Beschrieb: RZ und Netzwerk Sek eins Höfe Systembetreiber ISE AG Informatik Solutions Einsiedeln Zürichstrasse 59 CH-8840 Einsiedeln Telefon +41 (0)55 418 84 40 Fax + 41 (0)55 418 84 41 info@iseag.ch www.iseag.ch Dateiname: 20121015 Beschrieb RZ und Netzwerk SEH.docx Erstellungsdatum: 10.10.2012 Autor: Franz Kälin Änderungsdatum: 23.11.2012 Version: 1.0 Änderung durch: Fk, dz Klassifikation: Öffentlich Druckdatum: 23.11.2012 12:02:00 Ablage: https://intranet.iseag.ch/websites/mis/kundendokumente/20121015 Beschrieb RZ und Netzwerk SEH.docx Verteiler:
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 2/13 Inhaltsverzeichnis 1. Ausgangslage...3 2. Anforderungen...4 3. Lösung...5 3.1. System Rechenzentrum...5 3.1.1. Server...6 3.1.2. Installierte Software...7 3.1.3. Backup und Systemwiederherstellung...7 3.1.4. Security...7 3.2. Clients...7 3.2.1. Liste der installierten Software auf den Clients:...8 3.2.2. Clientcomputer...9 3.2.3. Notebookwagen...10 3.2.4. Geplante und budgetierte Desktop Virtualisierung...10 3.3. Diverse Dienste...11 3.3.1. Persönliche E-Mail Adresse...11 3.3.2. Schulportal...11 3.3.3. Remotezugriff...11 3.4. Netzwerk...12 3.5. WLAN...12
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 3/13 1. Ausgangslage Die sek eins höfe ist ein Verbund der drei Sek I-Schulen des Bezirks Höfe an den Standorten Weid Pfäffikon, Leutschen Freienbach und Riedmatt Wollerau. Die SEH betreibt im Standort Pfäffikon ein eigenes Rechenzentrum mit 20 leistungsfähigen, zum Teil virtualisierten Servern. Die Hardware wurde im Jahre 2011 und 2012 neu angeschafft. Das Netzwerk und das RZ wurden im Sommer 2011 auf Windows Server 2008 R2 und auf der Clientseite auf Windows 7 und Office 2010 migriert. Nebst den Standardapplikationen werden je nach Schule mehrere Spezialprogramme für das digitale Klassenzimmer bereitgestellt. Die rund 510 Computer werden mittels eines Softwareverteilungssystems installiert und gewartet. Dadurch können die Kosten minimiert und der Nutzen maximiert werden: die meisten PC s sind identisch installiert und Änderungen können einfach multipliziert werden. 800 Mitarbeitenden, Lehrpersonen und Lernenden besitzen persönliche Zugangsdaten für das System und eine eigene E-Mail Adresse. Diverse Ressourcen stehen den Benutzern je nach Berechtigung auch extern zur Verfügung. Die Komponenten sind bereits ausgelegt für zukünftige Entwicklungen wie BYOD (Lehrpersonen und Lernende). Die ISE AG Informatik Solutions Einsiedeln zeichnet sich für Konzeption, Installation und den Second-/Third-Level- Support verantwortlich und stellt dazu einen einfach zu erreichenden Helpdesk bereit. Folgend werden die Anforderung der sek eins höfe aufgelistet und anschliessend die Lösung ausführlich beschrieben.
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 4/13 2. Anforderungen Dieses Kapitel beschreibt die Anforderungen für das gesamte Netzwerk: Zentrales RZ im Schulhaus Weid Pfäffikon für drei Standorte: Schulhaus Riedmatt, Leutschen und Weid Hoch redundante VMware-Infrastruktur mit zentralem Storage Zentrale Securitylösung mit Firewall, separaten Forefront TMG- und UAG-Servern Zentrale Securitylösung mit Firewall, sep. TMG- und UAG-Server Einheitliche automatisierte Installation und Konfiguration aller Rechner über die drei Standorte Zentrale Verteilung von spezifischer Schulsoftware auf ausgewählte Clients Zentral konfigurierbare Netzwerkkomponenten Zentral konfigurierbares WLAN nach dem 3-Schalenprinzip: Domänengeräte (schuleigene Devices), BYOD (erst für Lehrpersonen freigegeben, via Radiusserver mit Login zu freigegebenen Netzwerkressourcen), Gäste (Ticketdrucker in der Riedmatt) Zentrales Backup der Daten und Sicherung der Server Einfach wartbar Roamingprofiles über das ganze Netzwerk mit einem Login und Single Sign On auch bei Remotezugriff Persönliche E-Mail Adresse für alle Benutzer Zusammenarbeits- und Informationsplattform mit E-Learning Szenarien auf Basis von Microsoft SharePoint Remotezugriff für alle via SSL-VPN (Microsoft Forefront UAG) mit Terminalserverzugriff Schneller, zuverlässiger und gefilterter Internetzugang über Swisscom Schulen ans Internet Geplanter Ausbau zu VDI mit VMware View im Jahr 2013
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 5/13 3. Lösung 3.1. System Rechenzentrum Die Sek eins Höfe betreibt gemeinsam ein zentrales Rechenzentrum am Standort Weid. Das Rechenzentrum wird mittels 10Gbit/s Backbone mit den beiden anderen Standorten Leutschen und Riedmatt verbunden. Als Basis der Serverinfrastruktur dient die bewährte und weit verbreitete Virtualisierungstechnologie von VMware ESX. Diese wird auf leistungsstarken Serversystemen von HP betrieben. Ein zentrales SAN dient als Speichersystem für die gesamte RZ-Infrastruktur. Die Storageumgebung ist via Fibrechannel-Infrastruktur mit den ESX-Servern leistungsstark verbunden. Der Grossteil der Serverinfrastruktur wird als virtuelle Instanzen betrieben. Zusätzlich gibt es aber noch physische Server, welche sowohl zentral im Rechenzentrum als auch an Aussenstandorten sind. Als Betriebssystem wird bei den meisten Serverinstanzen Windows Server 2008 R2 SP1 eingesetzt. Es gibt aber auch Ressourcen, welche eine Linux-Distribution voraussetzen.
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 6/13 3.1.1. Server In der folgenden Tabelle wird aufgezeigt, welche Serverinstanzen mit welchen Rollen resp. Funktionen betrieben werden. Des Weiteren wird die Plattform physisch oder virtuell pro Serverinstanz beschrieben. Servername Rolle/Funktion Plattform Bemerkung physisch virtuell SEHDC01 Active Directory, DNS, DHCP, KMS SEHDC02 Active Directory, DNS Standort: Weid SEHDC03 Active Directory, DNS Standort: Leutschen SEHDC04 Active Directory, DNS Standort: Riedmatt SEHEX01 Exchange 2010 Mailserver für das gesamte Sek eins Höfe SEHAS01 Symantec EndPoint Management SEHRCA01 Root CA Root Zertifizierungsstelle ist standardmässig ausgeschaltet. SEHICA01 Immediate CA SEHTS01 Terminalserver SEHSCCM01 System Center Configuration Manager 2007 SEHPS01 Portalserver SEHSQL01 SQL Server SEHWM01 WinMedio Betriebssystem- und Softwareverteilung SEHPR01 Printserver Druckserver für das gesamte Sek eins Höfe SEHWFS01 Fileserver Weid SEHLFS01 Fileserver Leutschen SEHRFS01 Fileserver Riedmatt SEHVC01 VMware vcenter Server SEHVW01 VMware View Connection Desktopvirtualisierungsserver (intern) SEHVWS01 VMware View Security Desktopvirtualisierungsserver (Internet) SEHUAG01 Microsoft UAG 2010 Zentraler Zugriffspunkt vom Internet SEHTMG01 Microsoft TMG 2010 Zugriffssteuerung von intern nach Internet SEHESX01 VMware ESX Host SEHESX02 VMware ESX Host SEHESX03 VMware ESX Host
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 7/13 3.1.2. Installierte Software Die folgende Auflistung zeigt die Programme, welche auf den Servern installiert ist: Microsoft Windows Server 2008 R2 SP1 Microsoft SQL Server 2008 Microsoft Exchange 2010 Microsoft Office SharePoint Server 2007 Microsoft Forefront UAG 2010 Microsoft Forefront TMG 2010 WinMedio Symantec Endpoint Protection Manager Symantec BackupExec HP ProCurve Manager VMware ESX VMware View Connection VMware View Security VeeamBackup APC PowerChute Business Edition 3.1.3. Backup und Systemwiederherstellung Das Backup und die Systemwiederherstellung sind im Netzwerk der Sek eins Höfe zweigleisig aufgebaut. Als Grundlage dient eine Filelevelbackup-Strategie auf Basis von Symantec BackupExec. Auf einem zentralen Backupserver wird mit der Software Symantec BackupExec zuerst ein Backup-to-Disk Job mit einer vordefinierten Auswahlliste durchgeführt. Im Anschluss wird das Ergebnis auf ein Tape dupliziert. Somit kann die Sicherung auf Disk inhouse und das Tape ausser Haus gelagert werden. Als zweite Backup- und Systemwiederherstellungsmethode wird die virtuelle Umgebung mittels Veeam Backup and Replication gesichert. Diese Software erstellt aufgrund der Snapshottechnologie konsistente Systemabbilder der virtuellen Serverinstanzen und sichert diese als Datei auf einem Speichermedium ab. Somit kann bei einer Störung oder Ausfall die gesamte virtuelle Serverinstanz wiederhergestellt werden. Diese Backups werden intern auf dem Veeam-Backupserver des SRZA zentral gelagert und sporadisch überschrieben. Sporadisch werden von den physischen Servern konsistente Systemabbilder mittels Acronis TrueImage erstellt. 3.1.4. Security Firewall: Als Firewall wurde im Sommer eine moderne Fortigate 300C inkl. Livesecurity in Betrieb genommen. Sie ist zuständig für die Zugriffsregeln. Zusätzlich wird der ausgehende Internetverkehr aus dem Schulnetz via einen Microsoft Forefront TMG-Server geregelt und kontrolliert. Remotezugriffe werden durch einen Microsoft Forefront UAG-Server kontrolliert, identifiziert und geregelt. Virenschutz: Der Virenschutz im gesamten Netzwerk wird durch die Symantec Protection Suite Enterprise sichergestellt. SPAM-Schutz: Symantec Mail Security Zugriffsberechtigungen: Die Zugriffsberechtigungen sind strikt geregelt. Sämtliche Logins inkl. Berechtigungen werden via unser eigenes Tool ISE IntranetAdmin erstellt, um Fehler zu vermeiden. Logins sind mit Strong- Kennwörtern gesichert. 3.2. Clients Clients (Notebook und PCs) sind mit Windows 7 Enterprise installiert und haben diverse Standard- und Schulprogramme installiert. Die installierte Software unterscheidet sich für die Lehrpersonen- und Lernendengeräte. Die Installation der Clients erfolgt mehrheitlich automatisch via SCCM 2007 (System Center Configuration Manager 2007). Zuerst wird das Betriebssystem mit allen Treibern und anschliessend die zugewiesene Software installiert. Ein Client muss mit dem Computernamen, der MAC-Adresse und der GUID im SCCM-Manager erfasst sein und den entsprechenden Sammlungen zugewiesen werden, damit bekannt ist welche Software installiert werden
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 8/13 muss. Ist ein Client erfasst, kann die Betriebssysteminstallation gestartet werden, indem der Client bereits während dem Bootvorgang am Netzwerk angemeldet wird. Die Lehrpersonen können während dem ganzen Jahr neue Softwarevorschläge vorbringen. Die Applikation wird daraufhin überprüft und entsprechend vorbereitet, damit Sie über den SCCM-Server verteilt und auf den Clients im sogenannten Silent-Mode installiert werden kann. Die Installation der PCs in der Administration mit Windows 7 Enterprise erfolgt via den Windows Bereitstellungsdienst. Die benötigte Software wird mittels GPO (Gruppenrichtlinien) und MSI-Paketen, die im Silent-Mode ausgeführt werden, installiert bzw. ausgerollt. Bei einigen Geräten mit spezieller Lernsoftware müssen zum Teil im Anschluss noch einige Nachkonfigurationen von Hand vorgenommen werden. 3.2.1. Liste der installierten Software auf den Clients: Software Adobe Creative Suite Design Premium 5.5 Adobe FlashPlayer 11 Adobe PDF Professional X Adobe Reader X Adobe Shockwave Player 11 Apple itunes 10.7 Apple QuickTime Player 7 Audacity 1.2.6 Cinderella Mathematik DotNet Framework 2.5 DotNet Framework 3.5 Envol 5-9 Google Picasa 3.9 Google SketchUp 8.0 Mathbuch 7-9 Zuteilung Medialesson Nationalsozialismus/Imperialismus & 1. Weltkrieg Microsoft Mathematics 4 Microsoft Office Professional Plus 2010 Microsoft UAG Offline Client 1.0 Musition 4 PC Lernkartei 1-7 PDF Creator 1.5 Phase5 HTML Editor 5.6 Profax Lerncenter Real Alternative Player 2.02 Schweizer Weltatlas interaktiv
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 9/13 Stop Motion Pro 6.5 Sun Java JRE 7.7 Symantec Endpoint Protection Client 11.0.6 Tastaturschreiben 1.0 Windows DVD Maker Windows Live Movie Maker 2011 Windows Media Player Kara Programmierungsumgebung TipTopf einstruction Interwrite Workspace 8.9 Fast Stone Capture 5.3 Google Earth 5.2 Hot Potatoes 6.3 Microsoft Visio Premium 2010 RothSoft LehrerOffice Easy 2012-10 Skype 5.3 Zarb 4 NetOp School Teacher 6.2.2 SDP USB Viewer 850X Wacom PenDriver SDP USB Viewer 900DXAP Jclic Macmillian New inspiration English OmniPage Pro Robolab Corel VideoStudio Pro X4 Education NetOp School Student 6.2.2 Geräte Informatikzimmer /Notebookwagen Hauswirtschaft Informatikzimmer Riedmatt Riedmatt Weid/Leutschen Manuell installiert, Individuell Manuell installiert, Individuell Manuell installiert, Individuell Multimedia Geräte Leutschen/Weid Schülergeräte Informatikzimmer und Notebookwagen 3.2.2. Clientcomputer Computer im Sek eins Höfe sind an der Domäne angemeldet. Die Anbindung ans Netzwerk erfolgt in der Regel mit einem Durchsatz von 1 Gbit (Weid und Leutschen) oder 100 Mbit (teilweise Riedmatt), was von der hausinternen Verkabelung abhängig ist. Es wird zwischen Lernenden- und n unterschieden, da die einige Programme zusätzlich zur Verfügung haben. Für den interaktiven Unterricht sind alle Lehrpersonencomputer an einem Beamer angeschlossen. Weiter stehen folgende Geräte zur Verfügung: Samsung Digitalpresenter InterWrite Board (Schulhäuser Leutschen und Weid) Wacomboard (Schulhaus Riedmatt)
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 10/13 3.2.3. Notebookwagen Die Schulhäuser sind mit Notebookwagen ausgestattet, welche von Zimmer zu Zimmer verschoben werden können. Es werden eine freie Netzwerkdose (1 GB) und ein Stromanschluss benötigt. Auf jedem Notebookwagen hat es ca. 20 Notebooks (HP Elitebook 8550p), einen 25 Port Giga-Switch und einen DualBand-AccessPoint mit zwei Antennen, der einen Durchsatz von 1000Mbit hat. Beim Aufstarten verbinden sich die Notebooks automatisch mit dem Access Point auf dem Notebookwagen und sind somit mit der Domäne verbunden. Es wird eine WPA2-Verschlüsselung verwendet. Da die Möglichkeit besteht die Notebooks in den Notebookwagen an das Netzwerk anzuschliessen, kann man so die Notebooks auch via WakeOnLan warten. 3.2.4. Geplante und budgetierte Desktop Virtualisierung Die Sek eins Höfe hat den Einsatz einer virtuellen Desktopinfrastruktur beschlossen. Im Grundprinzip sollen die bestehenden Clientgeräte (hardwaremässig) weiterverwendet werden können. Im Hintergrund greifen die Clients mittels Software jedoch auf das zentrale RZ und die dabei integrierte virtuelle Clientinfrastruktur zu. Somit können die benötigten Ressourcen optimal ausgenutzt werden. Desweiteren sollen Lehrpersonen, Mitarbeitende und auch die Lernenden die Möglichkeit erhalten standortunabhängig auf die Umgebung der Sek eins Höfe zugreifen zu können. Die eingesetzten Mobileclients können dabei verschiedene Betriebssysteme aufweisen, müssen jedoch den dafür zur Verfügung stehenden VMware View Client installiert haben. Es werden zur Realisierung zwei neue ESX-Hosts mit eigenem SAN-System (Anschluss via FC) benötigt. Diese müssen die Last von ca. 150 gleichzeitig genutzten virtuellen Desktops tragen können. Deshalb müssen leistungsstarke Hosts angeschafft und in Betrieb genommen werden: SEHESX04 CPU Dual Quadcore Intel Xeon RAM mind. 144 GB Netzwerk 2 x 10Gbit/s FibreChannel HBA 1 x 8Gbit/s FC
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 11/13 SEHESX05 CPU Dual Quadcore Intel Xeon RAM Netzwerk FibreChannel HBA mind. 144 GB 2 x 10Gbit/s 1 x 8Gbit/s FC SEHSAN02 Controller Dual Controller Fibrechannel 3.3. Diverse Dienste Disk 3.3.1. Persönliche E-Mail Adresse 24 x 600GB SAS-2 Jeder Benutzer besitzt eine persönliche E-Mail Adresse. Die E-Mail Nachrichten können entweder an Domänengeräten über das lokal installierte Outlook oder von extern über Outlook Web App (per UAG) abgerufen werden. Lehrpersonen und Mitarbeitende der Administration haben weiter die Möglichkeit, ihr Postfach per Exchange ActiveSync auf ihr mobile Device zu synchronisieren. Die E-Mail Infrastruktur wird mit zwei Microsoft Exchange 2010 Servern betrieben. Symantec Mail Security for Exchange sorgt für die Spam- und Virenabwehr. 3.3.2. Schulportal Die sek eins höfe unterhält ein eigenes Schulportal als Informations- und Zusammenarbeitsplattform auf der Basis des Microsoft Office SharePoint Servers 2007. Es werden Dokumente ausgetauscht und bearbeitet, Mitteilungen, Kalender und Absenzen geführt und mit dem Addon ISE School E-Learning Szenarien realisiert. Benutzer sehen durch die AD-Sicherheitsgruppen nur diejenigen Inhalte, die sie sehen bzw. bearbeiten dürfen. Auf den Schulportalen stehen ebenfalls umfangreiche Anleitungen und ein Ticketsystem für die Meldung von Problemen und Störungen zur Verfügung. Die Tickets werden durch die Mitarbeitenden der ISE AG behandelt. 3.3.3. Remotezugriff Mitarbeitenden, Lehrpersonen und Lernende können sich mit ihren persönlichen Zugangsdaten extern über das Internet am Netzwerk der SEH anmelden. Für den externen Zugriff wird die Forefront UAG-Technologie eingesetzt. Auf einem Portal stehen je nach Zugriffsberechtigung unterschiedliche Ressourcen Outlook Web App, SharePoint Schulportal, Terminalserver und File Access zentral zur Verfügung, die das orts- und zeitunabhängige Arbeiten erlauben. Der UAG gewährleistet ausgenommen auf den Terminalserver Single Sign On auf die Ressourcen.
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 12/13 3.4. Netzwerk Die Netzwerk-Infrastruktur baut auf HP-Switches auf. Hierbei steht der Core-Switch im RZ Weid. Dieser ist zuständig für die Einstellungen der virtuellen Netzwerke (VLAN). Verbindungen zwischen den einzelnen Switches sind mit 10 Gbit/s über LWL-Kabel umgesetzt. Die Verbindungen zwischen den Standorten laufen ebenfalls mit 10Gbit/s über LWL-Kabel, also Weid Leutschen - Riedmatt. Der gesamte Datenverkehr von der Riedmatt wird über den Hauptswitch des Leutschen ins RZ Weid abgewickelt. Die Trennung der Standorte erfolgt durch VLANs. Die unterschiedlichen VLANs werden durch den DHCP-Server mit unterschiedlichen IP-Adressen versorgt. 3.5. WLAN Das Wireless Konzept der Sek eins Höfe wurde im Sommer 2012 erneuert. Es wird zwischen drei verschiedenen W-LAN-Netzen unterschieden: SEH SEHown SEHgast Verbindung zur Domäne, Zugriff nur für Domänengeräte Es wird eine WPA2-Verschlüsselung verwendet Pro Standort wird ein VLAN verwendet. Die Geräte erhalten pro VLAN unterschiedliche IP-Adressen vom DHCP-Server Für Bring your Own Geräte der Lehrpersonen und Mitarbeitenden Es wird ein VLAN für alle Standorte verwendet. Die IP-Adressen werden durch die Firewall zugeteilt. Die Anmeldung erfolgt via Radius-Server und die Clients werden mit der DMZ verbunden. Zugriff auf Schulressourcen besteht nur via den Forefront UAG Für Gastdozenten oder Lernende, welche ihre Geräte mitbringen und einen temporären Zugriff erhalten. Es wird ein VLAN für alle Standorte verwendet. Die IP-Adressen werden durch die WLAN-Management Konsole zugeteilt. Die Anmeldung erfolgt mittels zugeteiltem Benutzername und Kennwort (Ticketdrucker),
Beschrieb: RZ und Netzwerk Sek eins Höfe Seite 13/13 welches zeitlich geregelt ist. Die Clients werden in die DMZ verbunden. Zugriff auf Schulressourcen besteht nur via den Forefront UAG ISE AG Informatik Solutions Einsiedeln Sindy Vettor/Freddie Eichmann/Anton Keller/Franz Kälin 17.10.2012