CV-Treff 2014-09-25 Begrüssung und Kurzinformationen (00:00) Redesign der Website unibas.ch (00:04) Update: IVIT-Strategieumsetzung (00:20) IT Sicherheit (00:25) Zonen-Übersicht und Proxy Redesing (00:39) Zonen-Übersicht Proxy-Redesign Teilweise Umstellung der Mailinglisten (00:53) Netzwerk Core Redesign (00:57) Abschluss (01:24) Dies ist das Protokoll des CV-Treffs vom 25. September 2014. Weitere Informationen sowie das Video sind zu finden unter: http://urz.unibas.ch/content.cfm?content=222 Begrüssung und Kurzinformationen (00:00) Dieter Glatz Begrüssung und Agenda nächste Termine CV-Treff Donnerstag, 09.10.14, 13:30 15:00 Mittwoch, 12.11.14, 14:00 16:00 Mittwoch, 10.12.14, 14:00 16:00 IDM-Redesign Going Live Ende Jahr (2014 J) Neue Nomenklatur, neue Rollen Vorstellung folgt (Einladung; vorab Versand Unterlagen) Bereinigung 2-Arbeits-Adressen Überschreiben im Viaweb nicht mehr möglich Mutationen via dezhr/gf (Siehe Grafik)
Redesign der Website unibas.ch (00:04) Tanja Schuler, Media Services, Kommunikation & Marketing Die Präsentation von Tanja Schuler wird hier nur in Stichworten wiedergegeben. Mehr Details und eine kurze Demo der Webseite entnehmen sie bitte dem Video http://urz.unibas.ch/content.cfm?content=222 Stand Redesign unibas.ch heute Module zum Aufbau der Inhaltsseiten sind ausgeliefert >Bugfixing Deutsche Inhaltsseiten weitestgehend erfasst Inhaltsverantwortliche geschult Englische Seiten zu 50% erfasst Studienangebot mit Bildern Mitarbeitende ZUV fotografiert Module Kontaktboxen Orgafinder Locationfinder Globale Suche (Webinhalte, Personen) Glossar A-Z Uni Nova Termine
Diskussion Frage: Wird auch das Uni-Intern (Webseite) überarbeitet und integriert? Antwort: Uni-Intern wird aufgelöst und die Inhalte zum Teil neu gestaltet und in das Mitarbeiterportal integriert. Frage: Betrifft das auch das Dokumentensystem? Antwort: Dokumente werden unter "Dokumente" besser zu finden sein und auch innerhalb der Texte verlinkt sein. Frage: Wie sieht es aus mit dem Rest der Uni (Thema Webbaukasten)? Antwort: Es existieren ca. 160 Instanzen in den momentanen Webbaukästen. Diese Typo3-Webbaukästen werden in einem guten Jahr abgelöst - bis dahin werden Entscheidungen gefällt, in welcher Form die neuen Webbaukästen umgesetzt werden - vermutlich werden diese dann auch mit Magnolia aufgebaut. Inklusive Migration / Umzug kann mit bis zu 2 Jahren gerechnet werden. Frage: Wie sieht es Browserkompatibilität aus? Zum Beispiel PDF-Upload und Darstellung? Antwort: Geplant ist, die jeweils aktuellste Version sowie zwei vorherige Versionen der gängigen Browser unterstützt werden. Update: IVIT-Strategieumsetzung (00:20) Michael Brüwer, URZ Michael Brüwer rekapituliert kurz die drei Ziele der IVIT-Strategie Innovation Effizienz Governance Schwerpunkt Strategie-Umsetzungsplan URZ: Konsolidieren, Qualität verbessern IT-Reorganisationsprojekt URZ-interne Optimierungen und Weiterentwicklung Externe Expertise verstärkt nutzen Servicekatalog fertigstellen und veröffentlichen
Er geht nochmals auf die IVIT-Governance ein und berichtet, dass die wissenschaftliche Datenhaltung und das wissenschaftliche Rechnen an eine neue Einheit " scicore" unter der Leitung von Torsten Schwede abgegeben wird weiterhin wird nach einem Rektoratsbeschluss der Webdesk unter der Leitung von Tanja Schuler eingerichtet zur uniweiten Koordination und Beratung im Bezug auf Webhosting und Webservices Das URZ musste aus verschiedenen Gründen in den letzten Monaten einige personelle Veränderungen / Abgänge verkraften Aktuell bestehen personelle Engpässe im Bereich Storage und Backup (neue Stellen sind ausgeschrieben) Bitte von Michael Brüwer: nicht direkt Bernd Sindlinger anschreiben, sondern telefonisch an den ServiceDesk (061 267 14 11) oder per Mail an support-urz@unibas.ch. Dort wird dann der ServiceRequest strukturiert aufgenommen. Frage: Was ist der Plan mit den momentan an externe Consultants vergebene Unterstützung im Thema Storage und Backup? Wird das so bleiben? Antwort: Nein, es sind aktuell Stellen ausgeschrieben, die Themengebiete werden neu besetzt. IT Sicherheit (00:25) Ernestine Schikore, URZ Malware und ihre Halbwertszeit Die Anzahl Viren, die nicht von unseren AV-Scannern erkannt werden, nimmt zu. Dies liegt nicht daran, dass die Scanner schlechter werden sondern die kurze Zeit, in der Malware nicht erkannt wird, wird fleissig genutzt. Das bedeutet nicht, dass wir darauf verzichten können, sondern dass wir noch akribischer auf die Aktualität der Signaturen achten müssen. => ab und an mal den PC desinfizieren? Virustotal.com ist ein Service zum Überprüfen, ob ein Virus vorhanden ist oder erkannt wird. Ernestine Schikore berichtet von einem aktuellen einem Fall an der Uni Basel Rechner eines Mitarbeiters mit Verschlüsselungs-Trojaner infiziert lokale Maschine und verbundene Netzlaufwerke wurden verschlüsselt Daten der gesamten Gruppe mussten daraufhin vom Backup zurückgespielt werden Lerneffekt daraus: Es kann jedem passieren Es werden alle gemappten Laufwerke verschlüsselt Es werden die Rechte des Logins ausgenutzt Verlust von gespeicherten Credentials Verlust der eigenen Informationen Backup? Verlust der Arbeit der Forschungsgruppe bis zum letzten Backup Information: Winwows Server 2003 bald End of Life NOC stellt Netze zur Verfügung, in denen XP-Rechner abgeschottet von entweder Internet oder Uni-Netz genutzt werden können Rechner mit Windows XP werden ab dem 29.09.2014 keine VPN-Verbindung mehr aufbauen können weiterhin: Windows Server 2003 ab 14. Juli 2015 End of Life Risiko SSH-Gateway Kein offizieller Service Am Monitoring vorbei Wird nicht gepflegt Fazit: der SSH-Gateway wird abgeschaltet Windows XP Die Anzahl der XP-Rechner ist ein grosses Risiko XP wird seit 6 Monaten nicht mehr gepflegt NOC stellt Netze zur Verfügung, in denen XP-Rechner abgeschottet von entweder Internet oder Uni-Netz genutzt werden können siehe Vortrag "Zonen-Übersicht" direkt im Anschluss Beratung und Migration via noc@unibas.ch Rechner mit Windows XP werden ab dem 29.09.2014 keine VPN-Verbindung mehr aufbauen können Es wird auf den Flyer des URZ betreffend Passwort-Sicherheit hingewiesen siehe Flyer auf der URZ-Webseite: http://urz.unibas.ch/files/documents/flyer.pdf
Diskussion Frage: Wie konnte die Verschlüsselung des Laufwerks passieren? Antwort: Auf einem Computer wurde Malware ausgeführt, woraufhin alle erreichbaren Laufwerke (Lokal und Netzwerk) verschlüsselt wurden. Zonen-Übersicht und Proxy Redesing (00:39) Andreas Trautmann, NOC Zonen-Übersicht Auf der URZ-Webseite existiert neu eine Übersicht über die wichtigsten Client- und Hosting-Zonen im Uninetz. http://urz.unibas.ch/content.cfm?query=zonen Diese Übersicht soll die Beratung des NOC-Teams ergänzen - das NOC berät weiterhin gerne in allen Fragen zum Thema Netzwerke und Hosting via noc@unibas.ch. Proxy-Redesign Worum geht es? Das URZ betreibt verschiedene Proxy-Server Das Projekt betrifft den ausgehenden Webproxy: proxy.unibas.ch Ziel des längerfristig Projektes: Ersatz/Abschaltung der bestehenden Lösung Vorgeschichte und Zustand: Proxy-Dienst existiert seit über 15 Jahren am URZ Früher wichtig wegen Caching -> sparte Bandbreite und Geld Wichtig für Internetzugang privater Adressen Heutiger Proxy (HW) ist seit 2009/2010 in Betrieb Singuläre Maschine ohne High Availability Veraltete Hardware Im aktuellen Setup anfällig Funktion / Aufbau Heute: Automatische Proxykonfiguration liefert für Offizielle IP-Adressen bereits "no proxy", für private Adressen "proxy.unibas.ch" Geräte, die den Proxy fest eingestellt haben, gehen über den Proxy in der DMZ.
Die neue Lösung: Neu kein Outproxy mehr sondern der Verkehr läuft direkt über die Internet-Firewall (Palo Alto) Funktionen teilweise eingestellt: Caching Umzug Funktionen auf Firewall: (Erweiterte Sicherheit, falls im Budget 2015) Internetzugang für private Adressen durch NAT Detailliertes Logging für genattete Adressen Funktion / Aufbau Zukunft: Geplantes Vorgehen: WPAD Umstellung (automatische Proxyeinstellung) für die 131.152-er Adressen bereits Anfang August 2014 durchgeführt Stabilisierung mit 2xSquid VM (~Ende Oktober 2014) Ablösung Proxy für DMZ-Hosts Analyse Kontakt Serverbetreiber Implementierung FW-Regeln als Ersatz wo nötig Abschaltung für DMZ Ziel: Abschaltung Proxy für internes Uninetz Sommer 2015 - proxy.unibas.ch geht in Rente Bitte um Mithilfe: Stellen Sie jetzt schon auf «No Proxy» um: Wo ist das schon möglich? Bereits vorbereitet: Interne Clients mit öffentlichen 131.152-er Adressen (z.b. die meisten Arbeitsplätze in den Departementen) Internet-DMZ Rechner Andere DMZ Rechner (interne DMZ, Proxy-DMZ ) in Absprache mit NOC Zur Erinnerung: Proxy-Settings gibt es u.a.: Im Betriebssystem Im Browser In Applikationen Diskussion Frage: Was ist mit den von NOC mal ausgelieferten Netgear-Firewalls? Antwort: Dies muss gesondert angesehen werden, bitte Kontakt mit NOC aufnehmen. Frage: Was wäre der Aufwand für die erweiterte Sicherheit? Antwort: Das geht kostenmässig in einen sechstelligen Bereich (für 3 Jahre), die Inhaltsfilterung ist dazu ein komplexes Thema (Stichwort: Filterpflege in den USA - gut für Europa?) Für die Uni Basel würden nur die Filter für Malware- und
Thema (Stichwort: Filterpflege in den USA - gut für Europa?) Für die Uni Basel würden nur die Filter für Malware- und Phishingssites aktiviert. Frage: Wie sieht es auf Layer7 aus - sprich: Inhalte der Webseiten? Antwort: Die Firewall cacht und loggt keine Inhalte. Die "Threatcontrol" filtert bestimmte bekannte Angriffssignaturen in lesbaren Datenströmen automatisch heraus. Frage: Eine GPO zu erstellen, in wessen Verantwortung liegt das? Antwort: Grundsätzlich in der Verantwortung der CV/ITSC, es ist aber eine gute Idee, über eine globale Policy mit dem ADGW-Team zu sprechen. Teilweise Umstellung der Mailinglisten (00:53) Rüdiger Schreiner, ADGW Gerücht geht um in der Uni: Mailman wird abgestellt, dieses Gerücht ist nicht wahr Hintergründe: 384 Mailing-Listen auf Mailman zum Teil von Hand gepflegt, zum Teil durch (veraltete) Skripte automatisch befüllt die gelieferten Daten sind nicht mehr zuverlässig einige Mailinglisten wurden bereits in Exchange (Distribution Groups) abgebildet Problem: Zur Zeit können wir nur Listen im Exchange implementieren, die ausschliesslich Angehörige oder Studenten der Uni Basel enthalten (@unibas.ch oder @stud.unibas.ch) Daraus folgt: Listen, die nur interne Mitglieder beinhalten, werden nach Exchange migriert Listen, die externe Mitglieder enthalten, bleiben vorerst auf Mailman Neue Listen, die nur in-terne Adressen hosten, kommen nach Ex-change Nneue Listen, die externe enthalten, werden vorerst weiterhin in Mailman realisiert Diskussion Frage: Wie lange wird diese Koexistenz bleiben? Antwort: Bis wir in Exchange auch nicht-universitäre Adressaten nutzen können - hierzu gibt es noch keine verlässliche Zeitangabe. Netzwerk Core Redesign (00:57) Jerome Finck / NOC Auch hier sei auf das Video verwiesen, da sich dieser Vortrag nur sehr schwer in Text wiedergeben lässt: http://urz.unibas.ch/content.cfm?content=222 Was machen wir? Am 1., 2. und 3. Mai 2015 werden wir die heutige Netzwerk-Backbone Infrastruktur basierend auf der Cisco Catalyst Technologie nach 7 Jahren (oder wenn man die ständige Teil-Erneuerung mitrechnet 14 Jahren) treuem Dienst in Pension schicken Wir wechseln auf die neuste Generation von Cisco Core Switches: Nexus 7700 Wieso machen wir es? Die aktuelle Hardware erreicht langsam ihre Kapazitätsgrenzen in Sachen Leistung und Bandbreite. Einige Elemente sind EoL. Daher ist ein Ersatz der Infrastruktur mit einer zukunftsfähigen Lösung erforderlich Die heutige Infrastruktur hat die meisten Anforderungen von Studenten und Mitarbeiter der Universität abgedeckt, inklusive Erweiterung von Uni Standorten und Verbesserung von Netzwerk Kapazität in unterschiedlichen Bereichen Die höhere Bandbreite verbessert die Bereitstellung von Dienstleistungen für die zentralisierte ITSC Einheiten, wie «Staging» von Workstations über das Netzwerk Wir haben das Projekt vor über 2 Jahren gestartet, inklusive Produktdefinition, Design und Budgetphase.
Es wird in diesen Tagen geliefert Leichtere Umzüge von Uni-Einheiten durch anderen logischen Aufbau Mehr Bandbreite durch parallele Nutzung von Wegen Zukunftsfähigkeit Bandbreitenzuwachs Ausbaufähig Option Punkt-zu-Punkt Verschlüsselung für Verbindungen über Provider Leichte und kostengünstigere redundante Anbindung von Gebäuden Heutige Infrastruktur - Details siehe Video ab 1:05 Neue Infrastruktur - Details siehe Video ab 1:05
Was sind die Auswirkungen Es gibt ein neues Design, neue Hardware, neue Software => wir werden im Vorfeld umfangreich testen Trotzdem gibt es ein Restrisiko, dass Dinge am Umbauwochenende und in den folgenden Wochen nicht so glatt laufen, wie vom Netz gewöhnt Daher brauchen wir Eure/Ihre Unterstützung Wo brauchen wir Hilfe Wegen Änderung der Anbindung aller Gebäude werden wir potentiell Gebäudezutritt und/oder Begleitung von Euch brauchen Am, 3. Mai, Sonntag Abend werden alle Dienste und Standorte getestet. Jeder CV wird seine Services vorläufig testen müssen: Komme ich überhaupt ins Netz? Kann ich meine Netzwerk-Laufwerke erreichen? Empfange ich meine Emails? Kann ich meine Applikationen starten? SAP, usw... Kann ich im Internet surfen? Kann ich drucken? Eine dedizierte Sitzung über dieses Thema wird mit allen betroffenen Personen organisiert Erneuter Hinweis von Harald Volz: Am Sonntag, 03. Mai 2015 sind wir auf die Hilfe aller ITSC und CV angewiesen, da vor Ort getestet werden muss. Darum bitte bereits darauf einstellen, dass an diesem Sonntag am Arbeitsplatz getestet werden muss, damit unsere Nutzer am Montag früh sicher arbeiten können. Diskussion Frage: Werden die Gebäudeverteiler auch ausgetauscht? Antwort: Nein, an diesem Wochenende wird nur der Netzwerk-Core ausgetauscht, da die weiteren 80 Gebäude zu viel wären für ein Wochenende. Anmerkung Harald Volz: Die Hauptverteiler in den folgenden Gebäuden sind Teil des Core und werden ebenfalls ausgetauscht: Physik, UB, Peter Merian (JBH) und Petersplatz. Frage: Bei diesem Core-Umbau wird wohl die Uni komplett - inklusive Webseiten - weg sein. Externe Partner sollten informiert werden, idealerweise eine Dummy-Webseite geschaltet werden.
Antwort: Die Partner müssen informiert werden, korrekt. Was aber nicht betroffen sein wird, ist die Internet-DMZ. Alles zwischen Datacenter und interner Universität wird dunkel sein, nach aussen hin sollten alle Systeme in der DMZ funktional sein, sofern sie nicht auf Zugriff nach "innen" angewiesen sind. Bezüglich UB: Aleph wird im Oktober in die DMZ verschoben, somit sollte dieser Dienst dann auch nicht betroffen sein. Hinweis aus dem Auditorium: Der Termin befindet sich innerhalb des Semesters. Antwort: Die Termine der Wartungswochenenden werden weit im Voraus mit allen betroffenen Einheiten koordiniert und auf der URZ-Webseite veröffentlicht. Oftmals ist es einfacher, während des Semesters Termine zu finden, da zu dieser Zeit keine Prüfungen, Einschreibefristen etc. anstehen. Zusätzlich wird per Email frühzeitig auf diese Termine hingewiesen. Allgemeiner Hinweis: Bitte bei Fragen und Bedenken so früh wie möglich an noc@unibas.ch oder den ServiceDesk ( support-urz @unibas.ch) wenden. Abschluss (01:24) Dieter Glatz bedankt sich für die Teilnahme und lädt die Anwesenden zu Diskussionen und einem Apéro vor dem URZ.