Home Bugzilla DeviceNote azRecord Nextcloud HowTo/Info Q-System Suche Sitemap Links
DE
EN

Domänen-Aufbau

HowTo/Info > allgemein > Netzwerk/EDV > Domänen-Aufbau >

Komplett veraltet! Nur Historie

Domänen-Aufbau

Server-Organisation / Domänen-Aufbau

Die Domäne hat ein hohes Alter, und manches würde man heute anders anpacken, angefangen mit dem Domänen-Namen.

Zu Beginn gab es nur 'APSSERVER'. Ein einzelner Server, 'Fast-Eddy', unter NT4 Server versorgte mit 17GB Plattenplatz etwa 8 'Windows 98'-Arbeitsplätze, den einen oder anderen DOS- oder 'Windows 95'-Rechner.

Ein alter Rechner als Zweitserver 'Hathor' zu Kommunikations-Zwecken unter Windows 2K Server kam hinzu, 'Fast-Eddy' wurde auch auf W2KS aufgerüstet.

'Fast-Eddy' wurde ersetzt durch 'Zeus', alle PC auf XP aufgerüstet, die Domäne zu Active Directory umgestellt und gleichzeitig umbenannt zu 'apsserver.apsag.com', weil 'apsag.com' durch den Provider FlyOver verwaltet wurde. Die Verwaltung per DNS und DHCP erledigt seither 'Simple DNS plus'.

Bereits jetzt wurde Mail per xmail versandt und empfangen. Die Mail wurde allerdings bei Webland in einem Sammelkonto empfangen, per POP durch Hathor abgeholt und dann per komplexem Regelwerk (Script 'repost') intern verteilt.

Hathor enthielt auch ein Software-Archiv, war AV-Server und stellte auch ein VPN bereit. Als die erste SPAM-Welle heranrollte, war dies zuviel. Der Server war oft während Stunden auf 100% ausgelastet.

HAPI wurde als Ersatz in Betrieb genommen und alle Dienste wurden von Hathor portiert. Es war dies das erste Linux-System im Betrieb. Hathor übernahm schliesslich nur noch die Rolle eines Backup-Datenspeichers, was im Grunde etwas übertrieben war.

'Roaming profiles' wurde abgeschaltet und durch 'one way backups' per SyncBack ersetzt. Damit konnten die dauernden Kopierfehler umgangen werden. Ausserdem war es ein Mittel, um die Datenmenge zu reduzieren, da nicht jeder Schmarren kopiert wurde. Auch das Login war wieder flink, da nicht erst das Profil über's Netz geladen werden musste.

Der Umzug in's neue Gebäude hinter der Jura verbesserte Einiges. Neu wurden alle Rechner mit 100MB und per Switch angebunden.

Mit dem Umzug an die Neumatt wurde erst mal nicht viel gemacht. Es stellte sich aber heraus, dass ZEUS mittlerweile überlastet war. Winware reagierte oftmals zäh, wenn Backups liefen. Das beste Backup-System war da 'bacula', da es auf allen Plattformen verfügbar war. Folglich wurde Zeus zum virtuellen ZEUS-W2KS und ZEUS auf Linux umgestellt und 'bacula' statt 'Veritas Backup' in Betrieb genommen. Ausserdem kam Hathor ausser Betrieb und wurde durch LAN-Disks ersetzt.

Mit der Umstellung von Winware auf Selectline war der Traum von der reinen Linux-Domäne dahin. Odin unter Linux mit Odin-W2KS virtuell kam in Betrieb.Odin-W2KS ist der Datenbankserver, während Odin der Datenserver darstellt.

HAPI erhielt mehrmals neue Disks, wurde Druckserver, blieb aber seiner Rolle als Kommunikationsserver eigentlich immer treu. Norman NVC erwies sich unter Linux als Bremsklotz und lastete den Rechner extrem aus. Der Umstieg auf Spamassassin und Clamd brachte vorübergehend Besserung, aber die Menge eingehender Mail stieg zeitweise derart an, dass sie den Rechner immer wieder an seine Grenze brachte. Der Aufbau von Validierungs-Filtern (Validate1 - Validate4) brachte erstmals eine deutliche Verbesserung. Um die 90% weniger Mail war abzufertigen, und HAPI lief wieder im grünen Bereich.

Zeus vermochte inzwischen die Backups nicht mehr zu verarbeiten. Manchmal dauerten die Backups auf DAT mehrere Tage. Die erste Woche pro Monat liefen die Voll-Backups. Non-stop. Der Verschleiss an Hardware war enorm.

Da mittlerweile viele Benutzer Radio über's Internet hörten, wurde es zunehmend eng auf dem Internet-Zugang. Schliesslich wurde deshalb ein Radio-Relais in Betrieb genommen, damit der Datenstrom nur einmal anfiel. So wurde Swisspop, Radio32 und zeitweise auch DRS3 bereitgestellt. Aber gerade Radio32 erwies sich als unzuverlässig. Also wurde ein Tuner installiert und der Audio-Stream selber erzeugt, was den alten Compaq ipaq an seine Grenze brachte.

Der Internet-Zugang wurde von 3500kbps auf 6000kbps aufgerüstet, indem gleichzeitig von ISDN auf Analog umgestellt wurde. 4400Kbps wären per ISDN das Maximum gewesen. Das Bedeutete einen neuen Router. Drei Router wurden beschafft, bis endlich ein Linksys funktionierte – und auch dies nur dank alternativer Firmware. Immer war die Firewall ungenügend.

Da es immer wieder zu Problemen mit dem Mail-Empfang per Provider Flyover/Webland und wegen unserer dynamischen Adresse gab, und da immer mehr von extern auf HAPI zugegriffen werden musste, drängte sich ein Providerwechsel für den Internetzugang inklusive fixer IP-Adresse auf. Seither wird alle Mail direkt empfangen, ausser den, die intern von Webland-Kunden gesendet werden. Deshalb ist 'Repost' noch immer aktiv.

Alle Server wurden an einen 1GB Backbone gebunden, und auserwählte Workstations durften auch an den Switch. Bei jedem Ausfall eines Switches wurde der durch eine 1GB-Version ersetzt, so dass mittlerweile das Gros mit 1GB angebunden ist.

Da ZEUS extrem belastet war, vermochte er manchmal die Authentifizierungsanfragen nicht mehr verarbeiten. Zur Entlastung wurde ihm 'Lugus' als Backup Domain Controller zur Seite gestellt. Lugus hat keine weitere Aufgabe, schon deshalb nicht, weil er über extrem schwache Hardware verfügt.

Trotzdem, und weil immer mehr Daten zu backuppen waren, begann die Odysee zum heutigen Backup-Konzept. Als erstes wurden nur noch Quartals-Backups auf Band geschrieben. Alles Weitere auf mehrere Standorte verteilt auf Disks. Schliesslich kam HADES als Backup-Server in Betrieb, der eben keine anderen Aufgaben mehr hat, als die ganzen Backups durchzuführen.

Mit jeder Spam-Welle wurde die Situation auf HAPI immer prekärer. Abhilfe schaffte die Einführung des Graylistings (GLST). Die mittlere Belegung der Bandbreite unseres Internet-Anschlusses ging um über 95% zurück. Die Auslastung des Rechners sank um über 98%.

Nach mehreren Rückschlägen mit den LAN-Disks und erfolgloser Mitentwicklung am bacula, um deren Probleme in den Griff zu bekommen, wurden alle LAN-Disks durch eine intelligentere ICYBOX 4220 ersetzt. 320GB RAID und 250GB extern sollten reichen. Das ging so lange gut, bis das Netzteil der ICYBOX abrauchte. Das zerstörte die Disks zwar nicht wirklich, aber sie glaubten es und deshalb machten sie alle paar Tage ein Recover, wodurch jeweils eine Disk aus dem RAID-Verbund verschwand. 'Pales', als neustes Mitglied unter Debian Lenny 64, kam ersatzweise in Betrieb. Das war ein extrem guter Schritt, da darauf nativ ein 'bacula storage daemon' läuft, während die ICYBOX per NFS angebunden werden musste.

HAPI war abermals an seinem Limit. Inzwischen mit komplett neuer Hardware und dennoch übervoller Disks, musste Archiv-Platz gefunden werden. Dasselbe galt für ZEUS. Neue Hardware, aber Benutzerprofile füllten schon wieder über die Hälfte der Disks, die Nutzdaten den Rest. Pales beherbergt seither die Brofil-Backups und die archivierten Daten.

Entwicklungen rund um's TS400 verlangten wieder nach ISDN und neu SIP. Also wurde der an sich gut laufende Router durch eine Fritzbox ersetzt, die auch ein WLAN und DECT zur Verfügung stellt. Auch da war erst ein Software-Update nötig, ehe sie lief, und die Firewall musste manuell konfiguriert werrden.

Da die Fritzbox etliche Einschränkungen im Bereich der Netzwerkfreigaben hat, wurde auf HAPI eine Firewall in Betrieb genommen, die eigentlich nur für's Masquerading da ist.
Damit wurde auch die alte Lösung für alle VPN umgestellt und der Zugriff per Fernwartungskanäle unterbunden. Zusätzlich kann nun per Port-Sharing Openvpn und der HTTP-Server auf dem Port 80 betrieben werden.

Odin wurde mal in einer Wochenend-Aktion mit neuer Hardware bestückt und auf 64 Bit umgestellt, damit die virtuelle Maschine auch mit mehreren Prozessoren arbeiten kann. 8GB RAM wurden eingebaut, wovon 4GB für's Win 2K.
Nach wenigen Stunden schmierte nun die virtuelle Maschine ab. Schuld war die Emulation der Netzwerkkarte. Es wurde eine VirtIO-Karte installiert.
Die Leistung der Datenbank liess zu wünschen übrig. Also wurden die Daten auf eine eigene physikalische Platte verlagert. Es brachte wenig.
Die eingesetzte Platte war nicht die schnellste und wurde durch eine Raptor ersetzt. Die Leistung war nun recht gut.
Nun kam es zu einem merkwürdigen Phänomen: Die Uhrzeit im Windows 2000 lief plötzlich um bis zu 10 Minute/Stunde voraus oder nach. Da die Authentifizierung unter Windows zeitbasierend ist, konnten sich die Clients nicht mehr verbinden. Die Datenbank war nicht mehr zugreifbar. Ein Neustart der VM behob jeweils das Problem.
Ein neuerer Kernel wurde installiert. Danach meldete das Netzwerk andauernd Medien-Trennung und Timeouts. Die Installation des Realtek-Treibers des Herstellers behob das Problem.
Die Leistung des Rechners Die Leistung liess weiterhin zu wünschen übrig: Odin war oft mit 300% ausgelastet, während Win 2K keine 2% auswies. Also wurde Windows 2003 installiert.
Seither scheint es gut zu sein.

Hades erhielt auch neuere Hardware und läuft nun ohne Tape. Das Quartalsbackup erfolgt nun auf eine separate Disk (ex Icybox), ab der auf DVD gebrannt wird.

Auch wenn ich mir mit der Chronologie nicht so sicher bin, sind wir durch diese und unzählige weitere Geschichten da, wo wir heute stehen.

Zeus-W2KS (provisorisch)

Zeus

Odin-W2KS

Odin

Hapi

Pales

Hades

Lugus

Mediaserv

Externe Dienste

Wo liegen die Daten?

Gemeinsame Daten

Buchhaltung (KHK)

SelectLine

Daten APS systems AG

Software-Archiv

Archiv

Mittlerweile (Oktober 2010) ist das Archiv an seine Kapazitätsgrenzen gestossen. Die ganze Struktur wird mittelfristig sowieso umgebaut werden müssen.

Medien-Archiv

Profil-Backups

Lokalitäten der Logs??

Zusammenfassung Dienste

Drucken

Mail (provisorisch)

TBD...

POP3

Wie schon oben erwähnt, werden die Posteingänge demnächst auf IMAP umgerüstet. Es sind noch wenige User, die über POP3 auf die Email zugreifen. Ziel ist die mittelfristige Abschaffung vom POP3-Gebrauch.

IMAP

Abgesehen von Protokolltechnischem unterscheidet sich IMAP und POP3 in der Zugriffsphilosophie. Während IMAP über TCP/IP permanent verbindet, musste der POP3-Posteingang explizit abgefragt werden. Durch IMAP werden die Emails zwar lokal auf den Rechner kopiert, nicht aber vom Server entfernt wie mittels POP3 (Standardeinstellung der Clients).
Ausserdem werden Ordner im Posteingang synchron auf dem Server geführt und werden dadurch auch bei einer Neueinrichtung erhalten bleiben.

SMTP

Wie vorher wird der Postausgangs-Server per SMTP erreicht.

Das 'Herz' des Mail-Servers ist wiederum gegliedert in Einzeldienste rund um den Mail-Server. Da gibt es Threads für lokales Mail, SMTP-Empfang und SMTP-Versand, etc.

Eine sehr gute Doku dazu findet sich unter www.xmailserver.org

Aus aktuellem Anlass eine Besonderheit: Wenn Programme mit niedrigen Rechten Mail per Sendmail-Emulation versenden können sollen, so müssen die Spool-Verzeichnisse 'local' und 'temp' entsprechende Zugriffsrechte eingestellt bekommen.

Ein ungelöstes Problem mit gleicher Ursache ist, dass das Script xsendmail den Befehl 'cat' verwendet, was merkwürdigerweise auch dann nicht geht, wenn der explizit '/bin/cat' angegeben und dessen Rechte auf 777 gesetzt sind.

Zugriffseinstellungen für Clients (Thunderbird)

Der Postausgang (SMTP) wird auf smtp.apsserver.apsag.com:25 erreicht.
Der Posteingang (IMAP) wird auf imap.apsserver.apsag.com:143 erreicht.
Benutzernamen: xyz@apsag.com
Achtung: während dem Einstellen müssen SMTP-Port und Benutzername noch angepasst werden. Authentifikationsmethode für IMAP: Passwort, normal (Standard)
Authentifikationsmethode für SMTP: verschlüsseltes Passwort (Standard)
Verbindungssicherheit beider: STARTTLS
Nach dem Einrichten müssen die Sicherheitszertifikate noch heruntergeladen und zugelassen/bestätigt werden. Ebenfalls muss der Benutzername vom SMTP-Client von xyz auf xyz@apsag.com nachgestellt werden.

Add-Ons (Thunderbird)

Auf \\hapi\Archiv\Win32\mozilla befinden sich Add-Ons für Thunderbird. Mindestens die Folgendenden sollten nachträglich noch installiert werden:

Um die Add-Ons einzusehen klicke man durch Extras->Add-Ons. Danach lassen sich die Add-Ons aus dem oben genannten Verzeichnis direkt per Drag'n'Drop in das Add-On Fenster hineinziehen. Danach Thunderbird neustarten.
Nach der Installation der Add-Ons klicke man ->Termine/Aufgaben->Kalender. Auf der linken Seite auf mittlerer Höhe befindet sich der Kalender "Privat". Rechtsklick->Neuer Kalender. Netzwerkkalender.
Danach fertigstellen und den alten Kalender "Privat" löschen.

Web-Server

Horde

Das Horde User Interface für Zugang von extern ist über unsere Website zugänglich (linke Seite): http://hapi/horde/imp/login.php

Bugzilla

Sämtliche Pendenzen, Fehlerbehandlungen, Probleme etc. sind über Bugzilla zu kommunizieren resp. erfassen. Das Bugzilla User Interface ist über unsere Website zugänglich (linke Seite): Link: http://hapi.apsserver.apsag.com/bugzilla/
Sämtliche Funktionen von An-/Abmeldung, über Benutzerverwaltung bis Bedienkonsole für die Bugs und deren Mitteilungen sind dort verfügbar.
Jeder Fall wird als Bug erfasst und dadurch nummeriert und indexiert. Das macht das Leben leichter vor allem in Bezug auf wiederkehrende Fälle und Kleinigkeit, die aber unbedingt nicht undokumentiert bleiben sollten.
Die Bugs werden jeweils an die Adressaten per Email weitergeleitet. Ausserdem werden Erinnerungs-Emails vom Server versandt.
Neue Bugzilla-Benutzer können nur im abgemeldeten Zustand erstellt werden.

Fax

Server-installierte Software

SelectLine

Die jeweils aktuellste Version des SelectLine findet sich unter: \\odin\Programme\Selectline\Setup\. Installiert wird normalerweise die Arbeitsplatz-Version davon.
Als Daten-Verzeichnis \\odin\programme\selectline\daten\ angeben und der SQL-Server ist ODIN-W2KS.

Twixtel

\\odin\Programme\Twixtel\Config\SetGroup.exe erstellt Links auf den Server und zwar für TwixTel (Telefonnummern), TwixRoute (Routenplaner) und SBB (Fahrplan).
Nach Ausführung des SetGroup.exe müssen keine weiteren Schritte vorgenommen werden.

Norman NVC / NDesk

Norman NVC lässt sich vom Server aus auf die Workstations installieren, aktualisieren und warten. Das Tool NDesk bietet diese Möglichkeit. Alle erreichbaren Rechner werden auf der Startseite angezeigt. Möchte man auf einen Rechner zugreifen, der nicht in dieser Liste erscheint, ist sehr wahrscheinlich noch die Firewall aktiv.
Nach der Installation der Admin Tools muss noch ein Link auf C:\Norman\npm\bin\NDesk.exe geführt werden, da dies nicht automatisch passiert.
Btw: Der Port für NDesk ist standardmässig 2868.

Radio

Zusammenfassung Hintergrunddienste

Mail-Archiv

Backup

Netzwerkverwaltung

VPN

Netzwerküberwachung

Logon-Ablauf

Logon-Script

In den Einstellungen der Benutzer des Active-Directory lässt sich definieren, welches Script beim Logon lokal ausgeführt wird. Dies ist auf allg.vbs einzustellen (Profile). Das VisualBasic-Skript allg.vbs befindet sich im NETLOGON-Share auf den Domain-Controllern (nicht öffentlich). Folgende Pendenzen werden abgearbeitet:

Wegen Windows 7, und weil es einfach Stand der Dinge ist, muss das alte Logon-Script entfernt und durch Pendents im AD ersetzt werden. Damit muss dann auch nicht mehr für jeden Benutzer das Logon-Script eingestellt werden, sondern es gilt generell und global.

Damit das funktioniert, muss das Script in einen Benutzer- und System-Teil aufgetrennt werden. Der Benutzer hat unter Windows 7 keine Rechte, am Zweig HKLM zu drehen, genausowenig das Benutzer-Logon-Script.

Sonderlösungen

Scanner-Steuerung Wareneingangs-PC

Am Wareneingangs-PC hängt ein serieller Laser-Scanner, das bisher leistungsfähigste Gerät. Drumherum ist aus VBScript und PHP eine Software gebaut, die

  1. Die gelesenen Daten ab dem Scanner als Tastatur-Eingaben verarbeitet
  2. Spezielle Sequenzen als Befehle interpretiert und Aktionen auslöst

Die Anbindung der seriellen Schnittstelle basiert auf XMComm.

Die Software ist unter \Programme\com2win zu finden.

Tools

XMail Manager (provisorisch)

Der XMail Manager dient zur Konfiguration der Email-Accounts. Es können Accounts erstellt, vollumfänglich eingestellt und gelöscht werden.
Die Email-Adressen werden per Kürzel definiert, jedoch zeigen jeweils zwei Aliase beispielsweise hans.meier@apsag.com und hmeier@apsag.com auf meh@apsag.com. Ebenso sind sie eintragbar in Listen wie alle@apsag.com, sowie jeweilige electronic- resp. systems-Listen. Die Grösse des Emailspeichers ist sinnvoll zu limitieren.
Der Email-Server wird auf hapi auf dem voreingestellten Port erreicht.

Leider wird der XMAIL Manager nicht mehr weiterentwickelt. Die Umstellung auf ein webbasierendes Frontend ist noch nicht vollzogen.

Dameware NT Utilities

Dieses Tool loggt auf dem Domain-Controller ein und gewährt Zugriff auf sämtliche Strukturen der Members, Server und deren User, Workstations und Active Directory (Win2K).

Erstellung neuer User im AD

Unter apsserver.apsag.com -> Active Directory Users & Computers finden sich die Einstellungen der User. Rechtsklick -> neuer User öffnet den Dialog zur Erstellung neuer User. Zuerst lediglich Kürzel als Vornamen und Usernamen angeben. Erst nach der Erstellung werden dann die vollständigen Namen eingetragen. Generelles Vorgehen zur Erstellung neuer Benutzer ist auf unserer Homepage unter HowTo/Info->Allgemein->BenutzerHinzufügen beschrieben.

Webmin

CUPS Web-Interface

SWAT

Das Samba Web Administration Tool stellt das Interface zur Samba-Konfiguratoin dar.

bweb

phpmyadmin

MING

SQL Server Management Studio Express

Diese Freeware visualisiert Microsoft Express SQL Datenbanken. Es bietet unzählige Möglichkeiten im Umgang mit den Tabellen wie Backup, Restore, SQL-Abfragen, Script-Erstellung, etc..

TotalCommander

Mit dem Total Commander hat man ein mächtiges Werkzeug für den Umgang mit Files und Directories. Zum Beispiel Synchronisierung, Archivierung, Text-Suche, Renaming über ganze File-Strukturen, FTP, etc..

Webocton Scriptly

Notepad++

Ein kleiner Text-Editor mit Syntax-Highlighting für viele Programmiersprachen. Braucht keine Resourcen und ist schnell und einfach.