe ich mich für die Anschaffung einer APC BE700G-GR entschieden. Diese bietet mir die

13 Möglichkeit meine Rechner und Geräte über einen Zeitraum von ca. 20 Minuten zu überbrücken und danach gezielt die Server herunterzufahren, sollte der Stromausfall länger als 20 Minuten andauern. APC Power-Saving Back-UPS ES 8 Outlet 700VA 230V CEE 7/7, Bildquelle: APC, IT Business Media Portal, ex.cfm?search_item=be700g-gr#, abgerufen am Konkret sichere ich mit dieser USV folgende Geräte ab: Fritz!Boxen Netgear Switch mit PoE Raspberry Pi Banana Pi

14 In diesem Artikel möchte ich nun beschreiben, wie man recht einfach seine Linux-basierten Server an die USV anbindet. Dazu werden wir apcupsd ( verwenden. Da ich vor allem Debian auf meinen Servern verwende beziehen sich die nachfolgenden Schritte auf dieses System. Schritt 1: Verkabeln Sie die USV wie im Handbuch angegeben und mit dem mitgelieferten Kabel an einen freien USB-Port ihres Linux-Rechners. Anbei sieht man die seitliche Ansicht der USV an der man das USB-Kabel am Anschluss Data Port anbringt. Seitenansicht APC Power-Saving Back-UPS ES 8 Outlet 700VA 230V CEE 7/7, Bildquelle: APC, IT Business Media Portal, ex.cfm?search_item=be700g-gr#, abgerufen am

15 Danach kann man mit nachfolgenden Befehl überprüfen, ob das Anschließen soweit geklappt hat. Dazu sollte die USV bereits mit Strom versorgt und eingeschaltet sein, sonst sieht man hier gar nix. sudo lsusb In der Ausgabe des Befehls sollte man erkennen können, dass hier eine USV von American Power Conversion am werkeln ist. Schritt 2: Installieren von apcupsd sudo aptitude update && sudo aptitude upgrade sudo aptitude install apcupsd Schritt 3: Konfigurieren des Masters (also derjenige Rechner, an dem die USV direkt per USB-Kabel angeschlossen ist) sudo nano /etc/default/apcupsd Dort ändern wir den Eintrag ISCONFIGURED auf: ISCONFIGURED=yes und die nachfolgenden Einträge in /etc/apcupsd/apcupsd.conf auf die folgenden Werte: sudo nano /etc/apcupsd/apcupsd.conf UPSCABLE usb UPSTYPE usb DEVICE BATTERYLEVEL 5 MINUTES 3 NETSERVER on NISIP NISPORT 3551 Danach starten wir den UPS-Daemon: sudo /etc/init.d/apcupsd start der

16 Schritt 4: Konfigurieren der USV-Slaves (also derjenigen Rechner, die nicht direkt mit der USV verbunden sind, die aber trotzdem heruntergefahren werden sollen, wenn es auf der USV knapp wird) sudo nano /etc/default/apcupsd Dort ändern wir den Eintrag ISCONFIGURED auf: ISCONFIGURED=yes und die nachfolgenden Einträge in /etc/apcupsd/apcupsd.conf auf die folgenden Werte: der sudo nano /etc/apcupsd/apcupsd.conf UPSCABLE ether UPSTYPE net DEVICE <IP-Adresse des USV-Masters>:3551 BATTERYLEVEL 10 MINUTES 6 NETSERVER on NISIP NISPORT 3551 Danach starten wir den UPS-Daemon: sudo /etc/init.d/apcupsd start Schritt 5: Nachkontrolle und Status Mit dem nachfolgenden Befehl bekommen Sie den Status der APC USV angezeigt: sudo apcaccess status

17 Einrichten einer echten demilitarisierten Zone (DMZ) mit zwei FritzBoxen Häufig gibt es auch im privaten Umfeld das Bedürfnis nach einer sogenannten echten demilitarisierten Zone (DMZ), da z.b. ein kleiner eigener Webserver oder FTP-Server betrieben werden soll, diese Server aber kein gesteigertes Sicherheitsrisiko für das restliche Heimnetz darstellen sollen. Der Heise-Verlag in Form der Zeitschrift c t hat hier einen sehr guten Grundlagenartikel (DMZ selbst gebaut) geschrieben, den ich auch hier als Wissensbasis benutzt habe, um eine solche DMZ-Lösung mit zwei Fritzboxen zu realisieren. Folgendes stand mir zur Verfügung: eine Fritz!Box 3370 eine Fritz!Box 7390 Starten wir mit den Grundlagen, also welche Rolle welche Box übernehmen soll und wie diese grundsätzlich verkabelt werden: die Fritz!Box 3370 sollte das sogenannte BorderGateway bilden, also die echte Außengrenze per ADSL Richtung Internet die Fritz!Box 7390 unterstützt IP-Telefonie und sollte damit schon vom Funktionsumfang her den Router für das geschützte Heimnetz bilden Verkabelt werden die Boxen deswegen wie folgt: das Kabel vom DSL-Anschluss führt an die DSL-Buchse

18 des Border Gateways einen Port des 4-fach-Switches der 3370 führt man an einen weiteren Port an der 7390 und stellt damit die Verbindung zwischen den beiden Routern her die restlichen Ports des 4-fach-Switches der 3370 können für die Server genutzt werden die in der DMZ liegen sollen Wie müssen die beiden Fritz!Boxen konfiguriert werden? Starten wir mit der 3370 die das Border-Gateway bildet. Dabei beachten wir, dass das Border-Gateway, die Zugangsdaten zum Internetprovider haben muss, die wir hier eintragen: Zugangsdaten Border Gateway Im nächsten Schritt legen wir die Netzwerkeinstellungen des

19 Border Gateway fest. In unserem Fall nehmen wir den für private Netzwerke reservierten IP-Bereich: X Netzwerkeinstellungen des Border Gateway festlegen Bitte beachten, dass nach abspeichern dieser Einstellungen, das Border Gateway nur noch unter seinen neuen IP-Adresse erreichbar ist. Dazu wird es mit hoher Sicherheit nötig sein, den Rechner mit dem man die Box konfiguriert in den gleichen Adressbereich zu setzen, um die nachfolgenden Schritte zu konfigurieren. Eine weitere Erhöhung der Sicherheit ist das Abschalten DHCP-Servers auf dem Border Gateay. Den Servern in der weist man dann fixe IP-Adressen zu. Ebenso empfehlenswert das Abschalten jeglicher weiterer Dienste, wie z.b. WLAN Fernwartung. des DMZ ist und Das waren schon soweit alle Schritte auf dem Border Gateway. Verbunden mit dem DSL-Anschluss sollte die Box sich sauber mit dem Internetprovider synchronisieren. Nun beschäftigen wir uns mit dem Router des Heimnetzes der Auch hier beginnen wir mit den Zugangsdaten:

20 Zugangsdaten Router Heimnetz Bei Anschluss wählen wir Externes Model oder Router, da dieser Router keine Verbindung zum DSL-Provider aufbauen muss. Er nutzt die Verbindung mit, die unser Border Gateway alias 3370 bereits schon aufgebaut hat. Etwas missverständlich ist dabei der nächste Punkt von AVM formuliert, für uns aber essentiell wichtig. Wir wählen unter Betriebsart Internetverbindung selbst aufbauen. In unserem Anwendungsfall bedeutet dies, dass die 7390 als Router für das Heimnetz einen eigenen IP-Bereich erhalten wird. Dieser ist komplett abgetrennt vom Außennetz und dem Internet und nur über das Border Gateway mit dem Außennetz verbunden. Unter Zugangsdaten geben wir an, dass keine benötigt werden. Kommen wir zum Zugangsdaten: spannenden Teil der Konfiguration der

21 Verbindungseinstellungen des Routers Heimnetz Unter Verbindungseinstellungen legen wir die IP-Einstellungen manuell fest. Im Einzelnen sind dies: die IP-Adresse des Routers Heimnetz. Diesen legen wir in den Adressbereich unseres Border Gateway. Sie erinnern sich? Das Border Gateway haben wir auf festgelegt. Damit die beiden Boxen sich sehen können, müssen diese im selben Netz liegen. Deshalb wählen wir für den zweiten Router die IP und die dazu passende Subnetzmaske Unter Standard-Gateway legen wir die IP unseres Border Gateway fest: Damit ist sichergestellt, dass alle Anfragen, die im Heimnetz nicht aufgelöst

22 werden können, an das Border Gateway weitergeleitet und von diesem verarbeitet werden Das Border Gateway ist in diesem Fall auch der primäre DNS-Server für unseren zweiten Router für das Heimnetz. Auch hier setzen wir also auf die IP Da es keinen zweiten DNS-Server auf unserem Border Gateway gibt, bleibt das letzte Feld des sekundären DNS-Server auf stehen Jetzt fehlt uns nur noch die Konfiguration des DHCP-Server des Routers Heimnetz. Dieser soll Adressen im Bereich bis an die angeschlossenen Rechner des Heimnetzes ausliefern. Und wir müssen noch die IP-Adresse des Routers aus dem Heimnetz festlegen, damit dieser entsprechend erreichbar ist. Dies stellen wir auf dem Heimnetz Router wie folgt ein: IP-Adresse und DHCP des Routers Heimnetz festlegen Unter Heimnetz legen wir deshalb die IP-Adresse der Fritz!Box 7390 auf die IP und die dazu passende Subnetzmaske Passend zu den oben gemachten Angaben zum DHCP-Server legen wir dessen Adressbereich auch noch fest. Dieser sollte im gleiche Subnetz also

23 X liegen wie der Router selbst. Zusammenfassung: nach all diesen Einstellungen erreichen wir die Konfigurationsoberfläche des Border Gateways über und die des Heimnetz-Routers über alle Anfragen aus dem Heimnetz werden über das Border Gateway sauber nach außen aufgelöst Have Fun Ergänzung: Wenn man das Border Gateway nicht als Modem nutzen möchte oder nicht nutzen kann, weil man z.b. hinter dem Kabelmodem des Providers hängt oder es dafür andere gute Gründe gibt, dann kann man dies recht einfach ändern: Abschalten der Modemfunktion der Fritz!Box und Nutzung eines externen Modems oder Routers

24